マルウェアのサブスク①

マルウェアが猛威を振るっている。今年だけでもトヨタ、パナソニック、ブリヂストンが被害にあっている。直訳すれば悪意あるソフトウェアのことであり、ウィルス型、ワーム型、トロイの木馬型、スパイウェア型と多種多様なソフトウェアがあり日々進化している。それらを活用し問題を引き起こす最たる例がランサムウェアである。身代金目的でサイバー攻撃に利用される。

最近の調査によるとランサムウェアの定額サービス（サブスク）を提供する販売サイトも確認されている。企業や政府機関へのアクセス権、偽サイト誘導スパム送信サービス、ATM用マルウェアなど、高額になるほど高度なサイバー攻撃可能となり、オプションでウィルス探知を逃れる対策などが利用できるなど、充実したサービスになっている。そのようなサイバー攻撃の定額サービスのことを、SaaSをもじって「CaaS（Crime as a Service）」「RaaS（Ransomware as a Service）」と言う。

提供元は自らが、サイバー攻撃の実行者になることを避けることができ、実行者が優先的に検挙される現状の法制度ではリスク回避になる上に、月額の安定収益と成功時の報酬上乗せが大きな収益源になる。成功するほどに価格は上がるためウィルス作成側の競争が激しくなり、よりサイバー攻撃のレベルが高くなるという構図である。

手口も巧妙化している。

当初はターゲット企業のシステムをダウンさせ、解除と引き換えに身代金を要求する攻撃が主であった、これを「第１の脅迫」と呼ぶ。

次に誕生した「第２の脅迫」は、ターゲット企業から抜き取った情報をリークサイドで暴露する方法である。放置すれば顧客からの信頼を失い、身代金を支払えば社会的に批判を受ける可能性もある。

「第３の脅迫」は、大量のデータを送り付けて企業のサイトやサービスを停止に追い込むDDoS攻撃である。

そして目立ち始めた新手の攻撃が「第４の脅迫」である。ターゲット企業の顧客や取引先を脅迫して身代金の支払が行われる可能性を最大限に引き上げる。昨年３月に発生した米国パイプライン最大手のコロニアルが攻撃されたケースでは、コロニアルのサービスを利用している学校が脅迫にあった。学校に届いたメールは「生徒の写真や個人データを公開されたくなければ、保護者に集団訴訟を起こさせろ。」という内容でコロニアルへ間接的な圧力をかけるものであった。被害が何重にも拡がってしまうのが特徴である。
対応する企業も様々な手段を講じている。外部に手を借りる方法である。友好的なハッカーや研究者に、自社サイトや製品の脆弱性を攻撃することで探ってもらうやり方である。深刻なバグや欠陥の発見には報奨金をだし経済的誘因を与える。Googleやスターバックスが導入しており、日本でもソニー、任天堂が公表している。ハッキングに協力する側は自身のスキル売込みにも繋がるため金銭以外の動機となる。
事前の対策として有効な手段は、情報が盗まれた際の被害を抑えられるような情報の細分化、攻撃される範囲が限定される社内ネットの細分化、復旧のためのバックアップ体制の構築が考えられる。しかしそれ以上に重要なのは攻撃された後の対応力である。安易な身代金支払いは犯罪組織への利益供与になると批判を受けやすい。また国によって犯罪組織との経済取引が法律で規制されているため、支払ったこと自体がその後の脅迫に繋がりかねない。原因や被害状況、復旧見通しを取引先や顧客に発信しながら、被害端末の遮断、ログの分析といった二次被害防止策を講じダメージを最小限に抑える対応が必要になる。

リモートワークの普及により、システムの脆弱性や旧式機器、サポート期間切れソフトウェアなどがサイバー攻撃にさらされやすく、旧式のサイバーセキュリティに頼る日本企業が格好の餌食になりかねないという報道があった。サイバー攻撃は日々進化しているという認識を持つことが急務である。