「ランサムウェア」と「二重脅迫」。ニュースでもよく聞く言葉ですが、「ファイルが開けなくなるウイルス」という程度の理解で止まっている人も多いのではないでしょうか。
この記事では、ランサムウェアが何をするのか・二重脅迫で何が変わるのか・どう備えるのかを整理します。IPA（独立行政法人 情報処理推進機構）、JPCERT/CC、警察庁の公開資料で確認した内容にもとづいています。
ランサムウェアは「暗号化して使えなくする」攻撃です。二重脅迫はそこに「盗んだデータを公開する」という脅しを足したもの。前者は主に可用性、後者は機密性にも関わる、と分けて考えると整理しやすくなります。
ランサムウェアとは何か
ランサムウェア（Ransomware）は、身代金を意味する「ランサム（Ransom）」と、ソフトウェアを組み合わせた造語です。IPAの特設ページでは、感染したパソコンに制限をかけ、その解除と引き換えに金銭を要求する不正プログラムと説明されています。警察庁も、端末内のデータを暗号化して使用できなくし、復号の対価として金銭や暗号資産を要求する不正プログラムとしています。
ほかのマルウェアとの大きな違いは、被害者に気づかせることです。情報を盗むタイプは気づかれないように動きますが、ランサムウェアは脅迫文を出して支払いを迫るため、わざと気づかせます。
二重脅迫とは：暗号化の前にデータを盗む
二重脅迫（double extortion、二重恐喝とも）は、IPAの資料で次のように説明されています。ランサムウェアで暗号化したデータを復旧するための身代金要求に加えて、暗号化する前にデータを盗んでおき、支払わなければデータを公開するなどと二重に脅す攻撃方法です。
IPAは、この方法が2019年末ごろから確認されているとしています。従来、企業はバックアップを厳重に取り、オフラインで保存するなどの防御を進めてきました。バックアップがあれば、暗号化されても自力で復旧でき、身代金を払う理由が薄れます。IPAはこの防御への対抗策として、データの窃取と公開による脅迫が取り入れられたものと考えられる、と整理しています。
暗号化だけの脅迫と二重脅迫の違い
公開の仕方も圧力になる
IPAの資料によると、盗まれたデータは、攻撃者が用意したリークサイト（データ公開用のWebサイト）で公開されます。一度にすべて公開せず、一部を先に出して、日数がたつごとに公開範囲を広げると脅すこともあります。これは、データを盗んだ事実が「はったり」ではないと示し、支払いへの圧力を強めるための手口だと説明されています。
警察庁の資料では、暗号化に加えてデータを盗み、払わなければ公開すると脅す手口が被害の多くを占めるとされています。また、データを暗号化せずに盗むだけで金銭を要求するノーウェアランサムも確認されているとあります。暗号化がなくても、脅迫は成り立つということです。
攻撃の流れ：入口はメールだけではない
IPAの資料では、新しいタイプの攻撃を次の5つの段階に整理しています。
順番が大切です。暗号化より前に、データはすでに持ち出されている可能性があります。
侵入口になりやすいもの
かつては、不特定多数にばらまかれたメールの添付ファイルを開いて感染する形が一般的でした。IPAの資料と警察庁の資料では、近年の侵入口として次のものが挙げられています。
- リモートデスクトップサービス（遠隔で社内の端末を操作する仕組み）の認証やアクセス制御の弱さ
- VPN装置（社外から社内ネットワークへ安全につなぐ装置）の、修正されていない脆弱性
- 漏えいした認証情報や、簡単なパスワード、設定の不備
- 不正なメールで遠隔操作ウイルスに感染させ、足がかりにする手口
メールが入口になることもありますが、インターネットに公開された機器の弱点が中心になっている、という点が大切です。
RaaS：攻撃が分業されている
警察庁の資料では、**RaaS（Ransomware as a Service）**も紹介されています。開発グループが、攻撃を行う者にランサムウェアやリークサイトを提供し、身代金の一部を受け取る仕組みです。技術に詳しくない人でも攻撃を実行できるため、攻撃者の裾野が広がっている、と説明されています。
身代金は払うべきか
IPAの資料では、一般的に身代金は支払うべきではないとされ、理由として次の3点が挙げられています。
- 身代金が攻撃者の収入源になる
- 攻撃者が同じ犯罪を続ける動機になりうる
- データが公開されない保証がなく、さらに金銭を要求される可能性もある
JPCERT/CCのFAQも、支払いを選ぶべきではないとしています。ファイルが復元される保証がないこと、侵入の原因や他の被害が未解消のままであること、支払い後も別の攻撃や要求を受けるおそれがあることが理由です。攻撃者との交渉も通常は勧められず、判断に迷うときは専門機関や警察に相談するよう案内されています。
