現在までに、サイバーセキュリティー研究者は、独自のコード署名と機能を持つ固有の系統である、数千の異なるランサムウェアの亜種、つまり「ファミリー」を特定しています。

長年にわたって出回った多くのランサムウェアの亜種の中でも、破壊力、ランサムウェア開発への影響力、または今日に至っても持続している脅威の観点から、特に注目すべき亜種について説明します。

CryptoLocker

2013年9月に初めて登場したCryptoLockerは、今日のランサムウェア時代の先駆けであったと広く認識されています。

ハイジャックされたコンピューターのネットワークであるボットネットを使用して拡散されたCryptoLockerは、ユーザーのファイルを復号不可能な状態に暗号化した最初のランサムウェア・ファミリーの1つでした。2014年に国際法執行機関により対策が取られるまで、推定300万米ドルの被害を出しました。

CryptoLockerの成功は多数の模倣犯罪者を生み出し、WannaCry、Ryuk、Petyaなどの亜種への道を開きました。

WannaCry

初めて注目を集めたクリプトワームで、ネットワーク上の他のデバイスに自己拡散できるランサムウェア「WannaCry」は、150カ国20万台以上のコンピューターを攻撃しました。被害を受けたコンピューターが脆弱だったのは、管理者がEternalBlue Microsoft Windowsの脆弱性に対するパッチの適用を怠ったためでした。

WannaCryは、機密データの暗号化に加えて、7日以内に支払いがなければファイルを消去すると脅迫しました。この攻撃は現在でも史上最大規模のランサムウェア攻撃の1つであり、その被害総額は40億米ドルに上ると推定されています。

PetyaおよびNotPetya

他のクリプト・ランサムウェアとは異なり、Petyaは個々のファイルではなくファイル・システム・テーブルを暗号化し、感染させたコンピューターでWindowsが起動できない状態にさせます。

大幅に改良されたNotPetyaは、2017年、主にウクライナに対する大規模なサイバー攻撃を実行するために使用されました。このワイパーは、身代金支払い後もシステムロックを解除できない類のものでした。

Ryuk

2018年に初めて確認されたRyukは、特定の高額ターゲットに対する「ビッグゲーム・ハンティング」ランサムウェアを広め、身代金要求額は平均で100万ドルを超えるものでした。このランサムウェアはバックアップ・ファイルとシステム復元機能を見つけ、無効化させます。さらにクリプトワームを備えた新しい株が2021年に登場しています。

DarkSide

ロシアから活動しているとみられるグループが仕掛けるDarkSideは、2021年5月7日に石油パイプライン「コロニアル」を攻撃したランサムウェアの亜種であり、米国東海岸の燃料の45％を供給するパイプラインを一時的に停止させたため、インフラに対して行われた史上最悪のサイバー攻撃と考えられています。

このグループは、DarkSideで攻撃を仕掛けるだけではなく、RaaSとして「アフィリエイト」にランサムウェアのライセンスも販売しています。

Locky

Lockyは、独特の感染経路を持つ暗号化ランサムウェアです。ユーザーは正規の請求書を装った、マクロが仕込まれたEメールの添付ファイル（Microsoft Word ファイル）を受信し、ユーザーがMicrosoft Word文書をダウンロードして開くと、悪意あるマクロがランサムウェア・ペイロードのダウンロードを密かに開始することで感染します。

REvil

REvilはSodinまたはSodinokibiとしても知られ、ランサムウェア攻撃を拡大するRaaSの普及に加担しました。

REvilはビッグゲーム・ハンティングや二重恐喝攻撃に使用されることで知られており、2021年に起きたJBS USA社とKaseya Limited社に対する攻撃でも使われています。ハッカーが同社の米国内の牛肉加工業務全体を混乱させたことを受け、JBS社は1,100万ドルの身代金を支払いました。深刻なダウンタイムにより、Kaseya社のソフトウェアを使用する企業1,000社以上が影響を受けました。

ロシア連邦保安局は、2022年初めにREvilを解体し、そのメンバー数名を起訴したと報告しました。

Conti

2020年に初めて確認されたContiギャングは、ランサムウェアを使用するには、定期料金をハッカーに支払うという仕組みの大規模なRaaSスキームを運営していました。その一方でContiは、被害者が支払いをしなかった場合には、被害者のネットワークへのアクセスを他のハッカーに売ると脅すという、独特の形式での二重恐喝を使用しました。

