サイバー犯罪は巨大な産業です。ある試算（ibm.com外部へのリンク）によると、米国と中国に次ぐ世界第3位の経済大国となり、2025年までに10兆5000億ドルの費用がかかると予測されています。

ハッカーは、常に新しい特徴や機能を備えた新しいマルウェアを開発しています。個々のマルウェアの種は、セキュリティ・ソフトウェアをうまく回避するために、次々に新しい亜種を生み出します。1980年代以来、10億種類を超える異なるマルウェアの株と亜種が作成されていると推定されており（ibm.com外部へのリンク）、サイバーセキュリティーの専門家が追いつくのは困難になっています。

ハッカーは、コードをオープンソースにしたり、他の犯罪者に販売したりして、マルウェアを共有することがよくあります。ランサムウェア開発者の間では、マルウェア・アズ・ア・サービスの取り決めが普及しており、技術的な専門知識がほとんどない犯罪者でもサイバー犯罪の報酬を得ることができる。

状況は常に変化していますが、マルウェア株はいくつかの一般的なタイプに分類できます。

「マルウェア」と「コンピューター ウイルス」という用語は同義語としてよく使用されますが、ウイルスは技術的には特定の種類のマルウェアです。具体的には、ウイルスとは、正規のソフトウェアをハイジャックして損害を与え、それ自体のコピーを拡散させる悪意のあるコードです。

ウイルスは単独では作用できません。 代わりに、コードのスニペットを他の実行可能プログラムに隠します。ユーザーがプログラムを起動すると、ウイルスも実行を開始します。ウイルスは通常、重要なデータを削除し、通常の操作を妨害し、感染したコンピュータ上の他のプログラムに自分自身のコピーを拡散するように設計されています。

初期のマルウェアの脅威のほとんどはウイルスでした。 Elk Cloner は、おそらく公共のデバイスを通じて拡散した最初のマルウェアであり、Apple コンピュータを標的としたウイルスでした。

ボットネットは、ハッカーの制御下にある、インターネットに接続されたマルウェアに感染したデバイスのネットワークです。ボットネットには、PC、モバイル デバイス、モノのインターネット (IoT) デバイスなどが含まれます。被害者は、自分のデバイスがボットネットの一部であることに気づかないことがよくあります。ハッカーはボットネットを使用して DDoS 攻撃を開始することがよくあり、標的のネットワークに大量のトラフィックを送り込み、速度が大幅に低下するか完全にシャットダウンします。

最も有名なボットネットの1つであるMiraiは、2016年にドメイン・ネーム・システム・プロバイダーであるDyn に対して大規模な攻撃を引き起こし、米国とヨーロッパの数百万人のユーザーに対してTwitterやRedditのような人気ウェブサイトをダウンさせました（ibm.com外部へのリンク）。

クリプトジャッカーは、所有者の知らない間にデバイスを制御し、それを使用してビットコインなどの暗号通貨をマイニングするマルウェアです。基本的に、クリプトジャッカーはクリプトマイニング・ボットネットを作成します。

暗号通貨のマイニングは、非常に計算量が多く、コストがかかるタスクです。サイバー犯罪者は利益を得ますが、感染したコンピュータのユーザーはパフォーマンスの低下やクラッシュを経験します。クリプトジャッカーはエンタープライズ クラウド インフラストラクチャをターゲットにすることが多く、個々のコンピュータをターゲットにするよりも多くのリソースをクリプトマイニングのためにマーシャリングすることができます。

ファイルレス・マルウェアは、Webブラウザやワード・プロセッサーなどの正規のソフトウェア・プログラムの脆弱性を利用して、悪意のあるコードをコンピューターのメモリに直接挿入する攻撃の一種です。コードはメモリー内で実行されるため、ハード・ドライブに痕跡を残しません。正規のソフトウェアを使用しているため、検知を回避することがよくあります。

ファイルレス・マルウェア攻撃の多くは、Microsoft Windowsオペレーティング・システムに組み込まれているコマンド・ライン・インターフェースおよびスクリプト・ツールであるPowerShellを使用します。ハッカーはPowerShellスクリプトを実行して、構成を変更したり、パスワードを盗んだり、その他の損害を与えたりする可能性があります。

悪意のあるマクロは、ファイルレス攻撃のもう 1 つの一般的なベクトルです。Microsoft Word や Excel などのアプリを使用すると、ユーザーはテキストの書式設定や計算の実行などの単純なタスクを自動化する一連のコマンドであるマクロを定義できます。ハッカーはこれらのマクロに悪意のあるスクリプトを保存することができます。ユーザーがファイルを開くと、これらのスクリプトが自動的に実行されます。

ワームは自己複製する悪意のあるプログラムで、人間の介入なしにアプリとデバイス間で拡散する可能性があります。(ユーザーが侵害されたプログラムを実行した場合にのみ蔓延するウイルスと比較してください。)一部のワームは拡散するだけですが、多くはより深刻な結果をもたらします。たとえば、推定 40 億米ドルの損害を引き起こした WannaCry ランサムウェアは、接続されたデバイス間で自動的に拡散することでその影響を最大化するワームでした。

