高等教育機関は一般的にランサムウェア攻撃の標的となる業界とは考えられていませんが、その傾向が顕著になりつつあるようです。ノースカロライナA&T大学、リンカーン大学、オースティン・ピー州立大学の3つの大学が、いずれもこの種のサイバー攻撃による悪影響を受けており、リンカーン大学はハッキングの規模が大きかったため、閉鎖に追い込まれたケースもありました。
「今回の件ではサイバーセキュリティインシデント以外の要因も影響していることは明らかですが、ランサムウェアへの対応と復旧がリンカーン大学の崩壊に大きく影響したことも明らかです」と、Tripwireの戦略担当バイスプレジデント、ティム・アーリン氏は述べています。「復旧には時間と費用がかかりました。今回のケースでは、時間は、ひょっとすると事態を好転させ、大学を救うチャンスと同等の価値がありました。既に苦境に立たされている状況で、運用上重要なシステムへのアクセスを1ヶ月以上失うことは、容易に死の鐘を鳴らすことになります。」
リンカーン大学は閉鎖を余儀なくされる
ランサムウェアの影響を受けた学校の最も極端な例として、リンカーン・カレッジは157年間の開校を経て、5月13日に永久閉校を余儀なくされました。当初はCOVID-19パンデミックの影響を受け、私立大学として学生の募集や資金調達が制限されました。しかし、12月に発生した深刻なランサムウェア攻撃により、教員の重要な学校データへのアクセスが制限され、新たな入学希望者を見つけることがさらに困難になり、大学の存続が危ぶまれる事態となりました。
リンカーン・カレッジのウェブサイトに掲載された通知によると、「学生募集、学生維持、資金調達に必要なすべてのシステムが機能停止状態でした。幸いにも個人識別情報の漏洩はありませんでした。2022年3月に完全復旧した時点で、入学者数が大幅に不足することが予測され、リンカーン・カレッジを今学期以降も維持するためには、抜本的な寄付またはパートナーシップが必要となる」とのことです。
「ランサムウェアのようなサイバー攻撃は、たとえ好調な時期であっても組織にとって回復の大きな痛手となる可能性があります。しかし、今回の事例が示すように、既に苦境に立たされている組織にとっては、存亡をかけた脅威となり得ます」と、サーベラス・センチネルのソリューションアーキテクチャ担当バイスプレジデント、クリス・クレメンツ氏は述べています。「発表によると、大学はパンデミックの影響で既に苦境に立たされていましたが、入学選考という重要な時期に3ヶ月間も重要システムがオフラインになったことで、運命は決定的になったのかもしれません。」
オースティン・ピーのサイバー攻撃
4月27日、オースティン・ピー州立大学は以下のツイートを投稿し、同大学もランサムウェア攻撃を受けたことを明らかにした。
APSU警告: ランサムウェア攻撃。これはテストではありません。今すぐすべてのコンピューターをシャットダウンしてください。
— オースティン・ピー州立大学（@austinpeay）2022年4月27日
オースティン・ピーのニュースページによると、学校のシステムは3日間オフラインになった後、復旧した。ランサムウェア攻撃はフィッシングメールを介して行われたとみられ、学校のニュースサイトは学生と教職員に対し、潜在的に有害なリンクに注意するよう呼びかけている。
州知事の学生団体が、攻撃を受けて期末試験を後日延期するよう開始した嘆願書では、事件の概要として「キャンパス内の接続、およびOneStop、Outlookメール、OneDriveといった学生にとって不可欠なオンラインサービスへの接続が侵害されている。キャンパス内のWi-Fi、フェリックス・G・ウッドワード図書館、ライティングセンター、その他のリソースを利用している学生は、それらにアクセスできない」と述べられています。
参照: モバイルデバイスのセキュリティポリシー(TechRepublic Premium)
ノースカロライナA&T大学がブラックキャットの標的に
3月下旬、ノースカロライナA&T大学は、ハッカー集団「ALPHV/BlackCat」によるランサムウェア攻撃を受けたとみられています。春休み中だった同大学に対し、サイバー犯罪者は攻撃の一環として、同大学の無線接続、指導ツール、シングルサインオンウェブサイト、VPNなどの多くの機能を妨害しました。BlackCatは、ハッキングによって、教師や生徒の社会保障番号などの個人情報を盗んだとされています。さらに、ハッカー集団は契約書、財務情報、SQLデータベース、メールデータベースなどの大学情報を入手したと主張していました。
ハッカー集団の声明とは全く矛盾し、大学当局は個人情報は盗まれておらず、攻撃によって影響を受けたのは大学のシステムのみであると述べた。
「組織の安全を維持するためには、サイバーセキュリティの意識と保護をあらゆる業務プロセスに組み込むセキュリティ文化を定着させる必要があります」とクレメンツ氏は述べています。「成熟した多様な環境にセキュリティのベストプラクティスを後から適用しようとするよりも、できるだけ早くセキュリティ文化を定着させる方がはるかに容易です。サイバーセキュリティを適切に構築することは容易ではありませんが、攻撃による被害リスクがますます高まっていることから、組織を壊滅的な損失から守るためには、サイバーセキュリティを真剣に取り組む必要があります。」
