WannaCryの被害額から学ぶサイバーリスク｜国内外の事例と今すべき対策

サイバー攻撃のリスク管理において、過去の事例における具体的なWannaCryの被害額を把握することは、セキュリティ投資の重要な判断材料となります。この世界規模のランサムウェア攻撃がもたらした経済的損失は、単なる身代金の額をはるかに超え、事業停止による間接的な損害が大部分を占めていました。この記事では、WannaCryによる全世界での被害総額、その内訳、そして国内外の具体的な被害事例を解説します。本記事を通じて、現代の企業が取るべきセキュリティ対策の重要性を再確認することができます。

WannaCry事件の概要

世界を震撼させたランサムウェア

WannaCryは、2017年5月に発生し世界中に深刻な被害をもたらした身代金要求型マルウェア（ランサムウェア）です。最大の特徴は、マルウェア自身が感染を広げる「ワーム」の機能を備えていた点にあり、これにより150カ国以上で23万台を超えるコンピュータが爆発的に感染しました。公共機関やグローバル企業のシステムが次々とダウンし、事業継続に深刻な影響を及ぼしたこの事件は、インターネットに接続されたシステムの脆弱性が、いかに巨大なリスクとなり得るかを世界に知らしめました。

身代金要求の手口と特徴

WannaCryは、感染したコンピュータ内のファイルを勝手に暗号化し、元に戻すことと引き換えに金銭を要求します。その手口には、攻撃者の身元を隠し、被害者の心理を巧みに突く特徴が見られました。

WannaCryによる被害額の実態

全世界での推定被害総額

WannaCryがもたらした経済的損失は、全世界で約40億ドル（数千億円規模）にのぼると推定されており、サイバー攻撃史上でも最大級の被害額となりました。この金額は、攻撃者が得たとされる身代金の総額（約38万ドル）とは比較にならないほど巨大です。この差は、被害の本質が身代金そのものではなく、事業停止に伴う機会損失や復旧コストにあったことを示しています。工場の生産ライン停止や医療機関の機能麻痺など、社会インフラ全体に影響が波及したことで、損害が天文学的な額に膨れ上がりました。

被害の内訳①：直接的損害

直接的損害とは、インシデント発生に伴い、企業のキャッシュフローから直接的に支出される費用のことです。暗号化されたシステムの復旧や原因究明のために、多額のコストが発生しました。

被害の内訳②：間接的損害

間接的損害は、事業停止によって失われた利益や、企業の評判低下といった形で現れ、直接的損害以上に長期的な経営ダメージとなることがあります。金額として正確に算定することが難しいものの、その影響は甚大です。

被害額だけでは測れないサプライチェーンへの波及リスク

WannaCryの脅威は、単一の組織に留まりませんでした。一つの企業の感染が、ネットワークで繋がった取引先や関連会社へと連鎖し、サプライチェーン全体を機能不全に陥れるリスクを浮き彫りにしました。現代のビジネスは、企業間のシステム連携によって成り立っているため、一箇所のセキュリティホールが瞬く間に全体へ波及します。自社の防御を固めるだけでなく、取引先を含めたサプライチェーン全体でセキュリティ水準を維持・向上させなければ、事業継続は困難であることを示しました。

国内外の主要な被害事例

【海外】英国の国民保健サービス(NHS)

海外で最も深刻な被害を受けた事例の一つが、英国の国民保健サービス（NHS）です。医療という人命に直結する重要インフラが麻痺し、社会に大きな混乱をもたらしました。イングランドやスコットランドの多数の病院で、電子カルテや検査システムが利用不能となり、数千件の手術や診察が延期・中止に追い込まれました。原因の一つは、メーカーのサポートが終了した古いOS（Windows XPなど）を、予算等の都合で使い続けていたことにあります。脆弱性を修正する更新プログラムが適用されていなかったため、攻撃の格好の標的となりました。

【日本】日立製作所や大手製造業

日本国内でも、日立製作所や大手自動車メーカーなどが被害を受けました。これらのケースでは、グローバルに広がる社内ネットワークが感染経路となりました。日立製作所では、海外拠点の検査機器から感染が広がり、メールの送受信ができなくなるなどの社内システム障害が発生しました。また、ある自動車メーカーでは、工場内の端末が感染したことで生産ラインが停止し、1日あたり数千台規模の生産に影響が出ました。強固に守られているはずの国内拠点も、海外拠点経由で侵入されるリスクがあることを示す事例となりました。

世界各国の公的機関・民間企業

WannaCryは特定の標的を狙うのではなく、脆弱性を持つコンピュータを無差別に攻撃したため、国や業種を問わず世界中で被害が確認されました。

攻撃の仕組みと感染拡大の背景

脆弱性「EternalBlue」の悪用

WannaCryが爆発的に感染を広げた最大の要因は、Windowsのファイル共有機能に存在した「EternalBlue」と呼ばれる脆弱性を悪用したことです。この脆弱性を突くことで、利用者がメールを開いたりファイルを実行したりしなくても、攻撃者は外部ネットワークから直接コンピュータに侵入し、マルウェアを送り込むことができました。この攻撃手法は、元々アメリカ国家安全保障局（NSA）が開発したとされ、後に流出したツールが転用されたものです。開発元であるマイクロソフト社は、事件発生の約2ヶ月前にこの脆弱性を修正する更新プログラムを公開していましたが、適用していない組織が多数存在したことが被害を拡大させました。

