情報セキュリティマネジメント 2018年 秋期 午前（科目A） 問15

ランサムウェアWannaCry【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文から「どんな被害が起きるか」を確認する。暗号化して金銭を要求するならランサムウェアの可能性が高い。
2. 次に「感染経路」を見る。SMBv1の脆弱性を使って他PCへ広がる記述があれば、WannaCryの特徴と一致する。
3. 他の選択肢と照らし合わせ、メール添付やデータベースの脆弱性、電子メールアドレスの収集などWannaCryの既知の挙動と不一致な点を消去する。
4. 一致する要素（暗号化＋SMBv1脆弱性＋自己拡散）が揃う選択肢を正解とする。

選択肢別の誤答解説

• ア（正解）
  SMBv1の脆弱性を悪用して感染し、ファイルを暗号化して身代金を要求し、ネットワーク上で拡大する──これがWannaCryの典型的な挙動です。
• イ（誤り）
  「ファイル共有など複数の感染経路」とある点は部分的に合いますが、WannaCryが電子メール経由でメールアドレスを収集してインターネット経由で拡大したという記述は事実と異なります。WannaCryは主にSMB脆弱性を使うワーム的な広がりが主で、メールアドレス収集を特徴とはしていません。
• ウ（誤り）
  「ランダムにIPを選んでデータベースの脆弱性を悪用」する攻撃は別のワームやボットネットの挙動に近く、WannaCryの実際の感染手法（SMBv1の脆弱性＝EternalBlue）とは異なります。また「ネットワークトラフィックを増大させる」点もDDoS（分散型サービス妨害）攻撃の説明に近い内容です。
• エ（誤り）
  「電子メールの添付VBScriptを実行してパスワードを送信する」タイプは、フィッシングやトロイの木馬（情報窃盗型）の特徴です。WannaCryは主にSMB脆弱性で拡散し、ファイルの暗号化と身代金要求が目的であり、添付スクリプト実行やパスワード送信が主要な手口ではありません。

よくある誤解

• 「ランサムウェアは必ずユーザーが添付ファイルを開くことで感染する」
  → 誤りです。WannaCryはSMBの遠隔実行脆弱性を使ってユーザー操作なしに広がるワームの性質を持っていました。ユーザー操作がなくても感染が広がることを覚えておいてください。
• 「SMBは全部悪いので無条件に止めれば安全」
  → SMBは社内でファイル共有するための重要なプロトコルです。対策は「不要なら無効化」「必要なら最新版適用とアクセス制限」「ネットワーク分離」が現実的です。
• 「同じ攻撃名のマルウェアは全部同じ被害」
  → 例えばNotPetyaは一見ランサムウェアに見えましたが実態はデータ消去（ワイパー）に近く、目的や挙動が異なる場合があります。攻撃の特徴を個別に確認しましょう。

補足コラム

• なぜWannaCryが広がったか：攻撃コード（EternalBlue）はNSA由来の情報流出で公開され、未修正の多数のWindows端末がインターネットに接続されていたため迅速に広がりました。
• 企業や組織での実務対応イメージ：
  • まず社内端末が最新のセキュリティパッチ（MS17-010など）を適用しているか確認します。
  • SMBv1が不要なら無効化。必要時はSMBのアクセスをファイアウォールで制限。
  • 定期的にバックアップを取り、バックアップの復元手順を実運用で確認しておく。
  • インシデント発生時はネットワーク切断・関係部署へ通報・外部専門家へ連絡という流れを決めておきます。

FAQ