第6回テーマ　「ランサムウェア」

えっ、ランサムウェアのターゲットって大企業だけじゃないの？

小さな会社とはいえ、中村和人は社内の情報システムを任される担当者だ。セキュリティ問題に無関心であるはずもなく、2017年5月に世界中で猛威をふるったサイバー攻撃のことも知っていた。もちろん会社のセキュリティを守るのは中村一人の責任ではない。社員一人ひとりが知識を身につけ、防御に当たることが大切だ。社員からの質問には何でも答えようと身構えていた。

そんなときデスクに近づいてきたのが、総務部の加藤彩だ。

「中村さん、ランサムウェアって知ってます？」

「もちろんだよ」

「身代金要求って、なんかテレビの刑事ドラマみたいですね」

「実は、ランサムウェアってそんなに新しい手口じゃないんだ。その存在は1989年から知られているんだよ。メールなどに添付されたファイルやリンク先を開くとウイルスが実行されて、PC内のファイルが閲覧や編集できないように暗号化されてしまう。それを復元したかったら、“身代金を払え”と犯人に脅される。身代金は英語で ransom っていうから、ランサムウェアなんだ。今回はマイクロソフトのWindowsの脆弱性が見つかり、それを検証するためのソフトウェアを米国家安全保障局という政府機関が開発していたところ、これが悪意のハッカー集団の手に渡って悪用されたってわけだ」

「へぇ〜、生物兵器のカプセルがテロリストの手に渡っちゃって、世界が大混乱みたいな話？」

加藤はこの手のドラマや映画が好きなのか、と中村はふと思った。

「でもウチにはそんなの来てないですよね。身代金払えっていわれても、ウチみたいな中小企業に払えるはずもないし」

「身代金自体は少額だから、脅されて払ってしまった会社もあるんじゃないかな。でも今のところウチは大丈夫。これまで報道されている被害報告もほとんどが大きな企業や機関の話じゃないかな」

加藤はそれを聞いて、一安心した風だった。

翌日、その加藤が今度は血相を変えて中村のところにやってきた。

「た、大変ですよ、中村さん。私の友だちの事務所に身代金要求が来たんですって！」

「いったい、何の話だよ」

「ランサムウェアですよ。友だちのところはスタッフ5人の小さな法律事務所なんですけど、あるとき所長さんのファイルシステムがおかしくなって、大切なファイルが開けなくなっちゃったんですって。開こうとすると、鍵マーク付きの表示が出てきて、自動翻訳を使ったみたいな変な日本語で『貧しい人々のために無料イベントを開催するから、お金を支払いませ』とか出るんですって」

「うわっ、そいつは典型的なランサムウェアだ」

「この前、中村さん、狙われるのは大企業が多いって言ってたじゃないですか」

「そうなんだけど……。小さな企業や個人も安全じゃないんだな」

「ウチは大丈夫ですかね……」

他人事だと思っていた中村も、実は心の底では少し気になっていた。だが、アミダ社みたいな小さい企業が狙われるわけがないと、たかをくくっていたのだ。

中村は加藤の話を聞くと、あらためてランサムウェアについて真剣に調べだした。

加藤の友人を介して、法律事務所の所長さんに話を聞くことができた。ウイルスの感染ルートはいまだはっきりしないが、どうやら、メールの添付ファイル経由ではなく、所長さんが持ち出したノートPCで、モバイル接続を利用してインターネットに接続している間に、感染してしまったらしい。

「ウチにもしょっちゅう、“Invoice”など英文タイトルの迷惑メールが来ていて、その添付ファイルやリンク先はウイルスだから開いちゃいけないと自分も所員も気をつけていたんですが……」

と所長さんはしょんぼりと肩を落とす。

「添付ファイルだけじゃなくて、セキュリティが不完全なモバイル接続経由でウイルスが紛れ込むこともあるんだ」

中村は愕然とした。

1台でも感染した端末があれば、それを組織内のネットワークに接続したとたん、組織内の端末やサーバすべてにウイルスが感染することもありうる。そこから再び、組織外にウイルスが広がる可能性も皆無ではない。

もちろん、その法律事務所では身代金などは払わなかった。やむを得ないことだが、所長のPCの内容を全部初期化することになったが、幸いにも他の所員のPCは感染を免れたようだ。

「バックアップもちゃんと取っていなかったので、大切なファイルもお客さんとのこれまでのメールのやりとりも全部、消えてしまいました。今回はつくづくウイルスの恐ろしさを実感しました。中村さんのところも気をつけてくださいね」

