LockBitランサムウェアの侵入経路｜実務で役立つ5つの手口と対策

深刻な被害をもたらすLockBitランサムウェアについて、その具体的な侵入経路と実用的な予防策を理解することは、企業のセキュリティ体制を強化する上で不可欠です。攻撃者はVPN機器の脆弱性や窃取した認証情報など、多様な手口でネットワークへ侵入し、一度侵入を許すと事業継続に致命的な影響を及ぼす可能性があります。この記事では、LockBitランサムウェアの主要な侵入経路を詳細に解説し、明日から着手できる具体的な予防策と、万が一の事態に備えるための対応フローを説明します。

LockBitランサムウェアとは

LockBitの概要と深刻な脅威

LockBitランサムウェアとは、企業や政府機関などのコンピュータに侵入し、データを人質に身代金を要求する悪質なソフトウェア（マルウェア）の一種です。感染すると、ファイルが勝手に暗号化されて開けなくなり、システムがロックされます。攻撃者はデータの復元と引き換えに金銭を要求します。 この攻撃の最も深刻な点は、窃取した機密情報を暴露サイトで公開すると脅す「二重脅迫」の手口を用いることです。身代金の支払いを拒否すると、業務停止に加えて、情報漏えいによる顧客や取引先からの信用失墜という致命的なダメージを受ける危険性があります。また、ネットワーク内で自動的に次の標的を探して感染を広げる自己増殖機能を持つため、被害が短時間で組織全体に及ぶ可能性があります。

他のランサムウェアとの違い

LockBitの最大の特徴は、「RaaS（Ransomware as a Service）」というビジネスモデルを採用している点です。これは、ランサムウェアという「攻撃ツール」をサービスとして提供し、分業制でサイバー攻撃を実行する仕組みです。

このモデルにより、高度な技術を持たない攻撃者でも容易にランサムウェア攻撃を実行できるようになり、被害が世界中で爆発的に増加する原因となっています。実行者は獲得した身代金の一部を開発者にロイヤリティとして支払います。

LockBit 3.0（Black）の進化点

LockBit 3.0（別名: LockBit Black）は、旧バージョンの弱点を克服し、より巧妙に進化したバージョンです。セキュリティ専門家による解析を妨害する機能などが強化されています。

LockBitの主要な侵入経路

VPN機器の脆弱性を突く侵入

多くの企業がテレワークのために導入しているVPN機器は、LockBitの主要な侵入経路の一つです。機器のソフトウェア（ファームウェア）を更新せず、セキュリティ上の欠陥（脆弱性）が放置されたままだと、攻撃者はそこを悪用して社内ネットワークに容易に侵入します。国内でも、病院や大手企業の関連会社がVPN機器の脆弱性を突かれ、事業停止に追い込まれる深刻な被害が発生しています。

リモートデスクトップ(RDP)経由

リモートデスクトップ（RDP）は、社外からオフィスのPCを遠隔操作できる便利な機能ですが、IDやパスワードの管理が不十分だと攻撃の標的になります。攻撃者は、インターネット上に公開されたRDPに対し、パスワードの総当たり攻撃（ブルートフォース攻撃）を仕掛けたり、過去に漏えいした認証情報を使ったりして不正ログインを試みます。安易なパスワードの設定は、侵入のリスクを著しく高めます。

フィッシングメールによる感染

業務に関連する内容を装ったフィッシングメールも、古典的ですが依然として有効な侵入経路です。攻撃者は取引先や公的機関になりすまし、「請求書」「重要なお知らせ」などの件名でメールを送りつけます。従業員が不用意に添付ファイルを開いたり、本文中のURLリンクをクリックしたりすると、マルウェアが自動的にダウンロードされ、ランサムウェアに感染してしまいます。

窃取された認証情報の悪用

過去の不正アクセス事件などで流出し、ダークウェブ上で売買されている認証情報（IDとパスワードの組み合わせ）が悪用されるケースも多発しています。従業員が複数のサービスで同じパスワードを使い回していると、攻撃者はその情報を使って正規の利用者になりすまし、VPNやクラウドサービスに侵入します。正規の認証手順を踏むため、不正アクセスとして検知されにくい点が脅威です。

サプライチェーン攻撃

サプライチェーン攻撃とは、メインターゲットである大企業の強固なセキュリティをかいくぐるため、セキュリティ対策が手薄になりがちな取引先や海外拠点、子会社などをまず攻撃し、そこを踏み台として本社のネットワークへ侵入する手口です。システム連携を通じて信頼関係にある企業間を移動するため、一度侵入を許すと被害がサプライチェーン全体に拡大する危険性があります。

侵入後の攻撃フロー

初期アクセスとネットワーク内部偵察

攻撃者は侵入に成功しても、すぐにはファイルを暗号化しません。まず、ネットワークの内部構造、重要なデータ（個人情報、財務データなど）の保管場所、バックアップシステムの有無などを密かに調査します。この偵察活動には、Windowsに標準搭載されている管理ツールが悪用されることが多く、通常のシステム管理者の操作と見分けがつきにくいため、発見が遅れる原因となります。

権限昇格と横展開

内部偵察を終えた攻撃者は、より強力な権限を手に入れるため「権限昇格」を試みます。一般ユーザーのアカウントを乗っ取った後、最終的にネットワーク全体を管理できるドメイン管理者などの特権アカウントを狙います。管理者権限を奪うと、ネットワーク内を自由に移動（ラテラルムーブメント）して他のサーバーや端末へ感染を拡大させます。この段階で、復旧を妨害するためにセキュリティソフトを無効化したり、バックアップデータを削除したりする破壊工作も行われます。