トロイの木馬は、ユーザーを騙してインストールさせるために、便利なプログラムであるかのように偽装したり、正規のソフトウェアの中に隠れたりします。リモート・アクセス・トロイの木馬または「RAT」は、感染したデバイス上に秘密のバックドアを作成します。また、「ドロッパー」と呼ばれるトロイの木馬の一種は、足がかりを得ると追加のマルウェアをインストールします。最近のランサムウェアの中で最も壊滅的な株の1つであるRyukは、デバイスを感染させるためにトロイの木馬の一種「Emotet」を使用していました。

ルートキットは、ハッカーがコンピューターのオペレーティング・システムやその他の資産に管理者レベルの特権アクセスを取得できるようにするマルウェア・パッケージです。ハッカーは、これらの昇格された権限を使用して、ユーザーの追加や削除、アプリの再構成など、事実上何でも実行できます。ハッカーは、悪意のあるプロセスを隠したり、悪意のあるプロセスを捕捉する可能性のあるセキュリティー・ソフトウェアを無効にしたりするために、ルートキットを使用することがよくあります。

スケアウェアは、ユーザーを脅してマルウェアをダウンロードさせたり、機密情報を詐欺師に渡させたりします。スケアウェアは、緊急メッセージを伴う突然のポップアップとして表示されることが多く、通常は、ユーザーが法律に違反したか、デバイスにウイルスが感染していると警告します。ポップアップは、ユーザーに「罰金」を支払うように指示するか、偽のセキュリティー・ソフトウェアをダウンロードするように指示しますが、実際にはこれはマルウェアです。

スパイウェアは感染したコンピューターに潜み、機密情報を密かに収集し、攻撃者に送信します。キーロガーと呼ばれる一般的なスパイウェアは、ユーザーのすべてのキー入力を記録し、ハッカーがユーザー名、パスワード、銀行口座番号、クレジットカード番号、社会保障番号、その他の機密データを収集することを可能にします。

アドウェアは、不要なポップアップ広告をデバイスに送りつけます。アドウェアは、ユーザーには知られずに無料ソフトウェアに含まれていることがよくあります。ユーザーがプログラムをインストールすると、知らないうちにアドウェアもインストールされます。ほとんどのアドウェアは迷惑なだけです。ただし、一部のアドウェアは個人データを収集したり、Webブラウザーを悪意のあるWebサイトにリダイレクトしたり、ポップアップの1つをクリックするとユーザーのデバイスにさらにマルウェアをダウンロードしたりします。

ランサムウェアは被害者のデバイスやデータをロックし、ロックを解除するために通常は暗号通貨の形で身代金の支払いを要求します。IBM のX-Force Threat Intelligence Indexによると、ランサムウェアはサイバー攻撃の 2 番目に一般的なタイプであり、攻撃の 17% を占めています。

最も基本的なランサムウェア攻撃では、身代金が支払われるまで資産が使用できなくなりますが、サイバー犯罪者は追加の戦術を使用して被害者への圧力を強める可能性があります。

二重恐喝攻撃では、サイバー犯罪者はデータを盗み、支払いがなければ漏洩すると脅迫します。三重恐喝攻撃では、ハッカーは被害者のデータを暗号化して盗み、分散型サービス拒否(DDoS) 攻撃によってシステムをオフラインにすると脅します。

要求される身代金は、数万米ドルから数百万米ドルに上ります。あるレポート（ibm.com外部へのリンク）によると、身代金の平均支払額は812,360米ドルだといいます。被害者が代金を支払わなかったとしても、ランサムウェアには大きなコストがかかります。IBMのデータ漏洩コスト・レポートによると、ランサムウェア攻撃にかかる平均的なコストは、身代金そのものを除いて454万米ドルでした。

ハッカーは、リモート・アクセス・マルウェアを使用して、バックドアを作成または悪用することで、コンピューター、サーバー、またはその他のデバイスにアクセスします。X-Force Threat Intelligence Indexによると、バックドアの設置はハッカーにとって最も一般的な目的であり、攻撃の21％ を占めています。

バックドアにより、サイバー犯罪者はさまざまな行為を行うことができます。データや資格情報を盗んだり、デバイスを制御したり、ランサムウェアなどのさらに危険なマルウェアをインストールしたりする可能性があります。一部のハッカーは、リモート アクセス マルウェアを使用してバックドアを作成し、他のハッカーに販売し、1 つあたり数千米ドルで販売することがあります。

Back OrificeやCrossRATなどの一部のリモート・アクセス・マルウェアは、悪意のある目的のために意図的に作成されています。ハッカーは、正規のソフトウェアを変更または悪用して、デバイスにリモート・アクセスすることもできます。特に、サイバー犯罪者は、盗んだMicrosoftリモート・デスクトップ・プロトコル（RDP）の認証情報をバックドアとして使用します。

