「バックアップがあるから大丈夫」は、攻撃者も知っている
ランサムウェアへの備えとして、バックアップは重要です。本番のファイルが暗号化されても、正常なバックアップから戻せれば復旧できます。
問題は、その復旧手段であるバックアップ自体が攻撃対象になり得ることです。
たとえば、社内の共有フォルダとバックアップ先が同じネットワーク上にあり、普段から接続された状態になっているとします。ランサムウェアがアクセス可能な共有フォルダのファイルをまとめて暗号化・削除する場合、本番データだけでなく、到達できるバックアップ側にも影響が及ぶ可能性があります。
同期型のクラウド共有も、それだけではバックアップの代わりになりません。暗号化されたファイルが同期対象であれば、暗号化後の状態まで同期されることがあるためです。
つまり、「コピーを作っているか」だけでは十分ではありません。ランサムウェア対策として考えるなら、攻撃を受けた後にも正常なコピーが残り、そこから戻せる状態になっているかを確認する必要があります。
調査でもバックアップが高い割合で標的になっている
Veeamが2023年に公表した調査では、調査会社Vanson Bourneがサイバー攻撃の被害を受けた1,200組織、約3,000件の攻撃事例を調査しています。
その結果、サイバー攻撃の93%でバックアップが標的にされていました。さらに、バックアップが標的になった事例の75%では、攻撃者が復旧能力の無力化に成功していました。
ここで注意したいのは、この93%が「あらゆる企業の93%がバックアップ攻撃を受ける」という意味ではないことです。対象は、すでにサイバー攻撃の被害を受けた組織と攻撃事例です。また、この数字だけから攻撃者がどの順番でバックアップを狙ったかまでは分かりません。
それでも、被害を受けた組織においてバックアップが非常に高い割合で攻撃対象になっていたこと、そして復旧能力そのものを無力化された事例があったことは確認できます。
Veeamの2024年調査でも、2023年に攻撃被害を受けた1,200組織を対象に調べたところ、攻撃で侵害されたデータのうち復旧できたのは平均57%でした。残る43%は復旧できませんでした。
こちらも攻撃被害を受けた組織を対象とした調査です。そのため一般企業全体の復旧率として読むことはできません。ただし、「バックアップを取っている」という事実と、「攻撃後に必要なデータを復旧できる」という状態は分けて考える必要があることを示す材料にはなります。
普通のバックアップがランサムウェアに弱くなる3つの理由
1. 本番とバックアップが普段からつながっている
もっとも確認しやすいのが、バックアップ先への経路です。
本番環境とバックアップ先が同じネットワークにつながり、同じ資格情報、つまりIDやパスワードなどの認証情報でアクセスできる状態では、本番側からバックアップ側まで到達できる構成になります。
ランサムウェアがアクセス可能な共有フォルダを暗号化・削除する場合、バックアップ先も同じ経路からアクセス可能であれば、コピーまで影響を受ける可能性があります。
重要なのは、バックアップ先が「別の機器か」だけではありません。普段使っている経路から、そのコピーに到達できるかを確認することです。
2. 最新状態しか残していない
バックアップ先に常に最新状態だけを上書きしている場合、暗号化された状態がバックアップ側へ反映されると、暗号化前の状態へ戻るためのコピーが残りません。
必要なのは「昨日」「その前」といった複数の時点へ戻せる世代管理です。
同期型のクラウド共有でも同じ点に注意が必要です。暗号化後の状態が同期されることがあるため、単に別の場所へ同じファイルを同期しているだけでは、暗号化前の状態を残せるとは限りません。
3. 管理アカウントまで本番と共通になっている
もう一つ確認したいのが、バックアップを管理するための資格情報です。
本番システムとバックアップ管理に同じアカウントや資格情報を使っていると、その資格情報が使われた場合に、本番だけでなくバックアップにも操作が及ぶ構成になります。
バックアップデータを別の場所へ置いていても、同じ認証情報から削除や変更ができれば、復旧手段の分離としては不十分です。
ランサムウェア対応型バックアップで押さえる4つの要素
1. 普段の経路から切り離したコピーを持つ
まず考えたいのが「切り離し」です。
