FBI、CISA、およびEUの機関による共同警告がSafePayランサムウェアグループに注目を集めており、米国、英国、ドイツがこのグループのグローバルキャンペーンの標的として名指しされています。日常のユーザーや中小企業にとっての重要な詳細は、攻撃者がバックアップを狙うということです。そのため、SafePayランサムウェアのバックアップ保護は、単にファイルのコピーをもう1つ持つという以上に大きな問題となっています。

元記事は簡潔であるため、この記事では警告が示すシグナルと、実行できる実践的なステップに焦点を当てます。典型的な攻撃者の行動を説明する箇所は、SafePayに関する一般的な公開報道と一般的なランサムウェアの慣行を反映しています。

SafePayランサムウェアの動作と標的

SafePayはランサムウェアグループであり、ネットワークに侵入し、データを暗号化してロックし、アクセスを復元するために身代金を要求します。公開された脅威レポートは、これを二重恐喝作戦と表現しています。攻撃者はデータを暗号化する前に被害者のシステムからデータをコピーし、暗号通貨での支払いを要求します。脅威はアクセスを失うことと、機密ファイルが漏洩することの両方です。

共同警告はグローバルキャンペーンを描写しており、関与する機関は米国、英国、ドイツに及びます。ランサムウェアグループが大企業に限定されることはまれです。中小企業、クリニック、学校、地方の事務所は、価値のあるデータを持ちながら防御が薄いことが多く、それが彼らを魅力的な標的にしています。自宅やホームオフィスにネットワークストレージデバイスを持つ個人も露出する可能性があります。

SafePayに関する公開報道によると、その運営者は通常、パスワードを盗んだり推測したり、セキュリティシステムの脆弱性を悪用したりして侵入します。それらのいずれも特殊なものではなく、だからこそ基本が非常に重要になるのです。

攻撃者が最初にバックアップを狙う理由

バックアップはセーフティネットです。被害者がクリーンなコピーから復元できれば、身代金要求はそのレバレッジのほとんどを失います。したがって、これを理解している攻撃者は、引き金を引く前にネットを除去しようとします。バックアップを最初に削除、暗号化、または破損させるということは、身代金メモが現れるときには、復元オプションがすでに失われていることを意味します。

これは吸収する価値のある変化です。多くの人はバックアップを単に存在するものと考えています。実際には、メインネットワークから到達可能で、同じログイン資格情報を使用するバックアップは、そのアクセスを取得した誰によっても発見され、破壊される可能性があります。コンピュータに常時接続されたドライブにあるコピーや、自動的に同期するクラウドフォルダは、他のすべてと一緒に暗号化される可能性があります。

バックアップを保護する方法：オフラインコピー、不変性、暗号化

優れたSafePayランサムウェアのバックアップ保護は、攻撃者が最終的にあなたのメインシステムへのアクセスを得ることを想定し、そのシナリオでもバックアップが生き残ることを確実にすることから始まります。3つの考え方が役立ちます：

  • オフラインまたは隔離されたコピーを保持する。 各バックアップ後に切断される外付けドライブは、リモートで暗号化することはできません。企業にとって、これは本番ネットワークから継続的に到達できないコピーを意味します。
  • 不変バックアップを使用する。 不変性とは、管理者アカウントであっても、設定された期間バックアップを変更または削除できないことを意味します。多くのバックアップツールやクラウドストレージサービスがこれを設定として提供しています。攻撃者が管理者資格情報を盗んだ場合でも、ロックされたコピーは無傷のままです。
  • バックアップを暗号化する。 暗号化は攻撃者がデータを削除するのを止めませんが、コピーが盗まれた場合にその内容を保護します。これは、漏洩したデータが圧力の一部である二重恐喝のケースで重要です。

2つの補助的な習慣も同様に重要です。バックアップシステムには別の資格情報を使用し、理想的には多要素認証で保護することで、盗まれた日常のパスワードがそれらを解錠しないようにします。そして定期的に復元をテストします。一度も復元したことのないバックアップは想定であり、計画ではありません。

初期侵入を阻止する基本的な防御

バックアップを保護することは最後の防衛線です。より良い結果は攻撃者を締め出すことです。報道が盗まれたまたは推測されたパスワードと悪用された脆弱性を指摘しているため、最も有用な防御は地味なものです：

  • 多要素認証を有効にする：メール、リモートアクセス、クラウドアカウント、バックアップコンソールで。
  • 強力でユニークなパスワードを使用する：パスワードマネージャーに保存し、1つの漏洩した資格情報が複数のドアを開けないようにします。
  • 迅速にパッチを適用する：特にファイアウォール、リモートアクセスツール、バックアップソフトウェアなど、インターネットに面したシステムに。未パッチの既知の欠陥は一般的な侵入経路です。
  • リモートアクセスを制限する：使用していないサービスをオフにし、残りに誰がアクセスできるかを制限します。

VPNは作業ネットワークへのリモート接続を保護するのに役立ちますが、パッチ適用とMFAの代替ではなく、単独でバックアップを保護することもありません。

これがあなたにとって意味すること

この警告の国際的な性質は注目に値します。サイバー脅威に関して国境を越えて協力する政府は新しいことではありません。ファイブ・アイズやより広範なフォーティーン・アイズなどの同盟は情報共有で知られていますが、それらの取り決めは監視データに関するものであり、このランサムウェア勧告とは別の事項です。読者にとっての要点はよりシンプルです：複数の機関が共同警告を発するとき、脅威は広範であり、1つの地域や業界に限定されません。

個人にとって、それはあなたのバックアップが本当にコンピュータから分離されているかどうかを確認することを意味します。中小企業にとって、それは誰があなたのバックアップを削除できるか、そしてそのアカウントがMFAで保護されているかどうかを尋ねることを意味します。

実行可能な要点

SafePayランサムウェアのバックアップ保護は、今週完了できる短い監査に帰着します：

  1. バックアップ設定を確認する。 オフラインまたは不変のコピーが少なくとも1つありますか？
  2. 資格情報を分離する。 バックアップアクセスが日常のアカウントとは異なるログインを使用していることを確認してください。
  3. MFAをオンにする：提供されているすべての場所で、メール、リモートアクセス、バックアップツールから始めます。
  4. 保留中の更新をインストールする：ファイアウォール、リモートアクセスソフトウェア、バックアップアプリケーションを優先します。
  5. 復元をテストする：いくつかのファイルを復元して、バックアップが実際に機能することを確認します。

これらのステップはいずれも複雑ではなく、一緒になってランサムウェアグループが依存するレバレッジを取り除きます。今日から監査を始めましょう。