ランサムウェアとは？システム開発で必須のデータ保護と企業対策

こんにちは。Sun Asterisk クラウド支援サービス チームです。

ランサムウェア対策は、新規事業や新プロダクトの設計段階だけでなく、既存システムや基幹システムの運用においても欠かせない経営課題です。他社のインシデントを機に、自社サービスのセキュリティ要件やデータ保護を見直す企業も多いのではないでしょうか。本記事では、手口の巧妙化が進むランサムウェアの基礎知識から、システム設計・サービス設計段階で組み込むべきデータ保護対策までを解説します。

ランサムウェアとは？

近年巧妙化するランサムウェアの基本概念や恐喝手口、最新のサイバー攻撃動向を解説します。

ランサムウェアの定義

ランサムウェアとは、「Ransom（身代金）」と「Software」を組み合わせた造語で、データを暗号化して使用不能にするマルウェアです。攻撃者は復旧と引き換えに金銭を要求します。近年はシステム開発の初期段階からこの脅威を想定したセキュリティ対策を行うことが、企業の事業継続における必須要件となっています。

変化する恐喝の手法

従来の暗号化による身代金要求にとどまらず、データを事前に窃取した上で「支払わなければ機密情報を暴露する」と脅す二重脅迫が主流です。さらに、顧客へ直接連絡する三重脅迫、DDoS攻撃を組み合わせる四重脅迫など手口は悪質化しています。PdMや事業責任者は、情報漏洩を前提とした多層防御を検討しなければなりません。

RaaSや生成AIの悪用による攻撃の高度化

攻撃の分業化を可能にする「RaaS」の普及により、高度な技術を持たない犯罪者でも容易に攻撃を行える環境が整いました。また、生成AIを悪用して極めて自然な日本語のフィッシングメールを作成するなど、初期侵入の手口も巧妙化しています。最新の脅威トレンドを開発要件に継続的に反映する体制が不可欠です。

併せて読みたい：生成AIの開発事例｜コスト削減や業務効率化に成功した実例を解説

攻撃の手法と侵入プロセス

ランサムウェアがどのような経路からシステムに侵入し、内部で被害を拡大させるのか、そのプロセスを紐解きます。

【初期侵入】公開サーバーの脆弱性やVPN機器の突破

多くの攻撃は、外部に公開されているサーバーやVPN機器の脆弱性を突いて始まります。パッチの適用漏れや設定ミス、推測されやすいパスワードがおもな侵入経路です。新プロダクトの設計段階においては、外部接点の脆弱性管理プロセスを厳格に定義し、多要素認証（MFA）を標準実装するなど、侵入の糸口を与えない設計が必要です。

【内部活動】ネットワーク内での横展開と特権IDの奪取

初期侵入を果たした攻撃者は、ネットワーク内部で数か月にわたり探索を行い、Active Directoryなどの特権管理者IDの奪取を試みます。特権を奪われると、セキュリティ機能の無効化やバックアップの破壊が可能になります。これを防ぐため、設計フェーズから最小権限の原則を徹底し、内部の不審な動きを可視化しなければなりません。

【持ち出しと実行】暗号化の前に実行されるデータの不正窃取

攻撃者はデータを暗号化する前に、重要機密や顧客データを密かに外部サーバーへ転送します。データの持ち出しが完了した後にランサムウェアを実行し、一斉にシステムを停止させて脅迫を開始します。大容量データの不審な外部送信を検知する仕組みや、データベース自体の暗号化が、サービス全体のセキュリティ評価において欠かせません。

感染時の被害と影響

ランサムウェア感染時に企業活動やステークホルダーへ及ぼす影響をまとめます。

長期にわたるサービス停止と甚大な機会損失

インフラや基幹システムが暗号化されると、サービスは完全に停止します。復旧には専門家の調査や安全性の確認が必要となり、数週間から数か月を要することも珍しくありません。この間の売上減少や機会損失、顧客への補償対応による財務的ダメージは甚大です。事業責任者はこれを経営リスクと捉え、BCPを策定しておく必要があります。

機密情報・個人情報の漏洩

二重脅迫により、窃取された独自のソースコードや顧客の個人情報が闇サイトなどに暴露されるリスクがあります。一度流出したデータを完全に削除することは不可能です。売上規模の大きい企業ほど標的となった際の影響は大きく、情報の機密性に応じたアクセス制御と、漏洩を前提としたセキュアなデータ配置の設計が不可欠となります。

併せて読みたい：アプリ開発のセキュリティ対策とは？情報漏洩を防ぐ設計と管理のポイント

法令違反（PPC報告など）のリスク

個人情報の漏洩やその恐れが生じた場合、個人情報保護委員会（PPC）への迅速な報告と本人への通知が法的に義務付けられています。対応が遅れたり不適切であったりした場合は、行政処分や罰則の対象となりかねません。ローンチ前からインシデント発生時のエスカレーションフローを整備し、ガバナンスを効かせる体制が必要です。

身代金要求への対応

攻撃者から高額な身代金を要求されても、原則として支払いに応じるべきではありません。支払ってもデータが完全に復旧する保証はなく、犯罪組織の資金源となり再攻撃を招くリスクが高まります。身代金交渉に頼らず自力でシステムを再稼働できるよう、強固な不変バックアップの運用と、迅速なリカバリ手順の確立が重要です。

