佐賀大学の事務部門のNASがランサムウェアで暗号化。事務用端末を3日止め、9月28日に通常業務へ

01発表されている事実

1. 9月24日（木）午前8時42分

   事務部門から、NAS内のファイルが暗号化されているとの連絡。CSIRT（情報セキュリティの事故対応チーム）を中心に対応を開始。NASをネットワークから隔離

2. 9月24日 午後4時45分

   被害の拡大を防ぐため、事務用端末の利用を停止

3. 9月25日

   被害を公表。教育・研究・診療に関わるシステムへの影響は確認されていない

4. 9月27日（日）午前11時3分

   警察に相談しながら関係部署・関係事業者と復旧を進め、事務用端末の利用を再開

5. 9月28日（月）

   通常業務を再開

大学は、感染が疑われるサーバーの復旧と、関連する端末の調査・回収を行ったとしています。感染経路と影響範囲は詳しく調べている段階です。情報流出の有無について、発表には記載がありません。

02読者への影響

大学の学生や関係者に向けた具体的なお願いは、発表には書かれていません。大学を名乗る不審なメールには、ふだんどおり注意してください。

中小企業や事務所にとって、この件は身近な教訓です。NASは手軽な共有フォルダとして多くの事務所で使われています。暗号化されたのが一部の部門のNASでも、広がりを防ぐために全体の端末を止める判断が必要になりました。

一方で、発見から約8時間で端末を止め、3日後に再開できたのは、CSIRTが中心になって隔離と調査を進めたからです。小さな事務所でも「誰が止める判断をするか」を決めておくだけで、初動は速くなります。

03同じことを防ぐには（NASを使う事務所向け）

1. NASのファームウェアを最新にし、管理画面をインターネットから見えないようにする。メーカーのリモートアクセス機能を使っていなければ止める
2. NASの管理者パスワードを初期のままにしない。共有フォルダは、必要な人だけが書き込めるようにする
3. NASのデータを、NAS以外の場所（外付けディスクを外して保管、別のクラウドなど）にも定期的に複製する。NASのスナップショット機能があれば有効にする
4. パソコンにEDRを入れる。NASのファイルを暗号化するのは、多くの場合、それにつながったパソコン上のランサムウェアです
5. 「ファイルが開けない、拡張子が変わった」と気づいたら、LANケーブルを抜いて誰に連絡するかを決めておく

図鑑の「個人事業主・小規模」の入口から、少人数の事務所に合う対策を探せます。

04今後の発表

大学は、感染経路と影響範囲の詳しい調査、原因の究明、システムの復旧を進め、情報セキュリティ対策を強化して再発を防ぐとしています。