ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その13（最終回）
皆様、こんにちは！
株式会社カチカのオフサイト＆コールドバックアップ業務担当の村島です！
今回も、毎度おなじみの文書を見ていこうと思います。いい加減これもそろそろ終わらせたいので。
今回で終わるか、次までになるかという感じになってきました。
一応リマインドのために書いておきますと、カウンターランサムウェア・イニシアティブという国際組織が発表した、ランサムウェアに対する対応のガイドラインです。
例によって画像で貼っておきますね。
「ストップ！ランサムウェア特設ページ」
より引用
これの赤丸の部分ですが
より引用
（以降、特記なき場合同資料からの引用とします）
これをずっと読んできているわけですが…頭のいい人たちが世界から集まって作った文書ですからねえ。密度が濃くなるのも宜なるかなという感じではあるのですが。
というわけで、これもラストスパートに入ります。気を引き締めてまいりましょう！
身代金の支払いについてです
実はこの項、大きな見出しがついてまして。
「身代金の支払いをしてもデバイスやデータへのアクセスが保証されるわけではないことに注意する」
という文章なんですが。
そうなんですよ。犯罪者が「●●すればやめてやるよ」なんていう言葉を言ったとしても、信じてはいけません。
結構有名なYouTuberさんだと思うんですが、kubotaさんという方がいます。本名が久保田康介さんで、職業は弁護士さんです。
だいたいのところ架空請求会社から「至急連絡せよ」というメッセージに応じてみるという動画を上げていらっしゃいます（正直、最近は少しマンネリ化している気が…）。
「あなたの口座が犯罪に利用されているとして凍結されかかっている。対応のためにカードを送ってもらえれば何とかなる」
とか何とか言ってカードを送るようにせっつくわけですが、返してもらえるわけないじゃないですか。
ランサムウェアの「カネを払えば～するのはやめてやる」というのもまたしかりと言うことです。はっきり言って、信じちゃう方も信じちゃう方でまた問題かなと思います。
私の母はですが、いま83歳なんですが、割とこの辺しっかりしているんですよ。なんでも、池袋のAUを名乗って「あなたの携帯電話の番号が国際犯罪組織によって買われてしまっている。ついては警察に電話して欲しい」と言われたんだそうなんですね。番号も言われて。ちょうど携帯の調子がおかしいことを気にかけていたタイミングとも重なったんで、自称警察に電話もしちゃったんですって。でも何か言うことがおかしいので「おたくさん、警察ということですけど、どこの警察署の何課の何という警察官さんですか？」と訊き返したら、向こうはプツッと電話を切ったそうです。
犯罪者側から見たら、詐欺にかけようとしているその相手が疑い始めたらもうそれ以降は難しいから時間の無駄ってことになるんでしょう。詐欺に限らず「カネ払え」系の犯罪は何でもそうですね。
さて、本文に入っていきましょうか。
復号鍵があっても修復するのは結構大変
20.復号鍵を入手できたとしても、すぐに通常の業務に戻れる可能性は高くない。複雑なネットワーク上での復号鍵の実行には時間がかかる。被害組織がバックアップにも復号ツールにもアクセスできる場合は、バックアップを使用する方が早いかもしれない。
そうなんです。復号鍵が手に入ったとしても、復号そのものに時間がかかるかも知れませんし、何かマルウェアが仕込まれていないかのチェックも必要でしょうし、その他諸々…。
バックアップを使った方が早いかも知れないってことは十分考えられるわけですね。
弊社としては、バックアップを使う方法、復号されたデータを使う方法の両方の選択肢をどちらも手放すべきではないと考えています。
そうなんですよね。バックアップが例えあったとしても、それにはウィルスがもう仕込まれていて、バックアップのタイミングがウィルス感染後発病前だったという可能性だって捨てきれないわけです。
というわけで、ふたつのラインを作って復旧にあたるべきだというのが弊社の主張ということになります。ラインというのは、復号鍵を使っての復旧とバックアップを使っての復旧です。
弊社の場合、もしバックアップをお預けいただければ、弊社内でウィルスチェックなども行っております。従って、ランサムウェア・インシデントが起こったタイミングより少し前の状態になってしまいますが弊社にお預けいただいているバックアップから業務を仮復旧させていただいて、復号やオンプレミスバックアップからの業務本格復旧を目指されるのが一番良いのではないか、ということをお勧めしております。どんなことでもそうですが、何者かと鬩ぎ合わなければならないとき、手段はひとつでは足りないのです。
以前にもお話ししたと思うんですが、私の祖父は村島誼紀という囲碁のプロ棋士でした。棋譜が残ってますので見てみますと、勝つときにはえげつない勝ち方をしています。やっぱりそれは攻め手をふたつみっつと持っているからのように見えるんですね。思考の訓練にいいですよ、囲碁。ぜひ始めてみて下さい。いまはネット上で遠隔地の人とも碁が打てますから、もしよろしければ私と対局して下さい。
まあちょっと雑談になりますけど、スポーツの中でも球技ですね。2チームが相手のゴールを狙いあう系。日本のテレビ局ってそれ系のテレビ中継がすごく下手ですよね。見る気なくすんですよ。
なぜかというと、日本では長い間スポーツ中継＝野球中継でしたから、お互いに相手のゴールを狙いあうというルールのカメラワークにノウハウが欠けているからだと思うんです。野球は攻守を交代しながら試合を進めるスポーツです。バッターが内野ゴロを打ったときに、外野の選手を見たい視聴者はいません。
