午前3時（3AM）ランサムウェアのアフィリエイトが、英国の学校施設にある約50台のマシンのうち約37台を暗号化したと報告されており、これはAI支援によるランサムウェアの学校攻撃の疑いがあるとされている。報告によると、侵入者は管理外のホストからこれらのマシンに到達した。詳細は限られているが、このインシデントは、見落とされた1台のデバイスがどのようにしてネットワーク全体への扉を開くかを示す有用な事例研究である。

3AMのアフィリエイトがどのように学校施設を攻撃したか

報道元によると、3AMランサムウェアのアフィリエイトが英国の学校施設を標的にした。組織の通常のセキュリティツールと監視の外にあったマシンである管理外ホストを起点として、攻撃者は約50台のマシンに到達した。そのうち約37台が正常に暗号化された。

この比率は重要である。攻撃者が足場を確保すると、環境内を移動することを妨げるものがほとんどなかったことを示唆している。ランサムウェアのアフィリエイトは通常、より大きなランサムウェア運用のパートナーとして活動し、グループのツールを使用しながら自ら侵入を実行する。この事例では、アフィリエイトは1つの侵入ポイントから到達可能な施設のほとんどへと移動したようである。

記事の要約では、管理外ホストがどのように侵害されたか、どのようなデータが窃取された可能性があるか、身代金が要求されたかどうかについて詳述されていないため、これらの点について推測することはしない。

管理外ホストとフラットネットワークがなぜ容易にしたか

管理外ホストとは、ITチームが積極的に監視、パッチ適用、保護していないデバイスのことである。学校では、古いPC、スタッフや請負業者が持ち込んだデバイス、標準的な手順外で設置された機器などが含まれ得る。エンドポイント保護とログ記録を欠いているため、攻撃者はそれらを静かに使用できる。

2つ目の要素はネットワーク設計である。フラットネットワークでは、デバイス同士がほとんど制限なく通信できる。攻撃者が1台のマシンを制御すると、多くの場合、他の多くのマシンを認識し、到達を試みることができる。システムをゾーンに分割し、それらの間のアクセスを制御するセグメンテーションは、その種の横方向の移動を制限する。

学校はしばしばリソースが不足しており、少人数のITチームが多くのデバイスとユーザーを担当している。そのため、何が接続されているかの完全なインベントリを維持することが難しくなり、管理外デバイスはすり抜けがちである。報告された結果、到達可能なマシンの約4分の3が暗号化されたことは、そのパターンに当てはまる。

AI支援という主張が示すものと示さないもの

見出しはこの攻撃をAI支援の疑いがあると表現している。これは注意深く読む価値がある。「疑い」とは評価が確認されていないことを意味し、提供されたソース資料にはAIが何に使用されたか、どの程度結果を変えたかが明記されていない。

この主張が示唆するのは、攻撃者が侵入の一部を加速するためにAIツールを使用している可能性があるということである。例えば、環境内をどのように移動するかを把握するなどである。示していないのは、AIが新しい種類の攻撃を生み出したということである。この事例の核心的な弱点である管理外ホストと侵入者が拡散できるネットワークは、長年にわたるよく理解された問題である。これらは防御側が修正できる部分でもある。

言い換えれば、AIの側面は注視する価値があるが、ここでの実践的な教訓は依然として基本的なセキュリティ衛生である。

これがあなたにとって何を意味するか

保護者、生徒、またはスタッフである場合、学校施設への攻撃は抽象的なものではない。学校のシステムは子どもたちと家族に関する情報を保持しており、混乱は授業やコミュニケーションを中断させる可能性がある。この種の組織的インシデントは、より広範なデータ露出にもつながり得る。51人の当局者のデータを露出した英国投資機関の侵害は、情報露出に対処する英国公共部門機関のもう一つの最近の例である。

家庭ネットワークの側面もある。家族はしばしば学校発行のデバイスや個人デバイスを、ラップトップ、タブレット、ゲーム機、スマートTVなど他のすべてと同じ家庭用ルーターに接続する。家庭にある管理外または放置されたデバイスは、この事例の管理外ホストと同じ役割を果たし得る。明確にしておくと、VPNはランサムウェアに対する防御ではないため、デバイスとネットワークの衛生に焦点を当てるべきである。

学校、保護者、家庭ユーザーが今できること

学校とITチーム向け：

  • ネットワーク上のすべてのデバイスのインベントリを構築・維持し、管理外ホストを管理下に置くか削除する。
  • ネットワークをセグメント化し、侵害された1台のマシンが施設全体に到達できないようにする。
  • 身代金を支払わずにシステムを復元できるよう、テスト済みのオフラインまたは分離されたバックアップを維持する。

保護者と家庭ユーザー向け：

  • どのデバイスがルーターに接続されているかを確認し、使用しなくなった、または認識できないデバイスを削除する。
  • コンピューター、電話、タブレット、ルーター自体にアップデートをインストールし、ルーターのデフォルトパスワードを変更する。
  • 学校関連のデバイスを最新の状態に保ち、アカウントの共有やパスワードの使い回しを避ける。
  • 重要なファイルをメインコンピューターに常時接続されていない場所にバックアップする。
  • ルーターが対応している場合は、スマートホームガジェットとゲストデバイスを別のゲストネットワークに置くことを検討する。

結論

この報告されたAI支援ランサムウェアの学校攻撃は、最大のリスクがしばしば基本から来ることを示している。誰も監視していないデバイスと、問題が拡散するのを許すネットワークである。AIがどのような役割を果たしたにせよ、修正策は実用的で達成可能なままである。今週数分を費やして、自分の家族のネットワーク上のデバイスとルーターを見直し、このインシデントをきっかけに、お子さんの学校がデバイスとバックアップをどのように管理しているかを尋ねてみてほしい。