出典：ソフォスホワイトペーパー「被害から学ぶサイバーセキュリティ」2022年8月
ランサムウェア攻撃の被害者になってしまった場合の対処方法について、被害から学んだ教訓をご紹介します。
今回引用したソフォスホワイトペーパー「被害から学ぶサイバーセキュリティ」には7つの教訓の一つとして紹介されています。
インシデントレスポンス（Incident response, IR）プランとは、組織がサイバー攻撃を受けた場合に適切な対応をするための計画です。インシデントレスポンスプランを事前に準備することは非常に重要です。サイバー攻撃を受けた際に必要なアクションについて、次の項目について検討し、計画を立てましょう。
インシデント対応計画はシンプルで実用的なものにします。そうすることでプレッシャーのかかりやすいインシデント発生時でも簡単に計画を実行することができ、チームは迅速な決断を下しやすくなります。
データの復旧作業や身代金の交渉を始める前に、被害状況を把握し、専門家に相談して下さい。インシデント対応 (IR) には専門的なスキルと知識が必要ですが、多くの組織は、インシデント対応ができる専門家を常駐させていません。
大規模な攻撃が発生した場合、インシデント対応依頼が殺到する可能性がります。インシデント対応をサポートしていただける会社は数社リストアップしておきましょう。
ランサムウェア攻撃の場合は、まずエンドポイントのセキュリティベンダーがインシデント対応サービスを提供しているかどうかを確認することをお勧めします。
インシデント対応サービスを提供しているエンドポイントセキュリティベンダーであれば、既にクライアントの状況を把握している可能性があります。
また、EDR/XDR などへのアクセス権限をもち、迅速に修復を行うことができます。インシデントが発生してた場合には、ベンダーから購入した製品の性能が不十分であったと感じるかもしれませんが、実際の原因は、人やプロセスであることが大半です。
以下についても対応を検討してください。
※2022年4月1日から、個人データの漏えい等が発生し、個人の権利利益を害するおそれがあるときは、個人情報保護委員会への報告及び本人への通知が義務化されています。
自社で可能な限りの隔離と封じ込めの対策を行ってください。
インシデント対応サービスの多くはインターネット経由で提供されるため、システムや接続をオンラインに戻すためのガイダンスを確認しておきます。ランサムウェアの痕跡を検出した時点で、攻撃は最終段階に入っています。再度の攻撃を防止するために、復旧作業を開始する前に攻撃の主体を排除することが重要です。
このレポートでは、Sophos Managed Detection and Response および Rapid Response の専門のシステムエンジニアである Rob Collins が、侵害受けた被害者から学んだ 7つの重要な教訓を紹介しています。
身代金を支払うことは、一見簡単な方法のようですが、攻撃者をさらに増長させることになります。500 ドルでシステムを復旧できた時代は遥か過去の話になりました。ソフォスの「ランサムウェアの現状 2022年版」によると、昨年、中規模組織が支払った身代金の平均額は 812,360 米ドルでした。攻撃者は、組織の重要なデータを探し出し、ダーク Web に流出させて販売することも多く、バックアップを削除した上でデータを暗号化します。ソフォスの調査によれば、身代金が支払われた後も、暗号化されたデータのうち復元されるのは 61% のみで、3 分の 1 以上はアクセスできないという結果が出ています。
※ レポートでは「ランサムウェアの現状2021年版」が引用されています。
身代金支払の合法性は、世界各地で異なることに留意してください。組織が活動している国での制限や制約について、常に最新の情報を得るようにしてください。
※ 2022年8月現在。日本ではランサムウェア攻撃者への支払いを禁じる法律はありません。
組織が情報漏えいの被害を受けると、復旧させることに注力してしまい、その過程で多くの情報を破棄してしまうことが多くあります。
しかし、それらの情報が根本原因の解明と情報漏えいの範囲を理解するのに役立つ場合もあります。
