2月28日、トヨタ自動車は日本国内の全14工場28ラインの稼働を、3月1日に停止することを発表しました。同時にその原因が「トヨタ自動車の取引先企業がランサムウェアに感染したため」だということも明らかになり、大きな話題となりました。その他に、３月14日にはトヨタ自動車系の部品メーカー、デンソーのドイツの現地法人がサイバー攻撃を受けたこともありました。この事件もランサムウェアによるサイバー攻撃でした。取引先企業がランサムウェアの感染により、業務に必要なシステムが使用不可になったため、工場を停止することになりました。工場停止は３月1日だけで、翌3月2日からは全ての工場の稼働が再開しましたが、たった1日の稼働停止でも計1万3千台以上の車両生産に遅れがでるなど、決して小さくない余波が広がっています。
ここではトヨタ自動車関連企業へのサイバー攻撃事件の説明および本事件から学びとれる「企業セキュリティに必要なランサムウェア対策」について解説していきます。
トヨタ自動車を狙ったサイバー攻撃の経緯
サイバー攻撃を受けたのはトヨタ自動車の主要取引先（一次取引先）である「小島プレス工業」という企業です。同社は愛知県豊田市を拠点とし、主に車の内外装の樹脂部品を製造しています。2月26日夜、小島プレス工業は社内サーバーの障害を検知したため、安全確認のためにネットワークを遮断しました。しばらくして再起動するとコンピュータ画面に英文で「このリンクにアクセスしないと機密情報を公開する」といった趣旨の脅迫文が表示されたといいます。同社はすぐに専門家に相談し、被害の拡大を防ぐためにすべてのネットワークを遮断。これにより、業務継続に必要不可欠な「部品の受発注システム」が使用不能となってしまいました。
本件は「ウィルスに感染させ、脅し、金銭を要求する」という手口から見て、ランサムウェアによるサイバー攻撃と判断して間違いないと思います。
なぜ全ての工場の稼働を停止したのか？
一言で言えば、小島プレス工業がトヨタ自動車の一次取引先だからです。一次取引先である同社は、自動車製造に欠かせない多種多様な製品を”直接”トヨタ自動車に納品する役割を担っています。しかし、感染したランサムウェアに対処するためにネットワークを遮断したことで、トヨタ自動車やその他の二次取引先とも部品取引が困難となりました。これにより完成車メーカーであるトヨタ自動車は、自動車の製造に必要な多くの部品を調達できなくなり、やむなく全ての工場の稼働停止を決断しました。
サイバー攻撃による被害の影響
工場の稼働停止はたった1日で済みましたが、それでも計1万3千台以上の生産に影響が出たと推測されています。また、障害が起こったシステムの完全復旧には1~2週間ほどかかる見込みで、それまでは暫定的に構築したシステム/ネットワークを利用して業務を継続するということです。前述の「脅迫文」について、小島プレス工業は「脅迫文」に従わずに即時ネットワークを遮断したため、リンク先のページ内容や要求金額なども把握しておらず、身代金も支払っていないことが関係者への取材で明らかになっています。なお、脅迫文には「このリンクにアクセスしないと機密情報を公開する」と書かれていたそうですが、今現在、データ流出等の被害は確認出来ていません。
デンソーのドイツ現地法人を狙ったサイバー攻撃
デンソーはトヨタ系部品会社で最大手企業です。北アメリカをはじめ、南アメリカ、欧州、アジア地域やアフリカにも海外拠点があります。今回、サイバー攻撃を受けたのはドイツにある現地法人でした。デンソーによりますと、3月10日、現地の従業員が社内のシステムへの不正アクセスを確認し、身代金を要求するサイバー攻撃「ランサムウェア」であることが明らかになりました。デンソーを攻撃した集団は「Pandora」と名乗るサイバー犯罪グループであり、デンソーを攻撃して盗み取った発注書や図面などおよそ15万7000件の機密情報を公開するとの犯行声明を出しました。
サイバー攻撃を受けたデンソーのドイツ現地法人は自動車部品の販売や開発の拠点であるため、今現在、ランサムウェア感染による自動車部品生産や調達への影響はないと確認されています。
ランサムウェアとは？危険性と被害事例
ランサムウェアの最大の特徴は、一度感染すると、業務に不可欠なシステムや機密データが暗号化（ロック）および窃取されて使用不能となることと、それを復号化（ロック解除）する対価として金銭の支払い等の条件を提示されることです。暗号化の性質上、一度ロックされたシステム・データはそれを仕掛けた攻撃者にしか解除出来ないため、被害者が取れる選択肢は「条件を呑み金銭を支払う」か「金銭を支払わず代案を練る」の2択しかなく、早急な解決を望む多くの企業は金銭を支払ってしまいます。
多くの場合、金銭を支払う事でロックは解除されるのですが必ずしもその保証はなく、盗まれた機密データがどのように扱われるかを把握することすらできない場合が多いです。また、金銭を支払ったにもかかわらず、さらなる条件を提示されるリスクもあります。
ランサムウェア被害に遭わないために必要な対策
ランサムウェアの被害に遭わないために、もっとも重要なのは「感染させないこと」です。基本的なセキュリティ対策から、漏れなく進めていきましょう。例えば、システムをこまめにアップデートし最新の状態を保つこと、想定しうる感染経路（※）を確認し社内の周知/対策を徹底するなど、社内全体のセキュリティ意識を高めることが感染予防につながります。また、セキュリティ意識を高めるだけではなく、機密情報の暗号化や重要なデータにアクセスできる人を制限するなど、サイバー攻撃に対する徹底した準備をしておけば、情報流出を阻止することができます。
※ランサムウェアの感染経路・・・メールの添付ファイル、怪しいウェブサイト、ネットワークの脆弱性、不正ログインなど。
感染を想定した準備も必須
最悪の事態を想定することは、セキュリティ対策をする上でとても重要です。感染を防ぐ対策だけでなく、「もしも感染したら」という視点で「被害を最小限に抑える対策」も積極的に進めていきましょう。例えば、企業にとって最悪な事態の1つは「重要情報やシステムにアクセスできず、事業継続が困難になること」です。よって、企業は最低限、下記項目の対策準備を進めるべきです。
・バックアップの取得
・バックアップとネットワークの常時離断
・アクセス権限分散
・共有サーバの分離
・代替システム/ネットワークの構築（の準備）
最悪を想定した準備が企業にどれだけの恩恵をもたらすかは、今回の小島プレス工業の被害実態を見れば明らかです。
まとめ
2022年になってから国内でランサムウェアを利用したサイバー攻撃が増加しています。ランサムウェアに一度感染すると業務に不可欠なシステムや機密データが暗号化（ロック）および窃取されて使用不能になります。それを復号化（ロック解除）するのは、それを仕掛けた攻撃者にしか解除出来ないです。自社で復旧するとしたら、膨大な資金や時間が必要です。最悪の場合、復旧できないかもしれません。したがって、感染経路を把握した上で適切なセキュリティ対策を立てておく必要があります。そして、前述のように「もしも感染したら」という観点で被害を最小限に抑える対策も必要でしょう。弊社が提案する対策を参考に安全なセキュリティ対策を講じて頂ければ幸いです。