1. ランサムウェアとは？

「身代金要求型不正プログラム」とも呼ばれているランサムウェアは、ウイルスに感染したコンピューターをロックしたり、保存してあるファイルを暗号化したりすることによって使用不能にしたのち、元に戻すことと引き換えに身代金を要求するマルウェアの一種です。

ランサムウェアの語源は、Ransom（身代金）とSoftware（ソフトウェア）の組み合わせです。インターネットを介して攻撃が行われるため、誰もがランサムウェアに感染してしまう可能性があります。会社の規模にかかわらず、対策をとっておくことが重要です。

ランサムウェアについては詳しくはこちらをご覧ください！

2. 中小企業におけるランサムウェアの被害状況

警視庁の「令和４年上半期におけるサイバー空間をめぐる脅威の情勢等について」によると、令和4年の上半期における中小企業のランサムウェア被害件数は、全114件中59件であり、全体の約51％を占めています。令和3年の上半期は全61件であったため、被害が増えていることがわかります。

大企業に対してサイバー攻撃が行われるイメージを持っていた方もいらっしゃるのではないでしょうか。このことから中小企業こそランサムウェアの対策を検討すべきでしょう。

3. ランサムウェアの手口

ランサムウェアには主な攻撃手口が3つあります。それぞれどのような手口があるか確認していきましょう。

3-1. 電子メールにウイルスを仕込み感染させる

個人を狙って、電子メールにウイルスを仕込んで感染させる手口があります。受信者の関心を引くような件名や内容、重要と思わせる内容のメールを用いて、ウイルスが仕込んである添付ファイルを開かせてランサムウェアに感染させます。

また、メール内のリンクからウェブサイトにアクセスするように仕向け、感染させる手口もあるので注意が必要です。有名な企業や自社のアドレスを模倣したアドレスを用意しており、手口が巧妙化されています。添付ファイルやリンクがついているメールはむやみに開かないようにしましょう。

3-2. VPNなどネットワーク機器の脆弱性を狙う

VPNとは、「Virtual Private Network」の頭文字をとった略称で、日本語では「仮想専用通信網」と訳されます。通常、ネットワークは共用のものを使用することが多いですが、VPNでは、仮想的に専用ネットワーク回線を作り出し、クローズドネットワーク（閉域網）として使用できるため、セキュリティリスクを減らすことができます。

VPNについて詳しく知りたい方は、こちらの記事を参考にしてみてください。

脆弱性とは、VPNやOS、ソフトウェアのプログラム上の欠陥や不具合を指します。VPNの脆弱性はメーカーによって修正され、利用している側にてバージョンアップを行うことで脆弱性の対策ができます。しかし、バージョンアップ対応を怠ると脆弱性が残ったままになり、結果としてランサムウェアの標的となってしまうでしょう。

そのため、VPNのバージョンアップだけでなく、OSなどの更新ファイル、パッチを適用するなど、コンピューターに関する機器はすべて最新のバージョンに更新しましょう。

3-3. 二重恐喝で身代金を確実に要求する

二重恐喝とは、ランサムウェアに感染させたファイルなどのデータを暗号化するだけでなく、データの中身を搾取した上で、企業に対して「身代金を支払わない場合、データの中身を公開する」などと要求することです。

企業が身代金を払ったとしても、相手側が本当にデータの中身を返してくれるかわかりません。また、データの中身が返ってきても、データの中身が公開されてしまうリスクが残るでしょう。そのため、ランサムウェアに感染しないことが重要です。

4. 中小企業がランサムウェアを用いたサイバー攻撃の対象になる理由

前述のとおり、ランサムウェア被害件数の50％以上は中小企業です。なぜ、中小企業がサイバー攻撃の対象になってしまう原因3つについて解説します。自社に当てはまるか確認してみてくださいね。

4-1. 社員のセキュリティリテラシーが高くない

全社員に対してセキュリティに関する研修を行なっていない企業が多く、セキュリティリテラシーが低いことから攻撃の対象にされてしまいます。

セキュリティリテラシーとは、主にパソコ ンやスマホなどの情報機器やインターネットを利用した技術と企業の機密情報、顧客情報の情報セキュリティの重要性を理解して、それらを取り扱うための知識と能力があることをさしています。

