2020年以降、新型コロナウイルス感染症対策の一環としてテレワークが広まりました。

これにより、自宅と会社間に仮想的なネットワークでつなぐ「VPN」（Virtual Private Network）、遠隔にある端末のデスクトップ画面を操作する「リモートデスクトップ」（RDP）などの規格を介して、社内システムにアクセスすることが一般的になりました。

しかし、セキュリティが不十分だと、VPNを経由した通信でランサムウェアに感染する可能性があります。従業員の利用する端末がランサムウェアに感染すれば、その端末を介して組織全体に暗号化や情報漏えいなどの被害が拡大するリスクがあります。

この記事では、VPNの脆弱性からインシデント発生時の調査方法まで解説します。ぜひ参考にしてください。

ランサムウェアの感染経路は、テレワーク機器（VPN/RDP）が過半数を占める

IPAが公表している「情報セキュリティ10大脅威 2023」では、2022年に発生した情報セキュリティ事案においてランサムウェアが1位となりました。

その感染経路において過半数を占めるのがVPN、RDP（リモートデスクトップ。遠隔にある端末の画面を操作するために使われる規格）の脆弱性です。

VPNは、外部から社内ネットワークに安全にアクセスするための技術ですが、脆弱性を突かれ、ランサムウェアに感染してしまうケースが増えています。感染経路の割合としては68%がVPN機器、15%がリモートデスクトップとされ、8割以上を占めています（その他2割はフィッシング詐欺などが占めています）。また、ひとたびランサムウェアに感染すると、ひとつの組織にとどまらず、サプライチェーンに関わる事業者へ感染が拡大する恐れもあります。

出典：IPA／内閣サイバーセキュリティセンター／警察庁

詳細な感染経路については、下記の記事でも詳しく解説しています。

ランサムウェアの感染経路は？感染源や原因から感染・侵入経路などを解説ランサムウェアに感染した際の原因や感染・源感染経路を確認／調査する方法をサイバーセキュリティの専門家が解説。デジタルデータフォレンジックでデジタル機器内のログ調査を行い、証拠復元に貢献します。365日年中無休・相談見積無料。累計ご相談件数3.2万件以上。...

ランサムウェア感染時、情報漏えいリスクは避けられない

このような状況下では、情報漏えい、および悪用リスクは避けられません。そのため感染被害が発生した場合、企業や組織は機密性の高い情報が流出していないか、あるいは顧客情報や業務データが不正にアクセスされていないかを早急に調査・確認する義務があります。

しかし、被害調査を行う場合、自社のみで対応するのは困難であり、不適切な対応となる恐れもあるため、サイバーセキュリティ専門家と提携して調査を行うことをおすすめします。

私たちデジタルデータフォレンジックは官公庁、上場企業、捜査機関等含む累計3.2万件の対応経験があります。お電話またはメールでお問合せいただくと、状況のヒアリングと対応方法、お見積りを無料でご案内いたしますので、まずはお気軽にご相談ください。

＼サイバーセキュリティ専門家へ24時間365日で無料相談／

なぜVPNやRDPが狙われるのか

VPN/RDPがランサムウェアに狙われる理由は次のとおりです。

ネットワークに感染を拡大させやすい

VPN/RDP装置はネットワークの入口であり、ここを介して侵入されると、社内ネットワーク内のすべてのシステムにアクセスできる可能性があります。

これにより、攻撃者は社内ネットワーク全体にランサムウェアを拡散させることができます。したがって、VPN/RDP装置のセキュリティ対策は最優先事項として扱うべきです。

VPNを使う場合は、強い認証情報を設定してください。必要に応じてVPNゲートウェイの設定を見直し、最新のパッチやアップデートを行うことが大切です。

不正アクセスを試みやすい

VPN/RDPがランサムウェアに狙われやすい理由は、あらゆる脆弱性があるためです。

たとえば公開ポートによる外部からのアクセス、脆弱な認証情報、パッチの適用漏れ、フィッシング攻撃やソーシャルエンジニアリング、さらにはデフォルト設定やセキュリティの不備など複数挙げることが出来ます。そのため、管理者が適切なセキュリティ設定を行わずにいると、容易に不正アクセスを試みられやすいと考えられます。

認証情報が漏えいした場合、攻撃者に悪用されやすい

VPNは、企業ネットワークと外部端末を安全に接続するための仕組みですが、認証情報が漏えいすると、攻撃者がVPNに接続して、企業ネットワークに侵入する可能性があります。

