（ワナクライ、, などの別称あり）は、Microsoft Windowsを標的としたワーム型ランサムウェアである。
2017年5月12日から大規模なサイバー攻撃が開始され、150か国の23万台以上のコンピュータに感染し、28の言語で感染したコンピュータの身代金としてビットコインを要求する。
概要 確認されている最も古い感染例は、2017年4月25日にトレンドマイクロが確認した、Dropboxの短縮URLを悪用したものである。同年5月12日頃より本格的に感染を拡大した。このランサムウェアは、電子メール・ワーム・マルウェアなど複数の方法によって感染し、ユーロポールが「前例のない規模」と発表する"Cyber-attack: Europol says it was unprecedented in scale". BBC ニュース, 2017-05-13. 2017年5月14日閲覧。ほど大規模であった。
技術的には、主にWindowsのSMBv1の脆弱性MS17-010を利用して感染するものと見られているランサムウエア "WannaCrypt" に関する注意喚起 JPCERT-AT-2017-0020, JPCERT/CC, 2017-05-14. 2017年6月23日閲覧。。この脆弱性については、2017年3月14日時点でマイクロソフトがセキュリティパッチを公開している。このパッチをインストールしなかったコンピュータが感染し、被害が拡大した。被害にあったコンピュータの殆どのOSはWindows 7であった。
サイバー攻撃当初、サポート終了済みの古いOSにはパッチが提供されないがゆえに、特に危険に晒されていたので、マイクロソフトではWindows XP、Windows Server 2003、8.1未適用のWindows 8にも、2017年5月13日に臨時のセキュリティパッチを提供するという異例の対応を行った。
背景 4月14日に、シャドー・ブローカーズを名乗る集団が、の脆弱性MS17-010を標的とするエクスプロイト攻撃ツール、およびバックドアプログラムなどの複数の攻撃ツールをまとめた「ツールキット」をインターネット上で公開した。
これらの攻撃ツールは、アメリカ国家安全保障局（NSA）が開発したもので、NSAの一部と考えられているイクエーション・グループから情報漏洩したものとみられる。「」には「」と共に「」が使われている。また、シャドー・ブローカーズに先駆けて2016年3月から中国政府と関連するとされるハッカーグループ「Buckeye」はこれらのツールをNSAから攻撃を受けた際に盗み出して改良して一部に流出させていたことをセキュリティー大手シマンテックが発表している。
被害 代替文=|サムネイル|250x250ピクセル|被害を受けた国 コンピュータセキュリティ会社カスペルスキーによると、最も大きい影響を受けた4か国は、ロシア・ウクライナ・インド・台湾であるとしている。
日本 日立製作所 東日本旅客鉄道国内襲い始めたWannaCry、日立やJR東など600カ所2000端末で感染（日本語）. （2017年5月15日） 2017年5月16日閲覧。 イオントップバリュ 本田技研工業世界規模で感染した5月から一月後の6月下旬に発覚した。 日本マクドナルドWannaCry亜種。身代金は要求してこず感染だけを広げる。
アジア 中国石油天然気 中華人民共和国公安部 孫逸仙大学（中華人民共和国） 韓国CJ CGV インド西ベンガル州政府、ケーララ州政府、グジャラート州政府他 インドアーンドラ・プラデーシュ州警察 インドネシアHarapan Kita Hospital
ロシア ロシア鉄道 ロシア内務省 ロシア貯蓄銀行
ヨーロッパ ルノー（フランス） ドイツ鉄道
自動車製造会社ダチア（ルーマニア） ビルバオ・ビスカヤ・アルヘンタリア銀行（スペイン） スペイン通信会社テレフォニカ 国民保健サービス（イギリス） 英国日産自動車製造
南米 ブラジル サン・パウロ州司法裁判所 ブラジル 携帯電話事業会社ヴィーヴォ LATAM航空グループ
北米 フェデックス モントリオール大学
影響