だから野球では基本ボールを追っていればそれなりの映像になるんですが、お互いに攻め合う系はね。全体を俯瞰して「ボールをこういうラインで運べばいいんだよな」というのが視聴者にも伝わらなければいけないわけです。でも例えばサッカーとか、ボール持ってる選手を順番に映していくだけ。ゲーム進行がサッパリわからない。あとスター選手のアップだけの映像なんていらない。
その辺割とマシなのがお正月にありがちなラグビーなんですが…。
まあ、鬩ぎ合う系の発想トレーニングには囲碁がいいですよという話でした。雑談でしたすみません。
復号鍵があったとしても安心できない！
21.支払いを行って復号鍵を取得しても、インシデントの終息が保証されるわけではないことに留意することが重要である。被害組織は、侵害されたシステムがバックアップコピー又は復号鍵を使用して復元されたとしても安全であると推定すべきではない。バックアップコピーも侵害されている可能性があり、悪意ある行為者は、暗号鍵から復元されたシステムを将来の攻撃に対して脆弱なままにしている可能性がある。
これはまあ、これまで言ってきたことのまとめという感じがします。復号鍵を入手したとしてもバックアップから復旧したとしても安心はしないでね、ということですね。
バックアップもやられてしまっている可能性がありますし、犯行グループは貴社のシステムの弱点をそのままにしている可能性もあります。さらに言うなら、復号鍵そのものが新たなマルウェアである可能性すらあると考えられます。そういうときのために、少々古くても安全であることが保証されたバックアップというのは必要なのであると弊社は思っております。ぜひご相談下さい。どんな細かいことでも構いません。
犯行グループは、多分貴社のデータを手放しません
22.また、悪意ある行為者が盗まれたデータを削除するという約束を履行しない可能性があること、悪意ある行為者が実際に盗まれたデータを削除したかどうかを確認する手段がない可能性が高いことも考慮する必要がある。
データを盗む側の立場に立ってみれば、こんな美味しいものを義理堅く手放す必要はありませんよね。もう二重三重にしゃぶり尽くすわけですよ。
そして盗まれた側からすれば、本当に犯行グループが削除したのかしてないのかそれはわかりません。
犯罪者の立場に立てば美味しいですよね。
だからこそ、貴社はくれぐれも「安易な解決」を考えないようにっていうことになるわけです。
弊社がお力になれると思います。どうぞいつでもご相談下さい。
嵐のあとに
あと2項目です。頑張っていきましょう。
ここで話が変わりまして、
「インシデント後の評価：インシデントの根本原因を調査し、再発防止に必要な準備を行う」
ということになります。
23.侵害元を明らかにしないで支払いを行うと、その後に適切な緩和措置を講じても、組織は更なるインシデントリスクに晒される。組織は、侵害がどのように発生したかを独自に検証し、欠陥があれば修復するよう努めるべきである。
犯行グループが何者なのか、それをできる限り明らかにする必要があるということですね。
上記の久保田さんも、多くの架空請求詐欺業者に電話しつつ、電話で明らかにできる限り犯人のデータを明らかにするよう話を誘導しています。そういう姿勢が大事だということですね。
犯行グループと貴社との連絡をログとして残しておくことも必要でしょうし、どういう支払い方法を要求してきたのかは特に重要でしょう。その他犯行グループに関する情報は極力残しておいてください。
24.組織は、最初の侵入とそれに関連した脆弱性が修復されたかどうかも評価する必要がある。セキュリティ侵害の発生経緯を評価することは、将来のランサムウェア攻撃に対する防御力の強化に役立つ。これには、認証情報の管理、ネットワークの分離と区分化、オフライン/未接続のバックアップなどの予防策とリスク軽減策の実施が含まれる。
何もかも全て終わった一番最後にやるべきことについて書かれています。
とりあえず侵入されたということは、何らかの弱点があるからなのですから、そこはまず修復するべきです。
そして前項で述べたとおりに犯行グループの情報を集めたとして、このようなセキュリティ侵害の発生経緯はわかるわけですね。その中から、今後さらにセキュリティを強化していくにはどうすればいいかという教訓は得られるわけです。これは間違いなく得られます。なぜと言えば、繰り返しになりますが弱点があったから侵入されたわけで、最低1つの弱点は炙り出されたことになりますから。
そこを始めとして、貴社のシステムをもう1回見直してみましょう。案外穴が出て来るかも知れませんよ？
いや、それはそれとして実際、侵入者側に立って自社のシステムを見てみるというのは案外有効な手なんです。
実は私、将来途轍もなくお金に困ったら「パチンコ必勝法詐欺」をやろうかなあと考えることがありまして。
あんなのねえ？ひたすらSMSでメッセージを送りまくって、返事してきた人に適当なこと言えば終わりじゃないですか。
「勝てねえぞ！」って言ってくる人が万が一いたとしても「実はもっと有力な情報がありまして…」とか言って値段つり上げれば多分乗ってきます。パチンコ屋もパチンカスも日本の恥だと私は思ってますのでまとめて倒れてくれていいんですよ。問題発言かも知れませんが。
ただ、お金の受け取りと接触のための携帯電話の用意が難しそうです。お金の受け渡しで足がつきにくいと言えばレターパック等ですが、あれはターゲットが「お金送らなきゃ！」って思ってから実際送るまでにタイムラグがありますのでその間に冷静になられる危険性があります。銀行振込だと架空口座がいりますよね。仮想通貨とか？悪くはないけど面倒くさそう。
携帯電話に至ってはもっと難しいですよね。発信場所をある程度特定するのはそんなに難しいことではありません。複数のトバシ携帯を使って攪乱戦法をとろうか。
…というような具合で、逆に犯罪者の立場に立つとその犯罪全体の計画に穴や弱点が見えてくるということにもなるわけです。そこを狙えば、犯行グループのシナリオを崩壊に導くこともできるというわけなんですよね。
弱点の全くない計画なんてありません。だからこそ、そこを狙って首根っこを押さえてしまえば、犯行グループには何もできないわけです。
