Fogランサムウェアは、近年国内でも感染事例が報告されている暗号化型のマルウェアであり、業務用システムやサーバに深刻な影響を与えるケースが増えています。復号の見返りとして身代金を要求されるだけでなく、データを外部に公開すると脅す「二重恐喝型」にも進化しており、早期対応を怠ると大きな被害に発展する恐れがあります。
感染の初期段階で適切な対処を行わなければ、感染の痕跡が消失する恐れがあり、原因の特定や復旧が難しくなるリスクも高まります。
そこで本記事では、Fogランサムウェアの攻撃の流れや対処法を整理し、初動で取るべき対応策と再発防止策までをわかりやすく解説します。
＞＞ランサムウェア感染時のおすすめ調査会社と選び方のポイントを解説
| 本ページには広告が含まれています。本コンテンツ経由で商品・サービスの申込みがあった場合、企業から送客手数料を受け取ることがあります。 |
Fogランサムウェアの特徴
Fogランサムウェアは2024年4月頃に発見されたランサムウェアです。感染すると端末内のファイルの拡張子を「.fog」あるいは「.FLOCKED」などに変更します。
そして「readme.txt」といった題名の脅迫文を残し、ダークウェブ上の専用サイト（.onionドメイン）へのリンクを通じて、被害者にランサムグループとコンタクトを取るよう求めてきます。
画像出典：BLEEPING COMPUTER
Fogランサムウェアに感染した端末や不正アクセスの範囲を正確に把握するには、技術的な証拠の取得と分析が必要です。自己判断での初期化や削除は、証拠が消失するリスクを伴います。
異常を検知した段階での迅速な行動が、被害拡大を防ぐ決め手です。 痕跡は時間の経過とともに消えていくため、まずは専門家に相談しましょう。
出典：PCrisk
Fogランサムウェアの侵入手法
Fogランサムウェアは、攻撃者が内部ネットワークに侵入した後、Hyper-V（仮想マシンを動かすためのWindowsの機能）を実行しているWindowsサーバーにリモート接続（RDP）するために、管理者アカウントに対して「pass-the-hash（ハッシュ化されたパスワードを使って本人になりすます手口）」攻撃を実行します。
または、「クレデンシャルスタッフィング（漏洩したIDとパスワードを使い回してログインを試みる攻撃）」を使って重要なアカウントを乗っ取り、そこから「PsExec（リモートでプログラムを実行できるWindowsの管理ツール）」を使って他の複数のマシンにもランサムウェアを展開します。
感染後、Fogランサムウェアの攻撃者はWindows Defender（標準のウイルス対策機能）を無効化し、ランサムウェア実行時にユーザーに警告が表示されるのを防ぐことがあります。
ランサムウェアが展開されると、Windows API（Windowsの内部機能を操作する仕組み）を使って、マシンに搭載されているCPUの論理プロセッサ数（同時に処理できるスレッドの数）など、暗号化を効率よく行うためのシステム情報を収集します。
暗号化の前には、ランサムウェア内にあらかじめ埋め込まれているリストをもとに、特定のプロセスやサービス（バックグラウンドで動いてるプログラム）を終了させ、ファイルへのアクセスを妨げる要素を排除します。
さらに、攻撃者は被害者の復旧手段を完全に断つために、感染時にシャドウコピー（自動バックアップ）を削除する場合があります。
Fogランサムウェアに感染した場合の初動対応
Fogランサムウェアに感染した場合、適切な初動対応がその後の被害の拡大を防ぐことにつながります。
ネットワークからの切断
感染が確認された端末は、直ちにネットワークから切断します。LANケーブルを抜くか、Wi-Fiをオフにすることで、物理的に接続を遮断し、ランサムウェアの拡散を防ぐことにより、他の端末やシステムへの感染が防がれ、攻撃者によるデータの窃取や追加のマルウェアのダウンロードを阻止できます。
ログなどのデータを収集
感染端末のシステムログやネットワークログ、セキュリティソフトのログなどを収集し、攻撃の経路や範囲を特定します。また、暗号化されたファイルの拡張子や表示されたランサムノートの内容を記録することで、ランサムウェアの種類を特定し、適切な対応策を検討できます。法的対応や保険請求の際の証拠としても有用です。
