ランサムウェアLockyの特徴と企業対策は？被害・初動・復旧の実務

ランサムウェア「Locky」（ロッキー）は、メール起点で侵入し業務データを暗号化する典型例として、いま自社や取引先の被害リスクを見直すうえで参照されやすい存在です。特に2016年ごろからメール経由で感染が拡大したという経緯は、注意喚起だけでは防ぎ切れず、統制・体制・復旧の設計まで含めて備えを決める必要があることを示します。放置すると、暗号化による業務停止に加え、漏えいのおそれへの法務対応や対外説明が同時に発生し、意思決定の遅れが実務負担を増やし得ます。以下では、Lockyを対策の判断材料として感染経路・被害の広がり方・組織としての備えを示します。

ランサムウェアLockyとは

Lockyの登場経緯と位置づけ

Lockyは、2016年ごろからメール経由で感染が拡大した代表的なランサムウェアとして知られています。特に、請求書を装ったメールにより「添付ファイルを開かせる」「本文中のリンクをクリックさせる」という、業務フローに紛れ込みやすい手口が大規模に用いられました。こうした攻撃は、ゼロデイ脆弱性のような高度技術よりも、受信者の判断ミスを起点に侵入させる点で、組織の統制（教育・ルール・権限設計）そのものが防御の主戦場であることを示しました。

また、現在のランサムウェア被害で一般化している「情報窃取→期限付き公開予告」といった脅迫モデル（二重脅迫）に比べれば、Lockyは暗号化中心の古典的類型に位置づきますが、メール起点の侵入や暗号化後の脅迫（ランサムノート提示）は、その後の攻撃でも繰り返し踏襲されています。

Lockyの亜種と暗号化の特徴

ランサムウェアは、暗号化の段階で公開鍵暗号方式（暗号化用の鍵と復号用の鍵が別）を使うことがあり、この方式では攻撃者が暗号化用の鍵のみを被害端末へ持ち込んで暗号化を実行するため、被害端末を調べても復号鍵を取り出せないのが要点です。結果として、復旧にはバックアップや復元計画が重要となり、攻撃者は復号鍵を身代金と交換する形で要求します。

さらにランサムウェアは、全ファイルを無差別に暗号化するのではなく、攻撃者が指定した拡張子リストを中心に暗号化対象を選別します。解析例では、暗号化対象の拡張子チェックとして「.4dd」や「.accdb」「.accde」などが含まれることが示されています。暗号化後は独自拡張子への付け替えが一般的で、たとえばContiでは拡張子に「.KCWTT」が追加される例が示されています。

Lockyの感染経路と攻撃

メール添付から感染する流れ

Lockyの典型的な侵入経路はメールです。2016年ごろに確認されたLockyをダウンロードさせるメール例では、本文が正規の請求書に見せかけた内容で偽装され、受信者に「業務上の確認」と誤認させる設計になっていました。

メールには次の2ルートが併用されることがあります。

組織としては、個々の従業員の注意喚起だけに頼らず、添付ファイルの実行抑止や、メール経路での検知・隔離を前提とした対策に落とし込むことが実務上重要です。

マクロ有効化とマルウェア実行

Lockyの文脈でも、文書ファイルを開いた利用者に対して「コンテンツの有効化」等を促し、マクロを実行させてマルウェアをダウンロードする流れは、ランサムウェアの代表的なパターンです。

また、近年の関連事例として、Emotetを起点に最終的にランサムウェアがダウンロードされるケースが紹介されており、2022年10月時点のEmotet誘導メールには次の4パターンがあると整理されています。

このうち一部（ショートカットリンクを除く）では、利用者が文書を開いて「コンテンツの有効化」をクリックすることでマクロが動作し、Emotetをダウンロードして感染に至る流れが示されています。Lockyのようなメール起点の攻撃を位置づける際も、一次侵入（Emotet等）→追加マルウェア→ランサムウェアという段階的侵害を想定した統制が必要です。