そのための具体策として
認証情報の管理
ネットワークの分離と区分化
オフライン/未接続のバックアップ
というのが挙げられているわけですが、これに限らずですね。上記しましたように「もし自分が仕掛ける側だったら、ターゲットのどこがどうだったら苦労するだろうか？」という視点で見ることも有効ですので、是非とも定期的に見直してみてください。
そしてオフライン/未接続のバックアップというのは弊社で承っておりますのでぜひご検討いただければと思います。前回、前々回のnoteで火災の事例を取り上げましたが、災害対策としても有効に機能いたします。
ランサムウェア・インシデント考察の総括
というわけで、長々とやってまいりました文書の読み込みなわけですが、まあ平均的に言えば「まあ言われてみればシンプルにそのとおりですね」というようなことしか書いてなかったと思われませんか？
ここでランサムウェアの全体構造をもう1回出しますね。
（この図解が載っていたページは削除されたようです）
タネのバレたマジックをやり続けるマジシャンほど哀れなものはないと言いますが、こうして対策をまとめた文書を読み解いたあとだったら、こういう図解も「なんだ、それだけのことか」って反応に変わっているんじゃないかなと私は期待しているのですが…いかがでしょう？
最後にこの言葉で締めたいと思いますが、カネ払え系の犯罪者は、被害者が冷静になることを何より怖れているのです。危ないと思ったときこそ冷静に！
では、今後また何か読み応えのある文章があったら一緒に読んでいきましょう。
今回はこれで。
今後ともよろしくお願いいたします。
目次
クラウドストレージと遠隔地バックアップの相互補完性
クラウドストレージのデータ消失に関する責任の所在
ディザスタリカバリ手順をあらかじめ決めておくべき理由
弊社でお取り扱いしておりますデータ・OSにつきまして
クラウドストレージのメリット・デメリット
Windowsからの乗り換え先になるか？ Linux MintとChrome OS Flex
バックアップの方法 オフライン・オンラインバックアップとは？
IPAの言うセキュリティ対策の基本を見ていきましょう！ その1
IPAの言うセキュリティ対策の基本を見ていきましょう！ その2
IPAの言うセキュリティ対策の基本を見ていきましょう！ その3
IPAの言うセキュリティ対策の基本を見ていきましょう！ その4
IPAの言うセキュリティ対策の基本を見ていきましょう！ その5
IPAの言うセキュリティ対策の基本を見ていきましょう！ その6
IPAの言うセキュリティ対策の基本を見ていきましょう！ その7
IPAの言うセキュリティ対策の基本を見ていきましょう！ その8
IPAの言うセキュリティ対策の基本を見ていきましょう！ その9
IPAの言うセキュリティ対策の基本を見ていきましょう！ ラスト
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！その2
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！その3
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！その4
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その1
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その2
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その3
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その4
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その5
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その6
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その7
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その8
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その9
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その10
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その11
─事件を解決せよ─ CASE2：Webサイトのデータが消えた Part 1
─事件を解決せよ─ CASE2：Webサイトのデータが消えた Part 2
今日はバックアップに関する最近の話題をつらつら語りたいと思います
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その12
─事件を解決せよ─ CASE3：火事でオフィスが焼失 Part 1
─事件を解決せよ─ CASE3：火事でオフィスが焼失 Part 2
今日はバックアップに関する最近の話題をつらつら語りたいと思います その2
オフサイトバックアップに関する最近の話題をつらつら語りたいと思います
バックアップがきちんとしていれば起きていなかった情報事故 その1
バックアップがきちんとしていれば起きていなかった情報事故 その2
中小企業のための簡単・安価なデータバックアップ戦略 その10
大企業における物理的媒体による遠隔地バックアップの重要性 その1
大企業における物理的媒体による遠隔地バックアップの重要性 その2
大企業における物理的媒体による遠隔地バックアップの重要性 その3