KADOKAWAのサイバー攻撃事件から学ぶ！ランサムウェア対策

6月8日にニコニコ動画をはじめとするKADOKAWAグループサービスへのサイバー攻撃（データを暗号化して使えなくし、元に戻す代わりに金銭を求めるランサムウェア）が確認され、個人情報が漏洩するなど大きな問題となっています。14日にはKADOKAWAの夏野剛社長兼CEOがYouTube上で謝罪と状況の説明を行いました。22日、身代金を求める犯人と交渉しているとされる内部情報をNewsPicksがスクープ。28日にはロシア系ランサムウェアグループ「BlackSuit」から犯行声明が出されました。最初からKADOKAWAを標的にした計画的攻撃であると考えられます。

被害者でありながら、危機管理広報対応（会見を行わずYouTubeでのみの説明など）の是非、NewsPicksの記事が本当であれば、交渉内容はどこから漏れたのか？身代金は払われたのか？などKADOKAWAに対していろいろな指摘や疑問がネット上に飛び交っています。

最初の確認から2か月近く経った今でも現在進行中の犯罪であり、KADOKAWAもまだ大規模なシステム再構築に追われている最中です。ウィキペディアにも「2024年KADOKAWA・ニコニコ動画へのサイバー攻撃」と項目が立てられ、経緯などは随時更新されています。

ランサムウエア攻撃被害の半数は中小企業

KADOKAWAの混乱を、お金持ちの大企業だから狙われたのだと、他人事として流してはいけません。確かに犯罪組織からターゲットとして狙われる企業や組織もありますが、中小企業でもサイバー攻撃による被害は増えており、ランサムウェアによる被害も多いのです。医療機関ではランサムウェア攻撃を受け、電子カルテが暗号化されるなど被害が相次いでいます。医療機関のシステム障害は人命に関わるので、犯罪者からは身代金を要求しやすいとみられています。

警察庁サイバー企画課の報告書「令和５年におけるサイバー空間をめぐる脅威の情勢等について」によれば、ランサムウェア攻撃被害の52％は中小企業です。VPN機器からの侵入が63％、リモートデスクトップからの侵入が18％を占め、テレワーク等に利用される機器等のぜい弱性や強度の弱い認証情報等を利用して侵入したと考えられるものが約82％と大半を占めています。この報告書は都道府県警察から警察庁に報告のあった件数のみをまとめたもので、ランサムウェアに感染したのが個人所有のPCだったり、個人情報や重要情報の漏洩に至らず警察に報告していない事例も多くあるはずです。リモートワークが普及するにつれて、このようなサイバー攻撃にさらされるリスクも同時に抱えてしまっているのです。

私はシステムエンジニアでもITコンサルタントでもありませんので、サイバー犯罪について詳しく語ることは差し控えますが、専門知識があろうと無かろうと備えるべき事がこのKADOKAWAの事例からも見えてきます。

サイバー犯罪被害の多くは人為的なミスから

無差別に送られるフィッシングメールや偽サイトへの誘導広告など、私たちの日常には多くのウィルス感染源や地雷が存在します。普段気をつけているつもりでも、何気なく考えも無しにリンクを開いたり、ふと気が緩んだ時に添付ファイルを開いたりということがあるかもしれません。更には、先のコラム「選挙・投資・会議…どこでも潜むディープフェイク詐欺の巧妙な手口」でも取り上げたような生成AIを使った巧妙なサイバー犯罪も増えています。これらはいずれも、サーバーやPCのセキュリティの脆弱性を突く攻撃ではなく、人間の心の隙を突き、人為的なミスを誘う手法です。どんなに気をつけていても、極々希ではあっても一定の割合で起こりえることです。KADOKAWAのサイバー攻撃も、入り口は人為的なミスからだった可能性は否定できません。
まず、従業員の教育と意識向上に取り組むことは最低限必要です。

バックアップの重要性と保険での備え

ランサムウェア攻撃に遭ったときに、早急な復旧のためにもバックアップは必須です。定期的にバックアップデータを取得しておく必要があります。そして、サイバー攻撃による損害や賠償などに備えて、サイバー被害を補償する保険に入ることも忘れてはなりません。

過去に多かった無差別にメールで送りつけてくるランサムウェアの基本的な仕様は、感染したPCのデータを暗号化して金銭を要求するものでした。うっかりでもリンクや添付ファイルを開いてランサムウェアに感染してくれればラッキーという手法です。PC1台のデータだけが暗号化されて使えなくなったのであれば、そのPCを廃棄して新しいPCを購入し、バックアップから復元すれば多少の手間はかかっても業務を再開できます。ですから、PC購入金額を超えるような高額な身代金は要求してきません。

しかし、警察庁の報告書にもあるように、KADOKAWAの例のような二重恐喝（ダブルエクストーション）が74％を占めるようになっています。リークサイト（ダークサイト）上に盗んだデータを公開すると脅し、高額な身代金を要求します。単なる脅しだけでデータは抜き出せていない可能性もありますが、それはわかりません。更に身代金を支払ったからといってデータが復旧される保証はありませんし、抜き出されたデータが帰ってくるわけでもありません（その後さらに悪用されるかもしれません）。身代金はテロ組織や反社会的な組織などの資金源となる可能性もあり、払わないというのが表向きの社会の共通認識です。
バックアップさえ有れば、流出したデータについての交渉をしつつも、併行してデータの復元、業務の再開には漕ぎつけられます。

しかし、BlackSuitが「これはビジネスだ」と言っているように、自社が被る損失と天秤にかけながら身代金を払うという選択も否定できません。ただし、保険によっては、身代金は補償対象としないものもあるようです。

バックアップをネットから切り離す

せっかくのバックアップも、ネットで繋いでいてそこも感染すると同じ事です。バックアップ先は物理的に別な環境やネットワークから遮断された所、あるいはセグメントを分けられた環境などに置くことが重要になります。

電子帳簿保存法の改正により今年から「電子取引のデータ保存」が完全義務化されました。請求書や領収書はサイトからのダウンロードやpdfをメールでやりとりが普通になり、どの企業も膨大な数の電子帳票データを保存することになりました。ランサムウェアによる被害でなくても、この膨大な量の電子データが何らかの原因で失われたりしたらとんでもないことになります。紙の控えも無いので、決算さえままなりません。
昨年公開された『ミッション：インポッシブル／デッドレコニング PART ONE』では、AIがネットワークに侵入しデジタルデータやデジタルで管理される物全てが乗っ取られてしまうというストーリーです。AIの手により改ざんされたり消されたり悪用されたりしないために、重要なデータや情報を紙やアナログの記録装置に移行するという場面が出てきます。

これは極端な対応ですが、バックアップは物理的にも離れて異なった環境に置くことは重要です。バックアップも同じ場所にあったために、自然災害や火災・事故などで一緒にダメージを受けるということは過去にも多くの例があります。

DXを推進し、業務のデジタル化が進めば進むほど、バックアップの重要度が高くなります。意外にバックアップが盲点であることも多いので、今一度確認することをオススメします。