セキュリティリテラシーが低い場合、電子メールに不審な添付ファイルやリンクがあったとしても開いてしまう恐れがあります。組織のセキュリティリテラシーを強化したい方はこちらを参考にしてみてください。

4-2. 情報システムやセキュリティ担当者がいない

中小企業には情報システム部門やセキュリティ部門がない場合があり、セキュリティ対策が行えていないことがあります。中小企業の場合、情報セキュリティに経費がかけられないことや、専門的な人材がおらず、採用するにもコストがかかってしまうなど資金的な問題もあるでしょう。

そのため、中小企業には既存メンバーにてセキュリティ対策を講じることが求められます。月々の料金が安価で内容も充実しているセキュリティ対策ソフトの導入が1つの解決手段となるでしょう。

4-1. 脆弱性への対策が放置されがち

パソコンのOSやセキュリティ対策ソフトの脆弱性を狙ったサイバー攻撃が増加しています。前述のとおり、セキュリティ担当者がいない場合、脆弱性があったとしてもパソコンのOSやセキュリティ対策ソフトのバージョンアップを放置したままの方もいらっしゃるのではないでしょうか。

必要最低限の人数で仕事を行なっていると対策をする余裕や、知識がないなどの理由でセキュリティ対策は後回しになってしまいがちです。

脆弱性の放置が原因でランサムウェアに感染してしまった事例をご紹介します。中小企業も例外ではないので参考にしてみてください。

5. ランサムウェアの被害事例：徳島・半田病院

6. ランサムウェアに備えて中小企業が備えるべき対策

ここでは中小企業がランサムウェアに備えて取るべき対策3つについて解説します。中小企業でも対策できる範囲で解説しているので参考にしてみてくだい。

6-1. 電子メールなどへの警戒

個人を狙ったランサムウェアなどのサイバー攻撃は、社員のセキュリティリテラシーを高めることである程度防ぐことができるでしょう。一例として、過去のランサムウェア被害事例を参考に「怪しいメールの特徴」などを社員に共有することです。

また、身に覚えのない添付ファイルつきのメールを受信したら、送信元への確認を行うなど警戒することを忘れてはいけません。何も考えず電子メールの添付ファイルやリンクを開かないようにしましょう。

6-2. VPN機器などの脆弱性対策

VPNをはじめとした利用している機器やOSなどのバージョンアップやパッチの適用を行いましょう。これらはメーカーによって脆弱性が確認され、修正対応されたものをバージョンアップデートとして利用者に適用依頼をしています。アップデートを行うことで脆弱性を狙ったサイバー攻撃を防ぐことができるでしょう。

しかし、利用している機器すべてを最新のバージョンにしたとしても、リスクをゼロにすることはできません。脆弱性のリスクを少しでも減らすために脆弱性対策を行うことが大切です。

6-3. ウイルス対策ソフトの導入

電子メールの警戒や利用している機器・OSのアップデートを抜け漏れなく対応することは難しいですよね。これらを社員の代わりに実施してくれるウイルス対策ソフトの導入をおすすめします。

ウイルス対策ソフトには、PCに侵入しようとするウイルスを自動的に検知する機能や、脆弱性を常にチェックし、いつでも最新のセキュリティ状態を維持するなどの機能があります。月額数千円から導入できるソフトもあるので検討してみてください。

「EXOセキュリティ」無料トライアルはこちら

まとめ

本記事では、ランサムウェアの概要や中小企業の被害状況、中小企業こそ対策をすべき理由と対策方法について解説してきました。

ランサムウェアの被害において、中小企業が50％以上も占めていることがわかりました。中小企業が狙われる理由には、「社員のセキュリティリテラシーが高くない」「情報システムやセキュリティ担当者がいない」「脆弱性への対策が放置されがち」が挙げられます。

それらの対策方法として、「電子メールなどへの警戒」や「VPN機器などの脆弱性対策」がありますが、実際に人の手で行うため抜け漏れのリスクは拭えないでしょう。

ウイルス対策ソフトを導入することで、自動的にセキュリティ対策を行なってくれます。月額数千円から導入できるソフトもあるので検討してみてはいかがでしょうか。