感染後の挙動と身代金要求

ランサムウェアの実行後は、暗号化だけでなく、攻撃者が被害者に確実に気づかせ、交渉に誘導するための行動が組み合わされます。実務上、次のような挙動が典型です。

また、二重脅迫型のケースでは、事前に盗み出したデータの公開に期限を設定し、期限までに支払いがなければダークサイト上で公開すると脅します。LockBitの攻撃グループの例では、ダークウェブ上のサイトに被害者情報が掲載され、公開される情報として被害企業のドメイン、窃取情報を公開するまでの時間、金額が挙げられており、期限を過ぎると「PUBLISHED」とマークされる運用が示されています。

Locky被害と企業リスク

データ被害と業務停止の影響

ランサムウェア被害は「暗号化されて読めない」こと自体に加えて、復旧・調査・説明を並行させることで、業務停止が長期化しやすい点が経営リスクです。攻撃側はWindows自体を暗号化して起動不能にすると身代金要求ができなくなるため、暗号化対象はWord・Excel等のオフィス系、PDF、jpeg等の画像、CAD系データなど、業務継続に直結するデータに絞って暗号化するようプログラムされることがあると整理されています。

加えて、暗号化の前後で情報窃取が行われる場合、情報を外部へアップロードする手段として、ファイル圧縮で転送量を減らす方法やクラウドストレージ同期の悪用が挙げられています。例として、圧縮ツールではWinRAR、自動同期・転送の手段としてMEGASyncやFileZillaが利用されることがあると示されています。これにより、単なる暗号化被害にとどまらず、漏えい対応や取引先対応が同時に発生し、操業への影響が拡大します。

法務対応とレピュテーションリスク

ランサムウェアでは、暗号化に加えて情報窃取が疑われることが多く、法務対応は「漏えいが確定したか」だけでなく「漏えいのおそれ」を含めて判断する必要があります。個人情報保護法における個人情報保護委員会への報告対象となる事態の整理として、次の類型が示されています。

このうちランサムウェア被害は「不正の目的をもって行われた漏えい等が発生した事態」として報告義務として扱われる、という整理が示されています。したがって、技術部門の調査結果を待つだけでなく、漏えい可能性を前提に、取引先への連絡（契約上の通知義務・説明義務）や、社内の意思決定ログの整備を並行して進めることが重要です。

さらに、身代金支払いの事実が社会に露呈した場合には、レピュテーションリスク（風評リスク）を誘発し得る点も明記されており、広報・法務・経営の連携が不可欠です。

最近の攻撃トレンドとの関連

Lockyの時代から、攻撃は「暗号化して復号鍵と交換で金銭を得る」モデルを基礎にしつつ、近年は二重脅迫（暗号化＋窃取データ公開）により意思決定を追い込む方向へ進化しています。実例としてLockBitでは、2019年から活動が確認され、2021年にLockBit 2.0、2022年にLockBit 3.0へと機能がバージョンアップしてきた経緯が示されています。また、アフィリエイトプログラムを使用する攻撃グループとしても知られ、日本に対する攻撃も盛んに行われています。

二重脅迫型では、被害者情報がダークサイトに掲載され、タイマーカウンター等で支払期限が示され、期限到来後に公開すると脅す運用が確認されています。Lockyの理解は、こうした「期限設定・公開予告・交渉誘導」という、現代型の攻撃運用を読み解く土台になります。

Locky対策のセキュリティ設計

メール検知と端末防御の基本

メールが侵入起点になりやすい以上、組織設計としては「受信段階で落とす」「端末で実行させない」「実行されても広げない」の3点を分けて整備します。特に、メール基盤そのものの安全性差が大きい点は実務上見落とされがちです。高いメールセキュリティ機能（添付ファイルのウイルス対策、迷惑メールフィルタ、危険メールの警告など）を実装した仕組みとして、Google WorkspaceやMicrosoft 365のビジネスプランのメールは、それ以外のメールシステムと比べ、ウイルス到達・迷惑メールフィルタ・スパム排除の面でセキュリティレベルの差が生じうることが示されています。

