ランサムウェアとは
ランサムウェアは、ファイルを暗号化したり端末を使用不能にしたりして、復旧と引き換えに金銭を要求するマルウェアです。英語ではransomware（ランサムウェア）と表します。
近年の攻撃では暗号化前にデータを持ち出し、公開すると脅すdouble extortion（ダブル・エクストーション、二重恐喝）もあります。暗号化しないデータextortionも区別して扱います。
画面に身代金要求が出た時点は攻撃の終盤です。その前にアカウント侵害、横展開、データ窃取、バックアップ破壊が進んでいる可能性があります。
影響を四つに分ける
ファイル暗号化、システム停止、仮想システム削除、アカウントロックで業務を止める。
顧客・従業員・設計・メールを外部へ複製し、公開を材料に脅す。
設定、ログ、バックアップ、セキュリティツールを削除・改変し、復旧と調査を難しくする。
受発注、医療、製造、連絡、法的報告、取引先接続まで停止・遅延させる。
侵入はメール添付だけではない
CISAの案内は、インターネット公開の脆弱性・誤設定、侵害された資格情報、フィッシング、第三者・マネージドサービスなど複数の初期経路を挙げています。Remote DesktopやVPNのパスワード再利用も入口になります。
一台の警告から、識別情報、VPN、リモート管理、クラウド、サーバー、バックアップへ時間軸を広げます。
暗号化前に高い権限を集める
攻撃者は端末内の認証情報を探し、ドメイン管理、仮想化、バックアップ、クラウドアカウントを狙います。セキュリティツールを止め、共有を列挙し、同時実行できる配布機能を悪用します。
通常管理とバックアップ管理を別アカウントにし、管理操作へフィッシング耐性MFA、専用端末、ネットワーク制限を適用します。
バックアップを本番アカウントから隔離する
本番サーバーから常時書換え可能なバックアップは、同じ攻撃者に削除・暗号化されます。オフラインまたは変更不可複製、別アカウント、別管理プレーン、複数世代を持ちます。
RPOは許容データ損失時間、RTOは許容復旧時間です。ファイル復元だけでなく、識別情報、DNS、証明書、アプリケーション、データベースの依存順で復旧演習を行います。
発見時は封じ込めと連絡を急ぐ
影響端末・セグメントをネットワークから隔離し、既知の悪意あるリモートアクセスと通信を止めます。組織のインシデント応答、経営、法務、プライバシー、保険、外部専門家、必要な公的機関へ連絡します。
電源断や一括削除は証拠と復旧手掛かりを失う場合があります。拡散の継続性と証拠保全を専門担当が判断します。
資格情報を安全な側から失効させる
侵害端末で新パスワードを入力せず、クリーンな管理経路からパスワード、セッション、API鍵、証明書を回転します。特にドメイン管理者、バックアップ、仮想化、クラウド、サービスアカウントを優先します。
一度に全部変えると復旧サービスが動かなくなるため、依存関係と変更順を記録します。
身代金支払を復旧計画にしない
支払っても完全な復号鍵、削除証明、再攻撃防止は保証されません。制裁・法令・保険条件など法的問題もあり得ます。個人判断で連絡・送金せず、組織の正式な意思決定と専門機関へ委ねます。
復旧は安全なバックアップ、再構築、代替業務、優先サービスの段階再開を中心にします。
クリーンrebuildで信頼を作り直す
既知の信頼済み画像からOSとアプリケーションを再構築し、パッチとセキュリティ設定を適用します。侵入より前で、マルウェアと不正設定を含まないバックアップを検査して戻します。
復旧環境を元の侵害ネットワークへすぐ接続せず、隔離セグメントで認証、監視、外部通信を確認します。
データbreachとして評価する
暗号化の有無だけでなく、どのデータへ誰がいつアクセスし、外部へどれだけ転送したかを調べます。ログが消されている場合は「証拠がない」と「流出していない」を同じにしません。
ランサムウェア対応は端末の復号作業ではありません。侵害識別情報を排除し、持出しを評価し、安全な管理基盤とバックアップから優先業務を再建する組織的なインシデント応答です。
ransomwareの予防と対応の確認資料：CISA「#StopRansomware Guide」、NIST「Ransomware Protection and Response」