Darksideについて調べた過程で知ったこと

###はじめに
最近、仕事の関係上サイバーセキュリティ攻撃の動向について情報収集を行うことが多く、
昨今の事例などについて調べていました。
先月、東芝テック株式会社が欧州子会社においてサイバー攻撃の被害にあったことを発表していましたが、
本攻撃はDarksideという攻撃者グループによって行われたとされています。
https://www.toshibatec.co.jp/release/20210514_01.html

Darksideは、米国のコロニアル・パイプラインという会社を一時的な操業停止に追い込むといった事件で注目をあげていたことから注目を浴びていた攻撃者グループです。

今回、情報収集を行う過程でトレンドマイクロ社のウェビナーを受講し、その中での知ったこと、それに対して感じたことを備忘録として記載したいと思います。
https://resources.trendmicro.com/jp-webinar-form-0331-ransomware-darkside.html

###ランサムウェア今昔
ランサムウェアとは、言うまでもなくコンピュータやデータの暗号化を行い、復旧して欲しければお金を払え！という
いわゆる脅迫型のウィルスが一般的に定義として指していると思います。
昨今では、ランサムウェア攻撃という名称で呼ばれることがありますが、
これはウィルスの種類というよりも、ランサムウェアを使った標的型攻撃の総称として使われるそうです。
最近では、攻撃者が取得した情報を少しづつインターネットに公開し、返してほしければお金を払え！という暴露型と呼ばれる手法がメジャーとなっています。

###RaaS
RaaS(Ransomeware as a Service) とは、ランサムウェアの攻撃パッケージをサービスとして提供する形態のことで、
イメージとしてはある企業に対して攻撃を仕掛けたい攻撃者グループが、このRaaSを提供している武器商人からパッケージを購入し、攻撃をしかける…というような仕組みとなっています。
日本の特殊詐欺でも、実行犯、司令官、手法を考える人が分かれているということが良くあるそうですが、それと同じようにサイバー攻撃の世界でも、実行犯と、その攻撃手法を提供する人物が分かれるというケースが増えてきているのだとか。

###ITネットワークへの攻撃がビジネス停止に
トレンドマイクロ社の調査によると、スマートファクトリーにおけるサイバー攻撃の結果として、生産システムの停止を経験したことのある日本企業は、インシデント経験者の約7~8割、更にそのシステム停止期間は4日以上と答えた企業は3割強という結果とのこと。
https://www.trendmicro.com/ja_jp/about/press-release/2021/pr-20210422-01.html

システムが4日止まると、大体どれぐらいの損失が出るものなのでしょうか。
下記の記事によると、大手自動車メーカでは1時間の稼働停止で損失は1億円以上とのこと。
工場というのは今や24時間稼働も当たり前ですからね。
つまり、単純に一日24時間だと24億、4日で約100億近くの損失になることも考えられます。

https://monoist.atmarkit.co.jp/mn/articles/2104/02/news013.html

それに加えて、ランサムウェアの場合は身代金をやむを得ず支払わなければならないケースもあるかと思いますので、当然その分での被害額、更には昨今の暴露型攻撃ですと「どこそこの企業がやられた」というのが世界的に知られたしまうので、企業の信用失墜にもつながってしまうケースも考えられます。
また、企業によっては攻撃を受けたシステムの再構築、ということも考えられ舞うから、その場合一体どれぐらいお金がかかってしまうのか…ということを考えると、やはりサイバー攻撃による被害というものは非常に甚大であると考えられます。

###対策について
当たり前なのですが、一つのセキュリティ対策でこういったランサムウェア攻撃（サイバー攻撃）を防止することは難しいと思いました。
例えば、いくら高性能なエンドポイント製品を導入したとしても、その製品をバイパスする攻撃手法が見つかったり、そもそもそのエンドポイントが導入されていない野良サーバや海外拠点のサーバなどから侵入されてしまうというケースも考えられます。私が聴講させていただいたセミナーでも、複数の対策を最後にまとめとして挙げておられました。
その中の何かをやればOK、ではなく、多層防御の考えを早期から持つことが大切だと感じました。

###まとめ
サイバー攻撃の手法は日々変わっていますが、セキュリティへの投資は「保険」と揶揄されることも多く、実際に被害を受けるまで具体的な対策に乗り出さない企業も多いのではないかと思います。確かに、セキュリティ製品って導入してもビジネス面でなかなかその恩恵を受けられないと思われがちですが、やはり実際に被害者になってからでは失うもが非常に多いと感じます。
どうすればセキュリティ対策についてより多くの方に理解をいただけるのか、何がセキュリティ対策として有効なのかを今後も考えていきたいなと思います。