コトラ（広報チーム） 
ランサムウェア「Akira」とは何か？
「Akira」の概要と特徴
ランサムウェア「Akira」は、2023年3月に初めてその存在が確認された新たなランサムウェアグループにより展開されています。このAkiraは、攻撃対象のファイルを暗号化し、そのファイルには「.akira」という拡張子を付加することが特徴です。また、Windows環境だけでなくLinux環境にも対応しているため、幅広いシステムに対してリスクをもたらします。
技術的には、Akiraは検出を回避するために、LOLBin（Living Off the Land Binary）を利用し、システム内の資格情報の窃取や暗号化プロセスに使用されるCryptGenRandomやChaCha 2008アルゴリズムを採用しています。さらに、Ransomware as a Service（RaaS）モデルを採用しており、他の攻撃者に対してもその技術を提供しているとされています。
「Akira」と従来型ランサムウェアの違い
従来のランサムウェアと比較して、「Akira」はいくつかの点で異なる特徴を持っています。一つ目は、その展開手法の違いです。「Akira」は、感染した電子メールやVPN脆弱性を悪用した侵入手法を採用し、多要素認証（MFA）が設定されていないネットワークを狙うことが多いです。これにより、標的組織のセキュリティ管理の甘い部分を突いて攻撃を仕掛けます。
また、「Akira」はターゲットとなる企業から金銭を要求するだけでなく、データを盗み出す「ダブルエクストーション（2重恐喝）」モデルも取り入れています。この手法により、支払い拒否を試みる被害者のデータをダークウェブ上で公開するというさらなる脅威を加えています。
登場の背景と2023年の動向
ランサムウェア「Akira」の登場背景には、過去に多くの被害をもたらしたランサムウェア「Conti」の存在が影響していると言われています。「Conti」のソースコードが流出した後、それを基に複数の新たなランサムウェアが発展しました。「Akira」もその一つであるとされています。
2023年の動向として、「Akira」はアメリカやカナダを中心に、250以上の組織に影響を与えたことが報告されています。そして、これにより約4200万ドルもの収益が得られていると言われています。このように、Akiraは短期間で大きな被害を生じさせた非常に危険なランサムウェアとして注目を集めています。
対象となる標的：業界や地域の傾向
ランサムウェア「Akira」は、主にアメリカとカナダを標的にしている一方で、特定の業界に狙いを定めて攻撃を行っていることが分かっています。特に、医療、教育、金融といったセクターが標的になりやすい状況です。これらの業界は、個人データや機密情報を多く運用しているため、一度攻撃を受けるとその影響が大きいという特徴があります。
さらに、これらの業種に限らず、セキュリティ対策が十分でない企業や団体も狙われる可能性が高く、2023年の報告では、多くの中小規模の企業にも被害が確認されています。
ランサムウェアに関連するその他の脅威グループ
現在、「Akira」以外にも多くのランサムウェアグループが存在し、それぞれが独自の手法で攻撃を行っています。例えば、「LockBit」や「BlackCat（ALPHV）」などのグループは、過去数年間で著名な攻撃を行ったとされており、いずれも「Akira」と同様にRansomware as a Service（RaaS）モデルを活用しています。
また、「Conti」ランサムウェアの流出後、それを基にした派生グループが多数現れました。その中でも、「Zeon」や「BlackMatter」といった後続グループが台頭しており、「Akira」はこれら新興勢力の中で特に注目されています。「Akira」の成功が他のグループにも影響を与える可能性があるため、全体的なランサムウェアの脅威は今後も続くと予想されています。
「Akira」の感染経路：知られざる手法
VPNの脆弱性を悪用した侵入
