ランサムウェア攻撃に対する究極の対策方法と社内セキュリティーの見直し

2024/12/10

山本哲也

ネットショップ運営のお話しの前に、ランサムウェア攻撃に対する防御方法と基本的な社内セキュリティー対策方法

昨今頻発するランサムウェア攻撃(ハッキング行為)基本的な社内セキュリティーに対応するため、今日から実戦可能な方法をご紹介いたします。

弊社の生い立ち

株式会社Zinsoku出荷の代表取締役山本哲也と申します。

(弊社とは関わりのない企業様が「出荷職人」を商標登録されましたのでソリューション名を変更しております)

弊社は2007年よりネットショップの受注管理ソフト（いわゆる一元管理ソフト）を提供する老舗企業です。
サブスクリプション型パッケージソフトウェアとオリジナル開発の二本立てで、ネットショップの受注管理ソフト開発に特化しています。

私は大学生時代から路面店のリアルショップも運営しており、商売人的な発想ができることがクライアント様から支持されている理由の一つかもしれません。

ネットショップ運営企業は、突然売り上げが伸びる一方で、情報システム部門が存在しない、もしくはITの基本知識を十分に持たない場合が多いと感じています。
弊社では、受注管理ソフトの枠を超え、クライアント様のあらゆる課題をサポートしてきました。たとえば、家庭用ルーターをそのまま利用しているためネットワークが非常に遅くなる、といったご相談にも対応してまいりました。

このたび、ECのミカタ様より記事を執筆する機会をいただきました。ネットショップ運営者の皆様に役立つ情報をお届けしたいと考えています。

第1回記事：ランサムウェア攻撃について
初回は、昨今大きな問題となっているランサムウェア攻撃について、記事を執筆いたします。
具体的な企業名は記載しませんが、「ランサムウェア攻撃被害一覧」で検索すると、その被害の多さに驚かれるかと思います。掲載されている情報は表面化した一部に過ぎず、中小零細企業でも被害に遭うケースがあり、弊社では直近の半年間でも3件の相談が寄せられています。

ランサムウェア攻撃は、売り上げや効率化の成果を一瞬で無にするリスクをはらんでおり、これを最大の優先事項として取り上げます。

ランサムウェア攻撃とは

ランサムウェアは、「ランサム（身代金）」と「ソフトウェア」を組み合わせた言葉です。この攻撃では、企業の重要なファイルを暗号化し、その解除のためのパスワードを引き換えに金銭を要求するという、組織的な犯罪が行われます。

ネットショップ運営企業に置き換えると、受注ファイルが暗号化されて商品の出荷ができない、メーカーへの注文が止まる、倉庫管理が滞るなど、業務に致命的な影響を及ぼします。

以前は、ランサムウェア攻撃の被害に遭った場合、「素直にお金を支払う」が最善とされていました。支払いは匿名性の高いビットコインなどで要求されます。
しかし、最近では一度支払うと際限なく金銭を要求されたり、パスワードを教えてもらえなかったりするケースが増えています。

ハッカーは事前に攻撃対象の支払い可能金額を把握しており、ギリギリの金額を要求してきます。被害に遭った際は速やかに警察へ報告するとともに、弊社のようにランサムウェア攻撃への対応経験を持つシステム会社に相談してください。

最大の防御策：重要データのネットワーク分離

ランサムウェア攻撃を防ぐ最善の方法は、重要データをネットワークから切り離して保存することです。このようなデータには、ハッカーも手出しできません。

また、ソーシャルハッキング（電話やメールで言葉巧みに企業をだます詐欺）を防ぐには、重要データをネットワークから切り離し、従業員に「触れてはいけないデータ」として教育することが有効です。

重要データが無事であれば、被害を受けた当日から業務を再開できます。ランサムウェア攻撃を受けた際、社内がパニックになる場合でも、弊社にご相談いただければ最善の方法をご提案いたします。

※なお、金銭要求に応じないことで重要データがネット上に晒される可能性がありますが、その回避方法については別の記事で記載いたします。

基本的な社内セキュリティの改善

ランサムウェア攻撃のリスクだけでなく、日常的なセキュリティ対策も重要です。中規模以上の企業ではWindowsのAD（アクティブディレクトリ）を導入している場合がありますが、ネットショップ運営企業では導入されていない、またはその存在すら知られていないケースも多いです。

ADでできること：

社員が退職や転職の際に、店舗の取引先や仕切り価格といった社外秘データをUSBメモリで持ち出すリスクを防止。
新入社員に必要最小限のデータだけアクセス可能にし、重要データへのアクセスを制限。
重要データには役職のある社員のみアクセス出来るようにし、社内データの重要性を認知させる。
全社のPCのWindowsセキュリティアップデート状況を把握し、未実施の場合は警告。
社員によるフリーソフトやセキュリティリスクのあるソフトウェアのインストールを防止。
前述のランサムウェア攻撃の多くの経路である不審な添付メールの実行を防ぐ。