ランサムウェア攻撃は、データ暗号化と「復号したければ身代金を支払え」という攻撃者のメッセージによって発覚することが少なくありません。しかし暗号化は攻撃の最終段階であり、前段階として窃取したデータを外部サーバーに送信していることが一般的です。

適切なバックアップを実施することで、本番システムのデータが暗号化されても最小限のダウンタイムでの復旧が可能です。また身代金を支払ってもデータの回復は保証されず、その支払いが犯罪組織の糧になることから、警察庁や経済産業省は身代金を支払わないことを強く推奨しています。しかし攻撃者の脅迫の手口は、暗号化だけではありません。その一つが、盗み出したデータをダークウェブにあるリークサイトで公開するという脅しです。機密データやクレジットカード情報が売買されているといわれるリークサイトでの公開は、顧客情報や社内機密、従業員の個人情報などの拡散に直結するだけに、その被害は深刻です。身代金支払いを拒む企業に対し、さまざまな揺さぶりを仕掛けることを「多重エクストーション（Extortion＝恐喝・脅迫）」と呼びます。

多重エクストーションは現在、下記の4段階が確認されています。

第1段階：暗号化
第2段階：リークサイトへの情報公開（二重脅迫＝ダブル・エクストーション）
第3段階：DDoS攻撃（三重脅迫＝トリプル・エクストーション）
第4段階：個人・取引先への直接脅迫（四重脅迫＝クワドラブル・エクストーション）

第1、2段階による脅迫に応じなかった相手に対し行われるのが第3段階：DDoS攻撃です。手作業によって事業継続を図りつつシステム復旧に全力を注ぐ企業にとって、さらなる対応リソースを奪うDDoS攻撃の揺さぶりは、平時とは比較にならない甚大なダメージをもたらします。それでも支払いに応じない企業に対して攻撃者が行うのが、第4段階：個人・取引先への直接脅迫です。では近年特に目立ってきた個人を対象にした脅迫とはどのようなものなのでしょうか。

まず挙げられるのが、窃取データに記載された経営層への脅迫です。メールアドレスや携帯電話番号が使われる脅迫では、家族などの個人情報を持つことをほのめかされることも少なくないといいます。同様に、個人情報を入手した従業員への直接脅迫や機密情報を人質とした取引先企業、さらには個人顧客への脅迫も報告されています。なお、それでも応じない相手には、個人情報保護委員会（PPC）や金融庁のような監督官庁に対し、個人情報の漏えいを攻撃者側自らが通報して制裁金を科させようとする、悪質な揺さぶり・嫌がらせの手口も確認されています。脅迫ターゲットの拡大は、身代金支払いへの圧力を高めるだけでなく、企業ブランドや信用の著しい低下にも直結します。またSCS評価制度によるサプライチェーン強化が急務の課題として浮上する中、取引先からの信頼を失うことにもつながります。

攻撃者はフィッシングメールやネットワーク機器等の既知の脆弱性、認証情報の悪用を通し、まずは1台の端末への侵入を試みます。侵入に成功し、足場を確保したランサムウェアは接続機器のポートスキャンを通し、より上位の権限を奪い取っていきます。一連のプロセスはラテラルムーブメント（横展開）と呼ばれます。
データに到達したランサムウェアが暗号化に先立って実行するのがクラウドストレージへのアップロードです。送信は一般的なツールを使って行われ、数TB規模のデータでも数時間で送信が完了するため、漏えいをリアルタイムで確認し、食い止めるのは難しいのが実情です。

暗号化の手口も高速化と潜在化が進んでいます。近年目立つのが、ファイルの一部だけを暗号化する手法です。ファイル構造が壊れてしまうと残りが平文でも復元は困難になるため、ファイル全体を暗号化するのと同様の効果が得られます。部分暗号化は処理の大幅な高速化に加え、暗号化の検知を巧妙に回避する特徴を持ち、EDRによる異常検知やリアルタイムでの対処を困難にさせています。

盗み取ったデータを盾に、手を変え品を変えて身代金の支払いを迫るというのが多重エクストーションの本質です。サイバー犯罪がビジネスとして成立した今、攻撃者は利益の最大化のため以前は考えられなかったことまで手を伸ばし始めています。その対策には、今後さらに力を入れることが求められています。

機器の脆弱性や人間の判断の隙を突いて行われるランサムウェアの侵入を、完全に防ぐことは困難です。しかしランサムウェアの挙動をいち早く検知し、被害を最小限に留めることであれば可能です。ラテラルムーブメント検知と感染端末・ネットワーク隔離を効率的に行う上で注目したいのが、SubGateのセキュリティスイッチ製品です。有害トラフィックを自動検知し遮断することでランサムウェアのラテラルムーブメントを強固に抑止・遮断できます。



ライター：滝本一帆