警察への相談
警察のサイバー犯罪対策課に速やかに相談することが重要です。最新の脅威情報や対策に関するアドバイスを受けることができ、被害届を提出することで犯罪統計に反映され、将来的な対策強化につながります。国際的な捜査協力を通じて、攻撃者の特定や資金の追跡が進む可能性もあります。
データ復旧
定期的に取得したバックアップがある場合、データを復旧できる可能性があります。ただし、復旧作業を行う前に、バックアップが感染前のものであることを確認することが重要です。作業は、安全な環境で実施し、感染源を完全に排除した後に行うことで、再感染のリスクを防ぎます。
専門家への相談
Fogランサムウェアに感染した場合、情報漏洩が発生している可能性が高いため、専門の調査会社に相談することを推奨します。専門家による分析を受けることで、感染経路の特定や影響範囲の正確な把握が可能となり、迅速な対策につなげることができます。
特に法人においては、個人情報が漏洩した場合、「改正個人情報保護法」（2022年4月施行）に基づき、調査と対応が求められます。専門家の支援を受けることで、適切な報告や法的義務の履行を円滑に進めることができ、被害の拡大を防ぐことにつながります。
詳細は以下の記事に参考ください。
被害調査とフォレンジック調査の重要性
ランサムウェア被害の対応では、単なる復旧（ファイル復元）だけでなく、なぜ侵入されたのか、どこまで被害が広がったのかを調査・説明する責任があります。これは社内説明、顧客・監督官庁への報告、訴訟対応のすべてに影響します。
そのため、デジタルフォレンジック調査によって「感染経路」「被害範囲」「漏洩の有無」「操作証拠」「内部不正の可能性」などを客観的に把握することが極めて重要です。また、調査会社は必要に応じて、法執行機関との連携・報告書の作成・再発防止策の策定支援などにも対応しており、内部リソースではカバーしきれない範囲を担ってくれます。
＞＞【解説】フォレンジック調査とは？調査の流れや専門会社を紹介
このような高度なサイバー攻撃には、社内リソースだけでは限界があります。 被害を最小限に抑えるためにも、信頼できる外部フォレンジック調査会社との連携を進めましょう。
＞＞フォレンジック調査会社の選び方｜費用・期間・おすすめ企業を解説
編集部おすすめ調査会社：デジタルデータフォレンジック(おすすめ度)
情報漏洩やサイバー攻撃といった、幅広いインシデントに対してフォレンジック調査を行っている専門会社をご紹介します。
こちらの業者は、相談件数が39,000件を超え、民間の調査会社でありながら官公庁や大手企業との取引実績も多く信頼できるため、幅広い調査に対応していておすすめです。もちろん法人だけでなく、個人のハッキングやサポート詐欺調査などの相談も受け付けています。
まずは無料で相談・見積りまで行ってくれるようなので、不安な方は一度相談してみるとよいでしょう。
| 費用 | ★見積り無料 まずはご相談ください |
|---|---|
| 調査対象 | PC、スマートフォン、サーバ、外付けHDD、USBメモリ、SDカード、タブレット など |
| サービス | マルウェア・ランサムウェア感染調査、情報漏洩調査、ハッキング・不正アクセス調査、サイバー攻撃被害調査、退職者調査、労働問題調査、社内不正調査、情報持出し調査、横領着服調査、パスワード解除、データ改ざん調査、データ復元、デジタル遺品、離婚問題・浮気調査 など |
| 特長 | ✓累積ご相談件数39,451件以上 ✓国際基準をクリアした厳重なセキュリティ体制（ISO認証、プライバシーマーク取得済） ✓警視庁からの捜査協力依頼・感謝状受領の実績多数 |
デジタルデータフォレンジックは、国内トップクラスの調査力を有しており、累計3万9千件以上の豊富な実績があります。
規模が大きな調査会社でありながら、個人端末のハッキング調査、不正アクセス調査などの実績もあるようですし、24時間365日の相談体制、ニーズに合わせたプランのカスタマイズなど、サービスの利用しやすさも嬉しいポイントです。
ハッキング調査以外にも幅広い調査に対応しているだけでなく、ケースごとに専門チームが調査対応を行っているとのことで、高品質な調査が期待できます。さらに、警察への捜査協力も行っているなど、信頼がおける専門業者です
