ランサムウェアとは？手口と対策の基本をわかりやすく解説

ランサムウェアの意味

警察庁は、ランサムウェアを次のように説明しています。端末などのデータを暗号化して使えない状態にし、元に戻す対価としてお金や暗号資産を求める不正プログラムです。

暗号化されるのは、感染したパソコンの中のファイルだけとは限りません。総務省は、そのパソコンからアクセスできるネットワーク上のファイルも対象になると説明しています。

暗号化と「二重恐喝」

ランサムウェアの基本の手口は、データを暗号化して業務を止め、元に戻す代わりにお金を求めるものです。

警察庁によると、いまは暗号化に加えて、先にデータを盗む手口が多く見られます。「払わなければ公開する」と迫る二重恐喝（にじゅうきょうかつ）が、被害の多くを占めています。盗まれた情報が、リークサイト（盗んだ情報を載せるサイト）に掲載された例も多く確認されています。

IPAは、ほかの脅しを組み合わせる例も紹介しています。たとえば、DDoS攻撃（大量の通信でサービスを止める攻撃）やシステムの破壊を仕掛けると脅すものです。感染したことを取引先などの関係者に知らせると脅す例もあります。暗号化をせず、盗んだ情報をもとに脅す「ノーウェアランサム」も確認されています。

入り口として使われる脆弱性

警察庁によると、いまはインターネットに出ている部分から侵入する手口が多くを占めています。代表的なのが、VPN機器（社外から社内ネットワークにつなぐための機器）です。

そのとき悪用されるのは、まだ直していない脆弱性、漏れたIDやパスワード、推測しやすいパスワード、設定の不備などです。

IPAも、インターネットにつながっている機器の脆弱性が悪用されると説明しています。ほかに、盗んだIDやパスワードを使う場合や、意図せず外に公開されたリモートデスクトップの入り口から侵入される場合もあります。メールの添付ファイルや、改ざんされたWebサイトから感染することもあります。

対策の基本

警察庁は、VPN機器やOSの更新ファイルやセキュリティパッチが出たら、速やかに適用するよう勧めています。米国CISAも、インターネットに公開しているサーバーの更新、特に実際に悪用が確認された脆弱性の更新を優先するよう勧めています。

パスワードは長く推測されにくいものにし、ほかのサービスと使い回さないことが大切です。多要素認証（パスワードに加えて別の確認をする仕組み）も勧められています。アカウントの権限は、必要な範囲だけにします。

バックアップも重要です。ランサムウェアは、バックアップまで暗号化することがあります。警察庁は、こまめに取り、ネットワークから切り離して保存することなどを勧めています。CISAは、バックアップから戻せるかを定期的に試すことも勧めています。

このほか、不審なメールの添付ファイルやリンクを安易に開かないこと、ログ（記録）を日ごろから残しておくことも挙げられています。

被害にあったら

警察庁は、感染したパソコンなどをLANケーブルを抜く、無線を切るなどしてネットワークから切り離すよう勧めています。調査に必要な記録が消えることがあるため、電源は落とさないよう呼びかけています。

そのうえで、最寄りの警察署やサイバー犯罪相談窓口に通報・相談します。

身代金について、警察庁は、犯罪グループの活動資金になるおそれがあり、払っても元に戻るとは限らないと説明しています。IPAも、原則として身代金を払わずに復旧するよう勧めています。

このサイトでの見方

このサイトの記事は、米国CISAのKEV（実際に悪用が確認された脆弱性の一覧）に載った脆弱性を解説しています。記事の「ランサムウェアでの悪用」の欄は、KEVの項目をそのまま日本語にしたものです。

KEVで「Known」となっているものは、ランサムウェアの攻撃に使われたことが分かっている脆弱性です。このサイトでは「悪用が確認されている」と表示します。

「Unknown」は、ランサムウェアに使われたという確認をCISAが得ていない、という意味です。このサイトでは「不明（確認されていない）」と表示します。「使われていない」「安全」という意味ではない点に注意してください。

「悪用が確認されている」と出ている脆弱性は、ランサムウェアの入り口になりうるものです。使っている製品が当てはまる場合は、記事の公式情報を確かめ、早めに更新しましょう。