教育機関に狙いを定めるランサムウェア【第2回】

学校がランサムウェア犯罪者の身代金要求に応じない“納得の理由”

セキュリティ専門家によると、教育機関はランサムウェア攻撃を受けても、身代金の要求に応じることはまれだ。それはなぜなのか。

公開 2023年03月06日 05時00分

[TechTarget]

印刷する連載新着通知を受け取る

　ランサムウェア（身代金要求型マルウェア）攻撃者は、米国のK-12（幼稚園から高等学校までの教育機関）を狙い続けている。攻撃者が実際にデータを入手した事例も相次いでいる。他方でK-12をはじめとする教育機関は、ランサムウェアの被害を受けても身代金を払おうとしない傾向があるという。それはなぜなのか。

なぜ学校は身代金要求に応じないのか

併せて読みたいお薦め記事

連載：教育機関に狙いを定めるランサムウェア

第1回：ランサムウェア犯罪者が「学校」を狙うようになった“なるほどの理由”

ランサムウェア攻撃の被害

　米TechTargetが収集した、2022年に公表された45件のランサムウェア被害報告のうち、教育機関が身代金を支払ったとの報告は3件にすぎない。セキュリティベンダーRecorded Futureでインテリジェンスアナリストを務めるアラン・リスカ氏は「われわれの知る限り、教育機関は身代金を支払う可能性が最も低い業種の一つだ」と話す。

　教育機関が身代金の支払いを渋る理由は幾つかある。一つは、ランサムウェア攻撃者に身代金を支払っても、「暗号化され、奪われたデータの公開を阻止できる」という保証はないからだ。

　攻撃者が高額な身代金を要求した場合は特に、教育機関は支払いに二の足を踏む。「公立の教育機関には『学校の予算は納税者のお金であり、その使い方には気を付けなければならない』という考え方が浸透している。10万～15万ドルの身代金でも大金だ」（リスカ氏）

　ランサムウェア攻撃者は、標的が身代金を支払わなくても利益を得ることができる。教育機関を標的にし続ける一因はそこにある。攻撃者が教育機関のシステムから、生年月日や自宅住所、社会保障番号、健康記録などの個人情報を入手できれば、それらの個人情報を悪用して収益を獲得できるからだ。

　第3回は、攻撃者が教育機関に狙いを定める理由を、他の業種と比較しながら解説する。