このギャング・グループは2022年に内部のチャットログが流出したことを受け解散しましたが、元メンバーの多くは今もサイバー犯罪の世界で活動しています。X-Force Threat Intelligence Indexによると、BlackBasta、Royal、Zeon など、現在最も広く蔓延しているランサムウェアの亜種のいくつかにContiの元関係者が関与していたことがわかっています。

LockBit

X-Force Threat Intelligence Indexによると、2023年に最も一般的なランサムウェアの亜種の1つであるLockBitは、その開発者のビジネスライクな行動が注目されています。LockBitグループは、合法的な企業が他の企業を買収するのとほぼ同じ方法で、他のマルウェア株を買収することで知られています。

2024年2月に法執行機関がLockBitのウェブサイトの一部を押収し、米国政府がギャングの幹部の1人に制裁を課したにもかかわらず、LockBitは被害者への攻撃を続けています。

身代金の要求は多岐にわたり、被害者の多くは支払った金額を公表しないことを選択しているため、平均的な身代金の支払い額を決定するのは困難ですが、ほとんどの場合、10万から999万米ドルの間と推定されています。一方、IBMのランサムウェア対策決定版ガイドによると、攻撃者は最高で8,000 万米ドルもの身代金を要求したケースさえあるといいます。

重要なのは、身代金を支払う被害者の割合が近年急激に低下していることです。サイバー恐喝インシデント対応会社Coveware社によると、身代金を支払った被害者は、2020年に全体の70％であったのに対し、2023年には37％まで減少しています。¹

専門家は、データのバックアップ、インシデント対応計画、脅威の防止および検出技術への投資の増加など、サイバー犯罪対策の強化が、この減少の理由の大きな理由であると指摘しています。

法執行機関の指導

米国連邦法執行機関は、ランサムウェア被害者が身代金要求を支払うことを一切推奨していません。サイバー脅威を調査するために20の米国連邦機関で構成された国家サイバー捜査統合タスクフォース（NCIJTF）は次のように述べています。

「FBIは犯罪者に身代金を支払うことを推奨していません。身代金を支払うと、敵がより多くの組織を標的にしたり、他の犯罪者にランサムウェア攻撃を仕掛けるよう促したり、違法行為に資金提供したりするようつけあがらせる可能性があります。また、身代金を支払ったとしても、被害者のファイルが回復されるという保証はありません。」

法執行機関は、ランサムウェアの被害者に対し、身代金を支払う前にFBIのインターネット犯罪通報センター（IC3）などの適切な法的機関に攻撃を報告することを推奨しています。

ランサムウェア攻撃の被害者の中には、身代金を支払うかどうかに関わらず、ランサムウェア感染を報告する法的義務を負う組織もあります。例えば、HIPAAでは通常、医療機関はランサムウェア攻撃を含むデータ侵害があった場合には、保健福祉省への報告が義務付けられています。

また、特定の状況下では、身代金の支払いは違法となる場合があります。

米国財務省外国資産管理局（OFAC）は、北朝鮮やイランなど米国の経済制裁下にある国の攻撃者に身代金を支払うことはOFAC規制に違反すると述べています。違反者は民事罰、罰金、または刑事責任を問われる可能性があります。

また、フロリダ州やノースカロライナ州など米国の一部の州では、州政府機関が身代金を支払うことを違法としています。

サイバーセキュリティーの専門家や、サイバーセキュリティー社会基盤安全保障庁（CISA）や米国シークレットサービスなどの連邦機関は、組織がランサムウェアの脅威から身を守るための予防措置を講じることを推奨しています。こうした対策には次のものが含まれます。

• 機密データとシステム・イメージのバックアップを維持します。理想的には、ランサムウェア攻撃が発生した場合に ITチームがネットワークから切断できるハード・ドライブまたはその他のデバイスに保存するとよいでしょう。
  
  
• パッチを定期的に適用する なら、ソフトウェアやオペレーティング・システムの脆弱性を悪用するランサムウェア攻撃を阻止するのに役立ちます。
  
  
• マルウェア対策ソフトウェア、ネットワーク監視ツール、EDR（エンドポイントの検知と対応）プラットフォーム、 セキュリティー情報およびイベント管理（SIEM） システムなどのサイバーセキュリティー・ツールは、セキュリティー・チームがランサムウェアをリアルタイムで阻止するのに役立ちます。
  