また、ウイルス対策ソフトの運用では、検知ファイルを初期設定のまま「駆除（削除）」にしてしまうと、後から検体の機能や影響を調査できなくなるおそれがあります。調査と再発防止の観点では、検知ファイルを「隔離」して保持できる運用設計も検討対象になります。

ネットワーク分離とパスワード管理

Lockyのようなばらまき型だけでなく、近年の標的型ランサムウェアでは、外部公開された経路から侵入し、内部で横展開することが想定されます。特にRDP（リモートデスクトップ）については、外部公開しているRDPサーバーに対し、窃取した資格情報やブルートフォース攻撃（パスワード総当たり）でログインされ、侵入される経路が示されています。

侵入後は、ネットワークを調査し、RDP接続の横展開や、他のWindows機でコマンド実行させるPsExecなどで組織内の別端末へ侵入し、感染を広げる動きが想定されます。よって、分離設計（セグメント化）と認証管理に加え、監視対象を明確にすることが重要です。

EDR導入を急ぐ会社とメール・権限設計を先に固める会社の分かれ目

EDR（端末検知・対応）は有効な手段になり得ますが、運用負荷や復旧対応の現実を踏まえて優先順位を決める必要があります。例えば、EDR製品によっては指定ファイルの一括削除ができず単体削除のみ可能な場合があるため、封じ込め・駆除の手順（大量端末への対処）を前提にすると、選定時点で機能差が重大な制約になります。

また、侵入の兆候把握にはログが必要ですが、ログはローテートにより古いものが削除されるため、平時から「何のログを、どの期間、どこに保管するか」を決めておかなければ、アラート検知があっても人が確認するまで被害が継続し、調査不能に陥るリスクが示されています。したがって、EDRを先行する場合でも、メール防御・権限設計・ログ保全方針が同時に設計されていないと、運用が破綻しやすくなります。

Lockyを前提にした復旧体制

バックアップ設計と3-2-1ルール

バックアップは復旧の要ですが、「バックアップがある」だけでは不十分です。バックアップの取り方に問題があると、バックアップ自体も暗号化されて復旧不能になることがあるため、バックアップ保存先はネットワーク的に分離した場所に置くべきだと整理されています。

外付けハードディスクや磁気テープは、バックアップをオフライン保管できるため、ランサムウェアによるバックアップ暗号化リスクを下げられる一方、接続運用（接続しっぱなし等）を誤ると暗号化対象になり得ます。3-2-1の考え方（複数コピー・媒体分散・オフライン／遠隔保管）を、実際の接続手順・権限・監査可能性まで含めて運用設計に落とし込むことが要点です。

感染疑い時の初動対応フロー

初動対応では、調査・復旧・説明を同時並行で進める必要があるため、体制面の準備が重要です。ランサムウェア被害組織は、事業復旧、原因調査と再発防止、取引先等への説明対応を最優先で行う必要があり、これらは全て並行作業になるため、それぞれ責任者がいて独立して動ける体制が重要だと整理されています。

技術面では、証拠保全が後工程（原因特定・影響調査・対外説明）を左右します。ログはローテートにより消失し得るため、インシデント発生時点付近の記録が消える前に別途保存する必要があります。また、通電中はOSやアプリ機能によりメモリやディスク未使用領域にも上書きが発生し、LANケーブル抜線、USB挿入、ウイルススキャン等の行動自体も上書きを招き得るため、データ収集のタイミングに注意が必要です。

支払判断と警察・外部組織への相談

身代金支払いは、事業継続上の最終手段として検討されることがありますが、追加リスクが明確に整理されています。参照情報では、身代金を支払う場面として「バックアップデータがない」かつ「あらゆる手段を使ってもデータを戻せない」かつ「事業継続に関わり、結果として会社が倒産（もしくは廃業）する可能性が極めて高い」場合が挙げられています。

