Macはランサムウェアに感染する？知っておきたい脅威の実態と被害を防ぐ対策法

2017年5月に英国NHS（国民保健サービス）のコンピュータを大混乱に陥れた「WannaCry」や、同年6月末に発生した「Petya」のランサムウェア攻撃をご存じの方も多いでしょう。これらの有名な事例はWindowsユーザーだけが危険にさらされるものでしたが、Macユーザーであるあなたも、こうした脅威から身を守るために何かすべきことはあるのか、万が一ランサムウェアに感染した場合はどう対処すればよいのか、気になるところです。

この記事では、Macにおけるランサムウェアの検出方法、回避策、そして除去方法について、知っておくべき情報をすべて解説します。

ランサムウェアとは何か？

Macでのランサムウェア事例を見る前に、まずランサムウェアとは何なのかを説明しましょう。ランサムウェアとは、マルウェア攻撃の一種で、ユーザーの意思に反してファイルが暗号化され、「ファイルを復号してほしければ金銭（身代金）を支払え」と要求されるものです。

前述のとおり、WannaCryやPetyaといった有名な例があるように、ランサムウェアは主にWindowsユーザーにとっての懸念事項とされてきました。では、Macを使っている場合も心配すべきなのでしょうか？

Mac上でWindows（Boot Campや仮想環境など）を使用しているなら、PCでWindowsを使うのと同じレベルの注意が必要なのは当然です。一方、macOSを使用している場合、Appleは複数のセキュリティ対策をOSに組み込んでいるため、それなりに保護されているはず…と思われがちですが、実はそう単純ではありません。

残念ながら、Macもランサムウェア攻撃の影響を受けたことがあります。ただし、その頻度は非常に稀です。詳細は後述します。

なお、本記事はMacworldのMacセキュリティ関連記事シリーズのひとつです。ウイルス対策ソフトの選び方については「おすすめMacウイルス対策ソフト」や「Macはウイルスに感染するのか？」、一般的なアドバイスについては「Macセキュリティのヒント」、ウイルス感染の疑いがある方は「Macウイルスの除去方法」も併せてご覧ください。Macで確認されたウイルスの一覧も用意しています。

Macはランサムウェアに感染するのか？

結論から言えば、「感染する。ただし極めて稀である」というのが答えです。これまでにセキュリティ研究者によって確認されたMac向けランサムウェアはごく少数存在しますが、深刻な大流行につながった例はなく、実際に被害を受けたMacもほとんどありません。しかし、これらの事例を振り返ることで、将来ランサムウェアのアウトブレイクが起きた場合に、どのように拡散し、どのように動作するのかを学ぶことができます。

ThiefQuest / EvilQuest（2020年6月〜7月）

Malwarebytes社は、ロシアのトレントフォーラム「RuTracker」で流通していた海賊版のLittle Snitchなど、Macアプリの不正コピーに悪意のあるコードが混入していることを報告しました。

このマルウェアは「com.apple.questd」や「CrashReporter」などの名前を装い、システム内の複数の場所に自身をインストールしようとします。感染するとファイルの暗号化が始まり、$50相当のビットコインを要求する恐喝メッセージが表示されます。

興味深いことに、このマルウェアの身代金要求機能は目的の一部にすぎない可能性があります。暗号化を実行する前に、特定の種類のファイルを検索し、中央サーバーへ送信する動作が確認されているのです。

FileCoder / Filezip / Patcher（2017年2月）

セキュリティ研究者は、海賊版サイトからダウンロードできる「パッチャー（Patcher）」アプリに偽装したFilezipランサムウェアを発見・特定しました。パッチャーアプリとは、Adobe PhotoshopやMicrosoft Officeなどの有料商用ソフトを不正に改造し、ライセンス購入なしで使用できるようにするものです。

ユーザーがパッチャーアプリを使用しようとすると、Filezipは代わりにユーザーのファイルを暗号化し、各フォルダに「README!.txt」「DECRYPT.txt」「HOW_TO_DECRYPT.txt」といったファイルを作成して身代金（0.25ビットコイン、当時約335ポンド）を要求します。注目すべきは、多くのWindows系ランサムウェアと同様に、Filezipには実際にファイルを復号する能力がない点です。つまり、身代金を支払っても無駄なのです。

