【オンラインゼミナー】被害から見えたこれからのDX 県内事例に学ぶランサムウェア被害の実態と企業の意思決定

攻撃されることを前提に体制を構築すべし

菱機工業(株) 経営企画部システム企画課スペシャリスト​
小川 弘幹 氏​

ISICOは6月19日、サイバーセキュリティ対策セミナーを2部制でオンライン開催し、県内企業の経営者やIT担当者ら約80人が参加しました。第1部は、菱機工業（金沢市）の小川弘幹氏が「まさか自社が。菱機工業が受けたランサムウェア攻撃の概要」と題して、第2部は石川県警本部サイバー犯罪対策課が「中小企業におけるサイバーセキュリティ対策」をテーマに講演しました。本誌では第1部の内容をダイジェストで紹介します。

出社時には業務停止 ランサムウェア被害の進行過程を追う

　当社は建設・設備工事業の会社で、14の拠点に387名の従業員を抱えており、サーバー約70台、PC約600台、スマートフォン・タブレット約600台を運用しています。
　2022年11月17日の0時58分、攻撃者がVPN経由で当社の社内ネットワークに侵入し、ActiveDirectory*1の特権アカウントを窃取しました。さらにウイルス対策ソフトを停止するなどして端末の防御機能を無効化し、結果として社内データの約22％が暗号化により使用不能になりました。深夜の攻撃でリアルタイム検知ができず、出社時には大半のデータが暗号化されていました。
　ほぼすべてのサーバーが被害を受け、バックアップも費用の都合でUSB-HDDを保存先としていた1本を除いて暗号化されました。PC12台、仮想デスクトップ*2も全体の30％にあたる70台が暗号化被害に遭いました。PCの被害が比較的少なかったのは帰宅時に電源を落としていたためで、反対に常時稼働させているサーバーや仮想デスクトップは被害を受けやすいと言えます。
　さらに、攻撃を受けたサーバーやPCのデスクトップ画面は脅迫文画像に差し替えられ、暗号化されたファイルのディレクトリにも同様の画像が置かれ、ダークwebの身代金交渉サイトのURLが記載されていました。本社・支店の複数プリンターからは紙が尽きるまで脅迫文が印刷されました。
　犯人は暗号化する前にデータをコピーしており、期限までに身代金を支払わなければ公開すると脅迫し、3週間の交渉期間を設けていました。期間中、当社宛に同様の脅迫メールが複数回届きましたが応じず無視したところ、12月8日、ダークwebの情報流出サイトに、当社から盗まれた12GB分のファイル一覧とみられるものが公開されました。

初動対応がカギとなった4フェーズ完全復旧までの4カ月

　ここからは実際の復旧までの流れについて紹介します。復旧は4つのフェーズに分けることができます。第1フェーズでは緊急対応として、11月17日にデータ保護のため、全PCをシャットダウンしました。本来は不正アクセスの原因究明の観点から、初動での電源オフは推奨されませんが、被害の拡大を避ける判断として、あえて電源を落とす指示をしました。
　同日、当社ホームページで被害を公表し協力会社へ説明、石川県警へ被害届を提出し、監督官庁の個人情報保護委員会へ第一報を送りました。
　さらに、週明け21日に約600社への支払いが控えていたため、18日午前までに銀行へ送る振込データを確保する必要がありました。そこで基幹システムの一部を限定的に復元し、必要な振込情報を抽出しました。
　第2フェーズ（18～22日）では、社内ネットワークの安全を確認して復旧するには時間を要すると判断し、大会議室に隔離ネットワークを構築しました。無事だったバックアップから9台の仮想マシンを復元し、２２日には財務会計・工事予算管理・発注管理の3システムの運用を再開することができました。
　第3フェーズ（24日～）では、社内ネットワークのクリーン化と通常運用の再開を進めました。ここでエンドポイント管理の難しさを実感しました。全PCにEDR *3を導入したところ、想定の600台を上回る900台超の端末が存在することが判明し、急遽追加購入する事態となり、人手不足という事情がありつつも、管理不足を強く反省させられました。
　感染したPC12台と仮想デスクトップ70台はクリーンインストールし、未感染のPCにはEDRの適用と各種アップデートを実施しました。また、イミュータブルバックアップ *4を導入し、攻撃への耐性を強化。12月27日に隔離ネットワークでの運用を終了し、通常の社内ネットワークの利用を再開しました。
　第4フェーズではリモートアクセス環境を再構築しました。攻撃前はSSL-VPNを利用していましたが、継続利用は困難でした。認証強化のため多要素認証の導入を検討するとともに、アクセス方式を見直し、最終的にはZTNA *5を導入しました。これにより、各現場や外出先から社内システムへの安全なアクセスが可能になり、3月17日をもって復旧完了を宣言しました。