と、青ざめた顔で所長は言うのだった。

中村は会社に戻ると早速、ランサムウェアを初めとする昨今のウイルス事情を解説し、それに対する防御法をまとめたメールを社内に発信した。もちろん、できるだけの対策はすぐに実行した。

そのスピードには、加藤も目を丸くして驚いた。

「ものすごい危機感を持っているんですね」と、加藤は中村の鬼気迫る仕事ぶりをそう感じた。

ランサムウェア対策で大切な基本姿勢は、まず「身代金要求に応じてはいけない」ということだ。身代金を払えば、攻撃者が暗号の解除をしてくれる保証はどこにもない。身代金を払うことで別のネット犯罪に巻き込まれる可能性だってある。

その上で、情シス担当者としてすぐにできることは、セキュリティソフトの導入とウイルス検知機能をオンにしておくことだ。それらはすでに実行済みだったので、中村は全社員のウイルス定義ファイルが最新のものに更新されているかどうかだけをチェックした。

メール経由での感染がやはり多いので、メールのセキュリティ機能を強化し、ウイルス検出機能とスパムメール対策機能を有効にするという手立ても行った。もちろん、ウイルス対策の基本中の基本、不審なメールの添付ファイルは絶対に開かない、不審なURLは絶対にクリックしないことをあらためて社員に周知させた。

今回のランサムウェア「WannaCry」については、マイクロソフトがWindows XPを含むサポート切れのOSにもセキュリティパッチを提供している。アミダ社ではすでにOSをWindows 10に統一しているが、中村は万が一に備えて全PCのOSをチェックし、セキュリティパッチが必要ないことを確認した。

今後のことも考えて、ファイルのバックアップ体制も再点検した。万一、ランサムウェアでファイルが暗号化されてしまっても、バックアップがあれば復旧できる可能性がある。社内のファイルサーバのバックアップ頻度を上げ、バックアップを常に最新の状態にしておくことで、ランサムウェアによる被害を最小限に抑えることができるはずだ。もちろんバックアップファイルは、社外のネットワークから切り離して保管しておくことは常識だ。

同時に、会社の重要書類を保存してある共有フォルダへのアクセス権限についても、チェック体制を強めた。いかにランサムウェアが巧妙に作られていても、共有フォルダでの編集や書き込み権限がなければ、中のファイルを暗号化することができない。万一、サイバー攻撃で個人のPCが使えなくなったとしても、水際で企業の重要書類の破壊・漏出だけは防ぐことができる。

「ランサムウェアといっても、過度に恐れる必要はないんだ。セキュリティの基本を毎日小まめにしっかりやっていれば、基本的には大丈夫。もちろん、モバイル接続でウイルスが侵入することもあるということがわかったから、いずれは、セキュリティベンダーが提供する統合的なセキュリティソリューションも導入する必要はあるだろうね。加藤さん、このあたりの情報を集めておいてくれないかな、僕もやるけれど」

と、中村は加藤に話した。

「わかりました。ウイルスの標的に会社の大小は関係ない。それがわかっただけでも、今回の事は得がたい体験になりました。あと、今回はうちが被害に遭ったわけでないのに、中村さん相当危機感がありましたよね。情シスというより、ウイルスから会社を守る警備隊みたいでした」

「それは褒めてくれているのかな（笑）。僕が思うに、加藤さんももう立派な警備隊の一員だよ」

「そうかもしれません。ということは、最終的にアミダ社をウイルスから守るのは私たち二人の役目ってことですね」

「そうそう、そういうことだね。これからも協力してアミダ社を守っていこう」

「はい、隊長！」

加藤は中村とそう話しながら、これからも彼の仕事を陰ながら支えていこうと思うのであった。

• サイバー攻撃は小さな組織や個人をも標的にする。
• 身代金を支払ってもファイルが回復する保証はない。けっして身代金を支払ってはいけない。
• OSの最新セキュリティパッチを導入する。
• セキュリティソフトを導入し、ウイルス検知機能を利用する。
• メールのセキュリティ機能を強化し、ウイルス検出機能とスパムメール対策機能を有効にする。
• 不審なメールの添付ファイルは絶対に開かない、不審なURLは絶対にクリックしないことをあらためて社員に周知する。
• 社内ファイルサーバのバックアップ体制を強化する。
• 共有フォルダへのアクセス権限を見直す。