ノルスク・ハイドロのサイバー攻撃は戦争ではなく金銭が目的

月曜日の深夜頃、世界最大級のアルミニウム生産会社の一つであるノルスク・ハイドロ（40カ国に製錬所、工場、オフィスを展開）が、自社のシステムに異常を発見した。数時間後、ノルウェーに拠点を置くノルスク・ハイドロは、大規模なランサムウェア攻撃を受け、欧州と米国で生産停止に陥っていることを確認した。同社は問題の封じ込めに努めるため、手動操作に切り替えざるを得なかった。

水曜日の午後までに、ノルスク・ハイドロの最高幹部たちの肩には比較的平静が戻り、同社はシステムの一部をオンラインに戻すという骨の折れる作業を続けていた。

ハイドロの最高財務責任者（CFO）であるエイヴィンド・カレヴィク氏は記者会見で、世界中に3万5000人の従業員を抱える同社は、すべてのシステムがいつ稼働するかについて「明確なスケジュールはない」と述べた。しかし重要なのは、攻撃の背後にいる犯罪者に身代金が支払われていないことだ。これはおそらく、ノルスク・ハイドロが最新のバックアップからソフトウェアと企業データの復旧をすぐに開始できたためだろう。では、何が起こったのだろうか？

現在、ノルウェーの警察による捜査が進行中であり、同社は「適切かつ強力なサイバー保険がかけられている」とかなり率直に声明を出しているにもかかわらず、攻撃の詳細については明らかにできない。

しかし、サイバーセキュリティの専門家たちは、標的となった業種も含め、事態の進展を注視してきた。「当初、これらの企業が属する業界を考えると、非常に危険な状況に見えました」と、フィンランドのサイバーセキュリティ企業F-Secureの最高研究責任者、ミッコ・ヒッポネン氏は語る。もしアルミニウム生産に混乱が生じていたら、金属が凝固し、操業が停止していた可能性もあったと、同氏は付け加える。

ノルスク・ハイドロは、ランサムウェア攻撃による混乱にもかかわらず、ボーキサイトとアルミナの生産は通常通り稼働していると発表した。しかし、一次金属や圧延製品など、同社の他の事業部門は、全世界のネットワーク全体がダウンしたため、複数の非公開工場で操業停止と「限定的な操業への影響」を受けている。

「最悪のシナリオはもう来ていないことは明らかです」とヒッポネン氏は言う。「費用はかかるし、時間もかかるでしょうが、当初考えていたほど悪くはありません。」

ノルスク・ハイドロは確認していないものの、この標的を絞った攻撃に使用されたランサムウェアは、比較的新しく検出が難しい「ロッカーゴガ」と呼ばれる種類のものだと広く推測されている。犯罪者はこれを使ってコンピューターファイルを素早く暗号化し、解除と引き換えに金銭を要求する。

サイバーセキュリティ専門家のロバート・プリチャード氏は、LockerGogaは自己増殖しないと述べています。つまり、誰かがノルスク・ハイドロのネットワークに侵入し、ランサムウェアをアップロードし、それをネットワーク全体に拡散させたということです。「このランサムウェアは基本的に（同社のMicrosoft Windowsの）Active Directoryを超えることはありません。なぜなら、グループポリシーを使って拡散させる必要があるからです。つまり、急激に増殖するわけではなく、むしろ少し抑制された感染力を持つということです」とプリチャード氏は言います。

このランサムウェアは、WannaCryやPetyaといった従来の産業サイバー攻撃とは異なるとヒッポネン氏は説明する。犯罪者は企業ネットワークを標的とし、地理的に分散した地域間で暗号化を同期させているからだ。「複製メカニズムはなく、これはワームではなく、犯罪者による標的型攻撃なのです」と彼は言う。

動機は単純明快だ。「政府による攻撃だと証明する術は全くありません。これは犯罪であり、金銭目的です」と彼は付け加えた。

研究者らによれば、このマルウェアは今年初めにフランスのエンジニアリングコンサルタント会社アルトラン・テクノロジーズへの攻撃でも使用されたという。

ヒッポネン氏は、感染の発生源は米国と考えられることから、明らかに犯罪意図が明らかであったことを踏まえると、製錬所は保険金を請求する十分な根拠があると考えている。「サイバー保険金の支払額は、これまでで最も高額になる可能性がある」と同氏は語る。

ランサムウェア攻撃は大きなビジネスであり、「常に発生している非常に一般的なもの」だとプリチャード氏は言います。以前は主に個人を狙っていましたが、今では犯罪組織がより大きな獲物を狙うのが理にかなっています。

「ノルスク・ハイドロは産業用制御システムを手動モードで稼働させていますが、これまで慣れ親しんできた自動化プロセスやバックオフィス機能をすべて取り除くと、あらゆるものの処理が突然大幅に遅くなります」とプリチャード氏は言います。

この攻撃は、Windowsインフラへの攻撃（これは非常に簡単で、多くの人がスキルを持っている）がいかに大きな混乱を引き起こす可能性があるかを示している、と彼は付け加えた。「人命が失われることも、航空機が墜落することもなく、ある程度は通常通りの運用を続けることも可能ですが、対応には時間がかかり、費用もかかり、解決にも時間がかかります。」

この記事はWIRED UKで最初に公開されました。