自宅PCがランサムウェアに感染した場合、ランサムウェアは、VPN経由で企業ネットワークに侵入して、社内データを暗号化したり、削除したりする可能性があります。

もしデータ漏えいが発生した場合、個人情報保護法などの法律にもとづく対応が必要になる場合があります。そのため、情報システム担当者やサイバーセキュリティの専門家に相談して、適切な対応を検討しましょう。

＼サイバーセキュリティ専門家へ24時間365日で無料相談／

VPNの脆弱性にはどのようなものがあるのか

VPNの脆弱性には、以下のようなものが挙げられます。

VPN認証情報の漏えい

VPNの認証情報（IDやパスワード）が漏えいした場合、攻撃者はこの認証情報を悪用して、VPNを介して社内ネットワークに不正アクセスすることができます。

認証情報の漏えいの原因としては、以下のようなものが挙げられます。

• フィッシングメールやソーシャルエンジニアリングなどの手口による攻撃
• 社員の不注意による情報漏えい
• システムの脆弱性による情報漏えい

設計上の欠陥

VPNの設計に欠陥がある場合、これを攻撃者が悪用して、VPNを乗っ取ったり、ランサムウェアを感染させたりすることができます。

たとえば、暗号化のアルゴリズムが古く、解読が容易であったり、認証方式が単純で攻撃者が簡単に突破できる場合が具体的な欠陥として挙げられます。

VPNの設計に欠陥がある場合、攻撃者に悪用されるリスクが高まります。そのため、VPNを導入する際には、設計に欠陥がないか確認するようにしましょう。また、VPNのソフトウェアやファームウェアのアップデートを常に最新の状態に保つことも重要です。

VPNの設定ミス

VPNの設定を誤っていると、攻撃者に利用される可能性があります。特に二要素認証などの多要素認証を導入していないなど認証情報の管理が不十分な場合、攻撃者はフィッシングメールなどの手口で認証情報を入手し、VPNを介して社内ネットワークに不正アクセスする場合があります。VPNを導入する際には、多要素認証を導入するようにしましょう。

＼相談件数32,377件以上　24時間365日受付／

ランサムウェア感染の流れ

ランサムウェア感染の流れは次のとおりです。

（1）デバイスのランサムウェア感染

感染は、ランサムウェアがネットワーク上の脆弱性を悪用し、デバイスに侵入することから始まります。

（2）攻撃者への情報送信

感染したデバイスは、攻撃者に情報を送信します。これは、感染したデバイスの状況やデータへのアクセス権を攻撃者に送信することを意味します。

（3）暗号化

攻撃者は、感染したデバイス内のデータを暗号化します。これは、データを特定の形式に変換し、元の形に戻すためには特別な鍵（復号キー）が必要になることを意味します。

（4）身代金の要求

暗号化されたデータを復号化するため、攻撃者は身代金を要求します。被害者は、身代金を支払わなければ原則としてデータにアクセスできなくなります。ただし、一部のランサムウェアは復号キーが公開されており、オンラインで対応できる場合があります。

ランサムウェア感染時の対応

ランサムウェア感染時の対応は次のとおりです。

ランサムウェア感染時の初動対応は、下記の記事でも詳しく解説しています。

ランサムウェアに感染したら？被害時の対応・調査方法、実際の被害を画面付きで解説この記事ではランサムウェア感染時に取るべき対応や実際の画像付きで攻撃の流れ、被害調査方法などを詳しく紹介します。デジタルデータフォレンジック（DDF）では官公庁・上場企業・捜査機関・法律事務所等で実績多数。累積3.2万件以上のご相談実績をもとにインシデントの被害状況などスピーディーに調査。365日年中無休・相談見積無料。...

①まずはネットワークから感染したサーバーを切り離す

まずは、ネットワークから感染したサーバーを切り離す必要があります。これにより、これ以上感染が広がることを防ぐことができます。

ただし、切り離す前に、感染しているサーバーの状態を確認し、そのサーバーが他のサーバーに影響を与えているかどうかを確認することが重要です。

②バックアップから感染前のデータを復旧する

感染したサーバーのバックアップを確認し、最新のバックアップからデータを復元することで、一定の体制の復旧が可能です（復旧が完全に保証されるわけではありません）。

ただし、バックアップから復元を行う前に、感染源の特定など、保全に関わる作業を優先的に行うことが、情報セキュリティ上は推奨されています。またバックアップも暗号化されている可能性があるため、復元に際してはバックアップの状態も検証が必要です。バックアップが暗号化されている場合、リストア時に感染再発などの問題が発生する可能性があります。

