お問い合わせ
大規模攻撃Cl0pランサムウェアは、2019年以降に初めて発見され、ここ数年で最も活発なランサムウェアの1つです。
このランサムウェアは、ファイルを暗号化し、ファイルを復号化のする代わりに身代金を要求し、さらに盗んだデータを運営するリークサイト上で公開するとして脅迫します。
この記事では、Cl0pランサムウェアの特徴と、被害に遭った場合の対処法などを解説します。ぜひ参考にしてください。
目次
Cl0pランサムウェアとは
Cl0pランサムウェアとは、2019年2月に初めて発見され、ロシアで開発されたCryptoMix ランサムウェアの亜種を指します。RaaS(ランサムウェアをサービスとして取引するビジネスモデル)として運用されているランサムウェアの一種です。
Cl0pランサムウェアは、金銭目的の攻撃者グループが利用している攻撃手段の一つです。あるセキュリティ関連会社の調査できた範囲では、2023年6月には世界各国でのランサムウェア被害で一番被害が多く、91件もの被害が発生した報告が出ています。
出典：malwarebytes-main-live-bypass.cphostaccess.com
Cl0pランサムウェアの特徴は以下のようなものがあります。
- Cl0pは「CL0P^_-LEAKS」と呼ばれるダークウェブ漏洩サイトを運営
- Cl0pランサムウェアはハッカーグループ「Cl0p」の攻撃手段の1つ
- 年間収益が 500 万ドル以上の組織をターゲットにしている
Cl0pが自組織で運営するダークウェブサイトで情報漏えいすると二重で脅迫
画像出典：unit42.paloaltonetworks.jp
Cl0pランサムウェアは、データを暗号化し、身代金の支払いを要求するだけでなく、リークサイト上で盗んだ情報を公開すると脅迫します。そのリークサイトは「CL0P^_-LEAKS」といい、ダークウェブ上に存在する情報漏洩サイトで、Cl0pによって運営されています。
復号化キーを受け取るために身代金を支払ったとしても、データが返ってくる保証はなく、リークサイトに情報を公開する旨を記した脅迫メールが追加で届く可能性もあります。
Cl0pランサムウェアはハッカーグループ「Cl0p」の攻撃手段の1つ
ハッカーグループの「Cl0p」は、金銭を目的として犯罪行為を繰り返す組織です。Cl0pランサムウェアはあくまでハッカーグループ「Cl0p」の攻撃手段の1つで、そのほかにも
ランサムウェア以外の攻撃として、攻撃者グループは以下のような攻撃の遍歴が確認されています。
- 2019年2月：スパムメールキャンペーンでウイルスを拡散
- 2020年：身代金を支払わない企業リークサイトに窃盗情報を公開すると脅迫
- 2020年4月：二重脅迫の手口を初めて実行
- 2021年11月Clopランサムウェアをペイロードとして配布
例えば、攻撃グループTA505の攻撃では、大規模なフィッシングキャンペーンの中の最終ステージとしてClopランサムウェアが利用されました。フィッシングキャンペーンによってランサムウェアがシステムに侵入した後、保存されているデータを盗み出し、データを暗号化していきます。データの復号化キーと引き換えに身代金を要求します。
ランサムウェアでの身代金の支払いに加えて、下記のような攻撃手法を用いて次々と金銭を要求してくる「多重攻撃」が実行されます。
身代金を要求された後の多重攻撃の例
- 身代金を支払わない企業に対してリークサイトに情報を公開すると脅す
- ターゲットの組織を指名してリークサイトに情報を公開すると脅す
- 企業の経営陣や顧客も含めて攻撃すると脅迫する
年々攻撃手法は多様化していますが、身代金の支払うことで被害が抑えられるとは限らないので、身代金は絶対に支払わないようにしましょう。
万が一Cl0pランサムウェアに感染した場合に、有効になるのがフォレンジック調査です。フォレンジック調査とは、コンピューターから証拠を収集・分析し、インシデントの詳細を解明する手法です。ランサムウェアに感染して情報が流出すると、個人情報保護委員会や被害を受ける本人に対して、正確な感染経路や被害範囲を調査して報告する義務が生じます。