ランサムウェア「Akira」は、VPN（仮想プライベートネットワーク）の脆弱性を悪用した侵入経路を持つことが指摘されています。多くの企業がリモートワークの普及に伴いVPNを利用していますが、十分なセキュリティ対策が施されていない場合、攻撃者はこれを足がかりとして内部ネットワークへの侵入を試みます。特に、古いバージョンのVPNソフトウェアや弱い管理者パスワードの使用は、攻撃リスクを高める要因となります。「Akira」はこうした脆弱性を狙い、迅速にシステムへアクセスすることでデータの暗号化や搾取を行います。
MFA（多要素認証）未設定のリスク
MFA（多要素認証）は、アカウント保護における効果的な手段の一つですが、「Akira」が狙う環境では、この設定が不十分な場合が多く見受けられます。MFAが未設定のアカウントは、攻撃者にとって非常に魅力的なターゲットとなります。一度資格情報を取得されると、その後の攻撃が容易になります。「Akira」は、従来のランサムウェア同様、侵入後にアクセス権をエスカレーションし、システム全体への影響力を高める戦術を持っています。そのため、多要素認証の導入は、感染リスクを大幅に減少させる重要な予防策です。
侵入後のデータ搾取と暗号化プロセス
「Akira」は、侵入後に効率的かつ迅速にデータを搾取し、暗号化を行う能力を持っています。このプロセスでは、CryptGenRandomやChaCha 2008といった暗号技術が用いられ、被害者がデータにアクセスできないようにする高度な手法が採用されています。また、攻撃前の段階でシステム内の重要情報や資格情報を盗み出すことにより、標的に対する圧力をさらに強化する傾向があります。これにより、被害者が身代金を支払う可能性を高める狙いが明白です。
WebカメラなどIoTデバイス経由の攻撃
「Akira」のもう一つの巧妙な特徴はWebカメラやその他IoTデバイスを悪用した攻撃手法です。この種のデバイスは多くの場合、十分にセキュリティ管理されていないことが多いため、攻撃者に簡単な侵入口を提供してしまいます。これらのデバイスを経由してネットワークに侵入し、その後の攻撃計画に必要な情報を収集することが可能です。現在、IoTデバイスの利用が増えている中で、この脅威を軽視することはできません。
ダークウェブで販売されるツールの利用
「Akira」の感染手法を支えるもう一つの要素は、ダークウェブで販売されているハッキングツールの利用です。これらのツールは、侵入や暗号化プロセスを効率化するために設計されており、攻撃者にとって即座に利用可能なソリューションとなっています。特に「ランサムウェア・アズ・ア・サービス（RaaS）」モデルの普及により、こうしたツールの入手が容易となり、セキュリティ意識が低い組織ほど被害を受けやすい傾向があります。このため、組織は日常的に最新のサイバー脅威情報を把握し、適切な防御策を講じる必要があります。
解析と対策：企業や個人が取るべき対応
感染を防ぐための事前対策
ランサムウェア「Akira」の感染を未然に防ぐためには、事前に対策を講じることが重要です。第一に、多要素認証（MFA）の導入が推奨されます。MFAは不正アクセスを防ぎ、攻撃者がネットワークに侵入する可能性を大幅に低減します。また、システムやソフトウェアを常に最新の状態に保つことも欠かせません。特にAkiraはVPNエンドポイントの脆弱性を悪用するため、脆弱性管理と定期的なパッチ適用が必須です。さらに、エンドポイントセキュリティを強化し、侵入検知システム（IDS）や侵入防止システム（IPS）を導入することで、攻撃の兆候を早期に発見することが可能となります。
ランサムウェア侵入後の初動対応
万が一「Akira」に感染した場合、迅速で適切な初動対応が被害の拡大を防ぎます。まず、感染が疑われた際は、インターネットや社内ネットワークから直ちに切断し、感染が拡大するのを防ぎます。その後、ランサムウェアによる暗号化がどの範囲に及んでいるかを調査し、被害を把握することが重要です。同時に、攻撃者とのやり取りや身代金の支払いは推奨されません。これらの行動は攻撃者を助長しかねないため、代わりに専門のセキュリティ機関に連絡を取り、サポートを受けることが適切です。
バックアップの重要性と適切な管理
