ゼロから分かるランサムウェア：現状と企業法務の対応策

０．はじめに

近年、サイバー攻撃への社会的関心が急速に高まっています。今年の7月には東京ガス子会社、リクルート、東京海上日動火災保険、NTTデータが立て続けに被害を受けました。さらに6月にはKADOKAWAがランサムウェア攻撃の被害に遭い、大きな社会的注目を集めました。
本稿ではサイバー攻撃の代表例であるランサムウェア攻撃の概要と対応の流れなどを説明したいと思います。

１．基礎知識

1.1. ランサムウェアとは何か

ランサムウェアは、身代金を意味する「ランサム」と「ソフトウェア」の造語で、データを暗号化したり窃取したりする不正プログラムを指します。このプログラムは、暗号化したデータを人質に取る形や、情報の漏洩や売買を脅迫材料にして身代金を要求します。

最近は、情報漏洩を脅迫材料とする「ノーウエアランサム」という手法も登場しており、暗号化の手間を省きつつ脅迫による利益を得ることが目的とされています。

1.2. どのように攻撃するのか

従来型のケースでは、メールに不正プログラムを添付し、これを開いた業務端末から感染を拡大させ、サーバを暗号化します。

ハッカーが企業のネットワークに侵入する最近のケースでは、VPN装置（Virtual Private Networkの略称。社外環境から仮想的に社内ネットワークに接続するためのゲートウェイ装置）やサーバの脆弱性（システムの欠陥）をついて接続します。

1.3. 境界型防御とゼロトラストモデル

最近のケースでハッカーに攻撃を許している原因は時代遅れの考え方である「境界型防御」にあります。

従来の「境界型防御」は、高い壁で外部からの侵入を防ぐことを目的としていました。しかし、一度壁を破られると内部が容易に侵害されるという弱点があります。この課題を克服するために、「ゼロトラストモデル」が提唱されました。これは、全てのユーザーやデバイスを信用せず、アクセス権限を都度確認する考え方です。

突破リスクのあるパスワードではなく端末で認証する（パスワードレス）、暗号化されても問題ないように３つ別個にバックアップをとる（３－２－１ルール）、社内のパソコンやサーバーへの攻撃を素早く検知する（EDR）など、さまざま手法でランサムウェア攻撃を対策するのが現在のトレンドになっています。

２．法務部門におけるインシデント対応

それでは、実際にインシデントが発生した場合、どのように法務部門は動くべきでしょうか。内閣官房内閣サイバーセキュリティセンター（NISC）が紹介している事例ケース２に基づいて時系列順に確認します。

2.1. 概要

• 多数の海外拠点を有するグループ企業B社は海外支店の機器の脆弱性を突かれてランサムウェアに感染したことを発端に、グループ企業内全てに被害が広がった。

• 境界型防御を突破されて、海外支店のみならず、国内のサーバも含めて暗号化されてしまった。

• インシデントへの対策チーム「CSIRT」（Computer Security Incident Response Team）が組成され、支援部門として法務部門も参加している。

2.2. 初日

時系列：IT部門がシステム障害を検知、ランサムウェア画面（ランサムノート）が表示されていることから攻撃を受けた可能性が高いと判断。CSIRTチームが立ち上がり、情報収集を開始した。

解説：法務部門として注視すべきは、個人情報や機密情報の漏洩リスクです。これが判明しない限り、具体的なアクションを策定することは難しいです。

ただし、検知後はIT部門があたふたしているので、この間に関係者（子会社含む事業部門、広報部門、法務以外のリスク管理部門）の招集や経営層への報告、海外含む法務部門との連携（特に個人情報保護法の担当者）、インシデント情報の整理を行い、側面支援を行います。

ランサムノートに身代金支払いを要求する記載があります。身代金の支払いはファイルが復元される保証がない、再度ターゲットになるリスクがあるという観点のみならず、外為法、テロ資金提供処罰法、アメリカ合衆国のOFAC規制等の法令にも違反する恐れがあるため、基本的に応じません。

2.3. ２日目

時系列：IT部門とCSIRTにて被害拡大の防止策を実行。各事業部門にて被害情報の収集が始まる。

解説：被害状況に応じて、具体的なアクションを検討します。

個人情報については、適用される準拠法に応じてどのような義務があるかを検討します。日本の個人情報保護法はもちろん、GDPRなどの海外の個人情報保護法もケアする必要があります。