報告を怠ることで、企業として信用を失うだけでなく、罰金などのペナルティーが発生するので、調査の専門業者に相談してすぐに調査しましょう。
年間収益が500万ドル以上の組織をターゲットにしている
ランサムウェアは基本的にセキュリティ上の脆弱性が目立つ中小企業を対象に攻撃するケースが多いですが、Cl0pランサムウェアは通常、年間収益が 500 万ドル以上の組織をターゲットにしています。
暗号化だけでなく、リークサイトで情報の公開をすると脅迫するのはターゲットにとって効果的です。組織は情報が公開されるのを防ぐために身代金を支払うケースがあるため、より収益の大きい大企業を狙った攻撃が確認されています。
ランサムウェアに感染して身代金を支払ったとしても、データの復号化・情報が公開されない保証はありません。また、身代金を支払った企業が再感染するリスクもあります。
ランサムウェア感染時は、身代金を安易に支払わず、サイバーセキュリティ専門家に相談することをおすすめします。専門家に相談することで被害調査から復号、対策について、適切な対処を行うことができます。
＼24時間365日受付 初動対応のご相談・お見積もり無料／
Cl0pランサムウェア感染時に発生すること
Cl0pランサムウェア感染時の症状は次のとおりです。
- 「Cl0pReadMe.txt」「README_README.txt」といったランサムノート（身代金要求画面）が表示される
- データが漏えいする
- ファイルが「.CIIp/.Cllp/.C_L_O_P」という拡張子に変更される
「Cl0pReadMe.txt」「README_README.txt」といったランサムノート（身代金要求画面）が表示される
画像出典：sensorstechforum.com
Cl0pランサムウェアに感染した場合、被害者は「Cl0pReadMe.txt」「README_README.txt」といったランサムノートが表示されます。
このファイルには、「システムが暗号化されたこと」「データをダウンロードしたこと」「連絡を拒否し合意しない場合、リークサイト上にてデータを公開すること」が記載されています。これは被害者に対して圧力を与え、攻撃者の要求に従わせるための脅迫文です。
ファイルが「.CIIp/.Cllp/.C_L_O_P」という拡張子に変更される
画像出典：www.pcrisk.com
Cl0pランサムウェアに感染すると、ファイルの拡張子が以下に書き替えられます。
- 「.CIIp」
- 「.Cllp」
- 「.C_L_O_P」
これにより、被害者は暗号化されたファイルにアクセスできなくなります。
データが漏えいする
Cl0pランサムウェアに感染すると、企業のシステム・業務が停止する可能性があります。また、感染して盗まれた情報は、外部に漏えいしている恐れがあります。企業はランサムウェア感染によって、プライバシー侵害リスクに直面します。風評・賠償などの多大な経済損失と、ブランドの信用損失が発生することがあります。
このような事態では、感染経路やセキュリティの脆弱性の特定、被害範囲の把握が必要不可欠になります。例えば、感染した機器のログなどを調査し、感染したマルウェアの種類や攻撃手法を明確にできます。他にも、デバイスのハードディスクやメモリからランサムウェアの侵入経路を調査し、復元することで攻撃の詳細を特定できます。これらの調査を「フォレンジック調査」といいます。
フォレンジック調査とは、コンピューターから証拠を収集・分析し、インシデントの詳細を解明する手法です。フォレンジック調査により、被害の拡大を防ぐための対策や、将来の攻撃を予防するための情報収集・分析などが可能になります。
私たちデジタルデータフォレンジックは、官公庁、上場企業、捜査機関等を含む幅広いインシデントに対応経験があり、攻撃に使用された侵入経路や漏えいデータを迅速に特定します。ご相談や詳細な情報については、いつでもお気軽にお問い合わせください。
Cl0pランサムウェアの感染経路とは
ランサムウェアの感染経路としては次のものが挙げられます。
