小規模な組織では、マルウェアは通常どのように侵入しますか？
マルウェアは通常、メールの添付ファイル、悪意のあるウェブサイト、修正プログラムが適用されていない、または外部に公開されているリモートアクセスサービスを通じて侵入します。これらはNCSCが指針で注意を促している経路です。その後、盗まれたパスワードにより、攻撃者は1台の端末からネットワーク上のほかの端末へと移動できます。
架空の職員8人の慈善団体、ノースゲート・フード・ネットワークを考えてみましょう。ボランティア調整担当のサムは、誰も手をつけられていない作業をリストにしています。『ノートパソコンに更新のための再起動が何度も表示されるが、毎回延期している。バックアップ＝事務所のパソコンに挿しっぱなしのUSBドライブ。会計担当者が自宅から作業できるように、リモートデスクトップを開放したままにしている。新しい取引先から寄付金の表が.xlsmで届き、コンテンツを有効にするよう求められた』。どの項目も、ランサムウェア攻撃グループが狙う侵入口です。
マルウェアの主な種類は何ですか？
マルウェアの主な種類は、侵入後に何をするかによって分類されます。多くの攻撃では複数の種類が組み合わされます。
| 種類 | できること | よくある兆候 |
|---|---|---|
| ランサムウェア | ファイルを暗号化または窃取し、金銭を要求します | ファイルが開かない、拡張子が変更されている、身代金の要求文がある |
| 情報窃取型マルウェアまたはスパイウェア | パスワード、クッキー、文書を収集します | 身に覚えのないログイン、自分が操作していないアカウントの変更 |
| トロイの木馬 | 役立ちそうなものの中に隠れています | 想定外のプログラムや文書が追加の権限を要求します |
| ワーム | ネットワーク内で自己拡散します | 複数の端末が同時に遅くなったり、異常な動作をしたりします |
| ワイパー | データを破壊します。ランサムウェアを装う場合もあります | 要求に応じてもファイルが失われたままです |
マルウェアやランサムウェアを防ぐにはどうすればよいですか？
マルウェアやランサムウェアの多くは、1つの製品ではなく、複数の対策を習慣として重ねることで防ぎます。更新プログラムを速やかに適用し、攻撃者がアクセスできないバックアップを保持し、多要素認証でアカウントを保護します。NCSCが多層防御を重視しているのは、あらゆる感染を防げる単一の対策はないためです。
更新情報
セキュリティ更新は提供され次第インストールし、自動更新を有効にしてください。攻撃者はリモートアクセスサービスやインターネットに公開された機器を探して走査するため、これらに優先して修正プログラムを適用してください。
オフラインバックアップ
ネットワークに常時接続していないバックアップを定期的に作成し、できれば別の場所に保管して、復元できることを確認してください。CISAは、オフラインで暗号化したバックアップを作成し、定期的に復元テストを行うことを推奨しています。
多要素認証
メール、クラウドストレージ、すべてのリモートアクセス経路で多要素認証を有効にし、パスワードが盗まれただけではアクセスできないようにしてください。
マクロとダウンロード
心当たりのない文書では、マクロやコンテンツを有効にしないでください。代わりに、普段使っている連絡手段で送信者に確認してください。
必要最小限のアクセス
各利用者には必要なアクセス権限だけを与え、誰も使っていないリモートアクセスは無効にします。
修正項目の一覧には、不十分な例と改善した例でどのような違いがありますか？
不十分な改善策のリストは、「もっと良いウイルス対策ソフトを買う」だけで終わります。ウイルス対策は役立ちますが、サムの4つの侵入口はどれも塞げません。USBバックアップは依然としてパソコンと一緒に暗号化され、外部から接続できるリモートデスクトップは依然として攻撃者を招き入れ、誰かが有効化をクリックすればマクロも実行されます。
改善した対策リストでは、侵入経路ごとに日々の習慣を対応させます。更新：今夜、再起動して更新をインストールし、その後、自動更新を有効にします。バックアップ：毎週のバックアップ後にUSBドライブを取り外し、独自の多要素認証を設定した別のクラウドアカウントにもコピーを保管して、今月中に一度、復元を試します。リモートアクセス：開放されているリモートデスクトップを閉じ、会計担当者には、サポート対象で多要素認証に保護されたファイルへのアクセス手段を用意します。取引先の表計算ファイル：コンテンツを有効にせず、取引先のウェブサイトに記載された電話番号に電話して、本当に送信したかを確認します。すべての項目に担当者と期限を設定します。
ランサムウェアの被害に遭った場合、どうすればよいですか?
ランサムウェアの被害に遭ったら、影響を受けた端末を直ちにネットワークから切り離し、情報システムの管理担当者に電話して、被害を報告してください。米国サイバーセキュリティ・インフラセキュリティ庁は、電源を切ると証拠が失われる可能性があるため、可能であれば電源を切らずにネットワークから切り離し、システムから脅威を除去した後でオフラインのバックアップから復元するよう勧めています。NCSCは、利用できる復号ツールを探すためにノーモアランサム・プロジェクトを案内しています。また、支払っても復旧は保証されず、犯罪組織の資金源になるため、法執行機関は身代金の支払いを推奨していないと説明しています。インシデント対応の基礎レッスンでは、最初の一時間に行う対応を一通り扱います。
防御対策が実際に機能しているかは、どう確認しますか？
防御対策は、思い込みではなくテストで確認します。バックアップからフォルダーを1つ復元し、端末の更新履歴を確認し、重要なすべてのアカウントで多要素認証が有効になっていることを確かめ、利用しているリモートアクセス経路をすべて洗い出してください。このうち1つでも5分以内に確認できなければ、それが次に取り組む作業です。
マルウェア対策でよくある間違いは何ですか？
最も多い間違いは、バックアップを常時接続したままにすることです。ランサムウェアは、ほかのデータと一緒にバックアップも暗号化してしまいます。ほかにも、更新を何週間も先延ばしにする、便利だからとリモートアクセスを開放したままにする、1つの管理者アカウントを共有する、丁寧に頼むメッセージに従ってマクロを有効にする、復元が必要になる日まで一度も復元テストをしない、といった間違いがあります。
このレッスンはTosheo.aiの中でどのように位置づけられていますか?
このレッスンは、サイバーセキュリティカテゴリーとサイバーセキュリティ講座に属し、フィッシング、インシデント対応、AIエージェントの安全な利用とともに学びます。Tosheo.aiでは、ノースゲートのような架空の組織の設定を監査し、優先順位を付けた改善項目の一覧を作成します。見落とした点について、採点基準に基づくフィードバックを受けます。一般の従業員や管理職のセキュリティ意識を高める研修であり、技術的なセキュリティやマルウェア解析の講座ではありません。
出典と対象範囲
NCSC：マルウェアとランサムウェアの攻撃による被害を抑える方法（19 October 2026確認） ↗
CISA、ランサムウェアを阻止する（19 October 2026確認） ↗