ランサムウェアは気にしない。それがあなたの子どもの赤ちゃん時代の写真だとしても

2017年5月12日、金曜日の午後、イングランド各地の病院の受付で、コンピューターの画面が赤く染まるのが目撃されました。窓が現れました。「あなたのファイルは暗号化されました。ビットコインで300ドルを送金してください。3日で値段は2倍になります」。手術は中止され、救急車は別の病院へ回されました。

その攻撃はWannaCryと呼ばれました。一日のうちに、150か国、およそ20万台のコンピューターに達しました。そしてそれ以来、セキュリティ業界が繰り返し言い続けている教訓を教えました。誰も聞きたがらない教訓です。ランサムウェアにとって、あなたのデータは貴重品ではありません。在庫なのです。

暗号化にとって、すべてはバイトである

これが最初に理解すべきことで、ランサムウェアがそれ以前のあらゆるコンピューター犯罪と違う点です。泥棒は価値のあるものを盗み、残りは置いていきます。ランサムウェアは無差別に暗号化します——赤ちゃんの写真、確定申告書、結婚式の映像、企業の出荷明細——暗号化は、それが何であるかを知る必要がないからです。ファイルシステムを歩き回り、拡張子でファイルを拾い、誰にも解けない軍用レベルの暗号でかき混ぜます。

残酷さは構造的であり、個人的なものではありません。誰かが病院を狙ったのではありません。あなたが暗号化されたのは、届く範囲にいたからです——ネットワーク上の、パッチの当たっていないマシン。SMBファイル共有プロトコルの脆弱なバージョンを動かしていたマシン。WannaCryが広がったのは、EternalBlueという攻撃コードを使ったからでした。NSAが開発し、その一か月前にShadow Brokersというグループが漏洩させたコードです。あなたの思い出は、他人の兵器開発計画の巻き添えだったのです。

6週間後にはNotPetyaが来ました——ランサムウェアに偽装し、ワイパーとして設計されたもの。ウクライナの税務会計ソフトM.E.Docの侵害されたアップデートを通じて入り込み、同じく盗まれた攻撃コードで企業ネットワーク内を横へ横へと広がり、マスターブートレコードを暗号化してマシンが起動すらできないようにしました。ファイルが何であるかは関係ありませんでした。そこにあることが問題だったのです。

3億ドルの「赤ちゃんの写真」

NotPetyaの最も示唆に富む被害者は、デンマークの海運大手Maerskでした。世界の海上貨物のおよそ5分の1を運ぶ会社です。2017年6月27日の朝、Maerskのスタッフは世界中のオフィスで、画面が次々に真っ黒になるのを見ました。電話は切断され、コンテナ船を予約するシステムが落ちました。10日間にわたり、同社は世界の事業のかなりの部分を、紙とWhatsAppと怒鳴り声で回しました。

復旧は、砲火の下で試みられた最大級のIT再構築の一つでした。サーバー約4,000台、PC45,000台、アプリケーション2,500本を一から入れ直す。最終的な損害額は2億から3億ドルと見積もられました。FedExの欧州部門TNT Expressは同じ攻撃で約3億ドルを失い、製薬会社Merckはおよそ6億7,000万ドルを失いました。

この物語で大切な細部はここです。Maerskを救ったものの一部は、運と「切断」でした。ガーナにあった一台のドメインコントローラーが、現地の停電のために決定的な瞬間にオフラインだった——接続されたすべてのマシンが暗号化される中、その一台だけが生き残ったのです。手の届かなかったそのサーバーが、同社のネットワーク全体の同一性を再構築する種になりました。生き残ったコピーは、攻撃者が触れられなかったコピーでした。最も高性能なバックアップシステムではなく、たまたまプラグが抜けていたものだったのです。

あなたのバックアップも、リストに載っている

ほとんどの人のバックアップ戦略は、あったとしても、こんな姿です。コンピューターにつなぎっぱなしの外付けドライブ。あるいはクラウドに同期するフォルダ。どちらも「届く」のです。そしてランサムウェアが狩るのは、まさに「届くもの」です。