その上で、支払いに伴うリスクとして次が列挙されています。

外部連携については、FBIが「身代金支払いは推奨していないが、支払いを決定したかどうかにかかわらず全ての情報を提供してほしい」との趣旨のメッセージを出しているとされ、支払い検討時も含め法執行機関への相談が推奨されています。国内では2022年4月に警察庁サイバー警察局が設置され、広域捜査や国外機関との連携を迅速に行える体制になったとされるため、警察相談を「無意味」と決めつけず、早期に相談し、必要情報を提供できるよう準備することが実務上重要です。また、相談先としてJPCERTのような支援組織により、状況把握や今後の対策の助言が得られる、という整理も示されています。

Lockyから見直す運用体制

従業員教育と添付ルール整備

メール起点の侵入が現実的である以上、教育とルールは「注意喚起」ではなく、業務プロセスに組み込まれた実行規律として整備する必要があります。Lockyをダウンロードさせるメール例では、正規の請求書だと思わせる文面で偽装され、添付やリンクでダウンロードさせる設計が示されています。従業員教育は、この具体像を前提に「何をしたら感染が成立するか」を明確にして行うことが重要です。

また、SNSのダイレクトメッセージも添付ファイルやURL誘導の経路になり得ます。例として、Facebook Messenger、LinkedIn、WhatsApp、LINE等はPDFやWord、Excel等の添付を直接送れるため攻撃者にとって便利であり、XやInstagramでもクラウドストレージに置いたファイルのURLを送ってダウンロードを促すことで成立し得る、と整理されています。メール対策だけでなく「業務連絡に使うチャネルの統制（許可・禁止・記録）」を含めたルール設計が必要です。

SOC活用を含む対策ロードマップ

ロードマップは「導入して終わり」ではなく、ログと監視の運用条件を満たして初めて機能します。チェックリスト例では、PROXY導入時に「組織内からインターネットへ接続する通信は全てPROXYを経由し通信ログを取得し、PROXYを通過しない通信は許可しない」といった統制が挙げられています。また、Firewall、PROXY、DHCP、DNS等のネットワーク機器について、ログ取得設定・保管期間・保管方法を定期的に確認し、定めた期間分が保管されていることを確認する運用が求められています。

情報システム・法務・広報・経営で分担する発生時の社内意思決定

ランサムウェアでは、技術対応だけでなく、対外説明・法令対応・事業判断が同時に走るため、責任の分離と明確化が重要です。被害時には、事業復旧、原因調査と再発防止、取引先等への説明対応を最優先で進める必要があり、全て並行作業になるため、それぞれ責任者が独立して動ける体制が必要だと整理されています。

意思決定の実務では、ログ保全や通信遮断など他部署に多大な影響を及ぼす判断を下すうえで経営層の参画が必要不可欠とされ、また、情報の一元化は「対応に不足や漏れがないか確認する」だけでなく、「監督官庁への報告・対外発表時に対応経過の開示を求められる可能性」に備える目的も示されています。

さらに内部監査の事例として、有事対応の意思決定権限の優先順位が第三位まで個人名で明記されていたものの、その中に普段意思決定を行わない職位が含まれ、有事に何をどう判断すべきか理解できていない社員がいることが判明し、職位別のシナリオ型意思決定訓練を実施することになった、という教訓が示されています。体制図を作るだけでなく、役割ごとの判断訓練まで落とし込むことが重要です。

よくある質問

Lockyランサムウェアは今も注意すべきですか？

Locky自体の流行は当時ほどではない一方、メール経由で感染が拡大した（2016年ごろ）という攻撃モデルは、現在も形を変えて継続しています。添付やリンクでダウンロードさせる構図に加え、近年はEmotetのようなマルウェアを起点に、最終的にランサムウェアがダウンロードされる段階的侵害も示されています。したがって「Locky固有」ではなく、Lockyが象徴するメール起点・利用者操作起点のリスクとして警戒を維持するのが実務的です。

