編集部
代表的なランサムウェア攻撃パターン
WannaCryをはじめ、実際に企業を襲った事例から見る典型的な手口
ランサムウェア攻撃には、いくつかの典型的なパターンがあります。 「怪しいメールを開いたら感染する」というイメージを持つ人も多いですが、実際の攻撃はそれだけではありません。 未修正の脆弱性を悪用して一気に拡散する攻撃、VPNアカウントから侵入する攻撃、IT管理ツールを悪用して取引先まで巻き込む攻撃、データを盗んで公開を脅す攻撃など、手口は多様化しています。 ここでは、WannaCryをはじめ、実際に企業や組織を襲った事例をもとに、代表的な攻撃パターンを紹介します。
1. 脆弱性を悪用して一気に広がるパターン
代表例：WannaCry
代表的な事例が、2017年に世界的に拡大したWannaCryです。 WannaCryは、WindowsのSMB v1の脆弱性を悪用して感染を広げました。
この攻撃の特徴は、1台の端末が感染すると、ネットワーク内の脆弱な端末へ自動的に広がる点です。 つまり、利用者が何度も不審なファイルを開かなくても、未更新の端末が残っているだけで被害が拡大します。 イギリスのNHS社では、WannaCryによって医療機関が大きな影響を受けました。
このパターンから分かる教訓は明確です。
- OSやソフトウェアの更新を怠ると、一気に被害が広がる
- 古い端末やサポート切れOSが残っていると危険
- ネットワーク内の分離が不十分だと全社被害になりやすい
- パッチ適用と不要な機能の無効化が重要
WannaCry型の攻撃は、「1台の感染」ではなく「組織内への連鎖感染」が問題になります。
2. VPN・リモートアクセスから侵入するパターン
代表例：Colonial Pipeline
次に多いのが、VPNやリモートアクセス環境から侵入するパターンです。 2021年、米国のColonial Pipelineはランサムウェア攻撃を受け、燃料供給に大きな影響が出ました。 CISAは、この攻撃が米国東海岸のガソリンスタンドに長い行列を生み、社会全体が重要インフラのサイバー脆弱性を現実の問題として認識するきっかけになったと説明しています。(CISA)
この事例では、盗まれたVPNアカウントが侵入口になったと報じられています。
米国上院の公聴会資料でも、攻撃者が侵害されたVPNアカウントのパスワードを利用し、そのアカウントには多要素認証が設定されていなかったとされています。(GovInfo)
このパターンでは、攻撃者はマルウェアを送り込む前に、正規の利用者のようにログインします。そのため、単純なウイルス対策だけでは気づきにくい点が特徴です。
よくある弱点は次のとおりです。
- VPNに多要素認証がない
- 退職者や使っていないアカウントが残っている
- パスワードを使い回している
- VPN機器の脆弱性が未修正
- 深夜・海外からのログインを監視していない
このパターンの教訓は、外部から社内に入る入口を最優先で守ることです。 特に、VPN、リモートデスクトップ、クラウド管理画面、メールアカウントには、多要素認証を導入する必要があります。また、使っていないアカウントの削除、ログイン履歴の監視、パスワードの使い回し禁止も重要です。
3. サプライチェーンを悪用して広がるパターン
代表例：Kaseya VSA
ランサムウェア攻撃は、直接企業を狙うだけではありません。取引先やIT管理ツールを経由して、多数の企業へ一気に広がることがあります。 代表例が、2021年のKaseya VSAへの攻撃です。 Kaseya VSAは、IT管理やリモート管理に使われるソフトウェアです。
この攻撃の怖さは、1社のシステムが侵害されることで、そのサービスを利用している多くの企業に被害が広がる点です。 特にIT管理ツールは、複数の端末やサーバーへ一括で操作できる権限を持っています。そのため、攻撃者に悪用されると、正規の管理機能を使ってランサムウェアを配布される危険があります。
このパターンの教訓は、委託先や管理ツールも自社リスクの一部として見ることです。
- IT管理ツールの権限を最小化する
- 管理ツールへの多要素認証を徹底する
- 委託先のセキュリティ体制を確認する
- 外部ベンダー用アカウントを棚卸しする
- 管理ツールの操作ログを監視する
- 緊急時に外部接続を止める手順を決めておく
「自社は攻撃されていない」場合でも、委託先や利用ツール経由で影響を受ける可能性があります。
4. 業務停止を狙うパターン
代表例：JBS Foods
ランサムウェア攻撃では、攻撃者は「止まると困る業務」を狙います。なぜなら、業務停止の影響が大きいほど、企業が身代金支払いを検討しやすくなるからです。 代表例が、食肉加工大手JBS Foodsへの攻撃です。
この事例から分かるのは、ランサムウェアが単なるIT被害ではなく、食品供給や物流、生産活動にも影響するということです。 製造業、物流、医療、食品、インフラ、ITサービスなどは、業務停止の影響が大きいため、攻撃者に狙われやすい傾向があります。