現代のランサムウェアは文書を暗号化するだけではありません。ネットワーク共有を列挙します。机の上のUSBドライブを暗号化します。使われる前に、Windowsのシャドウコピー——システム自身の復元ポイント——を削除します。数週間静かに潜み、クラウド同期フォルダをゆっくり暗号化して、破損したバージョンをすべての端末に伝播させ、バージョン履歴まで汚染する亜種もあります。あなたのバックアップも、同期も、「大丈夫、クラウドにあるから」も、すべて同じネットワーク上、同じ認証情報の内側にあり、横移動ひとつ先にあるのです。

だからセキュリティの人間は、バックアップとエアギャップ・バックアップの間に太い線を引きます。バックアップはコピーです。エアギャップ・バックアップは、届かないコピーです——都合のいい瞬間にあなたが届かないからこそ、攻撃者も好機の瞬間に届かない。その不便さこそが防御なのです。バックアップに届きやすくする近道はすべて、それを壊しやすくもします。

「ここからは行けない」の物理学

ランサムウェアからの復旧における業界の標準が、30年近くほとんど変わっていないのには理由があります。オフラインのコピー、離れた場所、復元によるテスト済み。テープライブラリ。切り離されたハードディスク。一度だけ書ける媒体。技術は意図的に地味です。華やかさは攻撃対象そのものだからです。

正しくエアギャップされたコピーを壊すために、攻撃者が何をしなければならないか考えてみてください。ネットワーク越しには届きません。そこにいないから。盗んだ認証情報でも暗号化できません。封印された袋に入って棚に置かれたドライブを開く認証情報など、存在しないからです。彼らは物理的に建物を見つけ、扉を越え、媒体に手を触れなければならない。それは拡張可能なソフトウェア攻撃——一つの攻撃コードで20万人の被害者——を、空き巣に変えます。空き巣は規模が拡大しません。それが勝負のすべてです。ランサムウェアは規模の経済であり、エアギャップはその経済を壊すのです。

エピクロスには、この状態を表す言葉がありました。「アタラクシア」——平静と訳されます。悪いことが起きないと信じることから来る静けさではなく、悪いことが起きても、大切なものには届かないよう整えてあることから来る静けさです。多くのセキュリティ製品が売るのは前者の静けさです。「信頼してください、私たちが見ています」。オフラインのコピーが売るのは後者です。誰が見ていようと関係ない。見るものが、そこにないのですから。

華やかさのない規律

これは何も新しい話ではありません。3-2-1ルール——コピー3つ、媒体2種類、1つはオフサイトかつオフライン——はWannaCryより何十年も前からあります。ランサムウェア時代が変えたのは、最後の一歩を省く代償です。2010年にオフラインのコピーを省くことは、火事やドライブの故障のリスクでした。2017年以降は、あなたのコピーを積極的に狩る敵対者のリスクを意味します。

そして最後の一歩は、今も誰もやらない一歩です。自動化に抵抗する唯一の部分だからです。チェックボックスではエアギャップできません。誰かがドライブを抜き、どこかへ運び、年に二度電源を入れてデータを検証し、元に戻さなければならない。清掃の仕事です——番号付け、封印、記録、点検を、予定通り、永遠に。

だからこそ、それは個人の習慣としては失敗し、職業としては成功するのです。最も上手なのは、それが他の雑事の合間に押し込まれた面倒ごとではなく、仕事のすべてである人たちです。媒体を受け取り、番号入りのバンドで封印し、封印を写真に撮り、コピーを二つの場所に保管し、予定通り封印を点検し、記録し、繰り返す——そしてドライブに電源を入れて検証するのは、所有者が書面で依頼したときに限る。地味で、文書化されていて——そして金曜日の午後に画面が赤く染まったとき、「中断」と「終わり」の分かれ目になるものです。

あなたの赤ちゃんの写真が安全なのは、ランサムウェアに心があるからではありません。攻撃者からドライブへの道が、ただ存在しないときに安全なのです。道がなければ、身代金もない。これは売り文句ではありません。物理です。

Everkeepは、お客様ご自身が所有・暗号化したドライブのオフライン保管サービスです。番号入りの封印、写真記録、二つのコピーを二つの離れた場所に保管、予定通りの封印点検——そして電源を入れての検証は、お客様の書面による依頼があった場合のみ行います。1デバイススロットあたり年額199米ドル。