森井昌克・名誉教授

　身代金要求型ウイルス「ランサムウェア」の脅威が増大している。顧客データなどの重要ファイルが暗号化され、業務に支障が出たり、損失を計上したりする企業が相次いでいる。2025年大阪・関西万博を控え、関西企業への攻撃が懸念される中、サイバー攻撃に詳しい神戸大の森井昌克名誉教授に聞いた。（聞き手　編集委員　高橋健太郎）

倒産のケースも

　サイバー攻撃は企業にとって重大な経営リスクだ。被害を受けたシステムをなかなか復旧できず、倒産にいたるようなケースもある。 　中でも、今は「ランサムウェア」がよく話題に上る。マルウェアとも呼ばれるコンピューターウイルスの一種で、身代金を意味する英語の「ランサム」と「ソフトウェア」を組み合わせた造語だ。顧客データなどの入ったファイルを暗号化して使えなくし、復元と引き換えに企業へ「身代金」を要求する。

世界中の端末の弱点をあっという間に探せる

　ここ10年ほどで、攻撃の犯罪ビジネス化や組織化が進み、一つのサービスのような仕組み「RaaS」が構築された。「武器商人」にあたるグループの用意した攻撃ツールを実行犯が使い、得られた身代金を分け合ったりしている。世界には「ロックビット」など220ぐらいのグループがあり、活発に動いているのは30～40程度だろう。 　空き巣なら、時間をかけて「鍵をかけていない」「窓が開けっ放し」といった家を探すが、コンピューターであれば、世界中の端末の弱点をあっという間に探せる。

　攻撃者は、弱点があり、お金を取れそうな企業を選びマルウェアに感染させる。マルウェアはネットワーク内で、最初は悪さをしないため、一般の人は気付かない。最後にランサムウェアが「発症」し、ファイルを暗号化。お金だと足がつきやすいため、身代金の受け渡しには追跡されにくい仮想通貨を用いる。

委託先に狙い

　最近、特に問題になっているのが、業務委託先が攻撃されるケースだ。情報処理サービス会社「イセトー」（京都市）や物流システム会社「 関通（かんつう） 」（兵庫県尼崎市）で、ランサムウェアの被害が判明した。イセトーの場合、委託元の自治体や銀行、保険会社の顧客情報などが漏えいした。情報処理の会社にもかかわらず、サイバーセキュリティー対策がなっていなかった。しかも、これまでの公表内容には、詳しい被害内容や原因が明記されていない。 　恐らく、委託元の自治体や銀行は「ほかの自治体や銀行が業務委託している」と聞き、仕事を任せたのだろうが、委託先をしっかりと評価することは大事だ。契約時には、どんなサイバーセキュリティー態勢を整えているのか、証拠となるものを出してもらう必要がある。