ランサムウェア
Ransomware
ランサムウェアは、ファイルの暗号化や端末のロックなどで利用を妨げ、解除と引き換えに身代金を要求するマルウェアです。情報を盗み、公開すると脅す攻撃を組み合わせる場合もあります。支払いで復旧が保証されるわけではありません。
🐾 猫で例えると？
茶トラの上に重なる、大きなサメのぬいぐるみ。ここで茶トラを、大切なデータに見立てます。もしサメから「元に戻してほしければ代金を払って」と要求されたら、「大切なファイルが勝手に暗号化され、人質に取られてしまう」ランサムウェアの被害を想像しやすくなります。
💻 IT現場における「ランサムウェア」とは？
感染した端末が書き込める共有フォルダやバックアップも被害対象になり得ます。ただし広がり方は権限やネットワーク構成によるため、アクセス権の分離と復元可能なバックアップを組み合わせます。
暗号化に加えて情報を盗み、公開すると脅す「二重脅迫」もあります。その場合、ファイルをバックアップから戻せても、漏洩への対応は別に必要です。
⚠️ 被害が疑われるときの考え方
適切に実装された暗号化は鍵なしで戻すことが難しい一方、種類によっては公的機関等が案内する復号ツールを利用できる場合もあります。復旧可能性は検体やバックアップによって異なり、「必ず戻せる」「絶対に戻せない」と一律には判断できません。
# 利用者・管理者向けの初動の整理
1. 不審な暗号化や身代金要求を発見
2. 組織の手順に沿って通信を隔離し、担当者へ連絡
3. 発見時刻・画面・ログ等を保全
4. 影響範囲と復旧に使えるバックアップを確認
5. 侵入経路への対処と、安全な環境での復旧を計画支払いで復旧や盗まれた情報の削除が保証されるわけではありません。慌ててファイルを削除したり端末を初期化したりせず、専門担当者と調査・復旧を進めます。隔離できない場合を含め、電源の扱いも事前の対応手順で判断します。
🛠️ ランサムウェアから身を守るためのポイント
「感染してからどうするか」ではなく、「感染させない」「感染しても戻せる」仕組みづくりが重要です。
- 3-2-1とオフライン保管を区別する： 3-2-1は一般に、3つのコピー・2種類の媒体・1つを別拠点に置く考え方です。別拠点でも常時書き込めるなら被害を受けるため、オフラインや変更不可のコピー、復元テストも検討します。
- 脆弱性の放置をしない： OSやVPN機器などのアップデートを怠らず、セキュリティの穴（侵入口）を塞いでおくことが基本です。
- 検知と対応を組み合わせる： EDR等は不審な挙動の発見や調査に役立ちますが、未知の攻撃をすべて止める保証はありません。アラートを誰が確認し、どう隔離するかまで決めます。
サメのぬいぐるみに覆われた猫の例えでは、使えなくなる状況を考えましたが、ランサムウェアへの支払いで復旧できる保証はありません。平時には、攻撃された端末から書き換えられないバックアップを用意し、復元も試しておきます。被害が疑われたら、慌てて初期化せず、担当者と隔離・証拠保全・復旧の順序を確認しましょう。