暗号化を行わないデータ脅迫「ノーウェア・ランサム（No-ware Ransom）」

背景と概要

身代金を目的とするサイバー犯罪の中で、長年その主流を占めてきたのは「被害データを暗号化してシステムを停止させるランサムウェア」でした。

しかし近年の最新動向として、端末やサーバーのデータをあえて暗号化せず、機密データや個人情報の「窃取・持ち出し（Exfiltration）」のみを行い、「金を払わなければ情報をダークウェブ等で一般公開する、または顧客に直接送りつける」とだけ迫る「ノーウェア・ランサム（No-ware Ransom / Data-Only Extortion）」と呼ばれる手口が急増しています。

なぜ「暗号化しない」手口へとシフトしたのか

攻撃者側にとって、データを暗号化することには技術的・運用上のリスクや不都合が伴うためです。

1. EDRやアンチウイルスによる即時検知の回避

端末内のファイルを大量・高速に暗号化する挙動は、現代のEDRやセキュリティツールによって最も高精度に検知され、処理が自動停止されます。一方、正常な通信に紛れてデータを少しずつ持ち出す挙動は検知されにくいため、攻撃の成功率が高まります。

2. 「バックアップからの復旧」という防御策の無力化

従来、企業は不変バックアップ（WORMストレージ等）を準備することで暗号化攻撃に備えてきました。しかし、ノーウェア・ランサムにおいては「データが手元に残っているか」は関係なく、「外部に漏えいしたか」のみが脅迫の材料となるため、企業のバックアップ防衛策が無効化されます。

3. 法的な罰則や警察の捜査に対する圧力

システムを暗号化で全面停止させると重要インフラ破壊として法執行機関が即座に動くリスクがあります。攻撃者はデータ持ち出しのみに留めることで、静かに交渉へ持ち込もうと画策します。

企業に与えるビジネス・法的な打撃

ノーウェア・ランサム被害に遭った企業は、個人情報保護法やGDPRに基づく巨額の制裁金リスク、流出通知に伴う莫大なコスト、顧客からの集団訴訟、そしてブランド信頼の失墜という重い被害に直面します。

ノーウェア・ランサムを防ぐための多層防御

データの「流出（Exfiltration）」そのものを止める技術的コントロールが最優先課題となります。

1. DLP（データ損失防止）とCASBによるデータ移動の制限

社内PCやサーバーからの大量データのダウンロード、未許可クラウドストレージ（Dropboxや個人ドライブ等）へのデータ送信をリアルタイムで検知・遮断するDLP（Data Loss Prevention）を運用します。

2. データの常時暗号化（DRM/IRM）とアクセス権の最小化

ファイルサーバーやクラウドに保存されている重要データそのものを暗号化（IRM）し、許可されたユーザー以外は解読・印刷・転送できない状態を保ちます。万が一ファイルが持ち出されてもデータ自体の閲覧を不可能にします。

3. ネットワーク層でのアノマリ通信監視（NDR）

深夜時間帯などの通常業務外における「特定の内部IPから外部のIPアドレスへの大容量通信」をNDR（Network Detection and Response）ツールで検知し、自動で通信をセッション切断する運用を構築します。