【セキュリティ】「新しい働き方」を狙うランサムウェアの脅威

• X（旧Twitter）にポスト（別ウインドウで開く）
• LinkedIn
• メール
• URLをコピー
• 印刷

目次

• Chapter 1：テレワークの普及で広がるランサムウェアの被害
• Chapter 2：犯罪者側が分業体制に。巧妙な脅迫の実状
• Chapter 3：“決して信頼せず、常に検証する”「ゼロトラスト」による防御
• Chapter 4：ゼロトラスト成功の鍵は、段階的導入とローカライズ
• Chapter 5：“運用者”としての知見に基づくDNPのランサムウェア対策

＜プロフィール＞
大日本印刷株式会社
情報イノベーション事業部 PFサービスセンター
セキュリティソリューション本部
佐藤俊介
1994年、ビジネスフォーム事業部（当時）配属。カードプリンター、ICカードセキュリティの企画販促を経て、2000年よりVisa/Mastercard等の国際ブランドの認定工場監査に対応。認証事業プロジェクトの立ち上げに携わった後、豊富な監査経験を活かし、2018年より金融や製造業を中心にセキュリティコンサルタントとして従事し、現在に至る。2012年には国内企業として初めて、PCI DSS（※1）の内部評価人の資格であるISA資格、およびPCI DSSの専門家と認められる「PCIP（Payment Card Industry Professional）」資格を取得。

2010年代初頭から、コンピュータウイルスの代表的な手口のひとつとして広がってきたランサムウェア。「Ransom」は身代金という意味であり、例えばメールの添付ファイルや文中のURLをクリックすることにより端末がマルウェア（悪意を持ったソフトウェア）に感染して内部のデータが暗号化されてしまい、その暗号を解除するための身代金が要求されます。

このランサムウェアの被害が近年拡大しており、独立行政法人情報処理推進機構（IPA）（※2）が毎年公表している「情報セキュリティ10大脅威」の2021年度組織部門の1位になっています。また、別の調査では、日本の組織の52％がランサムウェアの被害にあったと回答しています（図１）。

＜日本における被害状況＞

被害拡大の理由としては、年々進化してきた手口の巧妙化に加え、コロナ禍をきっかけとしてテレワークが普及し、社員が自宅環境からアクセスする機会が増えたことで、セキュリティリスクが高まっていることが挙げられます。

特に、社内と社外のネットワークをつなぐVPN（※3）の機器の脆弱性を突いて、社内に直接侵入する手口が増えています。その背景には、テレワークに急遽対応するために機器を導入したことで、必要なセキュリティ対策を施していないVPN機器を使っていたり、古いVPN機器を安易に転用したりといった状況があると言われています。

さらに近年、犯罪者側のリスクを分散するランサムウェアの分業型モデルRaaS（Ransomware as a Service）や、盗み出した情報をDark Web（※４）上のリークサイトで公開する多重脅迫といった新たな手法が一般化し、さらに被害が深刻になっています。

ランサム分業型モデルのRaaSは、ランサムオペレータ（ランサムグループ）が提供する「攻撃ツール」や「C&Cサーバ（※5）」、「RaaS基盤」などのサービスを使って、ランサムウェアアフェリエイト（攻撃実施者）が攻撃するモデルで、被害組織が支払う身代金が、ランサムオペレータとランサムウェアアフェリエイトの間で一定の割合で振り分けられます。

このように分業制の「犯罪のビジネスモデル」が構築され、ランサムウェアの攻撃インフラを提供するオペレータと実際の攻撃を行うアフェリエイトの役割を分担することで、攻撃規模の拡大とリスクの負荷分散を図っているのです（図2）。

また2019年頃から、企業に身代金を要求するだけでなく、「被害企業の機密情報や顧客情報などをリークサイト上で公開する」「オークションで情報を販売する」といった方法で、盗み出した情報を不特定多数に公開することをちらつかせ、身代金を支払わせようとする多重脅迫が増えています（図3）。

こうして、近年ますます脅威が高まっているランサムウェア。企業自身がその攻撃から機密情報を守るためには、どのような対策が必要なのでしょうか？

ランサムウェアをはじめとするサイバー攻撃の拡大・巧妙化を受け、いま特に注目されているのが「ゼロトラスト」という考え方です。

これまでのセキュリティ対策では、企業の情報資産を「信頼できる“内側”」と「信頼できない“外側”」に分け、その境界にあたる部分にファイアウォールなどの対策を講じる「境界防御」が一般的でした。それに対して、「すべての通信を“決して信頼せず、常に検証する”」というセキュリティモデルが「ゼロトラスト」です。

ゼロトラストが提唱されたのは2010年代初頭ですが、この考えに基づき、作業工程ごとに検証していくやり方は、業務を継続的に稼働させる「可用性」（※6）が低下することが敬遠されたのか、当時は広く普及しませんでした。その後、情報資産がクラウドやモバイル端末上に広がり、守るべき対象が増加・点在化していったことで境界防御の限界が指摘されるようになり、2019年頃からあらためてその価値が見直されています。現在この流れは、テレワークの普及によってさらに加速しています。

では、ゼロトラストの具体的な定義は、どのようなものでしょうか。アメリカの政府機関である国立標準技術研究所（NIST）は、実装のポイントとして次の項目を挙げています。