このような場合、「フォレンジック調査」（デジタルデータを保全・分析・解析する手法）を行うことをおすすめします。フォレンジック調査では、保全を行うことで証拠の整合性や信頼性を確保し、攻撃者が使用した脆弱性など、感染原因や被害範囲を安全に特定可能です。

フォレンジック調査のメリット・活用事例・業者選定のポイントを解説フォレンジック調査とはデジタル機器を調査・解析し、「法的証拠」に関わる情報を抽出し、インシデントの全容を解明する調査です。フォレンジック調査会社では、警察でも使用される技術を用いて、サイバー攻撃からハッキング、情報持ち出しや横領などの調査を行います。本記事ではフォレンジック調査の必要性・活用事例・業者選定のポイントを解説します。...

③復号ツールを探す

一部のランサムウェアはオンライン上に復号ツールが公開されています。

ただし、復号ツールが無効化される場合もあるため、最新の情報を得て、ウェブ上にある復号ツールが使用できるか確認しておきましょう。

ランサムウェアの復号ツールの探し方、復号ツールを使って復旧する方法、注意点はこちら

④ランサムウェア感染調査に対応した専門業者を利用する

ランサムウェア感染の被害調査を法人が行うことは、社会的責任と言えます。

なぜなら、ランサムウェアによる被害は、企業の機密情報が漏えいするだけでなく、個人情報の流出につながる可能性があるからです。よって、個人情報保護の観点から被害を早期に把握し、被害範囲を正確に特定することが重要です。

しかし、自社調査だけでは客観性や正確性が担保できません。この点、インシデント調査に対応したサイバーセキュリティ専門家（フォレンジック調査業者）と提携することで、感染経路や情報漏えいの有無などを適切な手続きにもとづき調査することが可能です。

⑤セキュリティ対策をおこなう

既知の脆弱性に対するパッチ適用だけでなく、セキュリティソフトの導入などが必要です。

たとえば不正アクセスを検知するファイアウォールなど「入口対策」はもちろん、不審なメールの添付ファイルを開かないことも必要です。さらに、バックアップを定期的におこない、重要なデータを保護することが大切です。

サイバー攻撃に対する入口・内部・出口対策はこちら

⑥個人情報保護委員会への被害報告を忘れない

個人情報を保有する事業者は、データ漏えい被害などを把握したら、問題に気付いてから速やかに個人情報保護委員会に報告する必要があります。

2022年4月1日施行の改正個人情報保護法では、悪意ある第三者による「個人情報漏えい」および「個人の権利利益を害するおそれの高い情報漏えい」がある場合、個人情報保護委員会への報告を義務化することが定められました。

報告の遅滞・隠ぺいは、行政処分や損害賠償請求の対象となる可能性があります。したがって、情報漏えいが発生した場合は、速やかに行政機関に報告を行うことが重要です。

サイバー攻撃・マルウェア感染・ランサムウェア攻撃を受けた場合、情報窃取が行われている可能性が高いことから、感染被害や不正アクセスが確認された時点で、個人情報保護委員会への通知と、被害状況の具体的な確認・調査をおこなう必要があります。

情報漏えい時における個人情報保護委員会への報告義務についてはこちら

⑦顧客・取引先への通知／発生した被害の共有・公表

ランサムウェア被害が発生した場合、公表は必ずしも必要ではありませんが、場合によっては検討すべき重要な選択肢となります。

たとえば顧客のプライバシーや取引先の事業に大きな影響を与えるような被害が発生した場合、公表することで、顧客や取引先の不安や混乱を解消し、信頼関係の継続につなげることができます。

特に個人情報や機密データの流出を隠ぺいすると罰金が科せられることがあります。被害を通知することは、企業に求められるコンプライアンスであり、公表控えは不信感を招くだけでなく、次のようなリスクにつながる可能性があります。

• 顧客や取引先からの賠償請求
• 行政処分
• ブランドイメージの低下

公表は早急に行うことが理想ですが、被害状況が把握できない段階で自社調査を行ったり、不完全なまま公表を行ったりすると、誤った情報が伝わり、信頼を失う可能性があります。

