ランサムウェア被害はなぜ減らないのか ― 「防ぐ」から「被害を最小化する」への発想転換

日頃ニュースで報道され、いまだ落ち着きをみせないランサムウェア被害ですが、うちは狙われるほどの規模ではないとお考えの企業様もいらっしゃるのではないでしょうか。

実はニュースにならないだけで、実際には中小企業こそ標的になりやすいというデータもあります。本記事では、なぜ入口対策だけでは被害を防ぎきれないのか、被害を最小限に抑えるためにどのような視点転換が必要なのかを解説します。

ランサムウェアとは、感染した端末やサーバーのデータを暗号化して使用不能にし、復号の対価として金銭を要求する不正プログラムです。近年はデータ窃取と組み合わせて「支払わなければ公開する」と脅す二重恐喝が主流となり、暗号化を行わずデータ窃取だけで要求する「ノーウェアランサム」も確認されるなど、手口は年々多様化しています。

背景には「RaaS（Ransomware as a Service）」という分業体制の広がりがあります。開発・運営者がツールを提供し攻撃実行者が身代金の一部を受け取る仕組みで、専門知識がなくても攻撃を実行できるようになったことが被害の裾野を広げています。

同調査では、VPN機器やリモートデスクトップ用の機器からの侵入が、感染経路全体の8割以上を占めることも明らかになっています。パスワードの使い回しや初期設定のままの運用、パッチ未適用の脆弱性などが悪用されており、ファイアウォールやアンチウイルスソフトによる境界防御・入口対策は今なお対策の基本です。

しかし、ランサムウェアの侵入経路はVPNのみではありません。

正規の管理ツールを悪用して検知を回避する手口や、休日を狙って短時間で暗号化を完了させる手口など、攻撃は日々巧妙化しています。入口対策の強化は引き続き重要ですが、それだけで侵入を完全に防ぐことはコスト的にも技術的にも限界があります。

こうした背景から、セキュリティ対策の考え方は「防ぐ」から「侵入されることを前提に、被害をいかに最小化するか」という考え方へと移行しています。侵入後にいち早く異常を検知し、被害範囲を封じ込め、迅速に復旧する仕組みを持つかどうかが、その後の明暗を分けます。

警察庁の被害防止対策でも、EDR（Endpoint Detection and Response：エンドポイントの不審な挙動を検知・対応する仕組み）の導入検討が呼びかけられています。EDRは従来のアンチウイルスでは見逃されやすい「侵入後の不審な挙動」を捉え、被害が拡大する前に対処できる点が特徴です。

ただし、EDRを導入するだけでは十分ではありません。アラートを24時間365日体制で監視し、脅威かどうかを判断して初動対応を行う運用体制が伴って初めて効果を発揮します。専任担当者が1〜2名の企業にとって自社単独での常時監視は容易ではなく、監視・分析・初動対応を専門チームに委ねる仕組みとの組み合わせが現実的な選択肢となります。

ここでは、被害の早期検知・封じ込めに焦点をあてて対策できるポイントを整理します。

ランサムウェアがバックアップデータまで暗号化する被害も多数確認されています。定期的な取得に加え、ネットワークから切り離して保管するなどしてバックアップ環境を保護してください。

一般ユーザーへの管理者権限付与を避け、侵入時の被害範囲を限定してください。そうすることで被害を最小限にすることが可能です。

侵入経路の特定や再発防止のため、ログはオフライン環境などで適切に保管してください。

入口対策に加え、EDRなど侵入後の異常を検知・対応できる仕組みを組み合わせてください。

業務停止時の対応フローや連絡体制をあらかじめ整理しておくことで、有事の混乱を抑えられます。

ランサムウェア被害は中小企業でも依然として高水準で発生しており、入口対策だけでは防ぐのがむずかしくなっている現状があります。
「防ぐこと」に加えて「被害を最小化する」視点を取り入れることが、これからのセキュリティ対策の鍵となっていきます。

EDRと専門チームによる運用サービスを組み合わせることで、限られた人員体制でも有効な備えが可能になります。貴社の現状に合った対策について、お気軽にご相談ください。

本記事はサイバーセキュリティ対策に関する一般的な情報提供を目的としたものです。自社の規模・環境を考慮した上で、最適な製品をご選定ください。