NotPetya（ノットペティア）
2017年6月27日散布のウクライナ標的型サイバー兵器。Maersk・Merck・FedEx等多国籍企業破壊・$10B被害。
概要
NotPetya（別名GoldenEye、ExPetr、Diskcoder.C、Microsoft分類Win32/Diskcoder.C.gen）は、2017年6月27日に散布された標的型サイバー兵器で、表面上はランサムウェア（暗号化+身代金要求）の体裁を取りながら、復号化不可能な設計のため実態は「破壊型ワイパー」（ハードディスク完全破壊型マルウェア）と分類される。ウクライナの会計ソフトM.E.Doc（Linkos Group社開発）の自動アップデート機能を経由したソフトウェアサプライチェーン攻撃として展開、5月のWannaCry事件で漏洩したNSAエクスプロイトEternalBlue+EternalRomanceを悪用して企業ネットワーク内で横方向に高速拡散、感染PCのMFT（Master File Table）+MBR（Master Boot Record）を暗号化破壊して二度と復元不可能にする設計。ウクライナ政府が標的とされた政治目的（2014年クリミア併合・2022年ウクライナ戦争関連）のロシアGRU（軍事情報総局）の関与が米英政府により公式特定（2018年2月、英国政府声明）、ロシア軍最高司令部のサイバー部隊Sandworm（旧称Sandworm Team/BlackEnergy/Voodoo Bear）の作戦と公表された。Maersk（デンマーク海運）$300M、Merck（米製薬）$870M、FedEx$300M、Mondelez（クラフト）$190M等の多国籍企業を巻き込み、累計被害額$10B（約1.5兆円）を達成、史上最大の破壊型サイバー攻撃として記録される。サイバー戦争の概念が学術的でなく現実的脅威として認識される転換点となり、その後のCISA・NCSC等のサイバー戦争対応戦略策定の起点として重要な歴史的位置づけ。
主な特徴・仕組み
- 種類: 破壊型ワイパー（表面はランサムウェア）
- 散布日: 2017年6月27日
- 感染源: ウクライナM.E.Doc会計ソフト自動アップデート
- 拡散方式: EternalBlue+EternalRomance（NSA漏洩）
- 暗号化対象: MFT（Master File Table）+MBR（Master Boot Record）
- 復号化: 不可能（設計上）
- 国家関与: ロシアGRU Sandworm（米英政府2018年公式特定）
- 政治目的: ウクライナ標的、2014年クリミア併合関連
- 累計被害: $10B（約1.5兆円）
- 主要被害企業: Maersk $300M、Merck $870M、FedEx $300M、Mondelez $190M
スペック比較表
| マルウェア | 散布年 | 種類 | 累計被害 | 国家関与 |
|---|---|---|---|---|
| NotPetya | 2017/06 | 破壊型ワイパー | $10B | ロシアGRU |
| WannaCry | 2017/05 | ランサム | $4B | 北朝鮮Lazarus |
| Stuxnet | 2010/06 | 産業破壊 | 物理破壊 | 米イスラエル |
| Shamoon | 2012/08 | ワイパー | $20M | イラン |
| Olympic Destroyer | 2018/02 | 破壊型 | $0（未遂） | ロシアGRU |
具体例・対応製品
- NotPetya 2017/06/27: ウクライナ会計ソフトM.E.Doc経由
- 被害 A.P. Moller-Maersk（デンマーク）: $300M、海運世界最大手
- 被害 Merck（米製薬）: $870M、医薬品供給遅延
- 被害 FedEx TNT（米物流）: $300M
- 被害 Mondelez International（米食品）: $190M
- 対策 Microsoft EternalBlueパッチ MS17-010（2017/03/14）: SMBv1脆弱性
- 対策 Microsoft Defender ATP: 振る舞い検知
- 公的特定 英国政府2018/02/15: ロシアGRU Sandworm関与
自作PCでの選び方・注意点
NotPetyaは現代のWindows 11/10では大幅に困難（EternalBlue MS17-010パッチ適用済み、SMBv1標準無効化、Defender ATP+EDR検知）。サプライチェーン攻撃対策として、ソフトウェアアップデート検証（SigCheck、ハッシュ値確認）、Restricted Admin mode、Lateral Movement監視（EDR）、ネットワークセグメント分離、マイクロセグメンテーション（Zero Trust Architecture）が標準的対策。NotPetya事件は2017年-2018年にサイバー保険業界に巨大インパクトを与え、「war exclusion clause」（戦争行為免責条項）の解釈で大手保険会社（Zurich Insurance）が支払い拒否、Mondelezが訴訟を提起する社会的議論を生んだ。サイバー戦争・国家関与攻撃の概念が経営層・法務まで浸透した重要な歴史的事件。
関連用語との違い
WannaCry ransomware（2017年5月12日、$4B）はNotPetyaの1ヶ月前に発生した同じくEternalBlue悪用ランサムだが、本物の暗号化+復号鍵保持で「営利型ランサム」と分類、北朝鮮Lazarus関連と特定。NotPetyaは表面ランサムを偽装した破壊型ワイパーで、ロシア政治目的と用途・国家関与とも全く異なる。Stuxnet（2010年6月、米イスラエル）はイラン核施設の物理破壊を目的とする標的型APTで、NotPetyaの「広範な経済破壊」とは目的が対照的。Shamoon（2012年8月、イラン関与）はSaudi Aramco標的のワイパー攻撃で、NotPetyaの祖先的位置づけ。
よくある質問（FAQ）
Q1: なぜランサムウェアではなく「ワイパー」？ A: 表面上は「身代金を要求する暗号化攻撃」を装っていましたが、技術的調査により復号鍵が生成されない設計と判明。攻撃者の目的は身代金獲得ではなくウクライナ・西側経済への破壊であり、ランサムは隠蔽工作でした。これにより「破壊型ワイパー」と分類されます。
Q2: M.E.Docサプライチェーン攻撃とは？ A: ウクライナLinkos Group社の会計ソフトM.E.Doc（ウクライナ事業者の80%が使用）の自動アップデート機能をハッキング、正規アップデート経由でNotPetyaを配布。ソフトウェアサプライチェーン攻撃の代表事例で、SolarWinds Sunburst（2020年12月）の3年前の前駆例です。
Q3: なぜサイバー保険問題に発展？ A: Mondelez International（米国食品大手）がZurich Insurance社に保険金請求した際、Zurichが「war exclusion clause」（戦争行為免責条項）を適用して支払い拒否。米英政府がロシア国家関与と認定したため「戦争行為」と分類されたためで、サイバー保険業界の根本的なリスク評価議論を引き起こしました。
まとめ
- 2017年6月27日散布・破壊型ワイパー（ランサム偽装）
- ウクライナM.E.Docサプライチェーン経由
- EternalBlue+EternalRomance悪用で横展開
- ロシアGRU Sandworm関与・ウクライナ標的
- 累計$10B史上最大破壊型サイバー攻撃