ランサムウェアは暗号化前に復旧手段を潰す OS標準機能悪用の増加から学ぶ

暗号化だけではない、復旧不能化を狙うランサムウェアが増加

近年のランサムウェアは、暗号化して身代金を要求するだけでなく、復旧手段を先に奪う動きが目立ちます。業務停止の長期化を狙い、交渉力を高める手口です。

特に注意したいのは、バックアップや復元ポイントの削除が、暗号化の直前に組み込まれる点です。復旧の選択肢が消えると、被害後の意思決定が難しくなります。

さらに、攻撃者が外部ツールを持ち込まず、OS標準機能を悪用する「環境寄生型（Living off the Land）」が増加しています。従来の検知や運用設計の見直しが必要です。

復元ポイント削除と環境寄生型攻撃が同時に進む事例

海外のセキュリティ企業のレポートでは、暗号化の前段でバックアップや復元ポイントを削除する傾向が強まっていると整理されています。復旧を阻害し、身代金支払いの圧力を高める狙いです。

同レポートでは、環境寄生型攻撃のアラートが前月比で約7割増えたとされます。正規機能の利用に見えるため、単純な不審ファイル検知では追いにくい点が課題です。

具体例として、Windowsの復元用スナップショット（シャドウコピー）を管理するVSSAdminの悪用が報告されています。本来は管理用途ですが、攻撃者にとっては復元ポイント削除の手段になります。

企業が取るべき対策は「バックアップ防衛」と「正規操作の監視」

まず重要なのは、暗号化より前にバックアップが狙われる前提で設計することです。世代管理や異なる場所への保管、必要に応じたオフライン保管を組み合わせ、削除耐性を高めます。

次に、OS標準機能の利用実態を把握し、通常と異なる使われ方を検知できる状態にします。特にVSSAdminなど復旧関連コマンドは、誰がいつ実行したかを追えるログ設計が要点です。

加えて、復旧手順が実際に機能するかを定期的に確認することが欠かせません。権限・手順書・訓練を含めて点検し、緊急時に迷わず復旧できる状態を維持します。

• バックアップの保管先と削除権限を棚卸しし、削除可能なアカウントを最小化する
• 復旧関連コマンドの実行ログを収集し、平常時との差分を監視できる運用にする
• 定期的なリストア訓練で、復旧に必要な手順・権限・時間を可視化する

まとめ

ネットワークベンダーとして、PSIでは、ランサムウェアを「暗号化」だけで捉えず、侵入後に復旧手段を破壊する工程まで含めた多層防御を推奨します。

具体的には、バックアップの分離と権限最小化、管理操作の可視化、重要システムのセグメンテーションを組み合わせ、攻撃の連鎖を途中で止める設計が重要です。

また、ゼロトラストの考え方に基づき、正規ツールの利用であっても「目的外の操作」を前提に監視と統制を行うことが、復旧可能性を守る現実的なアプローチになります。

会社概要

社名：株式会社ピーエスアイ（PSI）
所在地：〒160-0022 東京都新宿区新宿5丁目5-3 建成新宿ビル4階
設立：1994年
TEL：03-3357-9980
FAX：03-5360-4488
URL：https://www.psi.co.jp
事業内容：サイバーセキュリティ製品の販売および導入支援、運用サポート、ITコンサルティング

報道関係者様からのお問合せ先

株式会社ピーエスアイ
広報担当：内藤
電話番号：（03）3357-9980
Eメールアドレス：psi-press@psi.co.jp