KeRanger（2016年3月）

セキュリティ研究者は、BitTorrentクライアント「Transmission」の正規アップデート内にKeRangerランサムウェアが仕込まれていることを発見しました。これはMac向けランサムウェアとして最初の本格的な事例であり、開発者たちが本物の脅威を作り出す努力を明確に行っていたことがうかがえます。

KeRangerは正規のセキュリティ証明書で署名されていたため、macOSのGatekeeperによるブロックを回避できました。感染するとファイルを暗号化し、ディレクトリに「README_FOR_DECRYPT.txt」を残して身代金（1ビットコイン、執筆時点で約1,338.62ポンド）を要求します。

しかし、研究者の迅速な対応と、Appleが直ちに証明書を失効させたことにより、KeRangerは深刻な脅威になる前に阻止されました。もし両者の対応がもう少し遅れていたら、状況は大きく異なっていたかもしれません。

Gopher（2015年9月）とMabouia（2015年11月）

二人のセキュリティ研究者がそれぞれ独立して、Macを標的としたランサムウェア「Gopher」と「Mabouia」を作成しました。ただし、どちらも概念実証（PoC）であり、Mac上で完全なランサムウェアが作成可能であることを証明するためのものでした。

研究者間で共有されたコピーを除き、外部に流出することはなかったため、拡散することはありませんでした。

FileCoder（2014年6月）

セキュリティ研究者は、ウイルススキャンサイト「VirusTotal」を通じてFileCoderを発見しましたが、この時点でFileCoderは既に古いマルウェアで、同サイトのスキャナーが最初に検出したのは2年前でした。

OS X/macOSを標的にしたFileCoderは未完成品であり、実際にはユーザーのデータを暗号化しないため、実質的な脅威ではありませんでした。ただし、30ユーロの身代金を要求するアプリウィンドウを表示する機能は備えていました（クレジットカード払いなら20ユーロに割り引くという、妙に親切な設定までありました）。

FileCoderの出所や、どのように拡散する意図だったのかは不明です。

FBI詐欺（2013年7月）

10年以上にわたり、Webベースのランサムウェアは、ブラウザを「ロック」して警察機関のウェブサイトを装う手口で、騙されやすいWindowsユーザーから金銭を巻き上げようとしてきました。しかし、これは単なる見せかけであり、簡単に回避できました。

ところが2013年7月、セキュリティ研究者はMacのSafariブラウザを標的にした類似の詐欺を発見しました。ユーザーは閉じることのできないダイアログボックスによって偽の「FBI」ページに固定され、システムのロック解除のために300ドルの「罰金」を要求されたのです。

ブラウザを終了することさえ不可能にされ、Safariを強制終了しても、次回起動時にランサムウェアのページが再び読み込まれる仕組みでした。

Appleはその後、MacおよびiPhone/iPadのSafariを修正し、この種のブラウザベースのランサムウェアが動作しにくくなりました。ただし、より弱い類似の手口には今でも遭遇する可能性があります。

MacはWannaCryに感染するのか？

端的に言えば、いいえ、感染しません。WannaCryは、Microsoft Windowsのネットワークファイル共有技術「SMB」の脆弱性を悪用します。ネットワーク上の1台のコンピュータに侵入する（多くの場合、誰かが悪意あるメール添付ファイルを開いたことがきっかけ）と、SMBのバグを利用して、パッチが適用されていないネットワーク上の他のすべてのコンピュータへ自己複製していきます。

Macもデフォルトのネットワークファイル共有技術としてSMBを使用しているため、一見するとMacも影響を受けるように思えるかもしれません。しかし、Appleは独自に実装したSMBを採用しています。これはMicrosoft版と完全な互換性がありながら、同じバグやセキュリティホールを持たないため、少なくとも現状の形態のWannaCryの影響は受けません。

また、iPhone、iPad、Apple TV、Apple WatchはそもそもSMBファイル共有を使用しないため、理論上でさえWannaCryのリスクはありません。

MacはPetyaに感染するのか？

PetyaはWannaCryと似たランサムウェア攻撃で、2017年6月末に欧米のコンピュータを襲いました。

Petyaは一部の大手企業にも打撃を与え、英国NHSを襲ったWannaCryと同様に、同一ネットワーク上のWindowsコンピュータへ急速に拡散しました。

感染の原因はWindowsの脆弱性で、Microsoftは対応パッチを公開しています。主要なウイルス対策ベンダーの多くも、Petyaへの対策をソフトウェアに反映済みです。