ステークホルダーからの信頼失墜

大規模なシステム障害や情報漏洩はメディアで報道され、顧客や株主、取引先からの信頼を瞬時に失墜させます。特に新規事業の場合、ローンチ直後のインシデントはブランドに致命傷を与え、事業撤退を余儀なくされる可能性もあります。社会的な責任を果たすためにも、設計段階からセキュリティ投資を惜しんではいけません。

システム開発・サービス設計段階で組み込むべき必須のデータ保護対策

ここでは、新規事業やシステム開発の初期段階（設計フェーズ）から組み込んでおくべき、実践的なデータ保護手法を解説します。

ゼロベースで考える「ゼロトラスト」

従来の境界型防御から脱却し、「全ての通信を疑う」ゼロトラストの思想をシステム設計の根本に据えることが重要です。ユーザーやデバイスの正当性をアクセスごとに検証し、必要最小限の権限のみを付与します。新プロダクトの設計時からこの概念を組み込むことで、万が一の侵入時にも被害の拡大を最小限に抑えることが可能です。

ネットワークの分離

重要データが格納されたセグメントと、外部通信を行う一般的なセグメントを論理的・物理的に分離する設計が効果的です。これにより、ランサムウェアがネットワーク内を横展開して感染を広げるのを遮断できます。システム開発時に、本番・開発・検証環境を完全に切り離し、セグメント間の通信を厳密に制御する仕組みを導入します。

併せて読みたい：SREが求められる理由とは？基礎知識や実践のための指標、導入方法を解説

復旧の命綱となる「不変バックアップ」の設計

ランサムウェアはバックアップデータも標的にして暗号化を試みます。そのため、一度保存したデータを変更・削除できない「不変バックアップ」の設計が必須です。さらに、ネットワークから隔離した環境にコピーを保管する「3-2-1ルール」を徹底し、有事の際でも確実にシステムを復元できるリカバリ環境の整備が重要です。

開発・運用フェーズでのEDR／XDR導入

エンドポイントの監視を行うEDRや、システム全体を統合監視するXDRの導入が不可欠です。これらは侵入を防ぐだけでなく、侵入後の不審な挙動をリアルタイムに検知し、暗号化が実行される前にプロセスをブロックします。サービスの運用フェーズを見据え、未知のマルウェアにも対応できる高度な監視基盤をシステム要件に組み込みます。

迅速な検知体制

セキュリティツールを導入するだけでなく、アラートを24時間365日体制で監視し対応できるSOCなどの運用体制が必要です。インシデントの初期兆候を検知し、感染端末の隔離などの初動対応を自動化・迅速化する仕組みを構築します。他社事例を教訓に、検知から復旧までのインシデントレスポンス計画を策定しておきます。

併せて読みたい：業務システムのクラウド化とは？メリットや注意点をわかりやすく解説

ランサムウェア対策に関するよくある質問

現場の事業責任者やPdM、システム開発担当者から寄せられる、ランサムウェア対策の頻出する質問をまとめました。

新規事業のプロトタイプ段階から対策が必要ですか？

プロトタイプ段階であっても、実際の顧客データや独自のソースコードを扱う場合は対策が必要です。セキュリティを後回しにすると、ローンチ前に大幅な手戻りが発生しかねません。開発の初期段階からセキュリティを組み込む「シフトレフト」を採用し、将来のスケールを見据えた拡張性のあるデータ保護の設計が求められます。

併せて読みたい：新規事業の課題を乗り越える方法とは？立ち上げ初期の壁と人材活用のポイントを解説

万が一感染しデータが暗号化された際、身代金は支払うべきですか？

国内外の公的機関が推奨している通り、身代金の支払いは絶対に避けるべきです。データが復旧する保証はなく、かえって再攻撃の標的になるリスクが高まります。また、コンプライアンス上の重大な問題に発展する懸念もあります。支払いを検討する状況に陥らないためにも、堅牢な不変バックアップによる自力での復旧体制確立が不可欠です。

クラウドサービスを利用していれば対策は不要ですか？

クラウドを利用していても、対策は企業側の責任で行う必要があります。「責任共有モデル」に基づき、インフラの安全性は事業者が保証しますが、データやアカウントの管理はユーザーの管轄です。同期機能によってクラウド上のデータが芋づる式に暗号化されるケースもあるため、独自のバックアップや適切な権限管理が求められます。

併せて読みたい：クラウドセキュリティとは？最新リスクと対策、サービス選定基準を解説

まとめ

本記事では、巧妙化するランサムウェアの脅威から、システム開発で取り入れたい対策を解説しました。

ランサムウェアによる被害は、長期にわたるサービス停止、情報漏えい、取引先への影響、信頼失墜に直結する深刻な経営課題です。新規事業や新プロダクトの設計段階ではもちろん、既存システムや基幹システムの運用においても、公開サーバー、VPN機器、クラウド設定、Webアプリケーションの脆弱性を継続的に確認する必要があります。まずは自社環境のリスクを可視化し、優先順位をつけて対策を進めることが重要です。

株式会社Sun Asteriskでは、Webアプリ・スマホアプリ・クラウド・ネットワークを対象とした脆弱性診断サービスを提供しています。ランサムウェア対策の第一歩として、自社システムの侵入リスクや脆弱性を確認したい方は、ぜひ「脆弱性診断サービス」資料をご活用ください。

資料ダウンロード【無料】

第三者の視点でサイバー攻撃の脅威を未然に防ぐ 脆弱性診断サービスをご紹介した資料です。

Sun Asterisk 事例集

Sun Asteriskがこれまで手がけてきたプロジェクトを多数ご紹介しております。