ニュース
ランサムウェアを使った攻撃者は、身代金の支払いを支援するカスタマーサポートを設置している
シマンテックがIoT時代のセキュリティについて説明
（2015/8/21 19:44）
シマンテックは21日、最近急増しているランサムウェアについての現状と、IoTデバイスでのセキュリティに関するメディア向け説明会を開催。ノートン事業部副社長のフラン・ロッシュ氏が解説した。
ランサムウェアとは、ユーザーの重要なデータを人質に取り、金銭を要求するマルウェア。オンラインで身代金を支払えるような、ITインフラが整った経済力のある国が狙われている。日本でも被害が増えており、攻撃件数の国別内訳では、米国に次いで2番目だという。
ロッシュ氏は、ランサムウェアの成り立ちについて説明。近年突如として出現したのではなく“PCに問題があると警告する”不正アプリが、時を経て形を変えたものだという。不正アプリは、PC上で突然ポップアップが立ち上がり「PCに問題がある。これを修正するには課金が必要」と警告。多くのユーザーは嘘の警告だと判断し無視したが、ITリテラシーの低い数％のユーザーが課金してしまい、ビジネスとして成り立つと攻撃者が認識したのが始まりだという。
続いて、偽のアンチウイルスソフトに形態を変え、デバイスがウイルスに感染したと警告し、駆除するためには金銭が必要として課金を要求する。しかし、ユーザーの理解が進むと共に被害も減少したという。攻撃者から見れば売り上げダウンとなり、次の手段として考案されたのがランサムウェアだとしている。PCをロックする「ロック型」が登場し、続いてオープンソースの暗号化技術を用いてデータを人質に取る「暗号化型」が広がった。要求金額は平均して300USドル（日本円換算約3.7万円）と、ユーザーがデータ救出のために最も支払う可能性の高い金額を提示するなど、手口も洗練されてきているという。
決済方法は、銀行が発行するプリペイドカードか、追跡不可能なビットコインが最も好まれている。ビットコインでの支払い方法がわからないユーザーに対し、攻撃者は独自のカスタマーサポートを設けて対応する事例もあるという。日本向けのローカライズも進んでおり、翻訳ではなく日本人を雇ってランサムウェアを作成し、自然な日本語で身代金を要求するものも多い。日本向けカスタマーサポートも存在するという。
なお、攻撃者は金銭目的が殆どだというが、銀行のパスワードやクレジットカード情報、IDを入手する際の個人情報などを要求する場合や、知的財産や情報目的の攻撃者もいるという。また、身代金を払って、データが返ってくるかどうかは攻撃者次第だとしており、中にはファイルにアクセスできるよう手伝ってくれる攻撃者もいるようだが、一方で身代金を支払ってもデータが返ってこない事例もあるという。
ロッシュ氏は、ユーザーにとって重要なデータを攻撃し、ユーザーが支払える身代金を提示し、支払うためのカスタマーサポートまで設けているランサムウェアの攻撃を「完全犯罪」だとしている。ランサムウェアに至るまでの歴史は、ユーザーのリテラシーが高くなるタイミングと関係しており、最も効果的な対策としてデータの適時バックアップのほか、ノートンなどのセキュリティソリューションを導入し、ユーザーがランサムウェアに対してスマートに振る舞うことで、脅威から回避できるとしている。
PCでのランサムウェアの効果が薄れてくると、攻撃者はどこを狙うか。ロッシュ氏は、多くの個人情報などが蓄積されたスマートウォッチなど、IoTデバイスに軸足が移ってくると指摘。シマンテックでは、独自のテストとして、PCやAndroidスマートフォンで展開する典型的なランサムウェアを使用し、Android Wearの同期機能を利用して、デバイスへの感染を確認したという。
なお、現在Android Wearでそういった事象が発生しているわけではない。また、Apple Watchではテストしていないとしているが、iOSのセキュリティエコシステムは「とてもしっかりやっている」としており、Androidのような自由度は下がってしまうが、セキュリティ環境は高いという。
数多く登場しているIoTデバイスだが、セキュリティ性能に関してはあまり高くなく、セキュリティを家庭内で担保するには、ゲートウェイなども重要になってくるという。特定のタイミングでそういった製品のオファーを出す可能性はあるとしているが、今の段階ではソフトウェアのライセンスとしてパートナーと連携している。
ロッシュ氏は、ユーザーがセキュリティを担保するために、「何年にもわたって警告しているが」とした上で、信頼できないサイトからダウンロードを行わない事を強調した。また、強固なパスワードを設定して高頻度に変更すること、ソフトウェアのアップデートが公開されたら適用することのほか、ノートンのようなゼロデイ攻撃に対応するセキュリティソフトの必要性を訴えた。
