Webアプリケーション診断の費用相場は？料金体系と価格が決まる5つの要因
経営リスクナビ編集部
経営リスクナビ
DeadBoltランサムウェア感染時の対処法｜データ復旧の選択肢と注意点
経営リスクナビ編集部
QNAPやASUSTOR製NASがDeadBoltランサムウェアに感染し、重要なファイルが暗号化されてお困りの状況かと存じます。感染発覚後の初期対応を誤ると、被害が拡大しデータを永久に失うことにもなりかねません。安全にデータを復旧し事業を再開するには、冷静に正しい手順を踏むことが不可欠です。この記事では、DeadBolt感染時の具体的な初期対応からデータ復旧の選択肢、そして今後の予防策までを網羅的に解説します。
目次
DeadBoltランサムウェアとは
主な特徴と攻撃の手口
DeadBoltは、主にネットワーク接続型ストレージ（NAS）を標的とするランサムウェア（身代金要求型不正プログラム）です。攻撃者は、インターネットに公開されている機器の既知の脆弱性や、脆弱な設定のリモートアクセス機能を悪用して侵入します。
侵入後、内部のデータを強力なアルゴリズムで暗号化し、ファイルの拡張子を「.deadbolt」に変更します。さらに、機器の管理画面を改ざんして操作不能にし、暗号資産（仮想通貨）での身代金支払いを要求する脅迫文を表示させます。被害者だけでなく、機器の製造元ベンダーに対しても、脆弱性の詳細情報や全被害者を復旧できるマスターキーと引き換えに金銭を要求する、二重の脅迫（多重脅迫）を行う点が特徴です。
QNAP・ASUSTORにおける被害事例
台湾の主要なNASベンダーであるQNAP社やASUSTOR社の製品で、大規模な感染被害が報告されています。特に、インターネットに直接接続され、初期設定のまま運用されていた機器が主な標的となりました。
この攻撃により、共有フォルダやバックアップ領域に保存されていた企業の重要データが暗号化され、アクセス不能になる事態が続出しました。身代金を支払っても復号キーが提供されなかったり、提供された復号ツールが正常に機能しなかったりするケースも多く、結果として業務停止やデータの永久的な喪失といった深刻な被害につながっています。
感染発覚後の初期対応
ネットワークからNASを隔離する
感染が疑われる場合、被害の拡大を防ぐために、まず対象機器をネットワークから物理的に隔離します。この措置は、ランサムウェアの内部ネットワークでの拡散（横展開）や、攻撃者による追加の不正操作を防ぐために不可欠です。
NASの隔離手順
- 対象機器に接続されているLANケーブルを抜きます。
- 無線LANで接続している場合は、Wi-Fi機能を無効化します。
- 後の調査に備え、メモリ上の情報（揮発性データ）を保持するため、機器の電源は切らずに通電状態を維持します。
被害状況と感染範囲を確認する
機器を隔離した後、被害の全体像を正確に把握するための調査を開始します。この初期調査で得られた情報は、後の復旧方針を決定する上で重要な判断材料となります。
主な確認項目
- ネットワーク内の他のサーバーや端末に、ファイルが暗号化されるなどの同様の兆候がないかを確認する。
- 暗号化されたファイルの種類、範囲、重要度を特定し、事業への影響度を評価する。
- 改ざんされた管理画面や脅迫文（ランサムノート）の内容を、スクリーンショットや写真で記録・保全する。
- 感染したNASに接続していたPCや関連サーバーに、不審な挙動やファイルがないかを点検する。
状況を悪化させるNG行動
感染発覚直後の混乱した状況では、冷静な判断が求められます。誤った対応は被害をさらに深刻化させる危険があるため、以下の行動は絶対に避けてください。
やってはいけないこと
- 機器の再起動や電源の切断: 暗号化プロセスを進行させたり、調査に必要なメモリ上の証拠を消去してしまったりする恐れがあります。
- 自己判断でのバックアップからの復元: 感染経路が特定・遮断されていない状態で復元すると、バックアップデータまで二次被害に遭う危険性があります。
- 出所不明な復号ツールの使用: インターネット上で見つけた非公式なツールは、別のマルウェアに感染するリスクや、データを完全に破壊するリスクを伴います。
関係部署への報告と情報共有の進め方
被害を発見したら、ただちに組織内の関係者へ報告し、連携して対応にあたることが重要です。迅速な情報共有は、事業への影響を最小限に抑えるための鍵となります。
報告と情報共有のステップ
- あらかじめ定められた緊急連絡網に基づき、情報システム部門や経営層、セキュリティ担当者へ速やかに第一報を入れます。
- 報告の際は、「いつ」「どの機器で」「どのような事象が起きたか」「現在どこまで対応しているか」を客観的な事実として正確に伝えます。
