🛡️【Day 1】ランサムウェア大全：その起源から「二重脅迫」への最悪な進化を技術的に紐解く
この記事は、全30回のランサムウェア対策シリーズの第1回です。
🎯 1. はじめに：ランサムウェアとは何か？その本質
💡 定義：マルウェアではなく「恐喝ビジネス」
ランサムウェア（Ransomware）は、単なるシステム破壊や情報窃取を目的とするマルウェア（悪意のあるソフトウェア）ではありません。その唯一の目的は、 「データを人質に取り、身代金（Ransom）を要求する」 ことです。
セキュリティエンジニアへの提言:
ランサムウェアの本質は、 公開鍵暗号をはじめとする「暗号技術（Cryptography）の悪用」 です。正当な技術が逆手に取られているため、その仕組みを知ることが防御の第一歩となります。
⏳ 2. 黎明期：フロッピーディスクと決済の壁
ランサムウェアの概念は、匿名性の高い決済手段が登場するまで、ビジネスとして成立しませんでした。
| 年代 | 事例 | 特徴 | 技術的な限界 |
|---|---|---|---|
| 1989年 | AIDS Trojan | 世界初。対称鍵暗号を使用。 | 身代金はパナマの私書箱へ郵送（非効率） |
| 2000年代 | Police Ransomware | 暗号化せず、偽の警告画面でロックする スケアウェア。 | 暗号化を伴わず、脅威度が低かった。 |
🚀 3. 第1世代：暗号化型の台頭と「ばら撒き」時代（2013年〜2017年）
ランサムウェアが真の脅威となったのは、 「強力な暗号化技術」 と 「追跡困難な決済手段」 が組み合わされてからです。
🔑 CryptoLockerの登場（2013年）
現代型ランサムウェアの祖とされるCryptoLockerは、以下の二点で革命的でした。
- 堅牢な暗号化: 非対称鍵暗号（RSA-2048など） を採用し、自力での復号を不可能に。
- 収益化の確立: ビットコイン（Bitcoin） による匿名性の高い決済スキームを確立。
🦠 ワーム型攻撃：WannaCry（2017年）
2017年のWannaCryは、ランサムウェアに ワーム機能 を搭載したことで大流行しました。
- 脆弱性の悪用: Microsoftの脆弱性 「EternalBlue」 を利用し、自己増殖的にネットワーク内に拡散。
- 拡散力: 感染PCから自動で横展開し、短時間で世界中の企業や機関を機能不全に陥れました。
🔐 4. 技術の核心：なぜ復号（Decrypt）は不可能なのか？
エンジニアとして理解すべきは、ランサムウェアの暗号化が非常に巧妙なハイブリッド方式を採用している点です。
ランサムウェアは、処理が重い非対称鍵暗号を全ファイルに使うのではなく、以下の手順で実行します。
// Step 1: ファイルごとに高速な共通鍵を生成
Common_Key = Generate_Random_Key(AES_256);
// Step 2: ファイルを共通鍵で暗号化 (高速処理)
Encrypted_File = Encrypt(File_Data, Common_Key);
// Step 3: 共通鍵を攻撃者の公開鍵で暗号化 (秘匿化)
Encrypted_Common_Key = Encrypt_with_RSA_Public_Key(Common_Key, Attacker_Public_Key);
// Step 4: 共通鍵を削除し、Encrypted_Common_Keyをローカルに保存
Delete(Common_Key);
Save(Encrypted_Common_Key);
ファイル復号に必要な Common_Key は、攻撃者だけが持つ Attacker_Private_Key でしか解読できません。これが、身代金を支払うか、バックアップから復旧するしかない理由です。
😈 5. 第2世代：標的型攻撃と「二重脅迫」（2019年〜現在）
企業のセキュリティ対策が進み、バックアップによる復旧が増えると、攻撃者はさらなる「進化」を遂げました。
🏹 標的型攻撃（Big Game Hunting）へのシフト
従来の「ばら撒き型」から、高額な身代金を支払える大企業を狙う 「標的型」 へと移行しました。攻撃者は数週間かけて内部に潜伏し、 Active Directory（AD） の管理者権限奪取などを狙います。
😱 二重脅迫（Double Extortion）の登場
2019年にMazeランサムウェアが採用し、現代の主流となった戦術です。
| 旧来の脅迫 (第1世代) | 二重脅迫 (第2世代) |
|---|---|
| 脅迫1: ファイルを暗号化し、業務停止を引き起こす。 | 脅迫1: ファイルを暗号化し、業務停止を引き起こす。 |
| (これ以上は求められない) | 脅迫2: 暗号化の前に機密データを盗み出し、支払わなければ 暴露サイト（Leak Site） で公開すると脅す。 |
この進化により、「バックアップがあるから支払わない」という企業の対抗策は通用しなくなり、 「情報漏洩」 という別のリスクも背負うことになりました。
📉 6. 最新のトレンド：「暗号化なし」の恐喝モデル
現在、ランサムウェアはさらに多角化しています。
-
多重脅迫（Multi-Extortion）：
DDoS攻撃を仕掛ける、盗んだ情報を使って被害企業の顧客へ直接メールを送りつけるなど、あらゆる手段で圧力をかけます。 -
No Encryption Ransomware：
暗号化は時間がかかり、EDRで検知されやすいため、あえて暗号化をせず、データ窃取と暴露のみを目的とするグループも出現しています。
📝 7. まとめと次のステップ
ランサムウェアの歴史は、単なるウイルス進化ではなく、 「いかにして最大限の利益を上げるか」 という犯罪ビジネスモデルの変遷史でした。
| 世代 | 主なマルウェア | 攻撃の焦点 | 防御を困難にした要因 |
|---|---|---|---|
| 第1世代 | CryptoLocker, WannaCry | ファイル暗号化 | ビットコイン、RSA暗号 |
| 第2世代 | Maze, LockBit | データ窃取・暴露 | 二重脅迫 |
次回（Day 2）では、この現代の恐喝ビジネスを支える 「RaaS (Ransomware as a Service)」 のエコシステムと、攻撃者側の組織構造に焦点を当てて、より深くランサムウェアの生態系を理解していきます。
ご期待ください！