このパターンでは、攻撃者は次のような業務を止めようとします。
- 生産管理
- 出荷管理
- 受発注
- 在庫管理
- 品質管理
- 請求
- 決済
- 顧客対応
教訓は、重要業務と重要システムを事前に洗い出しておくことです。 どのシステムが止まると売上・納期・供給責任に影響するのか、どの業務を最優先で復旧するのかを決めておかなければ、被害発生時に経営判断が遅れます。
5. データを盗んでから脅すパターン
代表例：二重恐喝型ランサムウェア
近年、特に増えているのが「二重恐喝型」のランサムウェアです。 これは、データを暗号化するだけでなく、事前に機密情報を盗み出し、「支払わなければ公開する」と脅す手口です。
JPCERT/CCは、侵入型ランサムウェア攻撃では、被害組織のファイルが暗号化されるだけでなく、自組織から窃取されたとみられるファイルの暴露を脅迫されるケースがあると説明しています。(CISA)
このパターンでは、バックアップがあっても安心できません。なぜなら、データを復元できたとしても、すでに情報が盗まれていれば、情報漏えい対応が必要になるからです。
狙われやすい情報は次のとおりです。
- 顧客情報
- 取引先情報
- 契約書
- 見積書
- 設計図
- ソースコード
- 人事・給与情報
- 経営資料
- 社内メール
このパターンの教訓は、暗号化対策だけでなく、情報持ち出し対策も必要だということです。
- 大量データの外部送信を監視する
- 重要ファイルへのアクセス権限を絞る
- 顧客情報や機密情報を暗号化・分類する
- 不審な圧縮ファイル作成や外部通信を検知する
- 情報漏えい時の報告・通知手順を決める
ランサムウェア対策は、「バックアップがあるから大丈夫」ではありません。情報を盗まれないための対策も必要です。
6. 破壊目的に近いパターン
代表例：NotPetya
ランサムウェアの中には、金銭目的に見えて、実際には復旧が困難な破壊的攻撃に近いものもあります。 代表例が、2017年のNotPetyaです。
このパターンの怖さは、「身代金を支払えば戻る」という前提が成り立たない点です。 攻撃者の目的が金銭ではなく混乱や破壊である場合、復号鍵が提供されない、あるいは技術的に復旧できない可能性があります。
このパターンの教訓は、身代金交渉に頼らない復旧体制です。
- オフラインバックアップを持つ
- バックアップからの復元テストを行う
- 重要システムの再構築手順を用意する
- 代替業務手順を準備する
- ネットワークを分離して被害範囲を限定する
破壊型に近い攻撃では、「払えば戻る」ではなく、「自力で戻せるか」が重要になります。
7. 攻撃パターンを整理すると
代表的なランサムウェア攻撃は、次のように整理できます。
| 攻撃パターン | 代表例 | 主な入口・特徴 | 主な対策 |
|---|---|---|---|
| 脆弱性悪用型 | WannaCry | 未更新OS・SMB脆弱性から自動拡散 | パッチ適用、SMBv1無効化、ネットワーク分離 |
| VPN侵入型 | Colonial Pipeline | 盗まれたVPN認証情報で侵入 | MFA、不要アカウント削除、ログ監視 |
| サプライチェーン型 | Kaseya VSA | IT管理ツールや委託先経由で拡散 | 委託先管理、管理ツール保護、権限最小化 |
| 業務停止型 | JBS Foods | 生産・物流など重要業務を停止 | BCP、復旧優先順位、代替手順 |
| 二重恐喝型 | 近年の侵入型攻撃 | 暗号化前にデータを盗む | 情報持ち出し監視、権限管理、漏えい対応 |
| 破壊型 | NotPetya | 復旧困難な破壊的挙動 | オフラインバックアップ、再構築手順 |
まとめ：攻撃パターンを知ることが、対策の第一歩
ランサムウェア攻撃は、単一の手口ではありません。
WannaCryのように脆弱性を悪用して一気に広がる攻撃もあれば、Colonial PipelineのようにVPNアカウントから侵入する攻撃、Kaseyaのようにサプライチェーンを悪用する攻撃、JBSのように業務停止の影響を狙う攻撃もあります。
共通しているのは、攻撃者が「止まると困る部分」「守りが弱い部分」「広がりやすい部分」を狙うという点です。
そのため、企業が取るべき対策は次の3つです。
- 入口を守る
VPN、多要素認証、パッチ適用、メール対策を徹底する。 - 内部で広げない
アクセス権限、ネットワーク分離、ログ監視、EDRを整備する。 - 止まっても戻せる
バックアップ、復元テスト、BCP、サイバー保険を準備する。
代表的な攻撃パターンを理解することで、自社のどこが狙われやすいのか、どの対策を優先すべきかが見えてきます。
ランサムウェア対策は、過去の事例から学び、同じ失敗を繰り返さないための取り組みです。
