バックアップも狙われる「二重脅迫型ランサムウェア」への最新対抗策

背景と概要

データを暗号化して身代金を要求する「ランサムウェア」の脅威は進化を続けています。現在の主流は、データを暗号化する前に機密情報を盗み出し、「金を払わなければ情報をダークウェブに暴露する」と脅す「二重脅迫（ノーウェア・ランサム等）」です。

さらに攻撃者は、復旧を妨げるために「企業のバックアップデータ」を真っ先に破壊・暗号化する手口を定常的に用いています。

バックアップ破壊の手口と最新動向

単にNASや外付けHDDにデータをバックアップしているだけでは、被害を防ぐことは不可能です。

1. バックアップサーバーへの優先侵入

　ネットワーク内に侵入した攻撃者は、ドメイン管理者権限（Domain Admin）を取得した上で、バックアップ管理ツール（Veeam等）やクラウドストレージの認証情報を探索・無効化します。

2. スナップショットの削除と世代の上書き

　クラウド上のバックアップスナップショットをスクリプトで一括削除したり、暗号化された無効なデータを上書きバックアップさせて過去の正常データを消滅させます。

身代金を払わずに復旧するための防御戦略

データの整合性と「不変性」を担保するバックアップアーキテクチャが必要です。

1. イミュータブル（書き換え不能）バックアップの導入

　一度書き込んだデータを一定期間、管理者権限であっても修正・削除できない「WORM（Write Once Read Many）」機能を設定したストレージを採用します。

2. 3-2-1-1-0ルールの実践

　・3つのデータコピーを用意する　・2つの異なるメディアに保存する　・1つはオフサイト（遠隔地）に保存する　・1つはエアギャップ（オフライン）またはイミュータブルにする　・0（エラーゼロ）であることを定期的なリストアテストで確認する

3. バックアップ専用ネットワークの隔離

　通常業務ネットワークとバックアップ用ネットワークを分離し、厳格なアクセス制限をかけます。

実務で深掘りしたい確認点

業務データ、バックアップ管理画面、認証基盤、復旧に必要な設定情報をひとまとまりの管理対象として捉えます。暗号化だけでなく、バックアップ削除、大量転送、管理権限追加を早期兆候として監視します。 単発の警告だけで判断せず、利用者・端末・時刻・変更履歴を関連付けると、通常業務との違いを説明しやすくなります。

発見時の初動と影響確認

感染範囲を分離し、クリーン環境で優先業務から復旧し、復元データを再感染前に検査します。 復旧を急ぐ場合も、後から原因と影響範囲を説明できるよう、時刻、担当者、実施した操作、保全した証拠を残します。外部への通知や専門家への相談が必要かも、扱うデータと業務影響から判断します。

継続運用へ落とし込む方法

オフライン・イミュータブル保管と、RTO・RPOを測る復旧訓練を定期実施します。 導入時だけで終わらせず、例外件数、検知から対応までの時間、再発、利用者からの相談を定期的に確認します。訓練や実際の対応で見つかった手順の曖昧さを更新し、責任者不在時にも動ける状態を維持します。