ランサムウェアがバックアップを「セーフティネット」ではなく「標的」にする理由
長年、バックアップはランサムウェアの被害を乗り越えるための例外的な手段でした。本番環境が暗号化されても、バックアップからリストアして先に進めばよかったのです。攻撃者はそれに追いつきました。Veeamの2025 Ransomware Trends Reportは1,300組織を調査しており、そのうち900組織が過去12か月間に少なくとも1回のランサムウェア攻撃を受けていました。Veeamの報告によると、組織の89%で攻撃者にバックアップリポジトリが標的にされ、平均してバックアップリポジトリの34%が変更または削除されていました。拠り所となるバックアップを破壊または破損させれば、身代金要求のメモが届く前に被害者の交渉材料は失われます。
その結果はリカバリの数字に表れています。SophosのState of Ransomware 2025は、前年にランサムウェアの被害を受けた組織のITおよびセキュリティ責任者3,400人を調査しました。データを暗号化された組織のうち、バックアップを使って復元したのは54%にとどまり、Sophosがこの調査を実施してきた6年間で最も低い割合となりました。最終的に攻撃者の当初の要求額を上回る金額を支払った151組織のうち、38%がバックアップが失敗した、または正常に機能しなかったと回答しています（回答者は通常2つの理由を挙げていました）。書類の上で存在するバックアップと、プレッシャーの中でクリーンにリストアできるバックアップは同じではありません。
「バックアップがある」と「ランサムウェアに強いバックアップがある」の間にあるこのギャップは、3つの柱に集約されます。イミュータビリティ、隔離、そしてテスト済みのリカバリです。これらは自由に組み合わせを選べる独立した統制ではありません。どれか1つでも欠ければ、残りの2つでは補えません。攻撃者が手を出せないイミュータブルなバックアップも、実際にリストアできて初めて役に立ちます。そして、よくテストされたリストア計画も、それが依存するバックアップが訓練の開始前に削除されていれば無価値です。
3つの柱の全体像
1. イミュータビリティ：攻撃者が手を出せないバックアップ
イミュータビリティとは、バックアップが保持期間中に変更も削除もできないことを意味します。設定を誤った保持スクリプトでも、侵害された管理者アカウントでも、すでにドメイン管理者の認証情報を持っている攻撃者でも、変更・削除はできません。実際には、オブジェクトストレージのObject Lock、WORM（Write Once Read Many）ハードウェア、あるいはバックアップアプリケーション自体のアクセス制御とは独立してストレージ層で保持を強制するLinuxの強化リポジトリ（hardened repository）によって実現されます。
この区別が重要なのは、ランサムウェアの攻撃者が盗んだ認証情報で到達できるバックアップを探しに来るからです。CISAの#StopRansomware Guideは、このことを直接述べています。「Ransomware actors often hunt for and collect credentials stored in the targeted environment and use those credentials to attempt to access backup solutions」（訳：ランサムウェアの攻撃者は、標的の環境に保存された認証情報を探して収集し、それらを使ってバックアップソリューションへのアクセスを試みることが多い）。バックアップソフトウェアを管理するのと同じ管理者アカウントで先月のリストアポイントも削除できるのであれば、イミュータビリティは実際には機能していません。十分な権限を持つ攻撃者なら数分で無効にできる、ただの設定にすぎません。
CISA自身のバックアップに関する助言は、「maintain offline, encrypted backups of critical data, and regularly test the availability and integrity of backups in a disaster recovery scenario」（訳：重要データのオフラインかつ暗号化されたバックアップを維持し、災害復旧シナリオにおいてバックアップの可用性と完全性を定期的にテストする）というものです。同じガイドは、イミュータブルなクラウドストレージ単体については慎重な姿勢を示しています。「Use immutable storage with caution as it does not meet compliance criteria for certain regulations and misconfiguration can impose significant cost」（訳：イミュータブルストレージは慎重に使用すること。特定の規制のコンプライアンス基準を満たさず、設定ミスによって多大なコストが生じる可能性がある）。イミュータビリティは強力な統制ですが、オフラインコピーやテスト済みのリストアの代わりにはなりません。
2. 隔離：独立したアイデンティティ基盤と、攻撃者がまったく到達できないコピー
