ランサムウェアに強いバックアップの構築

ランサムウェアがバックアップを「安全網」ではなく「標的」にする理由

長年、バックアップはランサムウェア攻撃を生き延びるための例外的な備えでした。本番環境が暗号化されてもバックアップから復元すればそれで済む、という考え方です。しかし攻撃者はこれに追いついてきました。Veeamの「2025年ランサムウェアトレンド調査」（被害を受けた1,300組織を対象）によると、89%が攻撃の一環としてバックアップリポジトリを標的にされていました。これは後回しの付随的な行為ではなく、キルチェーンにおける最優先の目標です。本番環境を暗号化する前に復旧手段であるバックアップを破壊または改ざんすることは、今や標準的な手口となっています。身代金要求メッセージが届く前に、被害者側の交渉材料を奪っておくためです。

この結果は復旧率の数字にも表れています。Sophosの「State of Ransomware 2025」レポートによると、攻撃後にデータ復元のためにバックアップを利用できた組織はわずか**54%**で、これは調査開始から6年間で最低の割合でした。攻撃者の当初の要求額を上回る身代金を支払うことになった組織のうち、38%がバックアップの失敗または不具合をその理由として挙げています。書類上存在するバックアップと、実際のプレッシャー下できれいに復元できるバックアップとは、まったくの別物なのです。

「バックアップを取得している」ことと「ランサムウェアに耐えうるバックアップを持っている」ことの間にあるこのギャップは、3つの柱に集約されます。すなわち、イミュータビリティ（不変性）、分離、そしてテスト済みの復旧です。これらは自由に組み合わせられる独立した対策ではありません。どれか1つでも欠けていれば、残る2つでは補えないのです。攻撃者が手を出せないイミュータブルなバックアップも、実際に復元できて初めて意味を持ちますし、十分にテストされた復旧計画も、その拠り所となるバックアップが訓練開始前に削除されていれば無価値です。

3つの柱を詳しく見る

1. イミュータビリティ（不変性）：攻撃者が手を出せないバックアップ

イミュータビリティとは、保持期間中はバックアップを変更または削除できないことを意味します。設定を誤った保持スクリプトによっても、乗っ取られた管理者アカウントによっても、さらにはすでにドメイン管理者権限を奪取した攻撃者によっても、それは変えられません。実際には、クラウドストレージやオブジェクトストレージのオブジェクトロック、Write Once Read Many（WORM）方式のハードウェア、あるいはバックアップアプリケーション自体のアクセス制御とは独立してストレージ層で保持ロックを強制するハードニングされたLinuxリポジトリなどによって実現されます。

この違いが重要なのは、現代のランサムウェア攻撃者が本番環境の認証情報でアクセスできるバックアップリポジトリを積極的に探し出し、本体データに手を付ける前にまずそれを削除または暗号化するからです。バックアップソフトウェアを管理しているのと同じ管理者アカウントで先月分のリストアポイントも削除できてしまうなら、イミュータビリティは実質的に機能していません。それは十分な権限を持つ攻撃者であれば数分でオフにできる単なる設定にすぎないのです。

CISAのランサムウェアガイダンスもこの点を明確に指摘しています。オフラインで暗号化されたイミュータブルなバックアップを維持し、定期的に検証し、攻撃者が最初に突破すべき対象としてではなく、最後の防衛線として扱うべきだとしています。

2. 分離：独立したIDプレーンと、攻撃者がまったく到達できないコピー

イミュータビリティはバックアップが変更されることを防ぎます。一方、分離はそもそもバックアップに到達されること自体を防ぎます。両者は補完関係にあり、どちらか一方で代替できるものではありません。片方しか実装していない企業は、設計レビューの段階ではなく実際のインシデントの最中にそのギャップに気づくことが多いのです。

