ランサムウエア攻撃による被害が後を絶たない。国内でも大手飲料メーカーの商品受注・出荷システムが攻撃を受け、しばらくの間、店から商品が消えた。大手通販会社でもシステム障害が発生し、受注・出荷業務が停止。システム障害対応費用の特別損失として52億円を計上するに至った。

　「被害を未然に防ぐには攻撃の手口、対応方法や効果的な対策など、ランサムウエア攻撃の“真実”を知っておく必要があります。例えば、従来のランサムウエア攻撃はばらまき型が多かったのですが、最近は特定のターゲットを狙う侵入型が主流です。侵入型の多くはVPN装置を侵入口としており、手法も脆弱性を突くものと、漏えいした認証情報を使って侵入してくるものなどがあります」と日経クロステックの勝村 幸博は説明する。

　いずれのパターンも侵入後はネットワーク内を荒らし回る。狙いはActive Directoryサーバーだ。この権限を窃取されると、機密情報を保存するサーバーが乗っ取られてしまう。データを暗号化されてしまうリスクにもさらされることになる。

　探索の手口も巧妙化している。OSの正規ツールを悪用するLOTL（環境寄生型）攻撃はマルウエアや攻撃ツールを使わないため、探索の痕跡を識別しにくい。EDRの監視の仕組みをすり抜けたり、無効化したりする攻撃も登場しているという。

　また、ランサムウエア攻撃にはデータバックアップが有効とされるが、それだけでは防げない攻撃も出現している。まずデータを盗み、その後に暗号化して脅迫。身代金支払いに応じなければDDoS攻撃を仕掛けたり、顧客に電話をかけて企業へ支払いを検討するよう伝えたりするなど、様々な手法で組織に圧力をかけるのだ。

　「身代金を支払う企業は減少傾向にあるため、今後は『データの暗号化だけ』という従来の手口に戻る可能性もあります。ただし、RaaS（Ransomware as a Service）の普及によって攻撃のハードルは下がっています。引き続き警戒が必要です」と勝村は警鐘を鳴らす。

　ここからは、ランサムウエア攻撃に有効とされる2つの対策について、あらためてポイントを紹介しよう。

　まず「VPN装置経由の侵入を防ぐ」ためには、機器のセキュリティーパッチが提供されたら、速やかに適用することがポイントだ。それには脆弱性を放置しない仕組みをつくることが重要になる。「メーカーや保守ベンダーから脆弱性に関する通知を受けられるようにして、『脆弱性に気づかない』状態をなくします。脆弱性を放置することの危険性を経営層に説明し、組織におけるパッチ適用作業の優先度を上げることも重要です」と勝村は話す。

　VPNを廃止してクラウドベースのゼロトラストネットワークに移行したり、生体認証を組み合わせた多要素認証を導入したりするのも有効な手立てといえるだろう。

　もう1つの「データバックアップ」については、復元が肝となる。データの復元作業は煩雑で、復元がうまくいかなかったり、時間がかかりすぎたりして事業継続に支障をきたす場合があるからだ。「バックアップは、とるだけでなく復元手順を整備して定期的に確認することが大切です」と勝村は述べる。

　また、バックアップデータも暗号化される恐れがある。このことを前提に、3カ所に分散して2種類のデバイスに保存し、1カ所はオフサイトを使う「3-2-1ルール」を徹底することが有効だ。

　「もちろん、アンチウイルスや不正侵入防止、アクセス制御など基本的なセキュリティー対策も必須です。ランサムウエア攻撃は1つの対策だけで防げるものではないため、複合的な対策で侵入のハードルを高めることが肝要です」と勝村は語る。ランサムウエア攻撃を正しく理解することが、被害に遭わないための第一歩となる。

　東京電力と中部電力の燃料・火力部門を統合し、2015年に事業を開始したJERA。燃料の上流調達から発電、卸売まで、バリューチェーン全体を保有する国内最大級のエネルギー企業として、国内発電量の約3割を担っている。LNGの取扱規模も世界最大級であり、近年は洋上風力発電を中心とした再生可能エネルギー開発にもグローバルで注力している。

　そのデジタルインフラを支えているのが、同社のデジタル部門だ。全社の成長戦略に基づいたデジタル戦略の策定・実行を担う組織として、各部門と協力しながらプロジェクトを推進している。

　「一方で、組織の設立から約10年が経過し、次なる10年の成長を見据えた新たなマインドセットへの転換を図ることが重要になってきました。そこで我々デジタル部門が重要視したのは、『デジタルを利用してビジネスに貢献する』ということです」と同社の太田 夏紀氏は言う。テクノロジーは導入することが目的ではなく、ビジネスを支えるためのもの。また、DXもあくまで手段であり、目指すべきは会社をデータドリブンな状態に変革することにあるという考え方だ。

　また、国内外の拠点で多数のデバイスや複数のクラウド環境を運用する同社にとって、セキュリティーも経営上の最重要課題の1つだ。これについては、既存のやり方をいったんゼロベースで見直すことにしたという。

　「第三者機関のアドバイスをいただきながら、NIST（米国国立標準技術研究所）のサイバーセキュリティフレームワーク（CSF）を活用して自社の“健康状態”を客観的に可視化しました。その上で、抽出した弱点や課題を1つずつ解消していく施策を展開中です」と太田氏は話す。