イミュータビリティはバックアップが変更されることから守ります。隔離は、そもそもバックアップに到達されることから守ります。この2つは補完し合う関係にあり、互いに代わりになるものではありません。どちらか一方だけを実装した企業は、設計レビューではなく実際のインシデントの最中にそのギャップに気づくことになりがちです。
隔離には2つの要素があります。1つ目は独立したアイデンティティ基盤です。バックアップ基盤は、本番環境と同じActive Directoryドメイン、同じ管理者認証情報、同じフラットなネットワークセグメントを信頼すべきではありません。ドメインコントローラーが侵害されたからといって、自動的にバックアップ環境まで侵害されるべきではありません。もしそうなるなら、攻撃者は2つではなく1つを侵害するだけで済んだことになります。2つ目は、本当の意味でのオフラインまたはエアギャップされたコピーです。重要データのコピーのうち少なくとも1つは、本番環境からの常時接続のネットワーク経路をまったく持たないようにします。これは、オフラインのテープローテーションでも、データを受け取るときだけ短時間オンラインになる切り離されたレプリケーションターゲットでも、本番環境から到達できる場所に永続的な認証情報がどこにもキャッシュされていないクラウド層でもかまいません。
Veeamの2025年のレポートは、データレジリエンスを優先する組織は「can recover from attacks up to seven times faster and experience significantly lower data loss rates」（訳：攻撃から最大7倍速く復旧でき、データ損失率も大幅に低い）と述べています。Veeamがこの効果を帰しているのは、隔離だけではなくデータレジリエンス全体（バックアップとリカバリ、プロアクティブなセキュリティ、インシデント対応）です。それでも隔離はその大きな部分を占めます。リカバリポイントに到達するために攻撃者が実際に追加の作業をしなければならないのか、それとも攻撃者が侵害したばかりのシステムとアイデンティティ基盤を共有しているためにすでにセッションが開いているのか、その違いを生むのが隔離です。
3. テスト済みのリカバリ：必要になる前にリストア可能性を証明する
3つの柱のうち最も地味なこの柱は、中途半端なまま放置されやすい柱でもあります。Veeamの2025年のレポートでは、回答者の98%がランサムウェア対応のプレイブックを持っていましたが、そこにバックアップの検証とその頻度を盛り込んでいたのは44%にすぎませんでした。2023年に少なくとも1回の攻撃を受けた1,200組織に基づくVeeamの2024 Ransomware Trends Reportは、リカバリの際に組織の63%が感染を再び持ち込むリスクを抱えていたことを明らかにしました。迅速にリストアしなければならないというプレッシャーの中で、チームが隔離環境でのデータの再スキャンなどの手順を省略してしまうためです。
テストされていないリストアは、最も重要な瞬間まで見えない形で失敗します。壊れたバックアップチェーン、欠けているアプリケーション整合性の依存関係、何か月も前に期限切れになったサービスアカウントの認証情報、もう存在しないインフラ構成を前提に書かれたランブックなどです。完全性チェックとマルウェアスキャンを省略することには、ダウンタイムよりも深刻なリスクがあります。そもそも障害の原因となったペイロードそのものをリストアしてしまうことです。
本当の意味でのテスト済みリカバリのプログラムとは、「バックアップジョブ成功」の通知だけではなく、隔離されたリカバリ環境へのフルリストア訓練を計画的に実施することです。そして、その訓練をスライド資料の上で安心感を与えるだけの数値ではなく、ビジネスが実際に必要とするRTOと照らして評価してください。
リカバリの数字が実際に示していること
Sophosの2025年のデータには、一見安心できる見出しがあります。データを暗号化された組織の97%がデータを復旧できたというものです。内訳はそれほど心強くありません。バックアップから復元したのは半数をわずかに上回る程度（54%）で、49%は身代金を支払ってデータを取り戻し、29%はその他の手段を使いました。多くの組織は複数の方法を併用しています。データを取り戻すことと、自社のバックアップからデータを取り戻すことは、別の結果です。この2つの間の距離に、弱い柱が表れます。誤ったロールによって上書きできてしまう保持ロック、実は同じドメインを信頼していた「分離された」バックアップネットワーク、一度もエンドツーエンドで訓練されたことのないリストアなどです。
対応を誤った場合のコスト
3つの柱は、抽象的なベストプラクティスのチェックリストではありません。ランサムウェアインシデントのコストと長さに直結します。Sophosの2025年のレポートは、ランサムウェア攻撃からの復旧にかかる平均コスト（支払った身代金を除く）を153万ドルとしており、2024年の273万ドルから減少しています。被害者の53%が1週間以内に完全に復旧し、前年の35%から増加しました。残りの組織は7日以上にわたって何らかの混乱状態に置かれ、ダウンタイム、生産性の低下、インシデント対応の人件費が日々積み重なりました。
