CISAがBianLianの戦術の大きな転換を確認

サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、かつて病院ネットワークをロックダウンすることで知られたランサムウェアグループ「BianLian」が、2024年1月以降、ファイルの暗号化を完全に停止したことを確認しました。データをスクランブルし、復号キーと引き換えに身代金を要求する代わりに、現在このグループは機密情報を盗み出し、身代金を支払わなければ漏洩すると脅迫することだけに注力しています。

この確認が重要なのは、ランサムウェアの運営手法における広範な変化を示しているからです。長年にわたり、標準的な手口は被害者のファイルを暗号化し、身代金要求のメモを残して、復号キーに支払うかバックアップから再構築するかの選択を組織に迫るものでした。BianLianがそのモデルから離れたことは、暗号化という段階を踏まずとも、データの窃取だけでも十分に利益を生み、かつ実行がかなり容易であることを示しています。

暗号化から恐喝へ――この転換が重要な理由

ネットワーク全体を暗号化するには時間と計算リソース、そして攻撃が完了する前に検知される可能性を高めるレベルのアクセス権が必要です。単にネットワークからファイルをコピーして静かに退出するほうが早く、リアルタイムでの発見が難しく、それでも攻撃者に強力な交渉材料を与えます。患者の記録、財務文書、社内通信などを外部に持ち出せれば、そのデータを公開するという脅迫だけで被害者に支払いを迫るのに十分なケースが多くあります。

このアプローチは、暗号化ベースの攻撃に対して組織が構築してきた防御策の一部を迂回することにもなります。多くの企業は、ファイルをロックするランサムウェアの影響を抑えるために、特にバックアップと復旧システムに多大な投資を行ってきました。しかし、最初からファイルの完全性に一切手を付けず、データをコピーして立ち去るだけのグループに対しては、そのバックアップは何の役にも立ちません。CISAによる今回の戦術転換の確認は、同庁が注意深く追跡してきたパターン、すなわちランサムウェアグループが深刻な脆弱性を限定的な標的型攻撃のためだけでなく、大規模に悪用するようになった事例とも一致します。たとえば、CISAがBlueHammer脆弱性がランサムウェア集団によって広く悪用されていることを確認し、限られた攻撃ではなく組織的に使われている実態が明らかになっています。

医療機関は依然として標的に

BianLianがこれまで病院ネットワークを標的にしてきた経緯は、戦術が変わった後でも注視する価値があります。医療機関は、病歴、保険情報、治療記録など、存在する中でも最も機密性の高い個人データを保持しています。その機密性こそが、この分野に対してデータ窃取による恐喝が極めて有効に機能する理由です。患者の記録が公開されたり売却されたりする可能性に直面した病院は、たとえ自社のシステムが一度も暗号化されていなくても、迅速に支払いに応じる強い動機を持ちます。

こうしたネットワークへの初期アクセスは、依然として既知の脆弱性の悪用に依存していることが多く、CISAがKnown Exploited Vulnerabilitiesカタログを通じて繰り返し文書化してきたパターンです。最近同庁がすでに実環境で悪用されているLinuxの特権昇格の脆弱性を注意喚起した例が示すように、攻撃者は内部に侵入した後の行動にかかわらず、未修正のシステムを侵入口として利用し続けています。

これはあなたにとって何を意味するか

医療機関であれ、中小企業であれ、顧客情報を保管するあらゆる組織であれ、機密データを取り扱うのであれば、この変化は「ランサムウェア対策」のあるべき姿を変えます。バックアップ戦略は依然として重要ですが、それだけではもはや十分ではありません。BianLianの新しいアプローチのようなデータ窃取型の攻撃に対しては、不正アクセスの防止や、通常とは異なる外部へのデータ転送の監視にも同様に重点を置く必要があります。被害はファイルが暗号化された時点ではなく、ネットワークからデータが持ち出された瞬間に発生するからです。

個人にとっての教訓は、よりパーソナルなものです。もしあなたの医療記録や金融情報、個人情報を保有する組織がデータ窃取型の攻撃を受けた場合、身代金要求のメモを見たり、システムが暗号化されたと聞いたりすることは決してないかもしれません。最初の異変は、単に漏洩通知の手紙かもしれませんし、さらに悪ければ、自分の情報が売買されていたりオンラインに流出しているのを発見することかもしれません。

実践的な対策

組織は、ランサムウェア固有の暗号化アラートだけでなく、大量または異常なデータ転送を検知できるネットワーク監視ツールを優先的に導入すべきです。初期アクセスは依然として未修正システムの悪用に依存しているため、既知の脆弱性への迅速なパッチ適用も不可欠です。個人は、医療機関や金融機関からの漏洩通知に注意を払い、通知を受け取った場合にはクレジット監視サービスや個人情報盗難保護サービスの利用を検討するとよいでしょう。BianLianのようなランサムウェアグループが手口を適応させ続けるなか、昨日の防御が今日の脅威をカバーしていると思い込まず、こうした変化について常に情報を得ておくことが、利用可能な最善の防御策です。