ランサムウェア

IPA（情報処理推進機構）は、名前の成り立ちをこう説明しています[2]。

ランサムウェアとは、「Ransom（身代金）」と「Software（ソフトウェア）」を組み合わせた造語です。

— IPA「ランサムウェア対策特設ページ」

警察庁の定義は次のとおりです[1]。

ランサムウェアとは、端末等に保存されているデータを暗号化して使用できない状態にした上で、そのデータを復号する対価（金銭又は暗号資産）を要求する不正プログラムです。

— 警察庁「ランサムウェア被害防止対策」

IPA も、「パソコンに保存されているファイルを暗号化し、元の状態に戻すことと引き換えに金銭を要求する」ものとして説明しています[2]。データを人質に取り、戻す代わりに金銭を求めるのが基本の形です。

警察庁は、手口が変わってきていることを挙げています[1]。

• 盗んで「公開する」と脅す（二重恐喝）。 「データの暗号化のみならず、データを窃取した上、「対価を支払わなければ当該データを公開する」などと対価を要求する二重恐喝が被害の多くを占め」ていると書いています。
• 暗号化しないで盗むだけの手口もある。 「データを暗号化する（ランサムウェアを実行する）ことなくデータを窃取し対価を要求する手口「ノーウェアランサム」の被害も確認されています。」
• 入口は、インターネットにつながった機器。 「VPN（Virtual Private Network）機器等のインターネットに露出した箇所から、攻撃者が遠隔操作で未修正のぜい弱性、漏えいした認証情報や簡易なパスワード、設定不備等を悪用してネットワーク内部に侵入する手口が多くを占めています。」
• 攻撃が分業化している。 ランサムウェアを開発・運営するグループが攻撃の実行者に必要な環境を提供し、見返りに身代金の一部を受け取る形（RaaS）が多数確認されていて、「分業により高度な技術的専門知識を有していない者であってもランサムウェア攻撃の実行が可能になる」と書いています。

ネットワークに入り込む部分は、不正アクセスの話でもあります。

警察庁のページから、要点だけを挙げます[1]。

• バックアップも狙われる。 「ランサムウェアによりバックアップデータも暗号化されてしまう事例が多数確認されています。」同じページは、ネットワークから切り離して保存することを勧めています。
• 感染したら、まずネットワークから切り離す。 「ランサムウェアに感染したパソコン等をネットワークから隔離してください。」一方で、調査に要る記録が消えることがあるため「パソコンやネットワーク機器等の電源は落とさないでください。」としています。
• 警察に通報・相談する。 「最寄りの警察署又はサイバー犯罪相談窓口に通報・相談してください。」
• 支払いについて。 警察は被害者に、支払いが「犯罪グループ等の活動資金となることが懸念される」こと、「暗号化されたデータの復号が保証されるわけではない」ことを説明している、と書いています。

「ランサムウェア被害」と「情報が漏れた」は、別々の事実です。 定義の中心は暗号化して使えなくすることですが、いまは盗んで脅す手口も多くを占めます。発表が「システムが止まった」話なのか、「データが持ち出された」話なのか、両方なのかを分けて読むと、状況を取り違えにくくなります。

1. 警察庁「ランサムウェア被害防止対策」
2. IPA「ランサムウェア対策特設ページ」