イギリス 国民保健サービスが攻撃を受け、MRIや血液貯蔵冷蔵庫など、7万台の機器が影響を受けた。また、およそ40の医療施設でシステムが使えなくなるなど被害を受けた。攻撃を受けた病院では患者の情報にアクセスできなくなり、手術を中止したり、診察の予約をキャンセルしたほか、救急搬送されてきた患者を受け入れられず、ほかの病院へ搬送する事態となったイギリス各地で国営の病院にサイバー攻撃（NHK）99か国でサイバー攻撃、英の病院では手術中止（TBS）。
ヨーロッパ ルノーや英国日産自動車製造などの自動車製造工場では、製造停止の事態に陥った。
調査
キルスイッチ WannaCryに、ランサムウェアの拡散と活動を停止させる「キルスイッチ」となるURLが含まれているのを、感染したマシンからの活動を追跡していたセキュリティ研究者が発見した。この未登録のドメイン名に登録したところ、一時的に攻撃が停止した。
この研究者は、アンチウイルスの研究者がソフトウェアを調査することがより困難になるように、インターネットから隔離されたマシン（エアギャップ）上で解析されるのを防ぐメカニズムとして、これがソフトウェアに含まれていると推測した。こういった技術は以前から存在している。
しかし、その後ハッカーらは、このランサムウェアからキルスイッチをなくしたアップデート版を作成し、この新しい亜種は「Uiwix」という名称だと、セキュリティソフトウェア企業のHeimdal Securityは述べている。一方、トレンドマイクロは、この新種はWannaCryと同じように脆弱性「MS17-010」を利用するランサムウェアだが、メモリ上で動作し、仮想マシンやサンドボックスを検知して活動を停止することから別ファミリーだと判断している。
犯人の特定 コンピュータセキュリティ会社のカスペルスキーとシマンテックの両社は、このコードが過去にハッキンググループ「ラザルスグループ」（北朝鮮とつながりがあるグループで、ソニー・ピクチャーズ・エンタテインメントへのハッキング事件や2016年のバングラデシュ銀行の不正送金に関与）が使用していたものと類似していると述べている。これは単にソースコードを参考にしたか、捜査を攪乱するための工作の可能性も指摘されている。
身代金要求の中国語の文章はネイティブが記述、英語は非ネイティブによる記述、それ以外の言語については英語版をGoogle翻訳にかけた機械翻訳であると分析されている。
2017年12月18日、アメリカ合衆国政府は北朝鮮が本ランサムウェアの作成に直接関与していると考えていることを発表したが、北朝鮮は関与を否定している。なお、状況証拠のみで決定的な根拠が提示されておらず、発表を疑問視するセキュリティ専門家もいる。
復号 特定条件のWindows XPで、確実ではないが復号できたという報告も出ているランサムウェア「WannaCry」に感染したWindows XPの暗号解読に研究者が成功、解除ツール「Wannakey」を公開（gigazine）。
身代金 感染後、暗号化されたデータの身代金として、最初は300ドル、起動から3日後に値上がりし600ドル相当のビットコインを要求する。このウイルスは、7日以内に振り込まなければデータを復元できなくするとポップアップウインドウ等に表示する。
ところが実際には、5月17日現在、多くの人が300ドルを支払ったにもかかわらず、解除できたという報告はなされていない。ネットワーク・セキュリティ会社チェック・ポイント・ソフトウェア・テクノロジーズは「WannaCryは、製作者に支払った人と関連付ける方法を持っていないようだ」と述べている。これらの事実により、身代金を支払わないようアドバイスも行われている。
カスペルスキーによると、身代金の振込先として少なくとも3つの口座が使われていることが確認されている。2017年5月25日 7:40 UTCの時点で、計302の取引と49.60319 BTCが振り込まれている。
脚注
注釈
出典
関連項目 Conficker コンピュータセキュリティ コンピュータウイルスとワームの年表 ミッションクリティカル バックアップ Adylkuzz - NSAから流出したEternalBlueを使って、感染したコンピュータに仮想通貨をマイニングさせるマルウェア。 Petya（マルウェア） - WannaCryと同様の脆弱性を利用した亜種が2017年6月末に流行した。カスペルスキーでは、元のウイルスと区別するためNotPetyaと呼んでいる。
外部リンク