コグニザントを襲った「Maze（メイズ）」ランサムウェア攻撃の全貌と対策

重要な仕事のメールを作成中に、突然すべてのデータへのアクセスを失うことを想像してみてください。あるいは、コンピュータの復号と引き換えにビットコインを要求する悪質なエラーメッセージが表示されたら――。シナリオはさまざまですが、ランサムウェア攻撃に共通するのは、攻撃者が必ず「アクセスを取り戻す方法」を指示してくるという点です。もちろん、その代償として多額の身代金を前払いする必要があります。

サイバーセキュリティ業界で猛威を振るっているのが、「Maze（メイズ）」と呼ばれる破壊的なランサムウェアです。本記事では、コグニザント（Cognizant）を襲ったMazeランサムウェア攻撃について知っておくべきポイントを詳しく解説します。

Mazeランサムウェアとは？

MazeランサムウェアはWindows向けのマルウェア株で、スパムメールやエクスプロイトキットを通じて拡散し、盗んだデータの復号・復旧と引き換えに、多額のビットコインや暗号資産を要求する手口が特徴です。

攻撃メールには「Your Verizon bill is ready to view（Verizonのご請求書をご覧いただけます）」や「Missed package delivery（宅配便のお受け取りができませんでした）」といった一見無害な件名が使われますが、実際には悪意のあるドメインから送信されています。また、Mazeはアフィリエイト型のランサムウェアであるとも噂されており、開発者たちが利益を共有しながら、企業ネットワークへの侵入を行う複数のグループと連携して活動しているとされます。

同種の攻撃から自社を守り、被害への露出を最小限に抑えるための戦略を考えるうえで、コグニザントへの攻撃事例から学べることは多くあります。

コグニザントにおけるMazeランサムウェア攻撃

2020年4月、フォーチュン500企業であり、世界最大級のITサービス提供会社であるコグニザントが、悪質なMaze攻撃の被害に遭い、全社的に大規模なサービス障害が発生しました。

この攻撃による内部ディレクトリの削除により、多くのコグニザント従業員がコミュニケーションの混乱に見舞われ、営業チームはクライアントとの連絡手段を失い、大きな打撃を受けました。

さらに厄介だったのは、このデータ侵害が新型コロナウイルスのパンデミックに伴い従業員をテレワークへ移行させている最中に発生したことです。CRNの報道によると、メールへのアクセスを失った従業員たちは、同僚と連絡を取るために別の手段を探さざるを得なかったといいます。

「ランサムウェア攻撃に遭いたいと思う人は誰もいません」と語るのは、当時のコグニザントCEOブライアン・ハンフリーズ氏です。「完全に攻撃を免れられる企業など存在しないと私は考えています。重要なのは、それにどう対処するかです。私たちはプロフェッショナルかつ成熟した対応を心がけました。」

同社は迅速にトップクラスのサイバーセキュリティ専門家と社内のITセキュリティチームの支援を仰ぎ、状況の安定化を図りました。このサイバー攻撃は法執行機関にも報告され、コグニザントのクライアントには侵害指標（IOC：Indicators of Compromise）に関する最新情報が継続的に提供されました。

しかしながら、この攻撃による経済的損失は甚大で、失われた収益はなんと5,000万〜7,000万ドルに上ったと報じられています。

なぜMazeランサムウェアは「二重の脅威」なのか？

ランサムウェアに感染すること自体すでに十分深刻ですが、Mazeの開発者たちは被害者に対してさらなる仕掛けを用意しました。それが「二重恐喝（ダブルエクストーション）」と呼ばれる悪質な手法です。被害者が身代金の支払いに応じない場合、盗み出したデータを公開すると脅迫するのです。

この悪名高いランサムウェアが「二重の脅威」と呼ばれるのは、従業員のネットワークアクセスを遮断するだけでなく、ネットワーク全体のデータの複製を作成し、それを交渉材料として身代金の支払いを強要するためです。

残念ながら、Maze制作者たちの圧力はこれで終わりではありません。最近の調査によると、Mazeランサムウェアの背後にいるグループ「TA2101」は、協力しない被害者を一覧表示する専用ウェブサイトを開設し、罰として盗んだデータのサンプルを頻繁に公開していることが明らかになっています。

Mazeランサムウェアの被害を抑えるための対策

ランサムウェアのリスクを軽減・排除するには多面的なアプローチが必要で、組織ごとのリスクプロファイルに応じてさまざまな戦略を組み合わせ、カスタマイズすることが求められます。ここでは、Maze攻撃を未然に食い止めるために特に有効とされる対策を紹介します。

