パソコンが突然起動しなくなり、見慣れない画面で身代金を要求された場合、単なるシステム障害ではなく、ランサムウェア感染の可能性があります。特にPetyaのようなランサムウェアは、ファイル単位ではなくシステムの起動領域そのものに影響を与えるため、被害が深刻化しやすい点が特徴です。

企業環境では、1台の感染が社内ネットワーク全体へと拡大し、業務停止や情報漏えいといった重大なインシデントに発展するケースも少なくありません。また、初動対応を誤ると、感染経路の特定が困難となり、再発防止や保険対応にも支障が生じるおそれがあります。

本記事では、Petyaランサムウェアの仕組みや感染経路、NotPetyaとの違いに加え、実際に感染した場合のリスクと対応策について、企業の実務視点でわかりやすく解説します。

Petyaランサムウェアとは

Petyaランサムウェアは、主にWindowsパソコンを標的とするマルウェアの一種です。2016年頃に確認され、一般的なランサムウェアのようにファイル単位で暗号化するのではなく、パソコンの起動に必要な領域へ干渉することで、システム全体を利用できない状態にする特徴があります。

感染後は、マスターブートレコード（MBR）を書き換え、NTFSのマスターファイルテーブル（MFT）を暗号化します。これにより、Windowsが正常に起動できなくなります。その結果、データ自体は残っていてもアクセスできず、利用者は画面上に表示される身代金要求に直面することになります。

出典：Bleeping Computer

Petyaと一般的なランサムウェアの違い

一般的なランサムウェアは、文書や画像などのファイルを個別に暗号化し、閲覧や編集ができない状態にします。一方、Petyaはファイルそのものだけでなく、起動領域やファイルシステムを狙う点が大きな違いです。

通常のランサムウェアではOS自体は起動できる場合もありますが、PetyaはMBRを書き換え、MFTを暗号化するため、PCそのものが起動しなくなることがあります。そのため、一般的なファイル暗号化型ランサムウェアよりも被害が深刻化しやすい点に注意が必要です。

出典：Bleeping Computer

Petyaランサムウェアの主な感染経路

Petyaへの感染は、不審なメール、不正な実行ファイル、脆弱性の悪用、盗まれた認証情報の悪用など、複数の経路で発生します。個人利用だけでなく、企業ネットワーク内での横展開にも注意が必要です。

不審なメールの添付ファイル

代表的な感染経路の一つがメール添付です。請求書や履歴書、業務連絡を装ったファイルを開かせ、マルウェアを実行させる手口が多く見られます。送信元が自然に見えても、本文や添付ファイルの内容に不自然な点や矛盾がある場合は注意が必要です。

不正な実行ファイル

PDFに見せかけた実行ファイルや、圧縮ファイル内に仕込まれたマルウェアによって感染する場合があります。業務で日常的にファイルを扱う環境では、拡張子の確認不足が被害につながる可能性があります。

侵害された認証情報の悪用

管理者権限を持つアカウントや共有アカウントの運用が不適切な場合、盗まれた認証情報を悪用され、別の端末やサーバーへ不正にアクセスされるおそれがあります。単純なパスワードや使い回しは、感染後の被害拡大を招きやすくなります。

出典：Bleeping Computer

NotPetyaとの違い

Petyaと混同されやすいのがNotPetyaです。名前は似ていますが、目的や拡散方法には大きな違いがあります。

2016年に確認されたPetyaは、身代金要求型のランサムウェアとして認識されていました。一方、2017年に大規模被害を引き起こしたNotPetyaは、身代金要求画面を表示するものの、実際には復旧を前提としない破壊型マルウェアと考えられています。

特にNotPetyaは、企業や公共機関に深刻な被害を与えたことで知られています。感染後は端末単体にとどまらず、ネットワーク全体へ急速に拡散し、業務停止や物流の混乱など大規模な障害に発展した事例もありました。

出典：CSIRT.CZ

Petyaランサムウェアに感染すると起こる主な被害

Petyaは一般的なランサムウェアとは異なり、ファイルだけでなくWindowsの起動領域にも影響を与える特徴があります。そのため、感染するとパソコンが起動できなくなるだけでなく、ファイルシステム全体にアクセスできなくなるなど、重大な影響が生じる可能性があります。

企業環境では複数の端末に感染が広がり、業務停止や情報漏えいといった重大なインシデントへ発展することもあります。

パソコンが起動できなくなる

Petyaは通常のランサムウェアとは異なり、起動領域（MBR）を書き換え、ファイルシステム（MFT）を暗号化します。

MBRはWindowsの起動処理に関わる重要な領域であり、この部分が改ざんされると、OSが正常に起動できなくなります。

その結果、ログイン画面まで進めず、起動時に偽のチェックディスク画面が表示されるなどの症状が発生します。

ファイルシステム（MFT）の暗号化

Petyaはディスク内のマスターファイルテーブル（MFT）を暗号化します。MFTはファイルの保存場所や管理情報を記録している領域であり、ここが暗号化されると、ファイル自体が残っていてもOSからアクセスできなくなります。

この状態になると、業務データや社内資料にアクセスできなくなり、システムの利用が困難になります。

身代金（ランサム）の要求

感染後、画面上にはランサムノートと呼ばれるメッセージが表示され、ビットコインなどの暗号資産による支払いを要求されます。支払期限が提示される場合もありますが、支払っても復旧できる保証はありません。

そのため、安易に支払いを行うと被害が拡大する可能性があります。

社内ネットワーク経由の拡散

1台の端末が感染すると、共有フォルダ、認証情報、脆弱な通信設定などを足がかりに、同じネットワーク内の端末へ感染が広がる危険があります。企業環境では、1台の端末だけで被害が終わらず、複数の端末やサーバーへ影響が波及する点が大きなリスクです。

企業活動への重大な影響

特にNotPetyaでは、過去に銀行、空港、電力会社、物流企業などの重要インフラにも被害が及びました。

大規模な感染が発生した場合、業務停止や顧客対応の遅延など、企業活動全体に影響が及び、結果として大きな経済損失につながる可能性があります。

当社では24時間365日、無料相談・診断・お見積りに対応しています。状況が曖昧な段階でも、お気軽にご相談ください。

Petyaランサムウェアの感染時対応

Petyaランサムウェア感染時に感染経路調査を行うメリット

感染端末の隔離や復旧を急ぐあまり、ログ削除や設定変更を先に進めてしまうと、感染経路を特定できなくなるおそれがあります。再感染を防ぐためにも、侵入端末・感染経路・社内での拡大範囲を時系列で把握することが重要です。

Petyaランサムウェアによる被害調査を行う場合は、専門業者に相談する

専門業者に相談することで、侵入端末・感染経路・社内での拡大状況を整理し、被害範囲をより正確に把握しやすくなります。調査結果は、対外説明や再発防止策の検討に活用できる報告書としてまとめることも可能です。