ランサムウェアの本当の収益源は暗号化ではない

何年もの間、ランサムウェア防御はファイルがロックされる瞬間という一点に集中してきた。しかし、The National CIO Reviewが報じた新たな調査結果は、暗号化がランサムウェア攻撃において犯罪者にとって最も価値の低い部分であることが多いと明らかにしている。本当の収益はデータ窃取から生まれ、その収益は身代金が支払われたりシステムが復旧したりしても止まらない。

このレポートによると、被害組織の54％が身代金要求に応じた。システムが暗号化された際の混乱を考えれば、それ自体は驚くに当たらない。注目すべきはその後に起こったことだ。支払った組織の37％が、同じまたは別の攻撃者から再び要求を受けたのである。つまり、事件を終えたと思った被害者の3分の1以上が、同じ盗まれたデータをめぐって再び交渉するという振り出しに戻っていたのだ。

盗まれたデータが攻撃者に利益をもたらし続ける理由

攻撃者は暗号化を実行する前にデータを外部に持ち出すことで、被害者のシステムがロックされた状態に依存しない複数の独立した収入源を手に入れる。レポートでは以下のようなものが挙げられている。

  • 公開脅迫：復号キーのための当初の身代金を受け取った後でも、機密ファイルを漏洩させると脅して二度目の支払いを要求する。
  • 盗難データの転売：情報は犯罪マーケットプレイスで他の脅威アクターに売却され、元の被害者が支払い済みかどうかは関係ない。
  • 認証情報の悪用：盗まれたファイルに含まれるユーザー名、パスワード、アクセストークンが、他のアカウントやシステムへの侵入に再利用され、時には提携先組織やベンダーのシステムにも及ぶ。
  • 二次攻撃：侵害から収集したネットワーク図、ベンダー契約書、内部コミュニケーションなどの詳細情報が、将来の侵入をより容易に、より標的化されたものにする。

このため、セキュリティ研究者は現代のランサムウェアを、暗号化が付随するデータ窃取問題と表現する傾向が強まっている。暗号化は数日から数週間にわたり業務を停止させる。一方、盗まれたデータは数ヶ月から数年にわたり武器化されうる。

この力学が公に展開された最近の事例としては、Tata Electronicsの侵害によるiPhone 18 Proの秘密漏洩が挙げられる。World Leaksを名乗るランサムウェアグループが内部システムにアクセスした後、未発表の機密製品情報を公開した。このような事例は、盗まれた企業データが最初の侵入から長期間にわたり攻撃者にとって価値を持ち続けること、そして、実際に暗号化ペイロードが機能していなくても、公開脅迫だけで組織を困難な決断に追い込む可能性があることを示している。

支払いが事件の終わりを保証しない理由

37％という繰り返し要求の数字は特に注目に値する。なぜなら、身代金を支払えば事件が終結するという一般的な思い込みを覆すからだ。実際には、データが組織のネットワークの外に出てしまった時点で、被害者にはコピーが破棄されたかどうか、攻撃者が情報を転売しないかどうか、あるいは既に別のグループが同じファイルを入手していないかを確認する手段がない。支払いは暗号化の問題に対処するものであって、データ窃取の問題には何の解決にもならない。なぜなら、そのデータは外部に持ち出された瞬間から被害者の制御を離れているからだ。

これは、組織がランサムウェアへの備えをどう考えるかに直接的な影響を与える。バックアップと復旧計画はシステムをオンラインに戻すためには重要だが、漏洩や転売、二度目の恐喝試行を防ぐことには全く役立たない。まず第一に、ネットワークのセグメンテーション、厳格なアクセス制御、保存または到達可能な機密データの量を最小化することによるデータ持ち出しの防止が、復旧計画と同様に重要となる。

これがあなたにとって意味すること

中小企業のIT管理を担当している場合でも、単に自身のアカウントを保護している場合でも、このデータから得られる教訓は同じだ。あなたの情報が関わるいかなる侵害も、単一のインシデントではなく、継続的な露出リスクをもたらす可能性があると想定すること。取引先企業がランサムウェア攻撃を開示した場合、それをオープンエンドのリスクとして扱うべきだ。使い回されたパスワード、古いアカウントの認証情報、その侵害に関連する個人情報は、ニュースが消えた後も長くクレデンシャルスタッフィング攻撃や二次的な詐欺の中で再浮上しうる。

組織にとっての要点は、データの最小化とネットワークのセグメンテーションを後付けではなく、ランサムウェア防御の中核として扱うことだ。一つの侵害された地点からアクセス可能な機密データを制限することで、攻撃者が侵入したとしても盗み出せる量を減らせる。

実践的な対策

  • すべてのアカウントで一意のパスワードを使用し、データ侵害の通知を受けたら、数ヶ月後であってもパスワードを更新する。
  • 可能な限り多要素認証を有効にして、盗まれた認証情報の価値を低減させる。
  • ビジネスを運営している場合、保存されている機密データの種類と誰がアクセスできるかを監査する。露出するデータが少なければ、攻撃者の交渉材料も減る。
  • 身代金を支払ったりシステムを復旧したらランサムウェアインシデントが終わったと考えないこと。漏洩データや新たな恐喝の試みの兆候を監視する。
  • ネットワークをセグメント化し、単一の侵害されたデバイスやアカウントがデータ環境全体を露出させないようにする。

ランサムウェアの最大の強みは、見出しを飾る暗号化ではない。それは、その前に静かに行われるデータ窃取であり、最初の危機が解決されたように見えた後も長く攻撃者に価値を生み出し続けるのである。