6. 実例と教訓：事件名ではなく構造を学ぶ

本章は実在の公表事案を、確認できる事実の範囲で扱う。攻撃者の主張、報道上の帰属、支払額、侵入手段の詳細は、公式開示で確定しない限り断定しない。事例を「似た攻撃は必ず同じ経路で来る」という予言に使わず、事業継続と信頼関係の弱点を読む材料にする。

6.1 WannaCry（2017年）：可用性と資産管理

WannaCryは2017年に広範な組織へ影響を及ぼした。CISAは、Microsoftが修正プログラムを公開済みだった脆弱性の悪用と、ネットワーク内での自己伝播を説明している。[S16] 英国NCSCも、WannaCryが暗号化と自己伝播を組み合わせたと整理している。[S17]

ここから導く実務判断は、単に「パッチを早く当てる」ではない。全資産の所有者を明らかにし、更新できない資産を例外として可視化し、公開・到達範囲を減らし、重要業務の代替手順を持つことだ。WannaCryを、古いOSだけの話に閉じると、現在のクラウド管理面や境界機器の問題を見落とす。

6.2 NotPetya（2017年）：破壊的影響を「身代金問題」と誤認しない

NotPetyaは、世界の企業活動に大きな混乱を与えた。英国NCSCは、NotPetyaをランサムウェアを装った破壊的攻撃と位置付け、支払いで復号鍵を得られる状態ではなかったと説明している。[S17] ランサムノートや要求がある外見だけで、被害を通常の金銭恐喝と扱うことが危険である点を強く示した事案である。

防御・対応上の教訓は、復旧可能性の検証を支払い判断から独立させることだ。復号の期待、バックアップの健全性、ID基盤の信頼性、業務停止の影響、復旧環境の分離を、証拠に基づいて評価する。身代金要求があるからといって、必ず復旧手段があるとは限らない。

6.3 Colonial Pipeline（2021年）：IT侵害が社会的サービスへ波及する

2021年のColonial Pipeline事案では、攻撃を受けた同社がインフラの一部を停止したと米司法省が説明している。[S18] 企業の情報システムと物理的・社会的なサービスは、停止判断や安全判断を通じて結び付く。

重要インフラに限らず、物流、医療、製造、自治体、教育、決済、SaaSの停止は、利用者や取引先に連鎖する。技術責任者は、復旧順序をアプリケーションの重要度ではなく、社会・顧客・安全・契約上の影響で業務部門と共同で決める必要がある。

6.4 Kaseya（2021年）：管理サービスと一対多の信頼

2021年のKaseya VSA事案について、CISAとFBIはMSPとその顧客に影響したサプライチェーン型ランサムウェア攻撃として共同ガイダンスを公表した。[S19] 管理・保守のための信頼関係が、侵害時には一対多の影響経路になり得ることを示した事案である。MSP、リモート監視管理、ソフトウェア配布、ID連携、集中管理は、効率を上げる一方、権限集中と更新・監視の不備があると影響範囲を拡大する。

委託・管理サービスへの問い

• 事業者の管理アカウントは、どの顧客環境へ届くか。
• 顧客ごとの分離、最小権限、作業時間制限、操作ログはあるか。
• 緊急停止した場合、顧客の業務と復旧にどんな影響が出るか。
• 事業者が侵害を検知した際の通知、証拠共有、共同対応は契約にあるか。
• 契約終了時に、接続、トークン、アカウント、証明書、データをどう無効化するか。

これは委託を避けるための質問ではない。安全な委託を、口頭の信頼から検証可能な運用へ変えるための質問である。

6.5 Change Healthcare（2024年）：復旧は産業の流れを止めないためにある

UnitedHealth Groupは2024年2月21日、Change Healthcareの一部ITシステムへの不正アクセスを認識し、提携先・患者保護のため影響を受けたシステムを他の接続システムから隔離したとSECへ開示した。[S10] その後の年次開示では、同事案で保護対象医療情報または個人情報を含むデータが関係したことを報告している。[S11]

この事案を学ぶ際、侵入経路や攻撃者の細部を未確認のまま語らないことが大切である。公式開示から確実に言えるのは、重要な中継・請求系のシステムが停止・隔離されると、被害組織だけでなく、多くの接続先と患者・利用者に影響が及び得るということだ。

実務判断：高い接続性を持つ業務基盤では、サイバー復旧計画は自組織のサーバー再起動計画で終わらない。取引先の代替経路、手作業、優先順位、情報提供、再接続の安全確認を含める。

6.6 国内の匿名化された公表教材から学ぶこと

東京都の2025年度向け解説は、2024年に公表された情報処理業の事例として、サーバー脆弱性とVPNルーターの設定不備を悪用した侵入、複数サーバーへの暗号化、10万件超の個人情報漏えい可能性、Phobosの使用確認を紹介している。[S07] この資料は被害組織を匿名化した教育資料であるため、本書では組織名を推測しない。

事例の学びは明快である。サーバーとVPNを別々の担当・別々の台帳・別々の例外として扱うと、境界全体の危険が見えなくなる。設定不備の有無だけでなく、公開理由、管理者、更新、ログ、異常時の遮断、委託先アクセス、構成変更のレビューを連結して管理する必要がある。

同資料は、データ消失や不正侵入が確認されない状態でも、公開データを材料に脅迫されたノーウェアランサムの公表例にも言及する。[S07] これは、恐喝の主張を軽視せずに検証し、同時に攻撃者の発言だけで漏えいを確定しないという二つの原則を示す。

6.7 現行グループ情報をどう使うか

CISAの勧告は、特定グループのTTP、侵害指標、対策を共有する上で有用である。例えばMedusa勧告は、同グループが2021年6月に初確認され、2026年4月時点で500超の組織へ影響を与えたと更新されている（初版は2025年2月時点で300超と報告していた）。[S09] 勧告は継続的に更新される性質を持ち、対象範囲や手口の詳細は版によって異なり得る。ただし、グループ名は変更、分裂、模倣、誤認が起こる。リークサイトの掲載や身代金文言だけで帰属を確定しない。

脅威インテリジェンスの正しい利用法は、組織の固有リスクへ翻訳することだ。

6.8 事例から得る共通の教訓

1. 入口の種類より、入口から管理面へ到達できる設計が被害を拡大する。
2. 重要なサービスほど、委託先・連携先・顧客を含む復旧計画が必要になる。
3. 公式情報で確定していない侵入経路、支払、帰属を、もっともらしい説明で埋めない。
4. 脅威名の流行より、資産、ID、特権、バックアップ、ログ、連絡網の基本を検証する。
5. 「復旧した」と「信用を回復した」は別の段階であり、秘密性・完全性・対外説明を残す。