学校ランサムウェア被害の裏事情【後編】

児童生徒11万人を襲ったランサムウェア攻撃　原因はまさかの“専門家のミス”

ランサムウェア被害の原因は専門家だった――。米国で2020年に起きた教育機関を狙うランサムウェア攻撃被害の報告書が公開された。攻撃の経緯と被害が広範囲に及んだ原因を紹介する。

公開 2023年04月27日 07時00分

[TechTarget]

印刷する連載新着通知を受け取る Googleで優先するソースとして追加

　米国メリーランド州ボルチモア郡を管轄する学区Baltimore County Public Schools（BCPS）が2020年11月、ランサムウェア（身代金要求型マルウェア）攻撃の被害に見舞われた。同学区の教育機関を監督するメリーランド州教育監察総監室（OIGE：Maryland Office of the Inspector General for Education）は2023年1月、このランサムウェア攻撃に関する報告書を公開。11万5000人の学習者を巻き込んだ、今回のランサムウェア攻撃による被害の背景に、あってはならない“ある問題”があったことを明らかにした。

被害拡大の原因はまさかの……

併せて読みたいお薦め記事

連載：学校ランサムウェア被害の裏事情

前編：児童生徒11万人を襲うランサムウェア攻撃で分かった学校ITの“ずさんさ”とは

教育機関とセキュリティ

　OIGEの報告書によると、ランサムウェア攻撃によってBCPSのネットワークが機能を停止したのは、2020年11月24日（現地時間）だ。ただしランサムウェア攻撃は、ネットワークが停止する約15日前に始まっていたとみられる。

　ランサムウェア攻撃のきっかけは、ある教員が添付ファイル付きのフィッシングメールを受け取ったことだ。教員は、そのメールを開こうとしても開けなかったことから、BCPSでITの基本的な問い合わせを専門に扱うスタッフである技術連絡係に連絡を取った。そのメールを「疑わしい」と結論付けた技術連絡係は、BCPSのITセキュリティを担当する請負業者に、そのメールを転送した。

　請負業者の担当者は、セキュリティを確保した隔離環境ではなく、BCPSのメールアカウントで、そのメールを誤って開いたことが、OIGEの調査で分かった。このミスによって、BCPSのシステムにランサムウェアが侵入した。

　OIGEの報告書は、今回のランサムウェア攻撃への対処に掛かるコストを試算。ランサムウェア攻撃からの回復、システムのアップグレード、新システムへの移行などに、960万ドル以上が掛かると推測している。