- フィッシングメール
- システムの脆弱性の悪用
- リモートデスクトップやVPNから感染
ランサムウェアの感染経路を確認する方法は、下記の記事でも詳しく解説しています。
フィッシングメール
フィッシングメールとは、不正なマクロを含むファイルなどを添付した詐欺メールのことを指し、Cl0pランサムウェアを含んでいるフィッシングメールから感染する可能性はあります。
フィッシングメールの件名は、標的先企業に関係する事柄である場合が多く、企業に関連する組織から詐取したメール情報を流用し、気になって開くとランサムウェアに感染するパターンと考えられます。不審なメールやリンクを開かないように注意してください。
システムの脆弱性の悪用
Cl0pランサムウェアはシステムの脆弱性を悪用したゼロデイ攻撃によってランサムウェアに感染する可能性があります。Cl0pランサムウェアが脆弱性を突いて過去に被害が発生したシステムは以下のようなものがあります。
- SolarWinds Serv-U
- Kiteworks (Accellion)のFTA
- PaperCut
- Server Message Block（SMB）
- MOVEit Transfer(MOVEit Cloud)
データの送受信を行う際に利用しているシステムの脆弱性からサーバーをハッキングし、ランサムウェアに感染させるケースが多いです。感染させた後は、被害者のデータに直接アクセスしたり、ネットワークに勝手に侵入する可能性があります。
RDPやVPNから感染
RDP（リモートデスクトッププロトコル）を悪用した攻撃は、企業にとって深刻な脅威であり、RDPの脆弱性を悪用した攻撃は、ランサムウェア攻撃の過半数を占めています。特に安全でないパスワードを使うと、RDPの資格情報が盗まれ、ランサムウェアに感染する可能性があります。
安全でないパスワード：「password」や「123456」などの一般的な単語や数字の組み合わせ、個人情報（名前、誕生日、住所など）、一般的な単語やフレーズなど
RDPの脆弱性を確認する場合、デジタル端末を解析する「フォレンジック調査」を行うことで、脆弱性の特定、被害範囲の把握、再発防止策の検討に役立ちます。オンライン上にRDPを公開していると、総当たりで認証情報をクラッキングする「ブルートフォース攻撃」の標的になる恐れがあります。
VPNやRDPの脆弱性については下記で詳しく解説しています。
Cl0pランサムウェアの感染時の対応
Cl0pランサムウェア感染して対応を誤ると、再感染や情報漏えいなどのインシデントに遭遇する恐れがあります。また、そのままの状態で放置したり身代金を支払ってしまうと、ランサムウェア以外の攻撃被害を受ける可能性もあります。
よって過不足のないフローで適切な対応を取りましょう。Cl0pランサムウェアに感染した場合の対処法は次のとおりです。
- 端末をオフラインにする
- バックアップから感染前のデータを復旧する
- ランサムウェア感染調査に対応した専門業者を利用する
ランサムウェア感染時、企業がとるべき対応については下記でも詳しく解説しています。
①端末をオフラインにする
まずは、ネットワークから感染した端末を切り離す必要があります。これにより感染が広がることを防ぐことができます。
②リストアする（バックアップから感染前のデータを復旧する）
さらに、感染したサーバーのバックアップを確認し、最新のバックアップからデータを復元することができます（これをリストアと言います）。これにより、被害を回復することができます。
ただし、ランサムウェア感染時は、復旧だけではなく、攻撃経路の特定や、再発防止策の検討が必要となります。攻撃に遭った場合は「フォレンジック調査」を検討しておきましょう。
③ランサムウェア感染調査に対応した専門業者を利用する
ランサムウェア感染時は、感染経路を特定し、再発防止策を講じる必要があります。
特に「脆弱性」を悪用した攻撃を受けた場合、再度、攻撃を受けないよう、適切な対応を行うとともに、どの端末のどのデータが詐取されたのかを確認する必要があります。
