何が変わったのか：GunraのRaaSモデルへの移行

FBIはGunraランサムウェアについて新たな警告を発した。この脅威は、単一グループによる活動から、完全なランサムウェア・アズ・ア・サービス（RaaS）ビジネスへと急速に進化している。実際には、Gunraの背後にいる当初の開発者だけが攻撃を仕掛けているわけではなくなったということだ。彼らは現在、マルウェアとインフラをアフィリエイト（犯罪パートナー）にライセンスまたはリースし、アフィリエイトが実際の侵入を実行して、中核グループと利益を分配している。

この変化が重要なのは、RaaSモデルは攻撃の規模と到達範囲を加速させる傾向があるからだ。1つのチームがゆっくりと標的を狙う代わりに、数十の独立したアフィリエイトが同じランサムウェアをさまざまな業界や地域で同時に展開し、それぞれが独自のネットワーク侵入手法を持ち込むことができる。FBIの勧告は、Gunraが二重恐喝アプローチに依存し続けていることも確認している。つまり、被害者のデータを暗号化する一方でそのコピーも盗み出し、身代金が支払われなければ専用のリークサイトで盗んだファイルを公開すると脅すのだ。

Gunraが今回の拡大前にどのように評判を築いたかについては、以前のGunraの二重恐喝攻撃の記事で、同グループが複数のセクターに急速に広がり研究者の注目を集めた経緯を解説している。

「バックアップから復元すればよい」という防御を二重恐喝が崩す理由

長年、ランサムウェア攻撃を乗り切るための標準的な助言は単純だった。良好なバックアップを維持し、攻撃を受けたら感染システムを消去してクリーンなコピーから復元するというものだ。その助言は今も重要だが、問題全体を解決することはなくなった。Gunraランサムウェアの二重恐喝は、まさにその防御を無効化するように設計されている。

理由はこうだ。たとえ被害組織がバックアップからシステムを完全に復元でき、自分のファイルのロック解除に身代金を一切支払わなくても、攻撃者は暗号化する前にすでにその機密データのコピーを外部に持ち出している。バックアップはデータ損失を防ぐが、盗まれたファイルが漏えいされたり売買されたりするのを止めることはできない。Gunraのリークサイトは、まさにその第二の圧力をかけるために存在している。支払わなければ、顧客記録、財務文書、内部通信が公開されることになる。

これが、セキュリティチームが現在ランサムウェアをシステム停止だけでなくデータ窃取と露出の観点から語る中核的な理由だ。運用を迅速に復旧することは依然として価値があるが、攻撃者がデータのコピーを手に入れた後では、その交渉材料をなくすことはできない。

Gunraのアフィリエイトが拡大する中で誰が危険にさらされるのか

Gunraは現在RaaS構造で活動しているため、潜在的な被害者の範囲は広がる可能性が高い。RaaSのアフィリエイトは日和見的であることが多く、特定の業界を常に狙うわけではなく、露出したリモートアクセスポイント、未修正のソフトウェア、弱い認証情報の管理など、悪用可能な弱点を示す組織を手当たり次第に狙う。つまり、大企業だけでなく、さまざまな規模やセクターの組織が、単に侵入しやすい経路を提供しているという理由で標的になり得る。

FBIの警告は、政府、医療、金融、その他のセクターの防御担当者が、Gunraをニッチな懸念ではなく、活発に進化する脅威として扱うべきだというシグナルだ。より多くのアフィリエイトが同グループのツールを採用するにつれて、Gunraによる攻撃の量と種類は増える可能性が高い。

多層防御戦略の構築

単一のツールでランサムウェアを単独で止められるものはなく、それはVPNも同様だ。VPNは転送中のデータを保護し、内部ネットワークリソースのインターネットへの露出を減らすのに役立つが、攻撃者がすでに侵害済みのシステム内部にいる場合、ファイルの窃取を防ぐことはできない。本当の答えは多層防御だ。

優先すべき実用的な層をいくつか挙げる。

  • 信頼性の高いオフラインバックアップ: ランサムウェアが到達して暗号化できないよう、バックアップをメインネットワークから隔離して保管する。
  • データ最小化: 実際に必要な機密データだけを保存し、残りは削除またはアーカイブする。保有していないものは攻撃者も漏えいできない。
  • ネットワーク分離とアクセス制御: 1つの侵害されたアカウントがネットワーク全体に到達できないよう、水平移動を制限する。
  • ネットワークレベルのプライバシーツール: VPNや安全なリモートアクセスソリューションは、インターネットに露出する攻撃面を減らし、アフィリエイトが容易な侵入口を見つけにくくする。
  • パッチ管理: 多くのRaaSアフィリエイトは新規の手法よりも既知の未修正脆弱性を悪用するため、更新を最新に保つことで容易な侵入口をふさぐ。

これが意味すること

中小企業のITを担当している場合でも、自分のデバイスを管理しているだけでも、Gunraランサムウェアの二重恐喝モデルは、データ保護が復旧以上のものであることを思い出させてくれる。それは、攻撃者がそもそも何を盗めるかを制限し、日和見的なスキャンや悪用に対してシステムがどれだけ露出しているかを減らすことだ。そして、その種の活動こそ、成長するアフィリエイトネットワークが生み出しがちなものなのだ。

重要なポイント

  • GunraランサムウェアはRaaSモデルに移行した。つまり、より多くのアフィリエイトがそのツールを使って攻撃を開始できるようになった。
  • 二重恐喝とは、復号のための支払いが盗難データの漏えいを防ぐことにはならないことを意味する。
  • バックアップは依然として不可欠だが、データ最小化とアクセス制御と組み合わせる必要がある。
  • VPNなどのネットワークプライバシーツールは防御の1つの層であり、完全な解決策ではない。
  • パッチを最新に保ち、インターネットに露出するサービスを制限することで、拡大するアフィリエイトにとって容易な標的になる可能性を減らせる。