バックアップのうち少なくとも一つを、普段のネットワーク経路から直接到達できない状態にします。オフラインで保管する方法や、別の経路に分離する考え方が該当します。
米国CISAが公開資料で紹介している「3-2-1ルール」も参考になります。これは、データのコピーを3つ持ち、2種類の媒体を使い、そのうち1つを別の場所に置くという考え方です（→ 失敗しないバックアップ運用の記事）。
重要なのはコピー数だけではなく、一つの経路で問題が起きたときに、すべてのコピーへ同じ影響が広がらないようにすることです。
2. 一定期間、書き換え不能にする
次が「イミュータブル」です。これは、保存したバックアップを一定期間、削除したり変更したりできない状態にする考え方です。
通常のバックアップでは、管理権限を持つアカウントからバックアップデータを削除できる構成があります。書き換え不能な期間を設ければ、その期間中のコピーを変更できない状態として保存できます。
「バックアップがある」だけでなく、「そのバックアップを後から書き換えられるのか」を確認することがポイントです。
3. 暗号化前へ戻れる世代を残す
ランサムウェア対策では、最新のコピーだけではなく、暗号化される前の状態へ戻れる必要があります。
そこで、複数の時点のバックアップを残す世代管理を行います。
確認するときは、「何世代あるか」という設定だけを見るのではなく、被害が判明した時点からさかのぼって、正常だった時点のデータを選んで復旧できる構成になっているかを見ると判断しやすくなります。
4. バックアップ専用の資格情報を使う
バックアップの管理アカウントや認証情報は、本番環境と分けます。
本番とバックアップの資格情報を分離しておけば、一つの資格情報で両方を操作できる構成を避けられます。
バックアップ先の場所だけを分けるのではなく、「誰が、どの認証情報で操作できるか」まで分離することが必要です。
技術を追加する前に、復旧時の動きを決めておく
バックアップ方式を見直しても、実際に復旧する手順が決まっていなければ、被害時に何から戻すべきかをその場で判断することになります。
そこで、復旧演習を行う前提で、少なくとも次の点を決めておきます。
どのデータを、何日以内に戻すのか
すべてを同時に復旧する前提ではなく、業務上どのデータを優先して戻すのかを決めます。そのうえで、それぞれを何日以内に戻す必要があるのかを整理します。
復旧演習では、その条件に沿って実際にデータを戻す手順を確認します。
バックアップの成否を誰が確認するのか
バックアップを設定した後、確認する担当者が決まっていなければ、運用状況を継続して確認できません。
「誰がバックアップの成否を確認するのか」を業務として決めておきます。
被害が分かったとき、最初に誰へ連絡するのか
ランサムウェアによる被害が疑われた場合の初動連絡先も、事前に決めておきます（→ インシデント対応の初動の記事）。
復旧作業を担当する人、バックアップを管理する人など、最初に連絡すべき相手を明確にしておけば、発生後に連絡先を探すところから始めずに済みます。
バックアップは「あるか」ではなく「攻撃を生き残るか」で点検する
ランサムウェア対策としてバックアップを確認するときは、「毎日バックアップしています」という設定だけではなく、そのコピーが攻撃後にも残る構成になっているかを見る必要があります。
点検するなら、次の項目を順に確認すると整理しやすくなります。
- 本番環境から普段の経路では到達できないバックアップがあるか
- 一定期間、削除・変更できないコピーがあるか
- 暗号化前の状態へ戻れるよう、複数世代を保持しているか
- バックアップ用の資格情報が本番環境と分離されているか
- どのデータを何日以内に戻すか決めているか
- 復旧演習で実際の手順を確認しているか
- バックアップの成否を確認する担当者が決まっているか
- 被害時の初動連絡先が決まっているか
Veeamの2023年・2024年調査が示しているのは、攻撃被害を受けた組織では、バックアップそのものが標的となり、復旧できないデータが残るケースが現実にあったということです。
だからこそ、バックアップの評価基準を「あるか」から「攻撃を受けても生き残り、必要なデータを戻せるか」へ変える必要があります。ランサムウェア対策の全体像は中小企業のランサムウェア対策で、侵入経路側の備えはNASの外部アクセスで何が起きるかを解説した記事で確認できます。自社の構成に合わせた考え方は、お問い合わせで個別にご相談いただけます。