オンライン教育を脅かす攻撃【前編】

「ランサムウェア」攻撃を受けた学校は身代金を払うべきなのか？　実例から学ぶ

教育機関を狙うランサムウェア攻撃が活発化している。実際にランサムウェア攻撃を受けた米ネバダ州のクラーク郡学区は、どう対処したのか。それに対する専門家の見解とは。

公開 2021年04月05日 05時01分

更新 2022年10月05日 10時08分

著者

Arielle Waldman

[TechTarget]

印刷する連載新着通知を受け取る

　教育機関へのサイバー攻撃が激化している。ランサムウェア（身代金要求型マルウェア）攻撃で、学習者データが窃盗の対象になり、脅迫の“人質“に取られている。こうした攻撃は「学習者のプライバシーを保護するために高額な身代金を支払わなければならない」と教育機関に不安を抱かせる。オンライン教育への移行を求める声の高まりに加え、教育機関はこのような新たな脅威にも対処しなければならない。

併せて読みたいお薦め記事

ランサムウェア攻撃に対抗する教育機関

コロナ禍で変わる教育

　米ネバダ州のクラーク郡学区（CCSD：Clark County School District）は2020年8月にランサムウェア攻撃を受け、学習者データの漏えいを防げなかった可能性がある。同学区は身代金の支払いを拒否した一方で、2020年9月には声明で「『身代金を支払わなかった報復として学習者データがインターネットに公開された』という報道を認識している」ことを伝えた。

　2020年9月、CCSDはインシデントに関する以下の通知をWebサイトに掲載した。この通知は、データが漏えいした可能性について言及している。

CCSDの調査は進行中です。機密データを含むデータが第三者によって閲覧あるいは入手されたかどうかは確認できていません。ただしこの調査で、現職員および元職員の情報を第三者が閲覧あるいは入手した可能性があることを確認できました。CCSDは十分な注意を払った上で、本インシデントで影響を受けたシステムに名前と社会保障番号のデータが存在していた人物に対し、今回の事件を通知済みです

ランサムウェア攻撃を受けた学校が身代金を払ったらどうなるのか

　マルウェア対策ソフトウェアベンダーEmsisoftで脅威アナリストを務めるブレット・キャロー氏によると、CCSDのデータはランサムウェアグループ「Maze」のリークサイトに投稿された。Mazeは「機密データを漏えいする」と脅して被害者を恐喝する手口を取る。

　ランサムウェア攻撃が発覚した1カ月後の2020年9月、CCSDにフィッシング電話（電話によるフィッシング詐欺）の報告が寄せられた。同学区はソーシャルネットワーキングサービス（SNS）の「Facebook」を通じて以下の注意を発信した。

CCSDと関係がありそうな電話番号からフィッシング電話がかかってきたという報告を一部から受けました。これらの電話はCCSD内の教育機関がかけたものではありません。第三者が発信者になりすまし、ロボコール（注）を使用してフィッシングと支払い要求を試みたものです。CCSDが電話で支払いを求めることはありません。CCSDはこの問題を認識しており、現在調査中です。このような電話を受けた場合は無視してください

※注：自動で電話をかけ、録音済みメッセージを流す装置。

身代金を支払うべきなのか

　データ漏えいの脅迫を受けた被害者は「身代金を支払わなければならない」というプレッシャーを感じる可能性がある。脅迫に屈するかどうかの判断に関して、セキュリティベンダーSonicWallのCEO、ビル・コナー氏はこう説明する。「1回支払うと、永久に標的リストに載せられる。攻撃者は1回攻撃が成功した教育機関を何度も狙うだろう」

　コナー氏によると、データ盗難は「個人を特定できる情報の盗難」という側面が強い。年齢や性別を選んでアクセスできるデータは、攻撃者にとって多様な点で価値がある。「身代金を支払ったとしてもデータを取り戻せるかどうかは五分五分だ。データのコピーが出回っていない保証はない」と同氏は述べる。