Petyaは、コンピュータへのアクセスを取り戻すために300ドル相当のビットコインを身代金として要求します。しかし、全被害者に対して同一のビットコインアドレスを提示し、連絡用メールアドレスも1つしか用意していなかった（当然、すぐに閉鎖されました）ことから、犯人は素人だと考えられています。

また、この攻撃は金銭目的ではなく、ウクライナ政府を標的にしたものだという見方もあります。

Macをランサムウェアから守る方法

執筆時点ではMac（またはその他のAppleハードウェア）で深刻なランサムウェアのアウトブレイクは発生していませんが、セキュリティ研究者は現実的な可能性があると指摘しています。

有名なWannaCry攻撃の後、SecurityScorecardのCEOであるAleksandr Yampolskiy氏はCNBCの「Squawk Box」に出演し、AppleユーザーもWannaCry型の攻撃に対して脆弱であると強調しました。

「今回の攻撃がWindowsコンピュータを標的にしているのは偶然です。しかし、Appleも同様のタイプの攻撃に対して完全に脆弱です」と彼は語っています。

では、仮に感染してしまった場合、どうすればよいのでしょうか？以下のステップに従って対処しましょう。

ステップ1：慌てない

焦らず時間をかけ、衝動的な行動を避けることが重要です。

ステップ2：クリーンアップする

無料のBitdefender Virus Scannerのようなマルウェアスキャナーを使って、ランサムウェアを検索・除去します。

あなた以外にも被害者がいる可能性が高いため、Macworldのようなサイトで感染の性質に関する最新情報をチェックしましょう。ウイルススキャナーで除去できない場合でも、具体的な駆除手順が見つかることが多いはずです。

また、セキュリティ研究者が無料でファイルを復号する方法を見つけているケースもあります。実際、Macで確認された最近のランサムウェア事例では、そのような展開がありました。

ステップ3：身代金を払わない

後述するMacで確認済みのランサムウェア事例を見れば分かる通り、身代金を支払ってもファイルが復元されない可能性は十分にあります！

ステップ4：ストレージを取り外し、接続を切断する

Macで実際に機能した唯一のランサムウェアであるKeRangerは、Time Machineのバックアップまで暗号化しようとしました。これは、バックアップからの復元を不可能にするためです。

そのため、Macがランサムウェアに感染したことに気づいたら、バックアップまで暗号化されるリスクを最小限に抑えるため、外付けHDDなどのリムーバブルストレージを直ちに取り外し、Finderのサイドバーにある取り出しアイコンをクリックしてネットワーク共有からも切断してください。

ステップ5：RansomWhere?アプリをインストールする

無料アプリ「RansomWhere?」の導入を検討してみましょう。このアプリはバックグラウンドで常駐し、ランサムウェア攻撃時に見られるような大量のファイル暗号化活動を監視します。不審なプロセスを検知すると停止させ、何が起きているかを通知してくれます。一部のファイルは暗号化されてしまうかもしれませんが、被害を最小限に食い止められるでしょう。

ステップ6：フィッシング対策の基本ルールを守る

多くのランサムウェアやマルウェアと同様、WannaCryも当初はフィッシング攻撃を通じてネットワークに侵入しました。予期していないメールの添付ファイルは絶対に開かないでください。差出人が知り合いに見えても、内容がどれほど重要・興味深く見えても同じです。

ステップ7：怪しいソフトを使わない

最近のMac向けランサムウェアは、商用ソフトを無料で使えるようにする「クラック版」やパッチャーアプリ経由で拡散を試みています。この種の怪しいソフトは一切避けましょう。

ステップ8：システムとアプリを常に最新に保つ

Macでは自動アップデートを設定できます。「システム環境設定」（macOS Ventura以降は「システム設定」）を開き、「App Store」を選択します。そして「アップデートを自動的に確認」にチェックを入れ、その下の項目にもすべてチェックを入れましょう。

ステップ9：公式サイトからのみインストールする

突然「ブラウザプラグインが古くなっています」というポップアップが表示されたら、必ずそのプラグインの公式ページ（FlashプラグインならAdobeのサイトなど）からのみ更新してください。ポップアップ内のリンクは絶対に信用しないこと！ハッカーはこうしたポップアップや偽サイトを利用して、ランサムウェアやその他のマルウェアを拡散しています。

