ランサムウェア攻撃はどこから来るのか：世界の 3 つの起源

「ランサムウェア攻撃はどこから来るのか：世界の 3 つの起源」は、公開された証拠に基づき、インターネットインフラストラクチャ、ガバナンス、運営上の依存関係、または市場の可視性に関連付けられているため、BTW Media によるプロファイル対象となっています。

• 2024 年の業界別ランサムウェアの標的トップ 5 には、教育、建設・不動産、中央政府・連邦政府、メディア・娯楽・レジャー、地方自治体・州政府が含まれます。
• 新しいランサムウェアの系統の 3 つの起源は、国家支援のアクター、犯罪組織、そして時に考えが足りないセキュリティ研究者です。
• サプライチェーン攻撃、トリプルエクスプロイテーション、サービスとしてのランサムウェア（RaaS）は、近年のランサムウェアの主なトレンドです。

たとえランサムウェアがまったく新しいサイバーセキュリティリスクではないとしても、世界中の主要政府は依然としてこの脅威に細心の注意を払っています。食料品の購入、車への給油、医療の受診といった人々の生活能力がランサムウェアによって影響を受けています。

近年、ランサムウェアの経済的影響もより顕著になってきています。サプライチェーンへの攻撃は、個人への攻撃よりも広範な被害をもたらします。ランサムウェア攻撃の拡大を遅らせるために、政府とテクノロジー企業も対応を強化してきました。

ランサムウェア攻撃の歴史

ランサムウェアは、1989 年に「AIDS ウイルス」が使用され、受取人から資金を脅し取った事件まで遡ることができます。その攻撃の支払いはパナマに郵送され、その後、復号鍵がユーザーに送り返されました。

1996 年、コロンビア大学の Moti Yung と Adam Young は、「クリプトウイルスによる脅迫」として知られるランサムウェアを発表しました。学界から生まれたこのアイデアは、現代の暗号化ツールの進化、強度、創造を示していました。Young と Yung は、1996 年の IEEE Security and Privacy Conference で最初のクリプトウイルス攻撃を発表しました。彼らのウイルスには、攻撃者の公開鍵が含まれており、被害者のファイルを暗号化しました。マルウェアはその後、被害者に対し、非対称暗号文を攻撃者に送信して復号鍵を解読し返送するよう促しました—ただし有料で。

あわせて読みたい：自動運転車はどのように機能するのか？

標的とされる業界

ランサムウェア攻撃は通常、医療、金融、製造、政府機関など、ミッションクリティカルな機関や組織を標的にします。場合によっては、他の影響とともに、ランサムウェア攻撃が医療機関での死亡率を高めることもあります。製造業には金属製品、自動車、産業機器などさまざまな種類の生産が含まれるため、ランサムウェアの標的とされる割合も高いです。金融機関もしばしば標的とされます。この場合、攻撃者は依然として資金と大量の機密ユーザーデータを盗むことを意図しています。2024 年 5 月まで、Camparitechの統計によると、合計 4013 件の追跡があり、平均身代金は 408,044 ドルでした。以下は 2024 年の業界別ランサムウェア標的トップ 5 です：教育、建設・不動産、中央政府・連邦政府、メディア・娯楽・レジャー、地方自治体・州政府。

ランサムウェア攻撃の主な発生源

ほとんどのランサムウェアは個人によって拡散されるのではなく、特定の悪意あるグループがランサムウェアソフトウェアを開発、改良、配布しています。Microsoft Digital Defense Reportによると、これらのグループの半数はロシアから来ています。イランと北朝鮮もランサムウェアグループの一般的な温床であり、米国が最も一般的な標的となっています。

新しいランサムウェアの系統の一般的な起源を知ることは、組織が攻撃から防御するのに役立ちます。それらは国家支援のアクター、犯罪組織、そして時に考えが足りないセキュリティ研究者です。

1. 国家支援のアクター

このシナリオでは、悪意あるアクターは、政府機関から金銭的、技術的、その他の支援を受けて新しいランサムウェアの脅威を作成します。それらのアクターは、そのランサムウェアを使用して政府機関の利益を促進する攻撃を行います。政府機関自体は攻撃を開始していないため、その事実を利用してもっともらしい否認を試みることができ、他国が報復を望む場合の政治的コストを高めることができます。