分離には2つの要素があります。1つ目は独立したIDプレーンです。バックアップインフラは、本番環境と同じActive Directoryドメイン、同じ管理者権限、同じフラットなネットワークセグメントを信頼すべきではありません。ドメインコントローラーが侵害されたからといって、バックアップ環境まで自動的に侵害されるべきではないのです。もしそうなってしまうなら、攻撃者はたった1つを攻略するだけで済んでしまいます。2つ目は真の意味でのオフラインまたはエアギャップされたコピーです。少なくとも1つの重要データのコピーは、本番環境から恒常的なネットワーク経路がまったく存在しない状態にしておく必要があります。オフラインテープのローテーション、データ受信時のみ短時間だけオンラインになる切断されたレプリケーション先、あるいは本番環境からアクセス可能などこにも永続的な認証情報がキャッシュされていないクラウド階層など、実現方法はさまざまです。

Veeamの調査によると、こうした多層的で分離されたレジリエンスを優先している組織は、そうでない組織と比べてランサムウェア攻撃からの復旧が最大7倍速く、その過程でのデータ損失も大幅に少なくなっています。この差を生み出しているのが分離です。攻撃者がリカバリーポイントに到達するために実際に追加の労力を要する状態と、たった今侵害したシステムと同じIDプレーンを共有しているためにすでにセッションを確立できている状態との違いなのです。

3. テスト済みの復旧：必要になる前に復元可能性を証明する

3つの柱の中で最も地味なこの項目は、組織が最も省略しがちな項目でもあり、それが結果にはっきりと表れています。2025年の業界調査では、62%の組織が定期的なバックアップ・復元テストの実施を怠っていたと報告しており、37%はバックアップが存在しなかった、あるいは一度も検証されていなかったために目標復旧時間（RTO）内に復旧できなかったと回答しています。ここでは自信と現実が大きく乖離しています。60%を超える組織がダウンタイムから数時間以内に復旧できると考えている一方で、実際にテストしてみるとそれを達成できるのは約3分の1にとどまります。

テストされていない復元は、最も重要な瞬間が来るまで表面化しない形で失敗します。壊れたバックアップチェーン、欠落したアプリケーション整合性の依存関係、数か月前に期限切れになったサービスアカウントの認証情報、あるいはもはや存在しないインフラ構成を前提に書かれたランブックなどです。検証を省略することは、単なるダウンタイム以上に深刻なリスクももたらします。推計では、63%の組織が復元時に感染を再び持ち込むリスクを抱えています。時間的なプレッシャーの中で整合性チェックやマルウェアスキャンを省略し、結果的に障害の原因となったのと同じペイロードを復元してしまうためです。

真の意味でのテスト済み復旧プログラムとは、単に「バックアップジョブが成功しました」という通知を確認するだけでなく、隔離された復旧環境へのスケジュール化されたフルリストア訓練を実施し、スライド資料上で安心感を与えるだけの数字ではなく、事業が実際に必要とするRTOに照らして検証することを意味します。

3つの柱がすべて機能しているとどうなるか

Sophosの2025年データは、見出しの統計とは対照的な示唆に富む例を示しています。攻撃者にデータを暗号化された組織のうち、97%は結局データを復旧できたのです。復旧できたグループとできなかったごく少数のグループとの違いは、ほぼ常に、3つの柱のいずれかが書類上の見た目ほど実際には強固でなかったことに起因します。誤った役割によって上書きできてしまう保持ロック、同じドメインを依然として信頼している「分離された」はずのバックアップネットワーク、あるいは一度もエンドツーエンドで実際にリハーサルされたことのない復元、といった具合です。

対策を誤った場合のコスト

3つの柱は抽象的なベストプラクティスのチェックリストではありません。ランサムウェアインシデントのコストと復旧までの期間に直結するものです。身代金の支払いを除いたランサムウェア攻撃からの復旧にかかる平均コストは、およそ**$1.53 million**に上ります。**被害組織のうち1週間以内に完全復旧できたのはわずか53%**で、残りは7日間を超えて何らかの業務障害を抱えたままとなり、ダウンタイム、生産性の低下、インシデント対応の人件費が日ごとに積み重なっていきました。

