近年GDPR（一般データ保護規則）やCCPA（カリフォルニア州消費者プライバシー法）、NYDFS（ニューヨーク州金融サービス局規制）といったプライバシー規制が各国で更新され、今日のビジネスでは企業所在地を問わずこれらコンプライアンスへの対応も情報セキュリティ対策としての重要な課題となっています。
そんななか今回は、ニュース報道等でも見かける機会が多くなった「ランサムウェア」について、改めて概要や昨今の状況、そして組織のクラウド環境を保護する上で必要となるセキュリティ対策をどのように考えることが最善の一手となるか、といった内容をお伝えします。
様々な侵入経路から企業・組織のサーバーを狙うランサムウェア
ランサムウェアとは、それ自体に感染をしてしまうと感染したPC端末内のデータを暗号化してしまい、そのPC端末の利用者がデータへアクセスできなくなる状態に陥らせるというマルウェア（不正プログラム）の一種となります。
また、ランサムウェアの配布元であるサイバー犯罪者は、暗号化を解除して欲しければランサム（身代金）を支払うよう要求してくるという近年世界中で流行しているマルウェアとなります。
先日IPAより公開された「情報セキュリティ10大脅威2021」でも、ランサムウェアによる被害が前年から大きく拡大してきていることがうかがえます。
従来ランサムウェアは、個人・法人を問わずユーザ側のPC端末へOfficeデータなどに偽装したランサムウェアをメールに添付し、無作為の対象にばら撒き感染させる流れが主流でしたが、ここ数年サイバー犯罪者は、より確実に高額な身代金を得るべく、企業・組織のサーバーを狙う動きが主流となってきました。
また、対象サーバーへ感染をさせる手口も多岐に渡り、サーバー側の様々なソフトウェアの脆弱性を突いて感染させる手口や、リモートデスクトップ（RDP）やVPNといったリモートアクセスに関する仕組みを悪用してサーバーへ不正侵入したうえでマルウェアをサーバーへ直接設置するといった手口が多く確認されています。
国籍・企業規模・業種業態を問わないランサムウェアによる被害
これまで企業・組織側では万一従業員のPC端末がランサムウェアに感染してしまった場合に備え、データを復元できるよう定期的なバックアップによる対策を進めてきました。
また、近年で最も大規模なランサムウェアキャンペーンであったEmotetが、世界各国の警察や軍、諜報機関の連携によりテイクダウン（犯罪組織のインフラの壊滅）に至ったこともありクライアントPC端末を標的としたランサムウェアの被害は落ち着いてきました。
しかしながら、2019年頃よりRaaS（Ransomware-as-a-Service）と呼ばれるサイバー犯罪ビジネスが流行し出しました。
RaaSで主に使用されるランサムウェアは、感染後に対象データを一旦盗み出し、その後データを暗号化、身代金を支払わない場合には事前に盗み出した重要データをオンライン上に公開をするという二重恐喝をするタイプのランサムウェア（ダブルエクストーションランサムウェア ）を使用するという特徴があります。
例えばGDPRでは、企業所在地を問わず個人情報データの漏えいなどのコンプライアンス違反があった場合、最大2,000万ユーロの罰金を科されますが、サイバー犯罪者はこの規制を悪用し企業・組織のサーバーから盗み出した個人情報を「GDPRの罰金の10分の1を支払えばインターネット上へは暴露しない」という脅迫手口を使います。
つまりサイバー犯罪者側としては、これまでのデータバックアップによるランサムウェア対策を回避しながら、国籍・企業規模・業種業態を問わず個人情報を取扱っていそうな世界中のサーバーをターゲットとすることが可能となります。
日本国内企業のランサムウェアによる被害額は約2億2,800万円となり、これは世界2位となることからも対岸の火事ではないことがうかがえます。
所在地や企業規模を問わず日本国内の企業・組織側としても、早急にサーバーへのランサムウェア対策を進める必要があるといえます。
サイバーセキュリティリスクと対策
近年のランサムウェアをはじめとした企業・組織のサーバーを狙った各種マルウェアは、サーバーOSやミドルウェアの脆弱性、リモートワークが一般的となった昨今では、RDPやVPNなどの特権アカウントの悪用、またサプライチェーンを起点として感染を拡散させる手法など多岐に渡ります。
そんななか、AWSをはじめとしたパブリッククラウドサービスでは、利用者側が取り扱うデータに対して脅威への対策をしていく必要があります。
NHNテコラスでは、今回お伝えさせて頂きましたランサムウェアなどの不正プログラム対策ソリューションをはじめ、RDPなどの特権アクセス管理に関するセキュリティ対策、導入支援や運用面のサポートを含めたサービスを提供しています。
不正プログラム対策ソリューション
そもそも情報セキュリティ対策や管理策の実装をどのように考えればよいのかといったお悩みでも構いませんので、ぜひともお気軽にご相談ください。
AWSのセキュリティ対策について相談する
AWSのセキュリティ対策にオススメ！
コストパフォーマンスよく実現する方法
・with コロナ期における企業システムの直近の脅威について
・NHNテコラスで推奨しているセキュリティ対策
・中小企業のお客様におすすめできるサービス