また、近年の主流は二重脅迫であり、LockBitの例ではダークサイトに被害者情報（ドメイン、公開までの時間、金額等）が掲載され、期限を過ぎると「PUBLISHED」と表示される運用が示されています。Lockyを学ぶ意義は、暗号化だけでなく「期限付きの脅迫で意思決定を迫る」攻撃運用を理解し、体制・広報・法務を含めた備えに接続できる点にあります。

身代金を支払えば復旧できますか？

身代金支払いは、復旧の確実性を保証しません。公開鍵暗号方式の特性上、復号鍵は攻撃者側が保持し、被害端末を調べても鍵が取れないため、支払いが検討される構図は理解できますが、支払いには追加リスクが明確に整理されています。

また、支払い検討時であっても法執行機関への相談が推奨され、FBIのメッセージ（支払いは推奨しないが、決定の有無にかかわらず情報提供を求める趣旨）や、国内では2022年4月に警察庁サイバー警察局が設置された点が示されています。経営判断としては、独断で進めず、早期に警察・専門家・弁護士等と情報を共有できる状態を整えることが重要です。

バックアップがあれば対策は十分ですか？

バックアップは最も有効な復旧手段になり得ますが、取り方に問題があればバックアップも暗号化され、結局復旧できないことがあります。例として、バックアップを被害端末上に作成している場合や、バックアップ保存先がファイル共有フォルダである場合、ランサムウェアによりバックアップごと暗号化される可能性が示されています。

そのため、バックアップ保存先はネットワーク的に分離した場所に置く設計が重要で、例として外付けハードディスクや磁気テープ、クラウドサービスが挙げられています。あわせて、復旧の成否は「保管」だけでなく「復旧手順が回るか」に依存するため、復旧訓練と権限設計（バックアップ領域へのアクセス制御）まで含めてBCPに落とす必要があります。

どの部門が対策を主導すべきですか？

ランサムウェア対応は、技術対応・法務対応・対外説明・事業判断を同時並行で進める必要があるため、情報システム部門だけでは完結しません。参照情報でも、被害時には事業復旧、原因調査と再発防止、取引先等への説明対応を最優先で進める必要があり、全て並行作業になるため、それぞれ責任者が独立して動ける体制が重要だと整理されています。

また、通信遮断や対外連携など事業継続に係る判断を下すには経営層の参画が必要不可欠とされ、意思決定権限の優先順位を定めるだけでなく、職位別のシナリオ型意思決定訓練が必要になった内部監査事例も示されています。実務上は、経営（統括・最終判断）、情報システム（封じ込め・復旧・ログ保全）、法務（報告要否・契約対応）、広報（公表方針・窓口統一）を分離し、情報を一元化して同時に進められる体制設計が重要です。

Lockyへの対応で次にすべきこと

Lockyは、2016年ごろからメール経由で感染が拡大したという点に象徴されるとおり、利用者操作を起点に侵害が成立し得るため、メール対策・端末での実行抑止・権限設計を分けて設計することが要点です。暗号化は公開鍵暗号方式などにより端末側から復号鍵を取り出せない前提があるため、復旧はバックアップ設計（ネットワーク分離や3-2-1の運用）と初動時のログ保全・体制切替で成否が分かれます。法務面では「漏えい確定」だけでなく「漏えいのおそれ」を前提に、個人情報保護委員会への報告対象類型（例：1,000人を超える漏えい等が発生した事態）も念頭に置きつつ、取引先対応や意思決定ログ整備を並行させる判断が必要になります。次のアクションとしては、まず自社の侵入経路（メール／RDP／一次侵入マルウェア）とログの保管・監視条件、バックアップの分離状況を棚卸しし、必要に応じて警察や支援組織、弁護士・専門家に相談できる連絡系統を事前に整備します。個別事案の判断は環境・契約・影響範囲で変わるため、一般論に寄せ過ぎず、関係部門で事実確認を揃えたうえで専門家と検討することが重要です。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