法人の場合、個人情報の漏えいが疑われる際は、関係各所に向けた「被害報告」が必要ですが、自社調査だけでは客観性や正確性が担保できないことがあります。
たとえば、セキュリティツールはマルウェアを検知・駆除できますが、感染経路や情報漏えいの有無を適切に調査することはできません。したがって、Cl0pランサムウェア感染時は、感染経路調査に対応した「フォレンジック調査」を利用することが有効です。
◎フォレンジック調査を考えている方へ (お見積りまで完全無料)
フォレンジック調査は、DDF（デジタルデータフォレンジック）までご相談ください。
累計32,377件のご相談実績(※1)があり、他社にはないデータ復旧業者14年連続国内売上No.1のデータ復旧技術(※２)とフォレンジック技術を駆使してお客様の問題解決をサポートします。
✔不正アクセスの形跡があると報告された
✔ランサムウェアやマルウェア感染の原因がわからない
✔データが漏えいしているかもしれない
上記のようなご相談から調査項目/作業内容のご提案、お見積りまでは完全無料。安心してご相談ください。
＼24時間365日 相談受付／
※1 データ復旧専門業者とは、自社及び関連会社の製品以外の製品のみを対象に保守及び修理等サービスのうちデータ復旧サービスを専門としてサービス提供している企業のこと
第三者機関による、データ復旧サービスでの売上の調査結果に基づく。（集計期間：2007年～2020年）
※2 累計ご相談件数32,377件を突破（期間：2016年9月1日～）
ランサムウェア感染時、感染経路調査を行うメリット
ランサムウェアに感染した場合、感染経路を調査することで、攻撃者の侵入方法を特定し、将来の攻撃から身を守るために対策を講じることができます。
ランサムウェア感染の調査を行う方法として「フォレンジック調査」を挙げることができます。フォレンジック調査とは、電子機器から証拠を収集・分析して、インシデントの詳細を解明する手法で、たとえば攻撃者がどのようにランサムウェアを侵入させたか、どのような手法や脆弱性が悪用されたかなど、感染経路や情報漏えいの特定に役立ちます。
ランサムウェア感染時の対処におけるフォレンジック調査のメリットは次のとおりです。
①被害範囲が特定できる
フォレンジック調査は、感染したシステムやネットワーク内での攻撃の拡散範囲を特定するのに役立ちます。これにより、被害を受けたシステムやデータ、ネットワークの一部を迅速に特定し、対処を開始することができます。
②感染経路や攻撃手法の解析・証拠の確保ができる
フォレンジック調査では、ランサムウェアの攻撃手法や感染経路を解析し、証拠を確保できます。また、証拠の確保は、法的な措置や法執行機関との連携に役立つだけでなく、被害の評価や保険請求のためにも重要な要素となります。
③専門エンジニアの詳細な調査結果が得られる
フォレンジック調査の専門会社には、正確にハッキング被害の実態を確認するために必要な高度な技術を持つ専門エンジニアがいます。
自社調査だけでは不適切な場合がありますが、フォレンジックの専門業者と提携することで、調査結果をまとめた報告書が作成でき、公的機関や法廷に提出することができます。
④セキュリティの脆弱性を発見し、再発を防止できる
フォレンジック調査では、マルウェアによる被害の程度や感染経路を特定することで、今後のリスクマネジメントに貢献することが出来ます。弊社では、解析調査と報告書作成の他に、お客様のセキュリティを強化するためのサポートも提供しています。
私たちデジタルデータフォレンジックは官公庁、上場企業、捜査機関等を含む幅広いインシデントに対応経験があります。お電話またはメールでお問合せいただくと、状況のヒアリングと対応方法、お見積りを無料でご案内いたしますので、まずはお気軽にご相談ください。
＼フォレンジック調査の専門家へ24時間365日無料相談／
ランサムウェア感染による企業の情報漏えいインシデント対応が義務化されています
2022年4月から改正個人情報保護法が施行されました
