モールス信号と二重恐喝：高度マルウェア脅威の現在地

ランサムウェアは企業ネットワークにとって馴染みの脅威であり、巨大なリスクと、さらに大規模でコストのかかる復旧作業をもたらします。成功したランサムウェア攻撃は、システムロック、身元情報窃取、データ人質化を招き、標的組織に混乱と災害をもたらします。

ランサムウェアが標的到達時、実質的にゲームオーバーです。マルウェアはファイルを暗号化し、システム全体に拡散して被害を最大化し、多くの企業にネットワーク封鎖を強いて伝播を阻止させます。

暗号化とハッシュ・難読化の違い

暗号化はあらゆる場所で使われますが、ハッシュ化やファイル難読化と混同すべきではありません。ハッシュ化と難読化技術は検出ツール回避に役立ちますが、ランサムウェアは暗号化によってデータを人質に取ります。

それぞれ異なる種類の暗号技術を使用します。現代的な対称暗号から非対称暗号まで、鍵なしでは逆操作を防ぐのが目的です。

進化する脅迫手法

多くのランサムウェア亜種は暗号化後に「特別なメモ」を表示し、ファイルを復号する唯一の方法は犯罪者のウォレットにビットコインを送ることだと要求します。しかし、一部のランサムウェアは復号可能であり、身代金を支払う必要はない、または負担がサイバー保険のみに及ぶべきではないケースもあります。例えば、2016年に最初に登場した古いマルウェア「Jigsaw」は、ファイル暗号化に使用した鍵をソースコードに含んでいます。今年、モールス信号内でこのタイプの攻撃が再び現れたのを確認しました。これは、マルウェアが進化し続けても、犯罪者は機能するものなら何でも使うことを証明しており、企業は進化する脅威だけでなく、古い攻撃手法にも注意すべきだということです。

最近の攻撃はデータを暗号化するだけではありません。マルウェアは暗号化前に重要情報を窃取（エクスフィルトレート）することもできます。ランサムウェア防御が向上し、特に削除と復旧戦略が強化される中、ハッカーは盗まれたデータを新たなてことして被害者を脅迫し、身代金を払わなくても脅せるようにする「二重ランサムウェア脅威」を生み出しています。

脅威アクターが「二重恐喝（ダブルエクストーション）」モデルを採用しているのを最近観測しました。ターゲットのデータを暗号化し、返却のための身代金を要求するだけでなく、被害者に身代金支払いを圧迫するための追加的な支払いインセンティブを活用します。一部の脅威アクターはさらに標的型アプローチを取り、データを公開またはオークションにかけると脅迫し、被害者が支払わない場合に実行します。これはEUのGDPR（一般データ保護規則）や数百のデータプライバシーポリシー・法令におけるコンプライアンス違反リスクを浮き彫りにします。2021年「最も悪質なマルウェア」リストにあるContiとREvilは、身代金が支払われない場合、ダークウェブサイトに漏洩データを公開することで知られています。

サイバーレジリエンス強化の鍵：堅牢なバックアップ戦略

サイバーレジリエンス（攻撃に耐え、データへの継続的アクセスを確保する能力）を改善する重要な方法は、堅実なバックアップ戦略を持つことです。しかし、組織が要件を明確にリストアップ・特定せず、手順を定期的にテストせず、最悪の瞬間に大規模な失敗を防げなければ、努力は徒労に終わります。

データ保護はすべてリスク軽減です。最も包括的な計画を立てるために、自分自身にいくつかの重要な質問を投げかける必要があります：

• データがビジネス運営や収益とどう結びついているか、アーカイブが必要か？
• データがレガシーシステムにあり、規制フレームワークの対象となり、漏洩時にペナルティリスクを負うか？
• ビジネスが機能できないデータは何か？
• そのデータ復旧にどれくらい時間がかかるか？
• 完全復旧にいくらかかるか？

サイバー犯罪者はアプローチを洗練させ、異なるビジネスモデルを試し続けます。進化するランサムウェア攻撃は、サービスとデータストリームの可用性に巨大なストレスを与えます。

これらの敵対者は、間違いなく被害者への圧力を最大化し、支払い獲得確率を高める追加の方法を探し続けるでしょう。しかし、強力なサイバーレジリエンスプラクティスを今すぐ、そして将来にわたって導入することで、今日あなたにとって最も価値のあるものを守る力を得られます。

David Dufour氏はWebrootとCarbonite（OpenText傘下）のサイバーセキュリティおよび脅威インテリジェンスエンジニアリング担当バイスプレジデントです。