その代表例が「身代金メモ」です。侵害されたパソコンには、身代金を支払うまで 暗号化されたファイル にアクセスできないことを伝える、「身代金メモ」が表示されます。
身代金を支払ったり、攻撃者に連絡を取ったりするつもりがなくても、「身代金メモ」がフォレンジック調査で有用となる場合があります。このメモは、インシデント対応チームが直面している相手や、そのグループが使用している一般的な戦術を教えてくれます。また、全く新しいランサムウェアの種類や、攻撃者グループが使用する戦術、技術、手順 (TTP) が明らかになることもあります。
「身代金メモ」は通常、シンプルなテキストまたは HTML 文書であり、簡単に別の場所に保存することができます。
分析のために保管しておくべきもう一つの重要なアイテムは、ランサムウェアやマルウェアの検体です。
業界標準では、これらの検体は「virus 」または「infected」というパスワードを付けたアーカイブファイルに追加され、安全な場所に保管されます。
パスワードで保護した .zip は、必要に応じてアナリストに安全に渡すことができます。マルウェアをリバースエンジニアリングして研究することで、攻撃の手口を発見することができ、インシデント対応の担当者や調査員が被害状況を調べる場所を絞り込むのに役立ちます。
可能であれば、システムや仮想マシンのイメージも保存しておきましょう。万が一、法廷で使用する必要がある場合や、改ざんされていないことを証明する必要がある場合に備えて、すべてのフォレンジック証拠を暗号化して保存し、収集時に SHA256 を記録しておくとさらに良いでしょう。まれなケースではありますが、保険金請求について裁判で争うことになった場合や、政府機関に対して情報開示法に違反していないことを証明する必要がある場合には、このような対応が必要になることがあります。
多くの場合、ランサムウェアの攻撃の背後には、複数のグループが存在します。
あるグループが、最初に組織にアクセスするための情報を獲得します。このグループはそのアクセス情報を別のグループに売却します。アクセス情報を購入したグループは、さらに別のグループのサービスとしてのランサムウェアを使用して攻撃を実行します。各グループやグループメンバーは、いくつもの国に分散して存在しています。侵入者がどのグループにいるのかを特定することは難しく、もし出来たとしても侵入後の混乱の中ではあまり役に立たないでしょう。
通常、身代金メモから得られる情報や、戦術・技術・手順 (TTP) の共通点から、経験豊富なインシデント対応チームは自分たちが何に直面しているのか、誰に直面しているのかを迅速に把握することができます。
「ハックバック」と呼ばれる報復行動は、決して行わないようにしましょう。違法行為に当たる恐れがあるだけでなく、状況を悪化させかねません。
※ 日本では「ハックバック」は、不正アクセス禁止法で規制されています。
サイバー攻撃によりインシデントが発生した場合、保険会社の担当者は、まず外部の法律顧問を雇い、社内外のリソースを整理し、インシデントの解決までの活動を調整するよう指示します。ランサムウェア攻撃の場合、これらのサービス活動には通常次のようなものが含まれます。
サイバー保険の契約をする際には、大規模なサイバー攻撃を受けた場合に、どのような対応になるのかを前もって話し合っておくことをお勧めします。
攻撃によって、コミュニケーションは妨害されます。メールシステムはオフラインになり、電子化された保険契約や IR プラン（インシデント対応計画）が暗号化され、攻撃者が通信を監視している可能性があります。このような事態に備えて、インスタントメッセージングアプリケーションなどの代替コミュニケーション手段を用意しておき、チームや関係者と別チャンネルでコミュニケーションを取れるようにしておきましょう。保険の詳細、IRプラン、IR会社の連絡先などは、プリントをして保管しておく必要があります。
教育・訓練は、ランサムウェアの被害を防ぐ最後の砦です。継続して教育・訓練を行うことで、組織内のセキュリティ意識の高まりを維持することができます。
標的型攻撃メールは、システム的に完全に防ぐことが困難なことから、従業員が不正メールに騙されないためのリテラシー向上や、不用意にメールを開封した際の対処トレーニングの重要性が高まっています。