- 感染したネットワークの使用は避け、電話や別の安全な通信手段を用いて、関係者間での情報共有を進めます。
広告
データ復旧方法の選択肢
バックアップからのデータ復元
ランサムウェア被害からの最も確実かつ安全な復旧方法は、正常なバックアップデータを利用することです。ただし、復元作業には慎重な手順が求められます。
バックアップ復元のポイント
- バックアップの健全性を確認する: 復元に使用するバックアップデータ自体が、ランサムウェアに感染していないかを事前に必ず検証します。
- オフラインバックアップを活用する: ネットワークから物理的に切り離して保管されていたバックアップは、感染リスクが極めて低く、最も安全な復元元となります。
- クリーンな環境で復元する: 感染した機器は初期化し、セキュリティ対策を施したクリーンな状態にしてから、バックアップデータを書き戻します。
原因が特定・除去されないまま復元を行うと、再び攻撃を受けるリスクが非常に高いため、必ず安全が確保された環境で作業を実施してください。
専門業者への復旧依頼
安全なバックアップが存在しない場合や、自組織での対応が困難な場合は、データ復旧やサイバー攻撃対応を専門とする外部業者へ依頼することを検討します。専門家は、自力では不可能な高度な対応を提供できます。
専門業者に依頼するメリット
- 高度な技術で暗号化されたデータの復旧可能性を調査・実施してくれる。
- 機器の物理的な障害にも対応可能な設備（クリーンルームなど）を有している場合がある。
- 侵入経路や被害範囲を特定するデジタルフォレンジック調査を並行して進められる。
業者を選定する際は、過去の実績や情報セキュリティ関連の認証取得状況に加え、復旧に成功した場合のみ費用が発生する「完全成果報酬型」の料金体系かどうかも確認するとよいでしょう。
各選択肢のメリット・デメリット
バックアップからの復元と専門業者への依頼は、それぞれにメリットとデメリットが存在します。組織の状況やデータの重要性に応じて、最適な手段を選択する必要があります。
| 復旧方法 | メリット | デメリット |
|---|---|---|
| バックアップからの復元 | ・追加費用が少ない<br>・比較的、迅速に業務を再開できる | ・バックアップが最新でない場合、直近のデータは失われる<br>・バックアップ自体が感染しているリスクがある |
| 専門業者への依頼 | ・データ復旧の可能性が高い<br>・原因究明（フォレンジック調査）も同時に依頼できる | ・高額な費用が発生する場合がある<br>・調査や解析に時間がかかり、復旧まで長期化することがある |
自力での復号は可能か
現代のランサムウェアは、極めて強力な暗号化技術を使用しているため、専門知識なしで自力でファイルを復号することは事実上不可能です。
欧州刑事警察機構（ユーロポール）などが主導する「No More Ransom」プロジェクトのように、一部のランサムウェアに対して公的な復号ツールが提供されることもありますが、DeadBoltを含む全ての種類に対応しているわけではありません。安易に非公式なツールを試すことは、データを完全に破壊するリスクがあるため、早い段階で専門家に相談することが賢明です。
広告
身代金の支払いに関する判断
身代金を支払うことの主なリスク
攻撃者へ身代金を支払うことは、多くのリスクを伴うため、原則として推奨されません。支払いに応じても、問題が解決する保証は一切ありません。
身代金を支払うリスク
- データが戻るとは限らない: 金銭を支払っても、攻撃者が約束を守り、正しい復号キーを提供するとは限りません。
- 復号ツールが不完全な場合がある: 提供されたツールに不具合があり、データが正常に復元できない、またはファイルが破損するケースが報告されています。
- 犯罪組織への資金提供につながる: 支払われた金銭は、次のサイバー攻撃の開発資金となり、さらなる被害を生む原因となります。
- 再び標的にされる危険性が高まる: 「支払いに応じる組織」と認識され、将来的に再度攻撃のターゲットになるリスクが高まります。
支払ってもデータが戻らない可能性
身代金を支払ったにもかかわらず、データが復旧できないケースは少なくありません。これは、攻撃者側の技術的な問題や、そもそもデータを復旧させる意思がないことなどが原因です。
データが戻らない主な理由
- 攻撃者が使用する暗号化プログラム自体の不具合により、正しく復号できない。
- 攻撃者側の入金確認プロセスに問題があり、支払いが認識されずキーが送られてこない。
- 攻撃者は金銭の獲得を最優先しており、復旧作業のサポートを行う意思がない。
金銭を失うだけでなく、データも永久に失われるという最悪の事態を避けるためにも、安易に支払いに応じるべきではありません。
今後のための感染予防策