相談・見積りを“無料“で行っているので、まずは電話かメールで問合せをしてみることをおすすめします。
Fogランサムウェアに効果的な最新セキュリティ対策
Fogランサムウェアの被害を防ぐためには、従来のウイルス対策ソフトだけでは不十分です。侵入経路や攻撃手法が多様化しているため、複数の防御策を組み合わせた多層防御の仕組みが必要です。
Fogランサムウェアに有効なセキュリティ対策
多要素認証（MFA）の導入
VPNやクラウドサービス経由の不正侵入を防ぐために、パスワードに加えてワンタイムパスコードや認証アプリを組み合わせるMFAの導入が必須です。IDとパスワードの流出だけでは不正アクセスが成立しなくなるため、攻撃の大半を遮断できます。
実施手順
- VPN・クラウド・社内システムでMFAを有効化
- 認証方式はSMSよりもアプリやハードウェアキーを優先
- 重要アカウントに対しては定期的な認証強度のレビューを実施
脆弱性管理と定期的なパッチ適用
Fogランサムウェアは、古いソフトウェアや未修正の脆弱性を突いて侵入するケースが多いため、システムの更新を怠らないことが重要です。公開されている脆弱性を定期的にチェックし、パッチを適用することで侵入リスクを大幅に下げられます。
実施手順
- 脆弱性管理ツールで使用中ソフトウェアを一括スキャン
- 重要度の高い脆弱性は優先的にパッチ適用
- ゼロデイ攻撃対策として仮想パッチやIPSの導入も検討
バックアップ体制とオフライン保管
感染してデータが暗号化されても、バックアップから復旧できれば業務停止を最小限に抑えられます。ただし、オンライン接続されたバックアップは攻撃者によって削除される恐れがあるため、オフラインやクラウドの分離環境に保存することが推奨されます。
実施手順
- 重要データを毎日または週次で自動バックアップ
- バックアップの一部はオフラインまたはWORM（改ざん不可）環境に保管
- 復元テストを定期的に行い、実際に使えることを確認
EDR/XDRによる監視と自動検知
エンドポイントやネットワーク上での不審な挙動を検知するEDR（Endpoint Detection & Response）やXDR（Extended Detection & Response）の導入も効果的です。侵入後の挙動を早期に検知して遮断することで、被害を最小化できます。
実施手順
- 主要サーバとクライアント端末にEDRエージェントを導入
- 不審挙動を検知した際の自動隔離ポリシーを設定
- インシデント対応チームがログを分析できる体制を構築
従業員教育とフィッシング対策訓練
ランサムウェアの中にはフィッシングメールを経由して侵入することも多く、従業員のセキュリティ意識が最後の防波堤となります。定期的な教育や疑似フィッシング訓練により、不審メールのクリックを防ぐ習慣を身につけさせることが効果的です。
実施手順
- 年2回以上のセキュリティ教育を全社員に実施
- 模擬フィッシングメールを送信し対応を評価
- 教育結果をもとに再訓練・改善を実施
これらの対策を講じても、新しい手口に完全に対応するのは難しいのが現実です。特にFogランサムウェアのように高度化した攻撃では、被害範囲の把握や証拠保全を自社だけで行うことは困難です。
サイバーセキュリティの専門業者であれば、侵入経路の特定や暗号化範囲の分析、再発防止に向けた改善提案まで一貫して対応できます。外部の専門知見を活用することで、迅速かつ安全に復旧できる可能性が高まります。
まとめ
Fogランサムウェアはデータの暗号化だけでなく、データの窃取や公開の予告を伴う二重恐喝型ランサムウェアとして企業活動に深刻な影響を与えます。VPNや脆弱性攻撃などで侵入するため、早期に検知して封じ込める体制が欠かせません。
特に、初動を誤れば感染の拡大や痕跡の消失といった、被害範囲や侵入経路の特定が後々困難になる事態となります。そのため、自己判断での復旧や初期化は避け、客観的に状況を調査できる専門的な対応が推奨されます。
ランサム被害は一刻を争う対応が求められます。 少しでも不審な兆候に気づいたら、早期に専門業者へ相談することが、復旧の近道であり再発防止の第一歩です。