社外関係先については、以下の項目を記載した第一報を準備します。IT部門はもちろん、事業部とも連携します。

• 概要（事象、日時、謝罪）

• 被害状況（関係先への影響、調査状況、漏洩の恐れのある情報）

• 問い合わせ窓口

また、影響のある社外関係先については、事案に応じて契約書の確認（生産停止に伴う債務不履行による損害賠償、不可抗力条項の適用可否等の検討）も必要になります。

2.4. ３日目

時系列：IT部門とCSIRTが感染場所を特定。事業部門では継続して被害状況を調査・復旧中。

解説：この前後の日が身代金支払いの締め切りになっていることが想定され、応じないとハッカーが犯行声明を行います。攻撃を受けたことが公になるため、問い合わせ対応を準備する必要があります。

広報部門と連携し、社外関係先への第一報用に集めた情報でプレスリリースを作成します。

また、プレスリリースと併せてFAQを作成します。「答えてよいこと」「聞かれたら答えること」「答えないこと」のそれぞれについて、回答相手の属性（一般人やマスコミ、社内、被害が無いと考えられる社外関係先、被害のある社外関係先等）ごとにマトリックスで回答案を用意すると良いです。

一部の大企業はランサムウェア攻撃の情報を普段から収集しているため、被害企業と取引があるとすぐに問い合わせします。回答が遅れると取引が停止される恐れもあるため、迅速に対応する必要があります。

2.5. ４日目以降

時系列：メディアに連絡し、ニュースリリースを発表。事業部門が被害状況を把握。

解説：攻撃源や漏洩した情報が判明するため、第一報の情報を更新し、必要に応じて第二報・第三報の発出を準備します。

個人情報保護法に基づく個人情報保護委員会への報告等もこの時期に実施することになりそうです。

最終的にはIT部門での対策と、社外関係先への影響内容に応じた個別対応を進めることで収束に向かっていきます。

３．平時の心構えとまとめ

3.1. 法務部門における平時における対策

法務部門が平時からインシデント対応に備えるためには、以下の取り組みが考えられます。

• CSIRTなどの組織体制への参加
  社内にCSIRTやインシデント対応体制が組織されている場合、法務部門も積極的に参加し、関係者間の連絡体制を整備することが重要です。IT部門や事業部門、広報部門を含む横断的な連携を図ることが求められます。

• インシデント対応演習の実施
  インシデント対応力を向上させるため、NISTの資料を参考に模擬攻撃シナリオを作成し、ランサムウェア攻撃を想定した演習を実施したいです。特定拠点での感染が始まり複数部門に影響が及ぶケースを想定し、初動や情報共有の流れ、法的論点を実践的に検証することが効果的です。

• 海外法務部門との連携
  海外子会社でのインシデント発生や現地の個人情報保護法への対応を想定し、グローバルな連携体制を確立しておくことも必要です。詳細については以下の記事をご参照ください。

• 契約条項の見直し
  契約書の不可抗力条項がランサムウェア攻撃をカバーするかを検討するのも有効です。ただし、双務に設定すると、相手方が同様の主張をするリスクもあるため注意が必要です。

3.2. これからのインシデント対応

インシデント対応を今後さらに進化させるための視点を挙げます。

• サプライチェーンの強化
  取引先へのサプライチェーンアセスメントにサイバーセキュリティ対応を含めることが想定されます。特に、ライセンス先や取引先が攻撃を受けた場合に自社情報が流出するリスクを軽減するため、事前のアセスメントが重要です。

• グローバルネットワークの構築
  グローバル企業の場合、特に脆弱性が生じやすい海外子会社に対する対応策を講じることが必要です。

• サイバー保険の導入検討
  損害を最低限に抑えるため、サイバー保険の導入を検討するのも一案です。保険適用には自社のインシデント履歴が調査されるため、事前準備が必要です。

3.3. まとめ

本稿ではランサムウェア攻撃をテーマに、企業法務における論点や対応策を考察しました。この分野は非常に多岐にわたり、法務部門のリスクマネジメント機能が一層求められることが明らかですね。
平時から以下の取り組みを意識して備えを強化したいところです。

• サイバーセキュリティや個人情報保護法に関するセミナーや研修への積極参加

• IT部門や海外法務スタッフとの日常的なコミュニケーションの充実

• 契約条項や社内規程の定期的な見直し

明日の法務裏Advent Calendarのご担当はコウモリIT法務さんです！

参考文献

０．はじめに
「日経ビジネス」株式会社日経BP 2024.11.11 16頁

1.1. ランサムウェアとは何か
田中啓介、山重徹著「ランサムウェア対策実践ガイド」株式会社マイナビ出版 2023.09.22 16頁
「日本経済新聞電子版」2023.09.21 11:30配信

1.3. 境界型防御とゼロトラストモデル
日経クロステック編集「ランサムウェアに負けない、ゼロトラスト大全」株式会社日経BP　2023.11.13　10頁、95頁、112頁、136頁

２．法務部門におけるインシデント対応
「ランサムウェア対策実践ガイド」254～257頁