　施策の例をいくつか紹介しよう。1つ目はセキュリティー文化の醸成を企図したペルソナ別アプローチによる研修だ。

　従来の全社一律の詰め込み型教育や、受講率のみを追うKPIを見直し、マイクロラーニングを導入。短い学習を反復することで習熟度を高め、KPIも受講率から習熟度へ変更した。「業務特性に応じて従業員を7つのペルソナに分類し、それぞれに適したカリキュラムを提供した結果、フィッシング攻撃に対する意識が劇的に向上。不審メールの報告数増加や安易なクリックの減少といった具体的な成果が数字として表れています」と太田氏は紹介する。

　2つ目は経営層との連携強化を図るためのダッシュボード、レポーティング環境の構築である。全社の防御力を高めるためには、経営陣のコミットメントが欠かせないからだ。

　「日々の対策状況を可視化するフラッシュレポート（社内外のリスク動向）やダッシュボードと、それらをまとめた総合レポートの両軸で、経営層との情報共有を行います。これにより、経営層にもセキュリティーに対する当事者意識を持っていただけるよう働きかけています」（太田氏）

　また、以前からあったセキュリティー専門部会の位置付けも見直した。「実務者による協議」「代表者による審議」「CISOへの報告」の３層構造とすることで、サプライチェーンを含めたビジネス上のリスクを抽出して、深く議論できる体制を構築したという。

　「特定したリスクは、内容に応じて各事業部門のリスクオーナーに振り分けます。そうすることで、自ら責任をもってリスクの評価から対応までを行っていただくようにしています」と太田氏は付け加える。

　今後は外部の知見も活用しながら、脅威ハンティングなどの高度な対策にも注力していく計画だ。止められない社会インフラを担う企業として、あるべきセキュリティーの形とはどのようなものなのか。JERAの取り組みに引き続き注目したい。

　石川県金沢市と東京に本社を置く菱機工業は、空調設備や給排水設備の工事・メンテナンスを手がける、従業員数約400人の企業。そんな同社が突然ランサムウエアに感染し、甚大な被害を受けた。その実態と復旧対応への道程を当事者である小川 弘幹氏が語った。

　異変に気付いたのは2022年11月17日の木曜日。朝7時半に出社したところ、ファイルサーバーにアクセスできないという問い合わせが既に数件来ていたという。「すぐにサーバーやリモートデスクトップなどを確認したところ、一部の画面にLockBit 2.0による身代金要求の壁紙が表示され、大規模なサイバー攻撃を受けていることが確認できました」と小川氏は語る。

　Active Directory（AD）参加サーバーはほぼすべてが暗号化されており、USB接続のバックアップも被害を受けていた。クライアント端末は物理PCが12台、仮想デスクトップも約70台（全体の30％）が被害を受けた。幸いにも基幹系システムのバックアップは無事だったという。

　侵入は夜中の0時58分、当時利用していたSSL-VPN装置経由で行われた。ADの特権アカウントを奪取されてアンチマルウエアソフトが無効化された後、たった6時間でサーバーやクライアントにランサムウエアが展開され、暗号化によってファイルストレージ全体の2割強のデータを喪失することになった。

　被害当日、まずは緊急対応としてWebサイトへのお詫びの掲示、協力会社への連絡、石川県警と個人情報保護委員会への通報などを実施。週明け21日の月曜日が取引先への支払予定日であったことから、支払責任を最優先するためバックアップデータから基幹システムの一部復旧を果たし、18日午前までに支払データを金融機関に提出することに成功した。

　次いで基幹システムのリストアに着手。EDR導入によるネットワークの清浄化は時間を要すると判断。大会議室に専用ネットワークを仮設し、閉じられた環境下で基幹ERPをリストアする作業を18日から5日間にわたって行った。

　11月24日からは本復旧へ向けたステップを開始。全端末にEDRを導入し、MDRとの併用で24時間365日の監視体制を構築した。感染端末すべてをクリーンインストールしたほか、上書き不可のイミュータブルバックアップの導入で再攻撃耐性を確保。12月27日に社内ネットワークの利用を再開した。

　「侵入の起点となったSSL-VPNを捨て、境界を前提としないゼロトラストネットワークアクセス（ZTNA）に全面移行する決断をしました。ベンダーさんがメンテナンス用に使う保守機材も、当社で用意した端末に限定してセキュリティーを強固にしました」（小川氏）

　こうして各現場や外出先からも社内システムが利用できるようになった2023年3月17日が復旧完了日となった。攻撃を受けてから4カ月もの期間が過ぎていた。

　旧システムには被害の連鎖を許したウィークポイントが4つあり、それぞれに再発防止策を講じたという。1つ目はSSL-VPNによるリモートアクセス環境。ID/パスワードの漏えいで内部に侵入を許した反省からZTNAへ移行した。2つ目はADの管理者アカウントが奪取されたこと。そこでADの監視サービスを導入し、非常時のアカウント無効化対応を自動化した。

　3つ目はエンドポイントの拡散防止策がなかったこと。新たにEDRとMDRを導入し、夜間や休日でも不審端末をネットワークから遮断できる体制を整備した。4つ目はバックアップ。オンライン接続で暗号化の被害に遭ったため、イミュータブルバックアップに更新した上でランサムウエア検知オプションも追加した。

　人的コストや再発防止策、緊急予算などで2億円を超える被害が出たことを報告した小川氏は、「攻撃される前提での備えとエンドポイント管理の徹底が必要」と述べ、自社に被害が及んだ際のシナリオを全社で共有することの重要性を強調した。