2022年4月に施行された「改正個人情報保護法」では、個人データの漏えい、あるいは漏えいが発生する可能性がある場合、報告と通知が法人に義務付けられました。違反した企業には最大1億円以下の罰金が科せられる可能性もあります。
もしCl0pに感染した場合、まず感染経路や漏えいしたデータを確認することが重要です。しかし、調査を行う場合、法知識や専門技術が必要です。これは自社のみで対応するのが困難なため、フォレンジック専門家と提携して調査を実施することをおすすめします。
＼相談から最短30分でWeb打ち合わせを開催／
Cl0pランサムウェアによる被害の調査を行う場合、専門業者に相談する
マルウェア・ランサムウェア感染、不正アクセスのような問題が発生した場合、どのような経路で、どのような情報が漏えいしたのか、被害の全容を正確に把握する必要があります。しかし、自力で調査を行うと、調査対象範囲が適切でなかったり、意図しない証拠データの消失が発生しやすく、不完全な結果になる恐れがあります。
このような事態を防ぎ、適切な調査によって原因究明を行うためにも、フォレンジック調査の専門家に相談することが重要です。フォレンジック調査では、インシデント対応のプロが初動対応から、専門設備でのネットワークや端末の調査・解析、調査報告書の提出、ならびに報告会によって問題の解決を徹底サポートします。
デジタルデータフォレンジックでは、お電話またはメールでお問合せいただくと、状況のヒアリングと対応方法、お見積りを無料でご案内いたします。法人様の場合、ご相談から最短30分で初動対応のWeb打合せも開催しておりますので、お気軽にご相談ください。
官公庁・上場企業・捜査機関等まで幅広い調査対応経験を持つ専門の担当とエンジニアが対応させていただきます。
＼法人様は現地駆けつけ対応も可能／
フォレンジックサービスの流れや料金については下記からご確認ください。
【初めての方へ】フォレンジックサービスについて詳しくご紹介
【サービスの流れ】どこまで無料？ 調査にかかる期間は？ サービスの流れをご紹介
【料金について】調査にかかる費用やお支払方法について
【会社概要】当社へのアクセス情報や機器のお預かりについて
多くのお客様にご利用いただいております
ランサムウェア調査会社への相談方法
インシデントが発生した際、フォレンジック調査を行うか決定していない段階でも、今後のプロセス整理のために、まずは実績のある専門会社へ相談することを推奨しています。
取引先や行政に報告する際、自社での調査だけでは、正確な情報は得られません。むしろ意図的にデータ改ざん・削除されている場合は、情報の信頼性が問われることもあります。
インシデント時は、第三者機関に調査を依頼し、情報収集を行うことを検討しましょう。
DDF（デジタルデータフォレンジック）では、フォレンジックの技術を駆使して、法人/個人を問わず、お客様の問題解決をいたします。
当社では作業内容のご提案とお見積りのご提示まで無料でご案内しております。
解析した結果は、調査報告書としてレポートを作成しています。作成した報告書には、調査で行った手順やインシデントの全容などが詳細に記載され、法執行機関にも提出可能です。
＼法人様 最短30分でお打合せ可能です／
よくある質問
対応内容・期間などにより変動いたします。
詳細なお見積もりについてはお気軽にお問い合わせください。
専門のアドバイザーがお客様の状況を伺い、概算の見積りと納期をお伝えいたします。
可能です。当社は特定の休業日はございません。緊急度の高い場合も迅速に対応できるように、365日年中無休で対応いたしますので、土日祝日でもご相談下さい。
もちろん可能です。お客様の重要なデータをお取り扱いするにあたり、当社では機密保持誓約書ををお渡しし、機器やデータの取り扱いについても徹底管理を行っております。また当社では、プライバシーの保護を最優先に考えており、情報セキュリティの国際規格（ISO24001）およびPマークも取得しています。法人様、個人様に関わらず、匿名での相談も受け付けておりますので、安心してご相談ください。
この記事を書いた人
デジタルデータフォレンジック
エンジニア
