公開日 /-create_datetime-/
近年、ITベンダーやMSP(ITサービス提供業者)に対するサイバー攻撃が急増しています。世界的にも企業や組織に対するサイバー攻撃は増加していますが、中でも急増しているのがランサムウェアによる攻撃です。マルウェアの一種に分類されるランサムウェアの一番の特徴は「身代金」を要求すること。今回はランサムウェアの特徴から、実際に起きた被害、セキュリティ対策を最優先するべき理由などについて解説していきます。
GoogleやSalesforceといった代表的なマーケットリーダーと共同でクラウドビジネスを展開する株式会社インターナショナルシステムリサーチ(以下、ISR社)が発表したサイバー攻撃の実態調査によれば、2021年1月から8月にかけて公表された日本におけるサイバー攻撃は161件。そのうち「ペイメントアプリの改ざん」が16%、「不正ログイン」が13.5%、「ランサムウェア」が12.9%、「脆弱性」が12.3%という結果でしたが、近年特に増えているのがランサムウェアによる被害だと報告されています。
また、IPA(独立行政法人 情報処理推進機構)が発表した「情報セキュリティ10大脅威 2021」でも、ランサムウェアによるサイバー攻撃の被害が第1位となっています。このように近年被害が急増しているランサムウェアとは、どのようなマルウェア(コンピューターを不正かつ有害に動作させる意図で作成された、悪意のあるソフトウェア)なのでしょうか?
ランサムウェア(Ransomware)は、Ransom(身代金)とSoftware(ソフトウェア)を組み合わせた造語です。パソコンやサーバ、スマホなどがこのランサムウェアに感染すると、ユーザーの意図とは関係なく保存されているデータが暗号化され、見ることはもちろん、一切操作することができなくなります。ランサムウェアの作成者(犯罪者)は、感染したユーザーに身代金を要求する画面を表示し、支払いがなければ暗号化を解除する手段(ほとんどの場合は複合キー)を教えないと脅迫してきます。
ランサムウェアがやっかいなのは、この無差別な暗号化の被害がネットワークでつながった他のパソコンやサーバ、データストレージにまで拡散されてしまう点です。社内の1台のパソコンから全社に、場合によってはクラウドサービスを利用している顧客にまで被害が及ぶこともあり得ます。ひとたび感染すれば身代金が支払われるまで暗号化は解除できませんが、あるデータによれば日本の組織の52%がランサムウェアの被害に遭っており、支払った身代金の平均は1億2300万円にもなっています。
ランサムウェアは主にメールの添付ファイルで拡散されますが、偽ウェブサイトにアクセスした途端に感染した事例もあります。不審なメールやリンクには、決してアクセスしないように注意が必要です。
ランサムウェアの猛威を一躍有名にしたのが、2021年7月に起きたKaseya社の被害です。米国・マイアミに本拠を置きIT管理ソフトウェアを提供するKaseya社は、MSP(マネージドサービスプロバイダー:ITサービス提供業者)にVirtual System Administrator(VSA)という、ネットワーク上のコンピューターをリモートコントロールするソフトウェアを提供しています。
このVSAにロシアのランサムウェアグループ「REvil」がサイバー攻撃を行い、結果としてKaseya社のVSAを利用している60社のMSPが感染し、最終的に2時間でMSPのクライアント1,500社がランサムウェアに感染する事態となりました。被害額は身代金という性質上、各社がその額を明らかにはせず全体は把握できていません。
この事件の一番の原因は、VSAがユーザーが使いやすいようにブラインドトラスト状態(ユーザーを無条件で信用する状態)になっていたこと。つまりユーザーの利便性を優先したことが、簡単に攻撃を許し被害を拡大させる原因となったのです。
このような状況を踏まえて実態調査を行ったISR社は、ブラインドトラストからゼロトラスト(何も信頼しないことを前提に対策を講じるセキュリティの考え方)への移行と、セキュリティへの積極投資を提唱しています。たとえばMSPは高いセキュリティを実装したITベンダーを選択し、エンドユーザーの認証にはMFA(多要素認証)などを採用したセキュアソリューションを導入していく、ということです。
MFAとは、認証の3要素と言われる「知識情報」と「所持情報」、「生体情報」のうち、2つ以上を組み合わせて認証を行う仕組みです。最近ではシステムへのログインで、IDとパスワードを使った認証(知識情報)の他に、携帯電話などへのコードの送信(所持情報)が組み合わされる場合があります。これがMFAです。MFAは煩雑でありユーザーの利便性は低下しますが、セキュリティは格段にアップします。このようなセキュアなシステムの導入には投資が必要になりますが、セキュリティへの積極投資を行わなければ、その数倍もの被害(額)と、著しい信用の低下を招くことにもなりかねません。利便性を取るかセキュリティを取るかは本当に悩ましい問題ですが、早急に判断することが必要になっています。
ネットワークのセキュリティ対策は、一朝一夕に、また容易にできるものではありません。特にITベンダーやSaaSといったクラウドサービスを中心に事業展開している企業では、完全に外部との通信をシャットダウンすれば事業そのものが成り立たなくなります。ユーザーの利便性を優先するか、セキュリティを堅牢にするかの問題は落とし所が本当に難しいのです。とはいえ、世界中で急増するサイバー攻撃に備える必要があることは言うまでもありません。ネットワークセキュリティを専門にする会社とじっくり協議し、自社に合ったセキュリティ対策を進めていきましょう。
株式譲渡契約書とは?記載事項や作成時の注意点について解説!
BPO安定運用のための伴走型支援と導入事例
三菱総研DCSが取り組む「ダイバーシティー経営」への第一歩
契約不適合責任とは?売買契約書で 注意すべきポイントについて
社員寮・借り上げ社宅の管理業務を削減するには
25卒生の“企業選びの軸”は? 4割超が「DXの取り組み」を重視、“テレワークの採用”がポイントか
ランスタ開催直前告知!成長企業の経理担当者なら押さえておきたいウェビナーは…?
【管理部門・士業の実態調査】2024年度の給与アップと人事評価の実態とは?
社内不正被害、人材の流動性が高い4月から6月は要注意 被害の6割近くは「情報持ち出し」
学生の就職観は「楽しく働きたい」「ノルマがきついのは嫌!」~企業が採用活動をするときのポイント~
若手社員の早期離職を防止するためにできること
人事給与アウトソーシングサービス導入検討のポイント(中堅規模企業向け)
失敗しない請求書受領システム選び方ガイド【2024年1月最新版】
中堅大企業のための人事給与BPO導入チェックポイント
Adobe Acrobatで電子署名する方法とその見え方
【2024年度の賃金動向】企業の約6割が“賃上げ見込み”過去最高記録を更新へ。半数超が「ベースアップ」を実施予定
経費精算システムで経理業務を劇的効率化! おすすめサービスも厳選紹介
労働者との間で増加するトラブル、不当労働行為を回避する企業の心得
ホールディング経営とは? グループ経営との違いについて解説
社会保険の適用拡大、担当者向けの手引きなどコンテンツを公開 厚労省が特設サイトをリニューアル
公開日 /-create_datetime-/