ファームウェアを最新に保つ
NASなどのネットワーク機器を動作させるための基本ソフトウェア（ファームウェア）は、常に最新の状態に保つことが基本の対策です。ベンダーから提供される更新プログラムには、発見された脆弱性を修正する重要なセキュリティパッチが含まれており、これを適用することで攻撃者の侵入経路を断つことができます。
強力なパスワードと多要素認証
機器の管理画面やアカウントには、推測されにくい強力なパスワードを設定し、定期的に変更することが重要です。さらに、IDとパスワードの入力に加えて、スマートフォンアプリや生体情報など、別の要素での認証を必須とする多要素認証（MFA）を導入することで、不正アクセスのリスクを大幅に低減できます。
定期的なオフラインバックアップ
最も有効な対策の一つが、定期的なバックアップです。特に、バックアップデータはネットワークから物理的に切り離された外部ストレージ（外付けHDDなど）や、隔離されたクラウド環境に保管する「オフラインバックアップ」が推奨されます。これにより、仮にメインシステムがランサムウェアに感染しても、バックアップデータは保護され、安全に復旧できます。
復旧後に実施すべきセキュリティ設定の再点検
万が一被害に遭い、システムを復旧させた後は、必ずセキュリティ設定を全面的に再点検し、強化する必要があります。同じ被害を繰り返さないための、重要なプロセスです。
主な再点検項目
- インターネット経由で管理画面に直接アクセスできる設定を無効化し、VPN経由などに限定する。
- 初期設定のままになっている不要なサービスや通信ポートを無効化し、攻撃対象領域（アタックサーフェス）を最小化する。
- 管理者アカウントのパスワードをより強固なものに変更し、権限を必要最小限に見直す。
- 定期的にアクセスログを監視し、不審なアクセスの兆候を早期に検知できる体制を構築する。
よくある質問
警察や関係機関への報告は必要か？
はい、必要です。ランサムウェア攻撃は不正アクセス禁止法や電子計算機損壊等業務妨害罪に該当する犯罪行為であるため、速やかに最寄りの都道府県警察に設置されているサイバー犯罪相談窓口へ通報してください。情報提供により、捜査や復旧に関する助言を得られる場合があります。また、個人情報の漏えいが疑われる場合は、個人情報保護法に基づき、個人情報保護委員会への報告義務も生じます。
復旧業者に依頼した場合の期間は？
被害状況やデータ容量によって大きく異なりますが、一般的には初期診断から復旧完了まで数日から数週間を要します。被害が軽微な場合はより短期間で完了することもありますが、詳細な期間は専門業者が初期診断を行わないと確定しません。まずは早急に相談することが重要です。
公式の復号ツールは提供されているか？
はい、一部提供されています。警察機関やセキュリティ企業が連携して運営する「No More Ransom」プロジェクトのウェブサイトなどで、特定のランサムウェアに対応する無償の復号ツールが公開されています。ただし、全てのランサムウェアに対応しているわけではなく、ツールの利用には専門的な知識を要するため、まずは専門家へ相談することをお勧めします。
身代金を支払ってしまったらどうすべきか？
万が一支払ってしまった場合でも、自力で復旧作業を試みることは避けてください。誤った操作でデータを完全に失うリスクがあります。直ちに専門業者や警察に相談し、機器の状態をそのまま保全してください。攻撃者とのやり取りの履歴や送金記録などは、後の捜査で重要な証拠となるため、削除せずに保管しておきましょう。
まとめ：DeadBoltランサムウェア被害からデータを復旧するために
本記事では、DeadBoltランサムウェアの概要から具体的な対処法までを解説しました。感染が発覚したら、まず機器をネットワークから隔離し、被害状況を冷静に確認することが重要です。データ復旧はオフラインバックアップからの復元が最善ですが、利用できない場合は速やかに専門業者へ相談しましょう。自己判断での復旧作業や、データが戻る保証のない身代金の支払いは、状況を悪化させる危険があるため避けるべきです。今後の被害を防ぐため、ファームウェアの更新や定期的なオフラインバックアップといった予防策を徹底してください。この記事で解説した内容は一般的な対策であり、個別の事案については必ず専門家の助言を求めることが不可欠です。
Baseconnect株式会社
サイト運営会社
本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。
当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。
加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。