マルウェア攻撃は避けられませんが、組織が防御を強化するために実行できる手順はあります。これらのステップには以下が含まれます。

セキュリティ意識向上トレーニング:マルウェア感染の多くは、ユーザーが偽のソフトウェアをダウンロードしたり、フィッシング詐欺に引っかかったりすることで発生します。セキュリティ意識向上トレーニングは、ユーザーがソーシャル エンジニアリング攻撃、悪意のある Web サイト、偽のアプリを発見するのに役立ちます。セキュリティ意識向上トレーニングでは、マルウェアの脅威が疑われる場合に何をすべきか、誰に連絡すればよいかをユーザーに教育することもできます。

セキュリティ ポリシー: 安全でない Wi-Fi 経由で機密資産にアクセスするときに強力なパスワード、多要素認証、および VPN を要求すると、ハッカーによるユーザー アカウントへのアクセスを制限できます。パッチ管理、脆弱性評価、侵入テストを定期的に実施することで、サイバー犯罪者に悪用される前にソフトウェアやデバイスの脆弱性を発見することもできる。 BYOD (Bring Your Own Device) デバイスを管理し、シャドー IT を防ぐためのポリシーは、ユーザーが無意識のうちにマルウェアを企業ネットワークに持ち込むのを防ぐのに役立ちます。

バックアップ：機密データやシステム・イメージの最新のバックアップを、理想的にはハードディスクやネットワークから切り離せるその他のデバイスに維持することで、マルウェア攻撃からの復旧が容易になります。

ゼロトラスト・ネットワーク・アーキテクチャー：ゼロトラストとは、ネットワーク・セキュリティーに対するアプローチで、ユーザーは信頼されず、常に検証が行われます。特に、ゼロトラストは、最小権限の原則、ネットワーク・マイクロセグメンテーション、および継続的な適応型認証制度を実装します。これにより、ユーザーやデバイスが機密データやアクセスすべきでない資産にアクセスできないようにすることができます。ネットワークがマルウェアに感染した場合、これらの制御措置によりマルウェアが横方向に移動するのを制限できます。

インシデント対応計画： マルウェアの種類に応じたインシデント対応計画を事前に作成しておくことで、サイバーセキュリティー・チームはマルウェア感染をより迅速に根絶することができます。

上記で概説した手動戦術に加えて、サイバーセキュリティ チームはセキュリティ ソリューションを使用して、マルウェアの削除、検出、防止の側面を自動化できます。一般的なツールには以下が含まれます。

ウイルス対策ソフトウェア: 「マルウェア対策」ソフトウェアとも呼ばれるウイルス対策プログラムは、システムをスキャンして感染の兆候がないか確認します。ユーザーに警告するだけでなく、多くのウイルス対策プログラムはマルウェアを検出すると自動的に隔離して削除できます。

ファイアウォール： ファイアウォールは、悪意のあるトラフィックがネットワークに到達するのをブロックすることができます。マルウェアがネットワーク・デバイスに侵入した場合、ファイアウォールは、キーロガーがキー入力を攻撃者に送り返すような、ハッカーへの送信通信を阻止するのに役立ちます。

セキュリティー情報・イベント管理（SIEM）プラットフォーム： SIEMは、 社内のセキュリティー・ツールから情報を収集し、一元的なログに集約して、異常のフラグを立てます。 SIEMは複数のソースからのアラートを一元管理するため、マルウェアの微妙な兆候を発見しやすくなります。

セキュリティー・オーケストレーション・オートメーション・レスポンス（SOAR）プラットフォーム： SOARは、 異種のセキュリティー・ツールを統合・調整し、セキュリティー・チームがマルウェアにリアルタイムで対応するための半自動化または完全自動化されたプレイブックを作成できるようにします。

EDR（Endpoint Detection and Response）プラットフォーム： EDRは、 スマートフォン、ノートPC、サーバーなどのエンドポイント・デバイスを監視し、不審な動作の兆候を検出し、検知されたマルウェアに自動的に対応します。

XDR（Extended Detection and Response）プラットフォーム： XDRは、ユーザー、エンドポイント、電子メール、アプリケーション、ネットワーク、クラウド・ワークロード、データなど、すべてのセキュリティー層にわたってセキュリティー・ツールと運用を統合します。 XDRは、複雑なマルウェアの防御、検知、調査、対応プロセスを自動化し、問題が発生する前の脅威の検知を支援します。

攻撃対象領域管理（ASM）ツール：ASMツールは、組織のネットワーク内のすべての資産を継続的に検出、分析、修復、監視します。 ASMは、マルウェアを運ぶ可能性のある未承認のシャドーITアプリやデバイスをサイバーセキュリティー・チームが発見する際に役立ちます。

統合エンドポイント管理（UEM）：UEMソフトウェアは、デスクトップ、ノートPC、モバイル・デバイスなど、組織のすべてのエンドユーザー・デバイスを監視、管理、保護します。多くの組織がUEMソリューションを使用して、従業員のBYODデバイスが企業ネットワークにマルウェアを持ち込まないようにしています。