アプリケーションホワイトリストの導入

アプリケーションホワイトリストは、事前に許可されたプログラムやソフトウェアのみを実行可能とし、それ以外をデフォルトでブロックする、先回り型の脅威対策技術です。

この手法により、悪意のあるコードを実行しようとする不正な試みを素早く検出でき、許可されていないソフトウェアのインストールも防止できます。

アプリケーションと脆弱性の速やかなパッチ適用

セキュリティ上の欠陥は、攻撃者に悪用される前に、発見次第すぐにパッチを適用すべきです。脆弱性の重大度に応じた推奨される対応期限は以下のとおりです。

• 極めて重大なリスク：パッチ公開後48時間以内
• 高リスク：パッチ公開後2週間以内
• 中〜低リスク：パッチ公開後1か月以内

Microsoft Officeマクロ設定の見直し

マクロは定型作業の自動化に便利な機能ですが、一度有効化すると、悪意のあるコードをシステム内に持ち込む格好の入口になり得ます。可能な限りマクロを無効化しておくか、使用前に必ず内容を確認・審査することが賢明です。

アプリケーションのハードニング

アプリケーションハードニングとは、アプリケーションを保護し、追加のセキュリティレイヤーを施して情報漏洩から守る手法です。特にJavaアプリケーションはセキュリティ脆弱性が生じやすく、脅威アクターにとって格好の侵入経路となり得ます。アプリケーションレベルでこの手法を導入し、ネットワークを堅牢に保つことが不可欠です。

管理者権限の制限

管理者アカウントはすべてのリソースにアクセスできるため、権限の扱いには細心の注意が必要です。アクセス権や権限を設定する際は、必ず最小権限の原則（POLP：Principle of Least Privilege）を採用しましょう。これはMazeランサムウェアに限らず、あらゆるサイバー攻撃の被害を抑えるうえで重要な要素となります。

オペレーティングシステムのパッチ適用

基本として、極めて重大な脆弱性を抱えるアプリケーション、コンピュータ、ネットワーク機器は48時間以内にパッチを適用しましょう。また、OSは常に最新バージョンを使用し、サポートが終了したバージョンは絶対に使わないことも重要です。

多要素認証（MFA）の実装

多要素認証（MFA）は、オンラインバンキングなど機密情報を扱う特権的操作やリモートアクセスのログイン時に、複数の認証済みデバイスを要求することで、セキュリティに追加の防御層をもたらします。

ブラウザのセキュリティ確保

ブラウザは常に最新の状態に保ち、ポップアップ広告をブロックし、不明な拡張機能がインストールされないよう設定を見直しましょう。

また、訪問するウェブサイトが正当なものか、アドレスバーで必ず確認してください。HTTPSで始まるサイトは安全ですが、HTTPのサイトは安全性が大きく劣ることを覚えておきましょう。

メールセキュリティの強化

Mazeランサムウェアの主な侵入経路はメールです。

多要素認証を導入してセキュリティを強化し、パスワードに有効期限を設定しましょう。さらに、自分自身と従業員に対し、差出人が不明なメールは決して開かないこと、少なくとも不審な添付ファイルはダウンロードしないことを徹底して教育することが大切です。メール保護ソリューションへの投資により、メールの安全な送受信を確保できます。

定期的なバックアップの作成

データのバックアップは災害復旧計画に不可欠な要素です。攻撃を受けた場合でも、正常なバックアップを復元すれば、ハッカーによって暗号化された元のデータを容易に取り戻せます。自動バックアップを設定し、従業員ごとに固有で複雑なパスワードを作成することをおすすめします。

感染端末と認証情報への注意

最後に、ネットワーク上のエンドポイントがMazeランサムウェアの影響を受けた場合は、そこで使用されていたすべての認証情報を速やかに特定してください。常に「すべてのエンドポイントがハッカーに利用・侵害された可能性がある」と想定することが重要です。侵害後のログオン分析には、Windowsイベントログが役立ちます。

まとめ：コグニザント攻撃から学ぶべきこと

コグニザントのデータ侵害は、同社に多大な財務的損失とデータ損失をもたらし、ITサービス大手といえども復旧に追われる事態となりました。しかし、トップクラスのサイバーセキュリティ専門家の支援もあり、同社はこの悪質な攻撃から素早く立ち直ることができました。

この一件は、ランサムウェア攻撃がどれほど危険であり得るかを如実に示す教訓となりました。

Maze以外にも、日々数多くのランサムウェア攻撃が悪意ある脅威アクターによって仕掛けられています。幸いなことに、適切な備えと厳格なセキュリティ対策を講じておけば、どんな企業でも攻撃を受ける前にその被害を最小限に抑えることが可能です。