ランサムウェアへの効果的な対応として、データの適切なバックアップが不可欠です。Akiraを含む多くのランサムウェアがシステム内のファイルを暗号化することを目的としているため、バックアップがあれば業務の復旧が迅速に行えます。ただし、バックアップデータ自体が攻撃対象となることもあるため、オフライン環境や外部ストレージに定期的に保存するなど、安全な管理が必要です。また、復旧プロセスの定期的なテストや、バックアップデータの整合性確認を行うことで、いざという場合に迅速に活用できる準備を整えましょう。
復号ツールの活用とその限界
一部のランサムウェアには、専門家やセキュリティコミュニティによって提供される復号ツールが存在します。しかし、「Akira」に関しては、暗号化が高度かつ専用の技術が用いられているため、現時点では利用可能な無料ツールがない場合も多いです。そのため、復号ツールに依存しすぎるのではなく、感染防止やデータバックアップといった対策を優先するべきです。また、最新の情報を常にチェックし、信頼できる専門家や機関からの助言を受けることが重要です。
専門機関への相談とサポートの重要性
ランサムウェア攻撃を受けた場合、専門機関への相談が被害を最小限に抑える鍵となります。サイバーセキュリティ企業や政府のセキュリティ機関は、感染状況の分析や復旧支援を行うだけでなく、被害調査や再発防止策の提案も提供します。また、Akiraのような新型ランサムウェアへの対応経験を持つ専門家によるアドバイスを受けることで、誤った初動対応や不適切な意思決定を防ぐことができます。これにより、将来的なリスクを軽減するとともに、セキュリティの強化を図ることができます。
未来の展望：「Akira」の進化とサイバーセキュリティの課題
「Akira」の技術的進化に伴う脅威
ランサムウェア「Akira」は、攻撃規模や技術的複雑さを増しながら進化し続ける可能性が高いです。例えば、Akiraは既にWindowsおよびLinux環境の両方に対応しており、環境寄生型のLOLBinを利用することで従来よりも検知を回避する能力を高めています。また、強力な暗号化技術であるCryptGenRandomとChaCha 2008を用いた暗号化処理も実装されています。このような進化は、企業だけでなく個人のデータも脅威にさらす可能性があり、これまで以上に高度な対策が必要になります。
ランサムウェア・アズ・ア・サービス（RaaS）の広がり
AkiraはRansomware as a Service（RaaS）モデルを採用していることが知られています。RaaSモデルは、サイバー犯罪者が高度な技術を持たなくてもランサムウェア攻撃を実行できるよう支援する仕組みです。これにより攻撃者の数が増加する一方、攻撃ターゲットも多様化しています。特に2023年以降、RaaSモデルはさらに広がりを見せており、ランサムウェア「Akira」のような事例が他のグループにも波及しています。これにより、中小企業や個人まで影響が及ぶことが懸念されます。
セキュリティ強化に向けた国際的な対策の動き
ランサムウェアの脅威に対応するため、国際的な協力によるセキュリティ強化が進められています。各国間での情報共有や法的枠組みの整備が進む中、Akiraのようなランサムウェアへの具体的な対策として、サイバーセキュリティ教育の普及や多要素認証（MFA）の更なる推進が行われています。また、暗号化への対応策として、復号ツールの開発が急がれていますが、現時点ではその限界が存在するため、データ保護の強化が重要視されています。
新たな脆弱性を突く攻撃者の戦略
ランサムウェア「Akira」を含め、多くのサイバー犯罪者は日々新たな脆弱性を探し出し、それを利用した攻撃手法を開発しています。近年ではVPNの脆弱性の悪用や多要素認証の欠如を狙った侵入が一般的ですが、今後はIoTデバイスやクラウド環境など新たなターゲットが攻撃対象となる可能性があります。特に、感染後にデータを搾取し、さらには恐喝を目的とした手法が増加する傾向が見られます。
個人および企業が今後注目すべき領域
ランサムウェア「Akira」の影響を最小限に抑えるために、今後注目すべきポイントはいくつかあります。まず、全てのシステムやソフトウェアの定期的な更新を徹底することにより、既知の脆弱性を放置しない体制を構築することが重要です。また、データのバックアップを適切に管理し、感染時でも迅速に業務を再開できる対応力を高めることが求められます。さらに、従業員へのサイバーセキュリティ教育を強化し、人的要因によるリスクを軽減させる動きが今後の鍵となります。
