Ransomware (ランサムウェア) とは — 仕組み・事例・対策

「ランサムウェア」と呼ばれるものには複数の異なる人質モデルが含まれる。

ランサムウェアの経済的レバレッジは 10 年で段階的に拡張してきた。身代金を払わせるための圧力源を増やし続けた歴史。

「払わなければデータを公開」モデルが確立した結果、バックアップから復旧できる組織でも身代金を払うケースが増加。これが Big Game Hunting (大型獲物狩り) と呼ばれる、企業を標的とした高額身代金型ランサムウェアの経済的背景。

現代の企業向けランサムウェアは、侵入から暗号化発動までに数日〜数週間かける。「素早く暗号化して終了」ではなく、十分な準備をしてから一斉発動するのが本質。

「ハッシュからパスワードを割り出すように、暗号からも鍵を計算で出せないのか?」 — 答えは「現代暗号の設計上、原理的に不可能」。理由を AES + RSA ハイブリッドの構造で見る。

結果として、暗号化されたファイルは次の構造になる: [ AES で暗号化された本体 ] + [ RSA で暗号化された AES 鍵 ] + [ ファイル ID / 拡張子 ]。

「速度 (AES) と公開鍵管理 (RSA) を 2 段で解く」ハイブリッドは TLS / PGP / SSH など現代の暗号通信全般で使われる正統的な設計。ランサムウェアはまさにこの「正しく実装された暗号」を悪用しているため、技術的に「解く」ことは原則できない。

被害者の現実的な復号経路 #

1. 身代金を払う — 鍵が来る保証はないが、主要 RaaS は信用維持のため大半は鍵を提供
2. 法執行機関が攻撃者を制圧 — REvil (2022 FSB) / LockBit (2024 NCA) / ALPHV (2023 FBI) / Hive (2023 FBI) で押収鍵が公開
3. 内部リーク — Conti (2022 ウクライナ侵攻支持後にメンバーが内部資料を全公開) のように内紛で鍵が出る
4. 実装バグ — 古いランサムウェア (2014〜2017 期) は弱い鍵生成で解読ツールが No More Ransom Project で無料公開 (200+ 種類)

重要インフラ・医療・公的機関への攻撃が 2024 年でも止まらないのが現実。Colonial Pipeline / Change Healthcare は「ライフラインが ransomware で停止する」ことを社会に見せつけ、各国政府が国家安全保障問題として扱う契機になった。

主要な Ransomware-as-a-Service グループの 5 年。

「潰しても新しいブランドで出てくる」モグラ叩き状態が続く。LockBit takedown (2024) のような大規模作戦は短期成果は出すものの、主要メンバーが制裁逃れの国にいる限り継続できる構造的問題が残る。

FBI / CISA / NCSC / Europol は一貫して「払うな」を勧告。理由:

• 次の被害者を生む — 身代金が次の攻撃の原資になる
• 支払っても鍵が来る保証はない — 新興・wiper 偽装では出ない
• 「払う組織」とマークされる — リピート攻撃の標的になる
• OFAC 制裁 — 米国では制裁対象グループ (北朝鮮 Lazarus, ロシア Evil Corp 等) への支払いは違法

法整備の動き #

• オーストラリア (2024) — 重要インフラ・大企業の身代金支払を 72 時間以内に政府報告義務化
• 米国 CIRCIA 法 (2022 成立, 2026 完全施行予定) — 重要インフラの身代金支払を 24 時間以内報告
• 完全禁止の議論 — 米国・英国でランサム支払い完全禁止の議論が継続中。「攻撃の経済的インセンティブを断つ」派と「中小企業が事業継続できなくなる」派で対立
• 保険業界 — Lloyd's of London は 2023 年から「国家攻撃由来の ransom」を補償対象外

現実的な意思決定の軸 #

1. バックアップから復旧できるか? (immutable / オフラインなら可)
2. 流出データの致命度は? (Double extortion なら鍵を貰っても流出は止められない)
3. OFAC 制裁グループか? (米国組織なら違反は刑事問題)
4. 業界への影響は? (「払う業界」と認識されると標的化が進む)

「Bitcoin で身代金を要求するなら攻撃者は捕まらない」という素朴な理解は、Chainalysis / TRM Labs / Elliptic といった暗号資産追跡企業によってほぼ崩壊している。Bitcoin / Ethereum はパブリックブロックチェーン = 全取引が永久に閲覧可能。

ランサムウェア攻撃者は追跡を逃れるため:

• mixer / tumbler サービス — 複数アドレスを混ぜて流れを隠す (が、Chainalysis の解析で多くは追跡可能)
• Monero (XMR) — 真の匿名性を持つ暗号資産。Bitcoin と違い取引内容が公開されないため、2022 以降の主要 RaaS が要求するケース増加
• OFAC 制裁回避 — 北朝鮮系は北朝鮮国内取引所経由で換金。違反時に国際送金システムから締め出されるリスク

ランサムウェア対策の根本は「払わずに復旧できる状態を作る」こと。防御の 4 階層:

Immutable backup の現実解 #

• AWS S3 Object Lock — 一度書いたら削除不可期間を設定
• Veeam Hardened Repository — Linux + immutable filesystem
• WORM テープ — Write Once Read Many
• 別ドメイン・別アカウントで運用 — Domain Admin の権限が及ばない隔離

検知のシグナル #

EDR の rollback 機能 — Microsoft Defender / SentinelOne / CrowdStrike はファイル変更を VSS や独自スナップショットで記録しており、暗号化された場合に変更を巻き戻せる (上限あり)。

No More Ransom Project は Europol / オランダ警察 / Kaspersky / McAfee が共同運営する無料の復号ツール集。過去 8 年で 200+ 種類の復号鍵を公開、150 万人以上が無料で復旧してきた。まず最初にこのサイトを確認するべき。

ランサムウェアは「正しく実装された暗号という良い技術を、悪い目的に転用する」ことで成立する 2010 年代以降のサイバー犯罪最大の収益モデル。1989 年 AIDS Trojan が祖先で、Bitcoin (2009) が決済を可能にし、CryptoLocker (2013) が産業化の起点、その後 Single → Double → Triple → Quadruple Extortion とレバレッジを増やし、Big Game Hunting で企業を週単位で停止させる規模に達している。

技術的には「現代暗号を悪用しているため復号は原理的に不可能」という性質が、被害者に「払う or バックアップから復旧」の二択を強いる。No More Ransom Project や法執行作戦で押収された鍵で救われる事例はあるが、主要な現代 RaaS には期待できない。

防御の核は「侵入されることを前提に、復旧能力を確保しておく」こと。3-2-1-1-0 + immutable backup + 復旧訓練が最後の砦、EDR + ネットワークセグメンテーション + Domain Admin Tier 隔離が侵入から発動までの数日〜数週間で攻撃を止める第二の砦。「身代金を払うか払わないか」は個社の倫理判断ではなく、社会全体のインセンティブ問題として、各国政府の規制と保険業界の縮小が支払い側に圧力をかけ続けている。