2021 年 5 月、The Hacker Newsは、セキュリティ研究者がイランのイスラム革命防衛隊（IRGC）によって運営されている国家支援のランサムウェアキャンペーンを検出したと報じました。このキャンペーンを発見した人々は、IRGC がそれを、金銭目的のランサムウェアグループの戦術、技術、手順（TTP）を模倣する偽装手法として使用し、帰属をより困難にしているのではないかと疑っていました。

2. デジタル犯罪組織

すべてのランサムウェア活動が政府機関からの直接的な支援を受けているわけではありません。しかし、支援はさまざまな形で行われます。Threatpostが指摘するこれらの「私掠船」は、政府機関からの一定の保護を受けながら、自らの金銭的アジェンダに従って行動します。

The Washington Postによると、REvil の開発者はロシアを拠点としているようであり、同国は歴史的に自国内で活動するデジタル犯罪グループを見て見ぬふりをしてきました。ランサムウェアの作成者はその保護を利用して RaaS スキームを形成し、身代金の 20〜30％を受け取り、アフィリエイトは攻撃の実行、データの窃取、暗号マルウェアの起動を担当して残りを受け取りました。この取り決めにより、REvil ギャングは 2 年間で 1 億ドルを稼ぎ出しました。

3. 考えが足りないセキュリティ研究者

長年にわたり、セキュリティ研究者は「教育目的」でランサムウェアのようなプログラムを開発してきたことがありました。Hidden Tearがその例です。2015 年 8 月の出現時、その作成者はユーザーに対し、「ランサムウェアとして使用しないでください」と警告し、「たとえ無実であっても、Hidden Tear を実行するだけで司法妨害の罪で刑務所に行くことになります」と明言しました。

あわせて読みたい：ジェフ・ウェイナーとは誰か？LinkedIn の元 CEO は「共感経営」の典型

2024 年も続くランサムウェアのトレンド

近年、2024 年以降も続くとみられるいくつかの主要なランサムウェアトレンドが現れています。以下は近年のランサムウェアの主なトレンドです：

サプライチェーン攻撃：単一の被害者を攻撃する代わりに、サプライチェーン攻撃は影響範囲を拡大します。その一例が、Progress Software のMoveit Transfer ソフトウェア製品のエクスプロイトで、Clop ランサムウェアギャングによる大規模なランサムウェア攻撃につながりました。ここ数年、少なくとも 1500 のマネージドサービスプロバイダーの顧客に影響を与えたKaseya 攻撃やSolarWinds ハッキングなど、複数の同様のインシデントが発生しています。

トリプルエクスプロイテーション：かつてのランサムウェアは、システム上の情報を暗号化し、復号鍵と引き換えに身代金を要求するものでした。ダブルエクスプロイテーションでは、攻撃者はデータを別の場所にも外部に持ち出します。トリプルエクスプロイテーションランサムウェアでは、支払われなければデータを漏洩すると脅します。トリプルエクスプロイテーションは、サンフランシスコ・ベイエリア高速鉄道システムへの攻撃で Vice Society を含む複数の脅威アクターによって使用されています。

サービスとしてのランサムウェア（RaaS）：すべての攻撃者がランサムウェアのコードを自分で書き、独自の一連の活動を実行しなければならない時代は終わりました。RaaS は従量課金制のマルウェアです。攻撃者は、ランサムウェアキャンペーンを開始・維持するために必要なランサムウェアコードと運用インフラを提供するプラットフォームを使用できます。

ランサムウェアは、すべてのデータを暗号化するか、コンピュータからロックアウトするマルウェアの一種です。ランサムウェアがすぐに終息することもありません。ランサムウェアは、いくつかの異なる方法で進化し続けるでしょう。ランサムウェアから防御する最善の方法は、フィッシングの試みを認識して回避し、コンピュータにアンチウイルスソフトウェアをインストールし、すべてのファイルをバックアップすることです。