ステップ10：頻繁にバックアップし、接続を切る

ファイルのバックアップがあれば、ランサムウェアの被害に遭っても復元できるため、ダメージは限定的になります。ただし、KeRangerはTime Machineのバックアップも暗号化しようとしたため、Carbon Copy Clonerのようなサードパーティ製アプリでバックアップを取る選択肢もあります。

さらに重要なのは、バックアップを取っただけで安心しないことです。本当に安全を期すなら、バックアップ完了後にバックアップドライブをMacから切り離しましょう。そうすれば、攻撃時にドライブが暗号化されることはありません。

iPhoneやiPadをランサムウェアから守るには？

iPhoneやiPadなどのiOSデバイスは、当初からMacよりもはるかに高いセキュリティを考慮して設計されています。マルウェア感染による本物のランサムウェアは実行が極めて困難で、これまでの事例はありません。少なくとも脱獄（ジャイルブレイク）されていないiOSデバイスにおいては。

しかし、iPhone、iPad、そしてMacであっても「iCloud乗っ取り」と呼ばれる身代金要求攻撃の対象になり得ます。これは、過去の大規模な情報漏洩事件で流出したパスワードをハッカーが再利用し、ユーザーのiCloudアカウントにログインして乗っ取る手口です。ハッカーはパスワードを変更し、「iPhoneを探す」機能を使ってiOSデバイスやMacを遠隔ロックし、制御を取り戻すための身代金を要求してきます。

さらに、デバイスやMacを遠隔消去すると脅してくることもあります。この種の攻撃の最初の事例は、2014年のOleg Pliss攻撃でした。

iCloud乗っ取りは二要素認証（2ファクタ認証）を設定すれば簡単に防げます。まだの方は今すぐ設定しましょう！

また、実際のランサムウェア感染の可能性にかかわらず、iPhoneやiPadを常に最新の状態に更新しておくことは、潜在的な脅威への最善の防御になります。新しいiOSアップデートが利用可能になると設定アプリに通知が表示され、「設定」→「一般」→「ソフトウェア・アップデート」から更新できます（なお、iOSではシステムアップデートの自動化を設定できません）。

なお、iOSデバイス向けのウイルススキャンを謳うアプリは、基本的に怪しいと考えるべきです。すべてのiOSアプリはサンドボックス化されているため、システムや他のアプリをスキャンすることができないからです。

常時ウイルス対策アプリを起動すべきか？

意外に思われるかもしれませんが、実はMacにはApple純正のマルウェア対策が最初から組み込まれています。

「XProtect」はバックグラウンドで目に見えず動作し、標準のファイル検疫プロセスの一環として、ダウンロードしたファイルをスキャンします。XProtectはAppleによって定期的に新しいマルウェア定義で更新されており、その更新頻度は以下の手順で確認できます。

1. Appleメニュー＞「このMacについて」をクリックし、「システムレポート」ボタンをクリックしてシステム情報アプリを開きます。
2. 左側のリストで「ソフトウェア」を見出しを選択し、その下の「インストール」を選択します。
3. 「インストール日」の列見出しをクリックして日付順に並べ替え、「XProtectPlistConfigData」という項目を探します。

XProtectこそが、Appleがこれまでで最も深刻なMac向けランサムウェアの脅威となったKeRangerを、流行する前に封じ込めることを可能にした仕組みです。さらに、最新のMacランサムウェアであるFilezipもXProtectに追加されています。

これに加え、ファイル検疫やGatekeeperといった組み込みの防御機能（いずれも、見知らぬウェブサイトからダウンロードしたアプリや書類を安易に実行・開くのを防ぐもの）と組み合わせることで、Macはあなたが思っている以上にランサムウェアから守られています。

とはいえ、Bitdefender Virus Scannerのようなオンデマンド型のウイルススキャナーを時々実行するのは決して無駄ではありません。メール添付ファイル内のWindowsウイルスなど、誤検出が多数見つかることもありますが、WindowsウイルスはMacユーザーにとって無害です。おすすめのMacウイルス対策ソフトについてはこちらの記事をご覧ください。