身代金支払いのリスクと被害の連鎖を防ぐ4つの急所

　被害発生時の全体会議を振り返ると、被害状況の共有、対外連絡方法の協議、復旧予算の確保が議題となり、身代金についての議論は行なわれませんでした。
　2日目にバックアップまで被害を受けていることが判明しましたが、身代金を支払って復号キーを受け取っても、データを復旧できたのは4割に満たないという調査結果や、支払う組織として再攻撃を受ける危険性から、交渉に応じず支払わないという方針を決定しました。
　今回のランサムウェア被害で、幸いにも受注や売り上げへの影響はなく、設備工事業という施工期間の長い業種であることから、納期の遅れもありませんでした。しかし、人件費の損耗に加え、再発防止策の実施、IR対応や出張などの緊急対応に伴う費用により、億を超える損失を被りました。
　これは(1)リモートアクセス(2)Active Directory管理者権限を持つアカウント(3)PC等の端末(4)バックアップのいずれか一つでも適切に守ることができれば、防げた可能性があります。 当社では再発防止策として、まず(1)にはZTNAと併せてSecure Web Gateway*6を導入しました。(2)に関してはActive Directoryサーバーにエージェントを導入して常時監視し、非常時にはアカウントを自動で無効化する仕組みを構築しています。また、 (3)の端末にはEDRに加え、MDR*7を採用し、(4)ではイミュータブルバックアップにランサムウェア検知機能を追加しました。
　再発防止策だけでなく、日頃から用意しておくべき備えもいくつかあります。まず、復旧作業にも、感染PCの業務を代行するにもクリーンなPCが大量に必要です。再感染リスクから社内ネットワークが使えず、メールやグループウェアも使えなくなります。当社では、廃棄前の旧PCを使い、ネットはモバイルWi-Fiやスマホのテザリングで代用し、部署間の問い合わせにはチャットボットを用意しました。サイバー保険への加入を検討するのも良いでしょう。
　ランサムウェアには、当社より人員もIT予算も多い大手企業でさえ被害を受けており、４つすべての急所を守ることは容易ではありません。そのため、最悪の事態が起きた時に、身代金を支払うことなく早期に復旧できる体制をいかに構築するかが重要だと言えます。

＊1Active Directory
Windowsサーバーが搭載する、ID・パスワードやアクセス権を一括管理する仕組み。

＊2仮想デスクトップ
ユーザーごとのデスクトップ環境をサーバーから配信する仕組み。データ保管やアプリの実行はすべてサーバー側で行う。

＊3EDR
Endpoint Detection and Responseの略。従来型アンチウイルスソフトが侵入してくるウイルスそのものを検知して侵入を防ぐのに対し、侵入されるのを前提に端末の動作を常時監視し、不審な振る舞いを検知して振る舞い元を封じ込める。

＊4イミュータブルバックアップ
Immutable＝不変。一度書き込んだデータを指定期間変更できないバックアップ手段。

＊5ZTNA
Zero Trust Network Accessの略。VPNがリモートから社内ネットワーク全体へのアクセスを許可するのに対し、ZTNAは必要なアプリへのアクセスのみをその都度許可する。

＊6Secure Web Gateway
アクセス先のIPアドレスやURLをフィルタリングし、安全性の確認からアプリケーション制御までを行う。クラウド型とローカル型がある。

＊7MDR
Managed Detection and Responseの略。サイバー脅威の監視・対応を外部事業者が24時間365日代行するサービス。