ゼロトラストの実装では技術面、運用面、可用性のバランスを取ることが重要ですが、難しい部分が多く、中でも、生産ラインに古い機器が残っていることが多い製造業や、カスタマイズが難しい基幹システムを運用している金融機関などにとっては、ハードルが高いのが現状です。そのためNISTのガイドライン（SP800-207）でも「段階的な導入をめざすこと」を推奨しています。

また、長く「性善説」に基づいて管理されてきた日本固有の企業風土の問題もあります。国内の職場に、「決して信頼せず、常に検証する」といったゼロトラストのような「性悪説」の考え方をそのまま持ち込むと、例えば監視カメラを導入の際には、「社員のプライドを傷つけ、労使問題に発展するのでは？！」といったさまざまな問題が生じかねません。グローバルな基準の軸は押さえつつも、職場ごとに正しく運用するための最適化（ローカライズ）がゼロトラストの定着には欠かせないのです。

ゼロトラストは多くの企業にとって、今後めざすべき理想形であることに間違いはありませんが、「この製品・サービスを導入すれば良い」といった、一朝一夕で実現できるものではなく、時間をかけて取り組むべき考え方なのです。

DNPがセキュリティソリューションを手掛けている背景は、「印刷」を通じてお客様の大切な情報を預かり、守り続けてきた創業以来の歩みにあります。1980年代にはICカード関連の開発に着手し、近年はICカードの国内トップベンダーとして、VISA、Mastercard、JCB、AMEX、銀聯などの国際ブランドが求める厳格なセキュリティ基準をクリアし、事業を拡大してきました。つまりDNPのセキュリティソリューションの特徴は、自身が“運用者”であることで培われた実践的なノウハウに支えられている点にあります。

そんな私たちDNPが顧客企業などに提案している「主なランサムウェア対策」は、以下の４つです。

１）ルータやVPNなどのネットワーク機器を最新化する
メールを経由した感染だけでなく、VPNやRDP（※7）機器を直接攻撃してくる近年のランサムウェアに対しては、これらの外部接続機器を必要に応じて最新のものに置き換えることや、ファームウェアのアップデートを適切に行うことが大切です。

２）“多重脅迫”の脅威には“多層防御”で対抗する
セキュリティ事故を未然に防ぐ多要素認証（※8）などの仕組みに加え、事故の発生後も想定しておくことが大切です。「検知」「対応」「復旧」といった要素もカバーする多層的な対策を講じる必要があります。

３）「新しい働き方」の環境を適切にリスク評価する
テレワーク環境やDX推進を急ぐあまり、セキュリティを軽視した例外ルールを設けているケースなどで、導入機器・サービスにリスクが潜んでいるケースが少なくありません。あらためて、自社内のセキュリティリスク評価（アセスメント）を適切に実施することが重要です。

４）社員のセキュリティ教育を見直す
「人」の意識改革も忘れてはいけないポイントです。クラウド上のデータ管理やVPNの適切な利用、トラブル時の対応といった、ランサムウェアの被害が発生することを前提としてセキュリティ教育を見直し、実施することが大切です。

これら4つのポイントは、国内企業の現状を想定したランサムウェア対策の第一歩ですが、中でも重要なのが３）の「新しい働き方」の環境のリスク評価です。新しい情報資産を含めた形でセキュリティリスク評価（アセスメント）を行い、現在のリスクを可視化することは多くの企業で実施できていないのではないでしょうか。現在のリスクをきちんと把握した上で、PDCAを回しながら段階的に対策を打ち立てていくことを検討してください。

特に最近は、テレワークの普及によって、「オンライン会議システムの添付ファイルがクラウド上に保存される」「不用意にパソコンの画面を共有するとスクリーンショットを撮られる」といった、新たなリスクが日々生まれているため、一層の注意が必要です。

また、企業風土に合ったセキュリティ対策という点では、ルールとして上から押し付けるのではなく、社員の業務に寄り添う視点が求められます。

例えば私たちは、情報を盗み出す不審者の侵入を防ぐ方法にもなる、「社員に来訪者への挨拶を習慣づけること」を提案するケースがあります。こうした社員一人ひとりができることが「セキュリティ対策」にもつながるということを、私たちは貴重な経験として学んできました。「ゼロトラスト」や「ランサムウェア対策」といった横文字の概念を、そのまま社員に押し付けるのではなく、その必要性や有効性を社員に理解してもらい、企業文化として定着をさせていくには、今まで以上にセキュリティ教育が重要となるのではないでしょうか。

テレワーク環境でも猛威をふるうランサムウェアですが、今後も働き方の変化に合わせて、さらに新たな脅威が生まれることが予想されます。

ゼロトラストはこうした脅威に対抗する有効な考え方である一方、企業の側にも長期的な視点と社員1人ひとりのセキュリティ意識の向上が求められます。自身もセキュリティの運用者として多くの技術・ノウハウをもつDNPは、その道のりを多くの企業や団体等とともに歩むパートナーとして、セキュリティ体制の構築・維持に貢献していきます。

※画像を押すと別ウィンドウで大きく表示されます。

• X（旧Twitter）にポスト（別ウインドウで開く）
• Linkdin
• メール
• URLをコピー
• 印刷