データ窃取とファイルの暗号化実行

ネットワーク内の広範囲を掌握すると、攻撃者は機密性の高いデータを外部のサーバーへ転送して窃取します。その後、準備が完了した段階で、一斉にランサムウェアを実行してファイルを暗号化します。暗号化が完了すると、ファイルの拡張子が変更され、デスクトップの壁紙が脅迫文（ランサムノート）に書き換えられるなどして、身代金の支払いを要求してきます。

攻撃者が狙うActive Directoryの役割と危険性

Active Directory（AD）は、企業ネットワーク内のユーザーアカウント、PC、サーバーなどのIT資産とアクセス権限を一元管理する中核的なシステムです。攻撃者にとってADの管理者権限を奪うことは、ネットワーク全体の支配権を握ることを意味し、最優先の標的となります。ADを掌握されると、全従業員のアカウントを乗っ取ったり、全ての端末にランサムウェアを一斉に展開したりすることが可能になり、被害が組織全体に及ぶ致命的な事態を招きます。

侵入経路から講じるべき予防策

脆弱性管理とパッチ適用の徹底

VPN機器やサーバー、OS、ソフトウェアに存在する脆弱性は、攻撃者にとって格好の侵入口です。開発元から提供されるセキュリティ更新プログラム（パッチ）を迅速に適用し、脆弱性を解消することが最も基本的な防御策です。社内で利用しているIT資産を正確に把握し、定期的な脆弱性診断を通じて、パッチの適用漏れがないか管理する体制を構築することが重要です。

多要素認証(MFA)とアクセス制御

IDとパスワードによる認証は、情報が漏えいすると容易に突破されます。パスワードに加えて、SMSコードや認証アプリ、生体認証などを組み合わせる多要素認証（MFA）を導入することで、不正ログインを効果的に防ぐことができます。また、従業員には業務上必要な権限のみを付与する「権限最小化の原則」を徹底し、万が一アカウントが乗っ取られた際の被害範囲を限定することも重要です。

従業員へのセキュリティ教育

多くのランサムウェア感染は、従業員の不注意や知識不足が引き金となります。フィッシングメールの見分け方、安全なパスワードの管理方法、不審なWebサイトにアクセスしないといった基本的な知識について、継続的にセキュリティ教育を行うことが不可欠です。実際の攻撃を模した「標的型メール訓練」などを定期的に実施し、組織全体のセキュリティ意識を高める必要があります。

バックアップ体制の確立と検証

万が一ランサムウェアに感染しても事業を継続できるよう、データのバックアップは最も重要な対策です。ただし、バックアップデータがネットワークに接続されたままだと、本体と一緒に暗号化されてしまうため、隔離された場所に保管する必要があります。

さらに、バックアップを取得するだけでなく、定期的にデータが正常に復元できるかを確認するリストア検証を行い、いざという時に確実に使える状態を維持することが不可欠です。

感染時の初動対応と相談先

ランサムウェア感染が疑われる事態を検知した場合、被害拡大を防ぐための迅速かつ適切な初動対応が極めて重要です。パニックにならず、定められた手順に従って行動してください。

インシデント発生を前提とした事業継続計画（BCP）の重要性

現代においてサイバー攻撃を100%防ぐことは不可能です。そのため、インシデント発生を前提とし、ランサムウェアに感染した場合の対応手順や復旧プロセスを定めた事業継続計画（BCP）を事前に策定しておくことが不可欠です。BCPには、システム停止時の代替業務フロー、経営層への報告体制、顧客や取引先への公表基準などを具体的に盛り込みます。平時から定期的にサイバー攻撃を想定した演習を行い、組織全体の対応力を高めておくことが求められます。

よくある質問

感染した場合、身代金は支払うべきですか？

警察や政府機関は、身代金を支払わないことを強く推奨しています。安易に支払いに応じるべきではない理由は以下の通りです。

身代金の支払いを検討する前に、まずは警察や専門のインシデント対応業者に相談し、バックアップからの復旧を最優先に進めるべきです。

公式な復号ツールは存在しますか？

一部の古いランサムウェアに対しては、警察機関やセキュリティ企業が協力し、暗号化を解除する「復号ツール」を開発・公開している場合があります。これらのツールは、国際的な取り組みである「No More Ransom」プロジェクトのウェブサイトなどで無償提供されています。ただし、LockBitのように日々進化する最新のランサムウェアに対応できるツールはほとんど存在しないのが実情です。復号ツールに期待するのではなく、事前の予防とバックアップが基本となります。

中小企業も標的になりますか？

はい、中小企業はランサムウェア攻撃の主要な標的となっています。警察庁の報告によると、2021年に国内で確認された被害のうち、中小企業が54%を占め、大企業（34%）を上回っています。

「自社には価値のある情報はない」という考えは非常に危険です。事業規模にかかわらず、すべての企業が攻撃対象であると認識し、適切なセキュリティ対策を講じる必要があります。

まとめ：LockBitの侵入経路を理解し、実効性のある防御策を講じる

LockBitランサムウェアは、RaaSモデルによって攻撃者を増やし、二重脅迫の手口で企業に深刻なダメージを与えます。主な侵入経路にはVPN機器の脆弱性、リモートデスクトップ、フィッシングメールなどがあり、攻撃者は侵入後、ネットワークの中核であるActive Directoryの掌握を狙って内部で活動します。効果的な対策には、脆弱性管理や多要素認証といった技術的対策と、従業員教育やオフラインバックアップの確立といった組織的対策を両立させることが重要です。まずは自社が外部に公開しているIT資産を正確に把握し、脆弱性が放置されていないかを確認することから始めましょう。本記事で解説した内容は一般的な対策であり、個別の状況に応じた具体的なセキュリティ計画については、専門家へ相談することをお勧めします。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