バックアップ体制は、この方程式の中で組織が完全にコントロールできる数少ない変数の1つです。攻撃者がバックアップリポジトリに対して仕掛ける最初の一手が成功するか失敗するかは、インシデント発生時ではなく、その何か月も前に下された判断によって完全に決まります。脅威アクターがドメイン管理者権限を手に入れ、バックアッププラットフォームを探り始める時点で、イミュータビリティ、分離、テスト済み復旧はすでに整っているか、整っていないかのどちらかです。プレッシャーの中で後から取り繕う余地はありません。

3つの柱すべてを静かに崩す典型的な誤り

インシデント後のレビューでは、いくつかのパターンが繰り返し見られます。

• スナップショットをバックアップと混同すること。 VMwareのスナップショットは、保護対象のVMと同じデータストア上に保存される時点差分であり、独立したコピーではありません。無制限に肥大化し、パフォーマンスを低下させ、データストアが失われた瞬間に消え去ります。スナップショットは短期的なロールバックのための便利機能であって、復旧戦略ではありません。
• 「イミュータブル」を検証済みの特性ではなく、単なるチェック項目として扱うこと。 オブジェクトロックや保持ポリシーは、設定ガイドに記載するだけでなく、バックアッププラットフォームを管理している実際の管理者ロールに対してテストされていなければなりません。
• 同じIDドメイン内にある2つ目のコピーを「分離されている」と呼ぶこと。 本番環境で侵害されたのと同じ認証情報でバックアップリポジトリに認証できてしまうなら、地理的またはプラットフォーム上の分離があっても真の意味での分離にはなりません。
• 復元の検証ではなく、バックアップの完了をもって成功と判断すること。 前夜のジョブに付いた緑のチェックマークは、どこかにデータが書き込まれたことを示すにすぎません。そのデータが取り出せること、アプリケーションの整合性が保たれていること、そもそも復元を必要とさせたマルウェアが含まれていないことまでは保証してくれません。

BackupSecが果たす役割

BackupSecでは、企業のチームがまさにこの3つの柱に沿ってバックアップ環境を運用できるよう支援しています。バックアッププラットフォームを置き換えるのではなく、バックアップセキュリティを「可視化」「助言可能」「証明可能」にすることによってです。

私たちのアプローチは、3つのレイヤーを組み合わせたものです。

• ZeroMONは、バックアップ環境全体に対する継続的な可視化を提供します。リアルタイムのジョブ追跡、自動セキュリティチェック、設定ドリフトを追跡するフォレンジック監査ログ、ワンクリックのコンプライアンスレポートなど、Veeam対応のモニタリングを実現します。このレイヤーによって、「イミュータビリティは設定済みである」という単なる想定が、裏付けのあるエビデンスへと変わります。
• ZeroTAMは、バックアップアーキテクチャ、分離設計、ランサムウェア復旧計画に特化した専門的なアドバイザリーを提供します。多くの企業に必要とされているのは、自社のバックアップ環境が実際に何を語っているのかを解釈し、実際のインシデントに耐えうる分離を設計するための、この「人による」レイヤーです。
• ZeroPENは、実際の攻撃者と同じ視点でバックアップインフラをペネトレーションテストします。管理プレーン、アクセス制御、イミュータビリティ設定を標的とし、さらに実際のリストアシナリオを実行することで、バックアップジョブが成功したと報告しただけではなく、実際にクリーンかつ完全に、そして規定のRTO内に復旧できることを検証します。

BackupSecはオンプレミスに導入され、読み取り専用のAPIアクセスを通じてバックアップアプリケーションに接続し、バックアップデータをお客様の環境の外へ持ち出すことは一切ありません。

BackupSecにバックアップセキュリティ体制について相談する →

自社のバックアップが本当に耐えられるか知りたいですか？無料のBackup Security Assessmentで、自社の環境をスコア化してみましょう。