仮にランサムウェアの被害を調査・公表する場合は、法的な調査報告書を発行できる第三者機関に「調査」を依頼し、侵入経路・影響範囲・対応状況などを把握した上で、適切なタイミングで公表を行いましょう。この際、ホームページ、プレスリリース、マスコミ向けの記者会見など、複数の方法から段階的に公表を行うことも検討しておきましょう。

ランサムウェアによる被害の調査を行う場合、専門業者に相談する

＼法人様・個人様問わず対応　24時間365日無料相談OK！／

ランサムウェア調査会社への相談方法

＼法人様・個人様問わず対応　24時間365日無料相談OK！／

VPN/RDPの脆弱性を悪用した不正アクセスの手口とは

それではVPN/RDPの脆弱性を悪用して被害者のネットワークに不正にアクセスする手口には、どのようなものがあるのでしょうか？

想定されうる攻撃手法としては、主に次のようなものがあります。

パスワードクラック攻撃

攻撃者は、オープンなVPN/RDPポートをスキャンすることで、脆弱なRDP接続を見つけることがあります。この際、攻撃者は弱いパスワードや一般的なパスワードを使用して不正アクセスを試みます。

たとえば辞書攻撃やブルートフォース攻撃といった手法を使って、パスワードを推測したり、試行錯誤したりして正しいパスワードを見つけ出します。

辞書攻撃は、辞書に登録されている単語やフレーズを試行していく方法であり、ブルートフォース攻撃は、あらゆる文字列を試行していく方法です。

どちらの攻撃手法も、パスワードが弱いと簡単に解読されてしまいます。解読されないようにするためには、長くて複雑なパスワードを設定し、定期的に変更することが重要です。

フィッシング攻撃

攻撃者は、フィッシングメールや偽のログインページを通じて、被害者にVPN/RDPの資格情報を入力させる詐欺手法を用いる場合があります。もし被害者が偽のログイン情報を攻撃者に提供してしまうと、攻撃者はこれを利用してVPN/RDPに不正アクセスを試みます。

脆弱性の悪用

VPN/RDPソフトウェアには、セキュリティ上の脆弱性が存在する場合があります。こうした脆弱性が悪用されると、認証情報をバイパスしてネットワークにアクセスされたり、マルウェアを展開されたりする恐れがあります。

こうした脆弱性による悪用を防ぐためにも、ソフトウェアを最新の状態に保ち、セキュリティパッチを適用することが重要です。

中間者攻撃

攻撃者によって、VPN/RDPの通信（トラフィック）を傍受されると、通信内容を盗み見たり改ざんされたりする可能性があります。これは「中間者攻撃」と呼ばれ、脆弱性が悪用されることが多いです。

中間者攻撃を防ぐためにも、VPN/RDPソフトウェアやプロトコルを最新の状態に保ち、セキュリティパッチを適用することが重要です。

VPNサービスプロバイダの侵害

攻撃者は、VPNサービスプロバイダのシステムに侵入し、ユーザーのVPNトンネルを傍受することがあります。これにより、攻撃者はVPNを通じてネットワークにアクセスし、ランサムウェアをインストールさせることができます。

VPN/RDPを介したランサムウェア感染を防ぐ対策

ランサムウェアの感染対策として次のものが挙げられます。

• 多要素認証の導入
• EDR等の導入による不審な挙動の早期発見
• VPN機器の脆弱性対策の実施
• データのバックアップ

多要素認証の導入

まずは多要素認証の導入が重要です。

ID管理や認証強化により、ユーザーが利用するデバイスやデータを認証してアクセス権を設定することで、ランサムウェアを防ぐことができます

EDR等の導入による不審な挙動の早期発見

次に、EDR等の導入により、ネットワーク内の不審な挙動を早期に発見することが重要です。ランサムウェアを含め、マルウェア等に感染した端末では、外部のサーバーとの間で不審な通信が発生する場合がありますが、これをEDRで早期に発見することで、感染拡大や外部からの侵入の範囲拡大を防ぐことができます。

VPN機器の脆弱性対策の実施

また、VPN機器の脆弱性対策の実施も重要です。VPNを利用する場合には、セキュリティパッチの適用やアクセス制限の設定などを行うことで、攻撃者によるVPNの脆弱性をついた攻撃を防ぐことができます。

データのバックアップ

最後に、データのバックアップも欠かせません。ランサムウェアに感染すると、企業内のネットワークに接続された端末内のデータが暗号化されて使えなくなることがあります。このため、定期的にバックアップを行うことで、ランサムウェアの被害を最小限に抑えることができます。