自己増殖するワームとしての機能

WannaCryは、一度ネットワーク内に侵入すると、他のコンピュータへ自動的に感染を広げる「ワーム」としての機能を持っていました。感染した端末は、ただちに周囲のネットワークをスキャンし、同じ脆弱性を持つ別の端末を見つけ出して自身のコピーを送り込みます。このように、人間の操作を介さずにネズミ算式に増殖するため、管理者の目が届かない夜間や休日にも感染が蔓延しました。特に、ネットワークが適切に分割（セグメント化）されていない環境では、一台の感染から瞬く間に組織全体のシステムが機能不全に陥る結果となりました。

WannaCryの教訓を活かす現代の対策

OS・ソフトウェアの脆弱性管理

サイバー攻撃の多くは、修正プログラムがすでに公開されている既知の脆弱性を標的にします。WannaCryの教訓から、OSやソフトウェアを常に最新の状態に保つ脆弱性管理が、セキュリティ対策の基本であることが再認識されました。更新プログラムが提供された際は、速やかに自社システムへの影響を検証し、適用する体制を構築することが不可欠です。特にサポートが終了した古いシステムは極めて危険であり、計画的なリプレースが求められます。

重要データの定期的なバックアップ

ランサムウェアによるファイルの暗号化に備え、重要データを定期的にバックアップし、安全な場所に保管することが事業継続の鍵となります。バックアップさえあれば、身代金を支払うことなくシステムを復旧できる可能性が高まります。

従業員へのセキュリティ教育

巧妙化するサイバー攻撃は、システムの脆弱性だけでなく、従業員の心理的な隙や操作ミスを突いて侵入します。技術的な対策をすり抜ける脅威に対抗するため、全従業員を対象とした継続的なセキュリティ教育が不可欠です。

技術対策の先にある事業継続計画（BCP）との連携

サイバー攻撃を100%防ぐことは困難であるという前提に立ち、インシデント発生後の対応を定めた事業継続計画（BCP）を整備することが極めて重要です。インシデント発生時の初動の遅れは、被害の拡大と復旧の長期化に直結します。自然災害だけでなく、ランサムウェア感染のようなサイバー攻撃を明確に想定し、実践的な計画を策定・訓練しておく必要があります。

WannaCryに関するよくある質問

話題になった「キルスイッチ」とは何ですか？

キルスイッチとは、マルウェアの活動を緊急停止させるための仕組みです。WannaCryは、感染活動を始める前に、プログラム内に記述された特定のドメイン（Webサイトのアドレス）へアクセスを試みる設計になっていました。もしそのドメインが存在し、応答があれば、自身が解析用の環境（サンドボックス）で動作していると判断し、活動を停止するようになっていました。この仕組みを発見した英国のセキュリティ研究者がドメインを正式に登録・有効化したことで、WannaCryの感染拡大が劇的に抑制されました。

身代金を支払えばデータは復旧しますか？

いいえ、身代金を支払ってもデータが復旧する保証は全くありません。 専門家の分析によると、WannaCryには、誰が身代金を支払ったかを攻撃者側が正確に特定し、個別に対応する機能が備わっていませんでした。そのため、実際に支払いに応じてもデータが復旧したという確実な事例はほとんど報告されていません。身代金の支払いは、さらなる犯罪を助長するだけであり、絶対に応じるべきではありません。

WannaCryは現在でも脅威なのですか？

はい、脅威は完全には去っていません。WannaCryの流行は収束しましたが、その亜種や、同じ脆弱性「EternalBlue」を悪用する別のマルウェアは、現在でも活動しています。 特に、キルスイッチの仕組みを取り除いた亜種も確認されており、OSの更新プログラムを適用していない古いコンピュータは、依然として感染のリスクに晒されています。過去の脅威と軽視せず、基本的なセキュリティ対策を継続することが重要です。

インシデント発生時のステークホルダーへの説明責任は？

サイバー攻撃の被害に遭った場合、企業は顧客、取引先、株主といったステークホルダーに対して、迅速かつ誠実に状況を報告する説明責任を負います。 情報開示が遅れたり、事実を隠蔽したりすると、二次被害が拡大するだけでなく、企業の社会的信用を根本から失うことになります。被害の範囲、情報漏えいの可能性、自社が講じている対策などを透明性を持って公表するとともに、法令に基づき、個人情報保護委員会などの監督官庁へ速やかに報告することが求められます。

まとめ：WannaCryの被害額から学ぶ、事業継続のためのセキュリティ対策

WannaCryは全世界で数千億円規模の経済的損失をもたらし、その被害の本質が身代金ではなく事業停止に伴う間接的損害にあることを示しました。この事例は、OSの脆弱性を放置するリスクがいかに大きいか、そしてサプライチェーン全体でセキュリティレベルを維持する必要性を明確に物語っています。この教訓を活かし、自社のOSやソフトウェアの脆弱性管理体制、そして攻撃者がアクセスできないオフラインでのバックアップ運用が適切に行われているか、今一度確認することが重要です。ランサムウェア攻撃の手口は日々巧妙化しており、技術的な対策だけでなく、インシデント発生を前提とした事業継続計画（BCP）の策定も不可欠です。具体的な対策の立案やインシデント対応については、セキュリティ専門家へ相談することをお勧めします。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