  
• 従業員を対象としたサイバーセキュリティー対策トレーニング は、ユーザーがフィッシングやソーシャル・エンジニアリング、およびランサムウェア感染につながる可能性のあるその他の攻撃を認識し、回避するのに役立ちます。
  
  
• 多要素認証、ネットワーク・セグメンテーションなどのアクセス制御ポリシーを導入することで、ランサムウェアが機密データに到達するのを防ぐことができます。IDおよびアクセス管理（IAM）制御によって、ネットワーク上の他のデバイスへのクリプトワームの拡散を防ぐことも可能です。
  
  
• 正式なインシデント対応計画を組織で作成しておくことで、セキュリティー・チームはより短時間で侵害を阻止し、修復できるようになります。データ侵害のコストに関する調査によると、正式な計画と専任のインシデント対応チームを持つ組織は、どちらも持たない組織よりも54日早く侵害を特定できることがわかりました。検知までの時間が短縮されることで修復にかかるコストが削減され、組織は侵害1件あたり平均で100万ドルを節約できます。

一部のランサムウェアの亜種に対する復号化ツールは、「No More Ransom²」のようなプロジェクトを通じて一般に公開されていますが、アクティブなランサムウェア感染の修復には多くの場合、多面的なアプローチが必要になります。

米国国立標準技術研究所（NIST）のインシデント・レスポンス・ライフサイクルに倣ったランサムウェア・インシデント・レスポンス・プランの例については、IBM Securityのランサムウェア対策決定版ガイドをご覧ください。

1989年：AIDSTrojanまたは「PCサイボーグ攻撃」として知られる、史上初めて確認されたランサムウェア攻撃は、フロッピーディスクを介してコンピューターを感染させるというものでした。このランサムウェアは、被害者のコンピューター上のファイル・ディレクトリを隠し、再表示させるために189米ドルを要求してきましたが、ファイル自体ではなくファイル名を暗号化したため、ユーザーは身代金を支払わずとも被害から簡単に回復することができました。

1996年：コンピューター科学者のAdam L. Young氏とMoti Yung氏は、AIDSTrojanウイルスの欠陥を分析していく中で、将来、より高度な公開鍵暗号を使用して、機密データを人質に取るマルウェアの形態が誕生する可能性があると警告しました。

2005年：2000年代初頭までランサムウェア攻撃は下火でしたが、ロシアと東ヨーロッパを中心に感染が増加し始めました。非対称暗号化を使用した最初の亜種が登場しました。新しいランサムウェアがより効果的に金銭を脅し取れるようになるにつれ、より多くのサイバー犯罪者がランサムウェアを世界中に拡散し始めました。

2009年：暗号通貨、特にビットコインの導入により、サイバー犯罪者は追跡不可能な身代金の支払いを受け取る手段ができ、ランサムウェア攻撃が一気に増えました。

2013年：新時代のランサムウェアはCryptoLockerにより幕が開け、暗号通貨での支払いを要求する高度に洗練された暗号化ベースのランサムウェア攻撃が頻発するようになりました。

2015年：Toxランサムウェアの亜種により、ランサムウェア・アズ・ア・サービス（RaaS）という形でランサムウェアが犯罪者間で取引されるようになりました。

2017年：史上初の自己複製クリプトワームである「WannaCry」が登場しました。

2018年：Ryukはビックゲーム・ハンティング・ランサムウェアを普及させました。

2019年：二重恐喝、三重恐喝ランサムウェア攻撃がより一般的となりました。2019年以降、IBM Security X-Forceインシデント対応チームが対応したほぼすべてのランサムウェア・インシデントには、二重恐喝が関係していました。

2022年：サイバー犯罪者が標的の合法的なオンライン上のやり取りに紛れ込んでマルウェアを拡散させる「スレッド・ハイジャック」が、ランサムウェアの有力な感染経路として台頭しました。

2023年：ランサムウェアに対する防御策が強化されるにつれ、多くのランサムウェア集団が武器庫を拡大し、ランサムウェアに新たな恐喝戦術を加え始めます。特に、LockBitのような犯罪集団やContiの残党は、被害者のシステムをロックダウンすることなく機密データを盗み、人質にすることができるインフォスティーラー・マルウェアを使い始めています。