近年隆盛と猖獗を極めるランサムウェアだが、その歴史は古い。世界で最初のランサムウェアは 1984 年に登場、C ドライブのファイルを暗号化し、200 ドル弱の支払を要求するもので、こんな脅しに応じる者はもちろんほとんどいなかった。
以降、長らくランサムウェアは、ぱっとしないサイバー攻撃手段として長い下積み時代を過ごす。転機となったのは新しい決済手段の採用。決済に仮想通貨を用いることで、足がつく危険性が減り、WannaCry のアウトブレイク等を経て、大物企業を狙う手法や、データを一般に公開すると二重に脅す手法、代理店制度採用など、いまや「ゴールドラッシュ」と呼ばざるを得ない状況を迎えた。
ランサムウェアの特徴のひとつにコミュニケーションがある。
大物企業を狙う「ビックゲームハンティング」においては、身代金要求に応じる意思はあるものの、いかんせんパソコンやデジタルに詳しくないおじいちゃん企業向けに、犯罪者側がコールセンターを設置し懇切丁寧に支払い完了までアドバイスを行う例がある。二重恐喝を行う犯罪者においては、専用の情報発信サイトを開設したり、ときに報道機関向けのプレスルームまで準備して、犯罪行為を積極的に劇場化する。とにかく犯罪者は饒舌だ。
これと付随したランサムウェアのもうひとつの特徴が「最後の最後まで主導権が被害者側にも存在する」点である。いつの間にか ID とパスワードを窃取されて預金をおろされてしまうフィッシングであったり、いつの間にか知財や顧客情報を盗られるなど、通常のサイバー攻撃は気づいたときすでに犯行は終わっているかまたは進行しており、そこから打てる手は限られている。ランサムウェアも、打てる手は限られているものの、被害者が最後の瞬間まで「払わない」という決定的カードを持ち続ける。
だから、せっかく一度は払う気になった被害者が、土壇場になって突然雷に打たれたように「たとえ損害が発生しても卑劣な犯罪になど我が社は屈しない」等の心変わりをすることがないように仕向け続けなければならない。そこでコミュニケーションや雰囲気作りが重要になる。
バックアップが普及したことが二重恐喝が行われるようになった理由のひとつだが、「顧客」に身代金を支払っていただく気持ちに、短時間でなっていただくための雰囲気作りという目的も一方で存在する。つまりランサムウェア犯が饒舌なのは、被害者側の協力がなければ犯行が成就しえないという犯罪者側の不安の表れでもある。饒舌に語り続けることで注意をそらし「顧客」が静かに立ち止まってものを考える機会を減らす。
サイバー犯罪の中でも珍しい「被害者が持つ主導権」の中身とは、言うまでもなく本ホワイトペーパーのタイトルともなっている「払うか、それとも払わないか」という選択権そのものだ。ハムレットの問いかけ同様、正しい答えが存在しない。この問いは、究極のところ、その企業がどういう会社になりたいかという意思決定をしなければ回答できず、セキュリティ企業が決められることではない。セキュリティの知識や技術は参考にされたり役に立つことはあっても、判断の主要な根拠とはならないことすらあるだろう。
ランサムウェアに関するホワイトペーパーを出すだけでもリスクと冒頭で書いた。被害発生初期の頃は「ランサムウェア対策」をおおらかに謳った製品やソリューションが喧伝されたものだが、2021 年 6 月現在、これほど毎日のようにランサムウェア感染のニュースが飛び交う現状になって、そんなことが言えるのは、ごく一部の、深い知見やインテリジェンス、総合的技術力を持つ企業に限られるようになった。以前ソウルでランサムウェア対策サービスを提供する企業を取材したことがあるが「うちは一度も訴訟を起こされたことがないんですよ」と担当者が自信ありげに胸を張ったが、彼の地ではセキュリティ製品を売って感染や事故が起こると、怒った顧客から裁判を起こされることが珍しくないらしい。
本ホワイトペーパーにはランサムウェア対策を謳う製品やソリューションのたぐいは登場しない。そうではなく、不幸にしてランサムウェアに感染し、リークサイトで派手にカウントダウンがスタートするような憂き目に遭ってしまい、仕方なく払うか払わないかを企業が検討する際に、必ず対策会議や取締役会で俎上にあがる重要ポイントを紹介する内容である。俎上の鯉は何度も跳ねる。
たとえばそのひとつは、身代金要求に応じることは反社会的勢力への金銭供与となりはしないか、企業として法的に許されるのか、という「法的観点」である。上場企業が特に憂慮するポイントだ。本ホワイトペーパーは企業が支払うかどうかを検討する際に絶対に避けて通れないこうしたポイントを列挙し、その議論の導入部分を提供するものである。ランサムウェアの被害に直面することを事前に想定し、技術対策以外の備えをもなそうとする賢明なユーザー企業は、本資料に目を通しておいて損はないだろう。
先に書いた通り、ランサムウェア犯は饒舌に語り続け注意をそらし「顧客」が静かにものを考える機会を奪う。このホワイトペーパーは、事態が起こる前に静かに立ち止まってものを考える機会を提供する。ダウンロードして目を通し、ローカルフォルダに置いたり、あるいはプリントアウトしておく。そんな行動をとるだけで、いざという時にたとえベストではなくても、いくらかましな、もっといえばベターな選択をとれる可能性が高まるかもしれない。それはあなたが本資料から何を読み取るかによる。
「ランサムウェア攻撃の身代金 － 払うべきか払わざるべきか」
SentinelOne Japan株式会社（2021年5月／PDF形式／14ページ／1.38 MB）
目次
p3. ランサムウェア攻撃を止めるために身代金を支払うことは違法か？
p5. ランサムウェアの要求に応じることは倫理的に正しいのか？
p7. ランサムウェアの要求に応じるのが賢明か？
p9. ランサムウェア攻撃の要求を支払わないとどうなる？
p11. ランサムウェア攻撃に身代金を払うとどうなる？
p14. まとめ
＞＞ レポートDL ( 無料・要登録 )
![ランサムウェアの歴史と未来 － 世界最初のランサムウェアはフロッピーを郵送？（ESET）[Security Days Spring 2017 レポート] 画像](/imgs/p/2w5IdCqve0mMIzS4K5kC-28IDAerBQQDAgEA/21964.jpg)
