サイバー攻撃の最新動向を踏まえた事前対策と体制整備について ～ランサムウェアの事例から学ぶインシデントレスポンスの重要性～【RMFOCUS 第91号】

ランサムウェア攻撃の被害に遭った組織の経済的損失について公表されることは少ないが、平均2,386万円との調査結果をNPO日本ネットワークセキュリティ協会が公開している^1）。同調査結果では被害組織の多くがデータ消失による利益の喪失、機会損失を正確に把握できていないとの報告もあり、実際の経済的損失は上記平均値を上回ると想定される。
なお、2024年6月にランサムウェア攻撃により甚大な被害を受けた出版社は、約36億円もの特別損失を計上している^2）。

(２) 狙われる中小企業とその理由

これらのランサムウェア攻撃の事例や、警察庁が発行した「令和5年におけるサイバー空間をめぐる脅威の情勢等について」^3）で報告されているとおり、近年のサイバー攻撃の特徴の一つとして、グループ会社や業務委託先などの中小企業の被害が多い。
中小企業の被害が多くなっている理由の一つとして「セキュリティ対策にリソースをかけられない」ことがあげられる。中小企業は大企業と比較してセキュリティ対策にかける費用や人材などのリソースが不足しており、セキュリティ対策が遅れている傾向がある。例えば、製品を導入しても運用が追い付かずにプログラムの不具合や設定上のミスといったセキュリティの脆弱性を含んだバージョンを放置してしまい、結果として攻撃者に侵入されてしまったケースも多く存在する。
もう一つの理由として、サイバー攻撃のビジネス化により容易にサイバー攻撃を実行できる環境が整っていることがあげられる。これは攻撃側の役割や機能が細分化され、その個別の機能を攻撃者がさらに他の攻撃者に販売するというものである。具体的には、「被害企業への不正侵入の初期段階で必要となる情報や侵入経路を販売する者（Initial Access Brokers）」、「ランサムウェアの作成、実行環境を販売する者（Developers/Operators）」、「それらを利用して攻撃を行う実行犯（Affiliates）」など、様々な役割に応じて活動している。
また、これらの機能をまとめて、より簡単に攻撃を実行できるようにサービス化し、販売している攻撃者も存在している。これはRansomware as a Service（以下、「ＲａａＳ」）と呼ばれ（図１）、数年前から報告されていたが、昨今はこのＲａａＳを利用した攻撃が多く報告されている。
攻撃の実行犯はＲａａＳの使用料を払うことで簡単に攻撃を行えるため、あえてセキュリティ対策がしっかりしている大企業を狙うより、セキュリティ対策が不十分で簡単に金銭を窃取できそうな中小企業を攻撃のターゲットとする傾向がある。活発な活動が報告されているLockBit、ALPHV（BlackCat）などのランサムウェアグループもＲａａＳの形態を取っており、世界全体で被害が発生している。・・・