日本のランサムウェア対策の決定的な遅れ

　2021年5月7日、米ジョージア州に本社を置くコロニアル・パイプラインがサイバー攻撃を受け、テキサス州からニュージャージー州まで延びるパイプライン（PL）が一時停止した。東海岸で使用されるガソリンとディーゼルの約45％を供給するPLの停止で、買いだめが広がり、ガソリン不足といった大混乱につながった。

　2021年5月12日付の「ニューヨーク・タイムズ電子版」は、「当局はガソリンスタンドでのパニック買いを防止へ」という記事の出だしにつぎのように記している。

　「米国内の重要な燃料PLが停止したことでパニックに陥った米国人が自動車用のガソリンを求め、全米で数千のガソリンスタンドが燃料不足に陥る原因となった。」

　この石油製品PLの停止を引き起こしたのが「ランサムウェア」（身代金要求型の悪意あるソフトウェア）によるサイバー攻撃であった（「ランサムウェア」については、拙稿「「殺人サイバー攻撃」という悪夢」を参照）。

　「ランサムウェアは国家安全保障上の脅威であると同時に大きなビジネスであり、大混乱を引き起こしている」というワシントン・ポスト電子版（5月15日付）によると、「あなたのコンピューターとサーバは暗号化されており、バックアップは削除されている」、「我々から特別なプログラムを購入すれば、すべてを復元できる」といった内容の身代金要求型のメッセージがコロニアル・パイプラインに届いた。ハッカーは同社の機密データも盗んでおり、会社が暗号解読のためにお金を払わなければ、データは「自動的にオンラインで公開される」と脅したのである。結局、同社は、コンピューターシステムの制御権を回復し、東海岸への燃料供給を再開するために、ハッカーに75ビットコイン（440万ドル）の身代金を支払ったと、同社の最高経営責任者が5月19日に語ったという（ワシントン・ポスト電子版5月20日付）。

　この出来事をきっかけとして、いま、世界中でランサムウェア攻撃に対する関心が高まっている。そこで、日本の対策の遅れなどについて論じることにしたい。

サイバー攻撃の影響で燃料切れになったガソリンスタンド＝2021年5月12日、米テネシー州ノックスビル　The Roaming Dad / Shutterstock.com

ランサムウェアの実態

　コンピューターセキュリティの関連会社ソフォスが専門の調査会社に委託して、5000人（26カ国）のIT管理者を対象に2020年1月から2月にかけて調査した結果（sophos-the-state-of-ransomware-2020-wp.pdf (crn.com)）によると、図1に示したように、2019年にランサムウェアの被害にあったと回答した企業の割合でもっとも高いのはインドの（300社中の）82％で、ついで、ブラジルの65%（200社中）、トルコの63%（100社中）となった。日本は200社中の42%が攻撃を受けたと回答したという。なお、各国ごとに回答を得た企業数を示すのが下表である。

図1　2019年にランサムウェア攻撃を受けた企業の各国別割合（%）　（出所）The State of Ransomware 2020: Results of an independent study of 5,000 IT managers across 26 countries, A Sophos white paper May 2020, p. 4.

表　各国ごとに回答を得た企業数　（出所）The State of Ransomware 2020: Results of an independent study of 5,000 IT managers across 26 countries, A Sophos white paper May 2020, p. 1.

日本の無防備

　つぎに、ランサムウェア攻撃を撃退できずにいる日本の情けない状況を紹介したい。紹介した調査結果によると、図2に示されたように、日本への攻撃に対してデータ暗号化前に攻撃を阻止できた割合はわずか5%にすぎない。つまり、日本の防御は低レベルにとどまっていることになる。それは、トルコのように、攻撃の半分を阻止できている国に比べて、あまりに無防備な状態にあると言えるだろう。

図2　データが暗号化される前に攻撃を阻止した各国別割合（%）　（出所）The State of Ransomware 2020: Results of an independent study of 5,000 IT managers across 26 countries, A Sophos white paper May 2020, p. 7.

　ランサムウェアで受けた被害に対する修復コストをみると、国によって大きな差があることもわかっている。図3からわかるように、人件費の比較的高いスウェーデンと日本は、他の国よりもかなり高いコストが報告されている。だからこそ、日本はしっかりとランサムウェア対策を講じなければ