身代金要求ウイルス「ランサムウェア」があなたの会社を脅す

企業活動が止まってしまうほどの被害をもたらすウイルス

独立行政法人 情報処理推進機構（IPA）では毎年、「社会的に影響が大きかったと考えられる情報セキュリティにおける事案」のなかから、IPAと専門家などが選出した「情報セキュリティ10大脅威」を発表しています。

その2023年版では組織（企業・団体）向けの脅威として「ランサムウェアによる被害」が1位に選ばれました。警察庁の発表によれば、令和4年の企業・団体におけるランサムウェア被害は届け出があっただけでも230件に及んでいます。

数年前から話題になり、その被害がニュースでもたびたび取り上げられる「ランサムウェア」。これはウイルスの一種です。PCやスマートフォンに感染すると、保存しているデータが暗号化されてしまいそのデータは使えなくなります。そのうえで、「暗号化を解除するために金銭や暗号通貨を支払え」と身代金を要求します。

場合によっては企業活動が止まってしまうほどの大きな被害をもたらすウイルスで、2022年には国内の病院が狙われて電子カルテなどが暗号化されてしまった結果、復旧までに2ヵ月以上診療や検査が滞る事態となりました。なかには身代金を払わないと暗号化したデータを公開すると脅迫されたケースまであります。

身代金の額は数百万円から数億円と高額で、支払いを拒否した結果、顧客情報を含む機密データがダークウェブ（盗難データなど非合法なものを取引するWebサイト）に流出してしまった事案も確認されています。

そして恐ろしいことに、標的は会社に限りません。不特定多数の個人PC・スマホを狙う場合もあるのです。

あなたができる対策は、まず怪しいメールに引っ掛からないこと

大きな被害をもたらすランサムウェアですが、感染のきっかけは一通のメールであることが珍しくありません。たとえばWebサービスの不具合通知などを装ったメールにランサムウェアへのリンクが紛れたファイルを添付する手口が知られています。

また、社内で使われているクラウドサービスの従業員アカウントを乗っ取り、その企業特有の言い回しやテンプレートを把握したうえで、ランサムウェアへのリンクを同僚や取引先などに成りすましたメールに仕込む、といった巧妙な手口もあります。

つまり、フィッシング詐欺同様、日頃から注意深くメールを観察することが対策になります。最近では場所を定めない働き方も推奨されていますが、自宅など気が緩むような場所でもメールだけは厳しくチェックしましょう。

一度の「うっかり」が企業を傾かせる原因になりかねないことを考えると、企業や部署単位でフィッシング対策トレーニングを実施することも重要です。そして、クラウドサービスのアカウント乗っ取りはランサムウェア被害につながりますから、パスワードの使いまわしや単純な文字列の使用も控えましょう。加えて、定期的にデータをバックアップすることで万が一の際にも復旧が容易になります。