Scribble at 2024-06-25 15:13:06 Last modified: unmodified

インドネシアも公的機関のデータ・センターがランサムウェアの被害でロック・ダウンしているという。いまのところ攻撃者から800万ドルを請求されているらしいが、政府はこれの支払いを拒否していて、200個のサービスが利用不能となっているようだ。この攻撃に使われている "LockBit" というランサムウェアは、もともと ABCD ransomeware と呼ばれたものの亜種として2020年頃から使われるようになったらしく、2022年には最も多くの被害件数を引き起こしたと言われている。特徴として、このところ話題になっている "RaaS" (ransomeware as a servie) という、攻撃者用の「サービス」としてプラットフォームを提供する仕組みが出来上がっていて、それを利用している事例の一つということだ。もちろん、追跡を逃れるために攻撃手法が多様化していて、防御するための対策も複雑になっていて難しい。

当然のことだが、ランサムウェアを始めとする各種の攻撃手法が「サービス」として提供されるようなプラットフォーム（どこの国でそんなことをやっているかは、だいたい想像できることだが）になると、それこそ誰でも好き勝手なサイトを暇潰しにお小遣いで攻撃できるという可能性も出てくるわけで、僕らのような中小企業のサイトがターゲットにならないという保証はない。よって、当然のことだがオンラインに情報資産を展開している企業や個人は、例外なく何らかの対策を考えることが望ましい。

対策は、大きく分けると「技術的なセキュリティ対策」（OS やアプリケーションのアップデート、セキュリティ・ソフトの導入、認証情報の強化、ネットワーク管理の強化、重要なデータのバックアップ）と「組織的なセキュリティ対策」（通報と情報共有の手順を決めて役割を配分し、全社へ周知）と「人的なセキュリティ対策」（社員教育）の３つになる。中でも、この組織的なセキュリティ対策を省略してしまう会社が多く、情報セキュリティ・マネジメントの実務家としては、これの大切さを強調しておきたい。ソフトウェアや教育で対策していても、その組織が報告を集めたり各所と相談したり対応を決断するしくみや責任者を整備していなければ、結局は何も決められないまま被害が広がるだけとなるからだ。