想像してみてほしい：あなたの会社の従業員が、月末の財務報告に先手を打つために早めにログインしたとする。会社のファイル・ストレージにアクセスし、過去1ヶ月分の請求書を見ようとすると、突然、不吉なフォントで書かれた古めかしいポップアップ・ウィンドウが現れ、「あなたのファイルはすべて暗号化され、新種のランサムウェアによってロックされています」と告げられる！
深刻さが身にしみる前に、同僚からSlackにメッセージが届く。彼らも同じように不吉なポップアップメッセージを受け取った。会社全体がランサムウェア攻撃の被害に遭っている。
現在、過去1年間にランサムウェアを経験した組織の割合は47%にのぼり、これはあまりにも一般的な出来事となっている。ランサムウェアは一般的に、フィッシング詐欺のようなソーシャル・エンジニアリングの手口で侵入し、従業員を騙してマルウェアをダウンロードさせます。ランサムウェアがどのようなもので、どのように侵入してくるかは一般的に理解されていますが、組織の全員がランサムウェア攻撃後の典型的な復旧プロセスを理解することが極めて重要です。
ステップ1：封じ込め
ランサムウェアを検出したら、それ以上広がらないようにする必要がある。そのためには、基本的にネットワークをシャットダウンし、VPN接続を停止する必要がある。また、バックアップ・ドライブなどの外部ストレージ・デバイスもすべて切断する必要がある。
一般的に見落とされがちなランサムウェアの封じ込め戦略の1つは、古いファイルの保管、リサイクルボックスの空、電子メールのアーカイブ、システムパッチの適用など、自動化されたメンテナンスタスクを無効にすることだ。
しかし、より早く事態を収束させ、蔓延を食い止めれば、より早くすべてを修復し、業務を再開することができる。
ステップ2：記録と報告
ランサムウェアは犯罪行為であることを忘れないでください。お客様のビジネスや規制上の要件によっては、当局にインシデントを報告することが法律で義務付けられている場合があります。ベストプラクティスは、ランサムウェア攻撃中および攻撃後にITチームが行った詳細なアクションのログを開始し、ランサムウェアのメッセージの写真を撮り、影響を受けたすべてのシステムの詳細を記載した影響目録を維持することです。地元の警察から始めることもできますが、業種によっては連邦当局に連絡する必要があるかもしれません。
ステップ3：さらなる封じ込め
ランサムウェアに感染した場合、問題はこれだけではない可能性が高い。犯罪者は、システムへの不正アクセスから始まる多角的な攻撃の一環として、ランサムウェア攻撃を開始することがよくあります。さらなる被害を防ぐには、管理者パスワードをすべて変更し、ネットワークにアクセスできるVPNアカウントを無効にしてください。
ステップ#4：決断の時…払うか払わないか
身代金を払うか？従来の常識では、ノーである。このような悪質な行為を行った人物は、確かに報酬を得るに値しない。しかし、あなたのビジネスは今、出血しています。攻撃の影響にもよりますが、数千ドルから数百万ドルの損失を被る可能性があります。さらに、あなたの評判への影響も見逃せない。お金を払って生活をやり直したいという衝動に駆られるのは難しい。
その衝動に駆られる前に、いくつかの要素を考慮してください。まず、身代金を支払っても、ロックされたファイルへの即時アクセスは保証されません。支払い後、サイバー犯罪者はあなたに復号化キーを提供します。ロックされたランサムウェア・ファイルの復号化には時間がかかることで知られています。例えば、コロニアル・パイプラインのケースでは、身代金を支払ったものの、ファイルの復号化には非常に時間がかかり、事業継続と災害復旧計画に頼る方が理にかなっていることが判明した。
次に、サイバーの身代金を支払うと、即座に組織に「私を暗号化してください、支払います」という巨大な雄牛の目が付けられます。バラクーダネットワークスが実施した最近の調査では、回答者の38%がランサムウェア攻撃の繰り返し被害に遭っていると報告しています。身代金を支払うことは、ランサムウェアのギャングが繰り返しターゲットにする確実な方法です。
ステップ#5 バックアップからファイルを復元する
支払わないことを選択したと仮定すると、影響を受けたファイルを分離してアーカイブし、バックアップからすべて復元することになります。サイバー犯罪者はバックアップを無効にしようとすることが多いので、最初の攻撃でバックアップが影響を受けていなければ、これは成功です。
バックアップが最近の無傷なコピーで機能している場合、これが業務再開の最大のチャンスです。注意点としては、最近のコピー、あるいはすべてのコピーが暗号化されている可能性もあるので、まずバックアップを注意深く確認することです。
ステップ#6 将来の予防
ランサムウェア攻撃を経験し、システムとデータの復旧に成功した後は、今後の予防策を優先することが重要です。組織内で以下のことを強化または実施するために、積極的な対策を講じましょう：
- フィッシング・シミュレーション・テスト
- ダークウェブ・スキャンニング
- セキュリティ情報・イベント監視（SIEM）
- エンドポイント検出と応答（EDR）
- 高度なアンチウイルスソリューション
- 脅威の検出
- 安全なクラウドベースのバックアップ
- 高度なアーカイブ・ソリューション
* 詳細なコンテンツは英語のみでご利用いただけます。