バックアップ態勢は、この方程式の中で組織が完全にコントロールできる数少ない変数の1つです。バックアップリポジトリに対する攻撃者の最初の一手が成功するか失敗するかは、インシデントの最中ではなく、何か月も前に下された判断によってほぼ決まります。脅威アクターがドメイン管理者の認証情報を手に入れてバックアッププラットフォームを探っている時点で、イミュータビリティ、隔離、テスト済みのリカバリはすでに整っているか、整っていないかのどちらかです。プレッシャーの中で後付けする機会はありません。
3つの柱すべてを静かに損なうよくある間違い
事後レビューでは、いくつかのパターンが繰り返し見られます。
- スナップショットをバックアップと混同する。 VMwareのスナップショットは元の仮想ディスクの変更ログであり、独立したコピーではありません。Broadcomのスナップショットのベストプラクティスに関する記事は「Do not use VMware snapshots as backups」（訳：VMwareのスナップショットをバックアップとして使用しないこと）と率直に述べています。スナップショットファイルは保持期間が長くなるほど大きくなり続け、データストアを使い切ったりパフォーマンスを低下させたりする可能性があります。また、ベースディスクが失われた場合、「the snapshot files alone are not sufficient to restore a virtual machine」（訳：スナップショットファイルだけでは仮想マシンをリストアするのに十分ではない）とされています。スナップショットは短期間のロールバックのための便利機能であり（Broadcomは、1つのスナップショットを72時間を超えて保持しないよう推奨しています）、リカバリ戦略ではありません。
- 「イミュータブル」を検証済みの特性ではなく、チェックボックスとして扱う。 Object Lockと保持ポリシーは、構成ガイドに記載するだけでなく、バックアッププラットフォームを管理するまさにその管理者ロールに対してテストしなければなりません。
- 同じアイデンティティドメイン内にある2つ目のコピーを「隔離されている」と呼ぶ。 本番環境で侵害されたのと同じ認証情報でバックアップリポジトリに認証できるのであれば、地理的またはプラットフォーム上の分離は本当の隔離にはなりません。
- 成功をリストアの検証ではなく、バックアップの完了で測る。 昨夜のジョブに付いた緑のチェックマークが示すのは、データがどこかに書き込まれたということだけです。そのデータが取り出し可能で、アプリケーション整合性が取れていて、そもそもリストアが必要になった原因であるマルウェアを含んでいないことまでは示しません。
BackupSecの役割
BackupSecは、お客様のバックアッププラットフォームを置き換えるものではありません。当社の3つのサービスが上記の柱に対応しています。
- ZeroMON はVeeam Backup & Replicationを監視します。OVAとしてオンプレミスで稼働し、読み取り専用アカウントで接続し、BackupSecにも第三者にも何も送信しません。ジョブの健全性を追跡し、Forensic & Auditモジュールで構成変更（誰が、何を、いつ変更したか）を記録し、Security Analyzerのチェックリストを実行し、レポートを作成し、メールとアプリ内通知でアラートを送ります。各リポジトリのイミュータビリティのステータスをVeeam自身のリポジトリ設定が報告するとおりに表示し、その設定が変更されたときにフラグを立てます。ZeroMONが読み取るのはVeeamの構成であり、ストレージ自体のオブジェクトレベルのロックを検証することはありません。
- ZeroTAM は専任のバックアップセキュリティアドバイザーであり、ソフトウェアではありません。アーキテクチャと隔離の設計、キャパシティプランニング、ランサムウェアからのリカバリ計画、そして危機発生時の優先サポートを提供します。
- ZeroPEN は、Veeam Backup & Replication、Veeam ONE、Enterprise Managerを対象とした脅威主導型のペネトレーションテストです。MITRE ATT&CKにマッピングされたランサムウェアのキルチェーンを8つのステージでシミュレートします。初期アクセス、探索とインベントリ作成、認証情報の悪用、Veeamサーバーの侵害、リポジトリへのアクセス、バックアップの無力化、データ持ち出しのシミュレーション、暗号化能力の実証です。実際のバックアップを削除することも、実際の暗号化を行うことも、本番サービスやバックアップサービスを停止することもありません。監査対応可能なエビデンスが提供され、重大な指摘事項は再テストされます。エンゲージメントにはリストアの完全性とイミュータビリティの検証も含まれます。ただし、これはある時点でのテストであるため、柱3で述べた定期的なリストア訓練は引き続き実施する必要があります。
バックアップのセキュリティ態勢についてBackupSecに相談する →
自社のバックアップがどこまで持ちこたえるかを確認したい方へ。無料のBackup Security Assessmentでは、バックアップ戦略やアクセス制御からリカバリテストまで、7つの分野にわたる28の質問にお答えいただけます。