全1795文字
PR

 「2020年度は新たなランサムウエアによる攻撃やサプライチェーン攻撃が目立った」――。このように話すのは「情報セキュリティ白書2021」の編集に携わった情報処理推進機構(IPA)の小川隆一セキュリティセンター セキュリティ対策推進部 シニアエキスパートだ。

 2021年7月30日にIPAが発刊した情報セキュリティ白書2021は、2020年度(2020年4月~2021年3月)に発生した情報セキュリティーに関する事柄を網羅的に取り上げている。この期間に発生したサイバー攻撃によるインシデント(事件・事故)や被害実態、セキュリティー政策の状況などを把握できる。

ランサムウエアによる攻撃が進化

 中でも新たな脅威として取り上げているのが「新たなランサムウエア攻撃」だ。ランサムウエアはパソコンの共有フォルダーなどに保管されたファイルを暗号化したり、画面をロックしたりしてパソコンやファイルを使用不可にするウイルスの総称。近年は「企業を標的にする新たなランサムウエア攻撃に注意が必要」と説明する(小川シニアエキスパート)。

新たなランサムウエアの攻撃手法
新たなランサムウエアの攻撃手法
(出所:情報処理推進機構)
[画像のクリックで拡大表示]

 企業を標的とした新たなランサムウエア攻撃は、2つの攻撃方法が使われているという。1つは「人手によるランサムウエア攻撃」である。これは標的型攻撃と同様の手口で攻撃者自身が様々な方法を駆使して企業ネットワークに侵入。その後、侵害範囲を拡大し、企業ネットワーク内のパソコンやサーバーをランサムウエアに感染させる。

 もう1つが「二重の脅迫」である。攻撃者はランサムウエアでデータを窃取してからファイルを暗号化し、使用不能にする。そして暗号化したデータを復旧するための身代金を要求するだけでなく、支払わなければデータを公開すると脅す。これが二重の脅迫である。窃取されたデータは、攻撃者がインターネットやダークウエブ上に設置したWebサイト(リークサイト)で公開される。

 こうした新たなランサムウエア攻撃への対策として、企業ネットワークへの侵入を防止する「攻撃対象領域の最小化」「アクセス制御と認証」などを紹介している。

 また白書では海外で発生した「サプライチェーン攻撃」も取り上げている。例えば2020年に発生した米ソーラーウインズ(SolarWinds)への攻撃だ。同社のネットワーク管理システム「Orion」を悪用したサイバー攻撃が仕掛けられ、米国の国防総省や国土安全保障省などの政府機関だけでなく、通信やエネルギー、自動車、IT、ヘルスケアなどの主要企業が標的となった。

 こうしたサプライチェーン攻撃を受け、米国では米国国立標準技術研究所(NIST)が「ソフトウエアを調達する際のガイドラインを策定中である」(小川シニアエキスパート)。今後は米国にソフトウエアを出荷する企業には影響が及ぶ可能性が高い。こうしたサプライチェーン攻撃の事例は押さえておきたい。