さらにIPAは、リークサイトを止めたり、公開されたデータを回収したりする手段は現時点でなく、身代金を払っても今後いっさいリークされない保証はない、と述べています。
「払えば解決する」とは限りません。だからこそ、払わずに済む準備を、被害に遭う前にしておくことが大切です。
対策：入口・バックアップ・漏えい・対応方針
IPAの資料に挙げられた対策を、4つに整理します。
バックアップは「あるだけ」では足りない
IPAの資料は、ランサムウェアの影響が、感染した端末だけでなく、そこからアクセスできる別の端末やクラウド上のデータにも及びうると指摘しています。バックアップは普段つながったままにしない、複数用意する、そして実際に戻せるか試しておくことが重要です。
一方で、バックアップは復旧には役立っても、すでに盗まれたデータを取り戻すことはできません。復旧のための対策（バックアップ）と、漏えいへの対策（データの分離や暗号化・権限管理など）は、別に考える必要があります。
被害に遭ったときの最初の動き
JPCERT/CCのFAQでは、被害が確認された、または疑われるシステムは、切り離せるものからすぐにネットワークから隔離するよう案内されています。無事なバックアップは、安全が確認できるまで切り離して退避させます。自動バックアップの仕組みによっては、有効なバックアップが上書きされて消えるおそれがあるためです。
IPAの資料も、影響範囲の特定、封じ込め、根絶と復旧という手順を進め、経営層・広報・法務と連携すること、必要に応じて外部の専門ベンダを活用することを挙げています。
試験での考え方
情報セキュリティマネジメント試験では、用語の意味を問う形だけでなく、状況から適切な対策を選ぶ形でも問われます。次の整理で考えると、選択肢を絞りやすくなります。
- 「ファイルを暗号化し、復号と引き換えに金銭を要求する」と書かれていれば、ランサムウェア
- 「暗号化の前にデータを盗み、公開すると脅す」と書かれていれば、二重脅迫
- バックアップがあっても、公開の脅しは防げない（機密性の問題が残る）
- 入口対策は、機器の修正プログラム適用と認証の強化。VPN装置やリモートデスクトップは典型的な入口
- 身代金は払わない前提で、払わずに戻せる準備をする
「脅威」と「脆弱性」の使い分けも大切です。修正されていないVPN装置は脆弱性、そこを突くランサムウェアは脅威にあたります。区別があいまいな人は、脅威・脆弱性・リスクの違いの記事で確認してください。ランサムウェアを可用性・機密性の観点から見直したいときは、機密性・完全性・可用性の違いも役立ちます。復旧の目標値はRPOとRTOの違いで整理しています。
講座での学び方
ランサムウェアは、感染経路・二重脅迫・対策をセットで整理すると記憶に残りやすい論点です。情報セキュリティマネジメント講座では、ランサムウェアと二重脅迫の授業で、手口の流れと対策を順に学べます。料金は月額 817円〜（年額プラン9,800円・一括払いの月あたり）です。月額プランは2,980円です。最新の料金は講座ページで確認してください。
よくある質問
Q. バックアップがあれば、二重脅迫も怖くありませんか？
バックアップは、暗号化されたデータの復旧には役立ちます。ただし、すでに盗まれたデータは取り戻せないため、公開の脅しは残ります。データの分離や、盗まれても被害を限定する対策もあわせて必要です。
Q. ランサムウェアの主な侵入口はメールですか？
IPAや警察庁の資料では、VPN装置などインターネットに公開された機器の脆弱性や、弱い認証情報を悪用する手口が中心とされています。メールも依然として脅威のひとつです。
Q. 身代金を払えば、データは戻りますか？
戻る保証はありません。JPCERT/CCは、ファイルが復元される保証がないことや、支払い後も別の要求を受けるおそれがあることから、支払いを選ぶべきではないとしています。
Q. 暗号化されなければ、ランサムウェアの被害ではありませんか？
警察庁の資料では、データを暗号化せずに盗み、対価を要求するノーウェアランサムも確認されています。暗号化がなくても、脅迫による被害は起こりえます。
まとめ
- ランサムウェアは、データを暗号化して使えなくし、金銭を要求する。主に可用性が損なわれる
- 二重脅迫は、暗号化の前にデータを盗み、公開を理由に重ねて脅す。バックアップだけでは防げない
- 中心的な侵入口は、VPN装置・リモートデスクトップなどの公開機器と弱い認証。修正と認証強化が先
- 身代金は復旧も非公開も保証しない。払わずに戻せる準備と、対応方針の事前整備が大切
試験の出題範囲や用語は、IPAの最新の公式情報で確認してください。
