企業や行政機関を狙ったランサムウェア攻撃は巧妙化しており、業務停止や情報漏えいなど、事業継続に大きな影響を及ぼすケースもあります。なかでもLockBitは、世界各国で被害が確認されてきた代表的なランサムウェアの一つです。

ランサムウェア対策では、VPN機器の更新や多要素認証、バックアップなどの技術対策が欠かせません。一方で、フィッシングメールのリンクを開く、偽サイトで認証情報を入力するといった従業員の行動が、攻撃の入口になる場合もあります。

本記事では、LockBitの特徴や被害事例、想定される攻撃手法を整理し、技術・人的両面から対策を解説します。

LockBitは、RaaS（※）を活用し、多数の攻撃者によって利用されてきたランサムウェアです。開発・運営側と実際に攻撃を行う実行役が分かれているため、さまざまな手法による攻撃が行われ、世界各地で被害が確認されてきました。

LockBitは、企業などのネットワークへ侵入し、データの窃取と暗号化を行います。攻撃者は、暗号化されたデータの復旧や、窃取した情報を公開しないことと引き換えに身代金を要求します。

LockBitの前身とされる活動は2019年頃から確認され、その後、LockBit 2.0やLockBit 3.0など複数のバージョンが使われてきました。端末内のファイルだけでなく、サーバーや仮想化環境など、企業の業務基盤も攻撃対象となります。

また、LockBitでは、データを暗号化する前に外部へ持ち出し、支払いに応じなければ公開すると脅す「二重脅迫」も確認されています。こうした攻撃では、業務システムの停止と情報漏えいが同時に発生し、復旧や関係者対応が長期化するおそれがあります。

※RaaS（Ransomware as a Service）とは、ランサムウェアをサービスとして提供する仕組みのこと。

LockBitによる被害は、攻撃を受けた組織の内部だけで完結するとは限りません。基幹システムや共通基盤が停止すると、取引先、物流事業者、顧客などへ影響が波及し、事業継続が難しくなる可能性があります。

2023年7月、国内の物流を支える港湾施設で、コンテナの搬入・搬出などを一元管理するシステムに障害が発生しました。調査の結果、LockBitによるものとみられるランサムウェア攻撃を受け、サーバー内の情報が暗号化されたことが確認されています。

システムの停止により、複数のコンテナターミナルで搬入・搬出作業ができなくなりました。発生から復旧まで約3日間を要し、物流事業者や荷主など、港湾を利用する周辺企業にも影響が広がりました。

この事例から分かるのは、重要インフラへのサイバー攻撃が、一つの施設や運営組織だけの問題ではないという点です。物流のように多くの企業が利用する基盤が停止すると、出荷や納品の遅れなどを通じて、サプライチェーン全体へ影響する可能性があります。

出典：国土交通省港湾局『港湾分野における情報セキュリティ確保に係る安全ガイドライン（第3版）事案事例集』

ある企業では、サーバー画面に金銭を要求する脅迫文が表示され、調査の結果、複数のサーバーやパソコン内のファイル、バックアップデータが暗号化されていることが確認されました。脅迫文の内容から、LockBit 2.0による攻撃を受けたものと推定されています。

感染経路は特定されていませんが、セキュリティソフトのログから、メールをきっかけに感染した可能性が示されています。被害を受けた機器は初期化され、クラウド上のバックアップから復旧が行われましたが、一部のデータは復元できませんでした。

この事例から分かるように、ランサムウェア対策では不審なメールへの注意だけでなく、被害発生後に復旧できるよう、適切なバックアップ管理や従業員へのセキュリティ教育を整えることが重要です。

出典：独立行政法人情報処理推進機構『コンピュータウイルス・ 不正アクセスの届出事例［2022 年下半期（7月～12月）］』

LockBitによる攻撃では、侵入後すぐに暗号化が行われるわけではありません。攻撃者は、外部からネットワークへ侵入し、内部で権限や攻撃範囲を広げた後、データの窃取や暗号化を実行します。

LockBitをはじめとするランサムウェア攻撃では、更新されていないVPN機器や外部公開サーバーの脆弱性が侵入口になる場合があります。国内の被害事例でも、外部接続環境を経由して侵入されたとみられるケースが確認されています。

インターネットから接続できる機器やサービスは攻撃者による探索対象になりやすく、管理されていないシステムや更新されていない機器が残っていると、侵入経路として悪用される可能性があります。

また、利用を終了したシステムや不要な公開設定が残っている場合、攻撃リスクを高める要因になります。

攻撃者は、過去の情報漏えいやフィッシングによって入手したID・パスワードを利用し、VPNやリモートデスクトップ、クラウドサービスなどへ不正ログインします。

また、取引先や社内担当者を装ったメールから、不正ファイルや偽のログイン画面へ誘導する手口も使われています。請求書や契約書、共有資料など、日常的な業務連絡に見える内容が利用されることで、受信者が攻撃に気づきにくくなる傾向も見られます。

このような攻撃では、正規の認証情報が悪用されるため、不審なアクセスの発見が遅れるリスクがあります。

ネットワークへの侵入後、攻撃者は侵害した端末を足掛かりとして、ほかの端末やサーバーへ移動します。このように、組織内部で攻撃範囲を広げる行為を「横展開」と呼びます。

