ニューノーマル処方箋（第65回）暗号化しない新たなサイバー攻撃「ノーウエアランサム」とは

公開日：2025.05.09

＜目次＞
・データは暗号化しないが、脅迫はする
・「データを使えなくするぞ」ではなく「データを公開するぞ」と脅迫
・脅迫材料が少ない方が効く場合もある
・そのノーウエアランサム、実はハッタリかもしれない

データは暗号化しないが、脅迫はする

　「ランサムウエア」（Ransomware）といえば、パソコンなどの端末に保存されているデータを不正に暗号化し、使用できない状態にした上、データ復号と引き換えに金銭を要求するという、悪意のあるソフトウエアです。データを人質に身代金（Ransom）を要求することから、その名が付けられました。

　データが暗号化されると、企業や団体は日々の仕事や業務ができなくなります。例えばある病院では、ランサムウエアによる攻撃を受けたことで、院内の電子カルテシステムやバックアップデータが暗号化され、救急や新規患者の受け入れや手術ができなくなり、カルテも紙に切り替えざるを得ない事態に追い込まれました。システム全体の復旧には数カ月を要しました。

　2024年には、ある動画サイトを運営する企業がランサムウエアの攻撃を受け、同社が保有する約20万人の個人情報が漏えいしたと発表しました。一部では、同社はデータ復号のために身代金を支払ったものの、データは復旧されなかったと報じられています。

　このように、ランサムウエアによるデータの暗号化は、攻撃者が身代金を得るための重要な要素といえます。最近ではデータを暗号化せずに身代金を要求する「ノーウエアランサム」という手口も増えているようです。

「データを使えなくするぞ」ではなく「データを公開するぞ」と脅迫

　ノーウエアランサムとは、企業や団体が持つ機密データを盗み出し、「身代金を支払わなければ、本来は公開してはいけないデータを公開するぞ」と脅迫し、身代金を要求するサイバー攻撃のことです。データの暗号化は行わず、あくまでもデータの強制公開を材料に、身代金を求める点が特徴です。

　これと似た手口に「二重恐喝（Double Extortion）」があります。二重恐喝では、攻撃者側はデータを暗号化した上で、企業・団体に「データを復号してほしければ身代金を払え。払わないとデータを公開するぞ」と二重の要求を突きつけます。つまりノーウエアランサムは、二重恐喝のデータ暗号化の部分を省いた恐喝と言えます。

　警察庁のデータによると、ランサムウエアによる犯行手口は二重恐喝が多いものの、2023年頃からはノーウエアランサムも増えており、2023年度上半期は9件、同年度下半期は21件、2024年度上半期は14件発生しています。

ランサムウエアとノーウエアランサムの被害報告件数の推移（警察庁「マルウェア『ランサムウェア』の脅威と対策（脅威編）」より引用）

脅迫材料が少ない方が効く場合もある

　攻撃者側は、なぜわざわざノーウエアランサムという、二重恐喝よりも脅迫材料が少ない手口を使うのでしょうか？企業に身代金を支払わせるのであれば、「暗号化するぞ」「データを強制公開するぞ」という2つの材料があった方が、恐喝が成功する確率は一見高そうに見えます。

　IPA（独立行政法人情報処理推進機構）が2024年7月に発表した「情報セキュリティ白書2024」という資料によると、脅迫材料が少ないノーウエアランサムは、攻撃者にとって都合が良い場合もあるようです。

　例えば、窃取したデータの暗号化を行わなければ、従来よりも少ない労力で攻撃を仕掛けられるという点も、攻撃者側のメリットの1つです。場合によっては、盗んだ事実がなくても盗んだと言い張って身代金を要求できます。

　さらに、被害が発覚しづらいという点も、攻撃者側に有利に働きます。ノーウエアランサムはデータの暗号化が行われないため、企業や団体がデータを閲覧できなくなったり、システム障害が発生したりすることは基本的にありません。そのため、脅迫を受けた企業や団体は、自組織のブランドや信頼を守るために脅迫を受けた事実を公表せず、黙って身代金を支払い、穏便に解決しようと考えてしまう恐れもあると言います。

そのノーウエアランサム、実はハッタリかもしれない

　ノーウエアランサムの脅迫を受けると、データが攻撃者側の手に渡っている以上、強制的に公開されることを防ぐ手だてはないのが実情です。たとえ身代金を支払っても、窃取されたデータの公開が取り下げられたり、消去されたりする保証はありません。そもそもデータが盗まれないよう、不正アクセスをさせない対策が求められます。

　警察庁ではランサムウエアの被害を防ぐために、VPN機器などネットワーク機器の脆弱性が悪用されないよう最新の状態に更新することや、ユーザーに付与するアクセス権限を最小化すること、ウイルス対策ソフトを導入すること、不審なメールはクリックしないことなどを呼びかけています。加えて、サイバー犯罪の被害に遭った際には、最寄りの警察署や都道府県警察本部のサイバー犯罪相談窓口に連絡するよう訴えています。

　攻撃者から脅迫を受けても、実はハッタリで本当はデータが盗まれていないケースも起こり得ます。

　2024年10月、大学共同利用機関法人情報・システム研究機構は、国際ハッカー集団からデータを窃取したと脅迫を受けたものの、実際にはシステムへの不正侵入、システム内部の改ざん、データ消失は検出されておらず、攻撃者が窃取したと主張するデータは、もともと誰でも無料でダウンロードできる公開データだったと報告しています。

　ビジネスシーンで日々大量のデータを扱うことが当たり前になった現代、「会社の機密情報を公開するぞ」とノーウエアランサムの脅迫を受けることは、たとえランサムウエア対策が万全だったり、その脅迫がうそだったりしても、企業や団体が受ける衝撃は大きいはずです。しかし調査の結果、脅迫が虚偽であると証明できれば、自社のランサムウエア対策やデータ管理が正しくできている証明になるでしょう。

【TP】

あわせて読みたい記事

IT時事ネタキーワード「これが気になる！」（第157回）

総務省と大手IT企業・団体がリテラシー向上の官民連携プロジェクトを開始

時事潮流デジタル化

2025.05.09
ニューノーマル処方箋（第65回）

暗号化しない新たなサイバー攻撃「ノーウエアランサム」とは

時事潮流ネットワークセキュリティ

2025.05.09
IT時事ネタキーワード「これが気になる！」（第159回）

「シャドーIT」とは？生成AIによって増えるそのリスクと対策

時事潮流デジタル化

2025.05.09

「時事潮流」カテゴリーから探す

連載バックナンバー

ニューノーマル処方箋

ニューノーマル処方箋（第65回） 暗号化しない新たなサイバー攻撃「ノーウエアランサム」とは