横展開の過程では、端末やサーバーに保存された認証情報を収集し、管理者権限の取得を試みることがあります。また、社内で利用されている管理ツールや遠隔操作機能を悪用し、通常の管理作業に見せかけて活動する手口も確認されています。

その後、攻撃者は重要なシステムやデータへアクセスし、情報の窃取や端末・サーバーの暗号化を行います。侵入後に攻撃範囲を拡大されると、単一の端末だけでなく、組織全体の業務へ影響が及ぶおそれがあるため注意が必要です。

LockBitは、RaaSによって複数の攻撃者が利用してきたため、侵入経路や攻撃手法が多様化しています。そのため、特定の対策だけに頼るのではなく、侵入を防ぐ技術対策と、侵入後の被害拡大を抑える仕組みを組み合わせることが重要です。

また、フィッシングメールや認証情報の窃取など、従業員の行動が攻撃のきっかけになる場合もあります。従業員が不審な操作を避け、異常を早期に報告できる体制づくりも欠かせません。

LockBitでは、VPN機器やリモート接続環境、盗まれた認証情報などが侵入経路として悪用される場合があります。そのため、外部からアクセス可能な機器やサービスを把握し、脆弱性を残さない管理が必要です。

VPN機器、OS、ソフトウェアは常に最新の状態へ更新し、利用していない外部公開ポートや不要なアカウントは停止します。また、VPNやクラウドサービスには多要素認証を導入し、認証情報が流出した場合でも不正ログインされにくい環境を整えます。

さらに、EDR（※）やログ監視を活用し、通常とは異なるログイン、見慣れない端末からのアクセス、不審なプログラムの実行などを早期に検知できる環境を整えます。

※EDR（Endpoint Detection and Response）とは、パソコンやサーバーなどの端末上で不審な挙動を検知し、原因調査や対応を支援するセキュリティ対策のこと。

LockBitのようなランサムウェアでは、侵入した端末だけでなく、ネットワーク内の別端末やサーバーへ攻撃範囲を広げる場合があります。そのため、侵入を完全に防ぐだけでなく、被害を限定する仕組みも必要です。

アクセス権限や管理者権限は、業務上必要な範囲に限定します。また、ネットワークを分離することで、侵害された端末から重要なシステムへ横展開されるリスクを抑えられます。

重要データは定期的にバックアップし、通常のネットワークとは分離して保管します。取得したバックアップが実際に復元できるかを確認するとともに、感染端末の隔離やアカウント停止、ログ保全など、被害発生時の初動対応も事前に整理しておくことが重要です。

LockBitは、フィッシングメールや盗まれた認証情報を利用して侵入するケースもあるため、従業員一人ひとりの判断が被害防止につながります。

不審メール、添付ファイル、クラウド共有リンク、偽のログイン画面など、実際に遭遇する可能性がある手口を具体的に教育し、認証情報を安易に入力しない習慣を身につけることが重要です。

また、誤操作を責める環境では、従業員が報告をためらい、被害発見が遅れるおそれがあります。早期報告を促す体制を整え、異常を発見した段階で迅速に対応できる文化を作ることが必要です。

座学による知識習得だけでは、ランサムウェア感染が業務停止や情報漏えいにつながる流れを具体的に理解しにくい場合があります。実際の攻撃を想定した体験型教育を取り入れることで、従業員が自分の行動と被害の関係を理解しやすくなります。

『セキュアプラクティス®』では、「LOCKBIT（被害体験）編」を用意しています。疑似体験を通じて、ランサムウェア被害が事業や取引先へ及ぼす影響を具体的に理解しやすくなります。

LockBitに加えて、BlackSuit、フィッシング、標的型攻撃メール、スミッシングなどのシナリオも学習できるため、複数の侵入経路を想定した人的対策に活用できます。管理者側で履修状況を確認できることから、受講案内や未受講者の確認など、組織的な教育運用にも取り入れやすい方法です。

LockBitは、RaaSによる分業型の仕組みを通じて、世界各地へ攻撃を広げてきたランサムウェアです。被害が発生すると、端末やサーバーの暗号化によるシステム停止だけでなく、情報漏えいや取引先への影響、復旧対応の長期化など、事業継続を脅かす問題につながります。

主な侵入経路には、更新されていないVPN機器や外部公開システムの脆弱性、過去に盗まれた認証情報、フィッシングメールなどがあります。企業には、機器やソフトウェアの更新、多要素認証、EDRやログ監視、適切な権限管理、分離したバックアップといった技術対策が必要です。

ただし、技術対策だけですべての攻撃を防ぎ切ることは困難です。不審なメールや添付ファイルを開くか、偽サイトで認証情報を入力するか、端末の異常に気づいて報告するかには、従業員一人ひとりの判断が関わります。

『セキュアプラクティス®』では、「LOCKBIT（被害体験）編」を用意しています。ランサムウェア被害が組織全体へ広がる過程を疑似体験することで、脅威を自分事として捉え、「気づく・止まる・報告する」行動を定着させやすくなります。技術対策と体験型の従業員教育を組み合わせ、侵入の防止と被害の早期発見に取り組むことが重要です。