「身代金を支払う」のは得か損か？　ランサムウェア攻撃で迫られる苦渋の選択：ランサムウェア攻撃者との交渉ガイド【後編】

　ランサムウェア攻撃の際には経営陣は身代金を支払うコストと、支払わずに自力で復旧できるかどうかを、“てんびん”にかけなければならなくなる。考えなければならないのは、回復に要する時間とコスト、失われたデータの価値と業務停止時間の影響などだ。契約しているサイバー保険の内容も、交渉するかどうかの判断を左右する。

　企業が身代金を支払わないとしても、攻撃者との交渉にメリットがある場合もある。交渉には少なくとも24時間、通常はそれ以上の時間を要するが、これは被害状況を調査できる時間として貴重だ。法律事務所Clark Hillでサイバーセキュリティ、データ保護、プライバシー領域を統括するメリッサ・K・ベントローネ氏をはじめとする専門家によれば、この間に復号キーを他の方法で入手できるか、バックアップファイルが十分か、身代金を支払わずに復旧できるかを判断できるという。

ランサムウェア交渉のメリットとは？

　攻撃を受けた企業が攻撃者と交渉するメリットもある。メリットの例として以下が挙げられる。

ランサムウェア交渉の危険性は？

　攻撃者集団とあえて交渉に臨むなら、そのデメリットについても十分に理解しておく必要がある。米国サイバーセキュリティ・インフラセキュリティ庁（CISA）によれば、交渉には以下のような重大なリスクが伴う。

　倫理的な問題も議論の対象となる。ベントローネ氏が挙げるのは「金が犯罪者の手に渡る」ことだ。「われわれは、身代金の支払いが本当に検討に値することなのか、可能な限りクライアントと話し合うようにしている」（同氏）

対ランサムウェア交渉戦略

　CISAは、FBI、国家安全保障局（NSA）、多州間情報共有・分析センター（MS-ISAC）と連携し、対ランサムウェア攻撃の指南書を作成している。インシデント時の以下の主要フェーズにおいて、被害を受けた企業が取るべき対応を助言している。

　弁護士、セキュリティの専門家、プロの交渉人たちは、対ランサムウェア交渉で実際に目にしたり用いられたりした戦術について詳細は明かさない。だが、彼らは「交渉は目標を絞り込むべきだ」と言う。カロン氏によれば、単に身代金の減額を目標とするのではなく、攻撃者集団が狙ったデータの詳細を聞き出し、データ盗難の証拠を入手することも交渉の重要な目的だ。「攻撃者集団の正体や所在、さらには将来の被害者を救うのに役立つ情報の収集も試みるべきだ」と同氏は指摘する。

　カロン氏は「交渉人はランサムウェアグループに対し、暗号化されたファイルを復号できる能力があることを示すよう働き掛けるべきだ」と述べる。加えて、被害者側に有利となるよう交渉のペースを調整する戦略も使う。例えば、業務再開を急ぐ場合は迅速に進め、調査のための時間を稼ぎたい場合には意図的にゆっくり進める。

対ランサムウェア交渉の成功確率

　CISAをはじめとする関係機関は、攻撃者集団がどのような約束をしたとしても、犯罪者と交渉して身代金を支払っても、期待した通りの結果が得られるとは限らないと警鐘を鳴らす。

　一方で、利益の面から評判を気にする攻撃者集団もいるようだ。ベントローネ氏とカロン氏によれば、身代金交渉をした被害者は多くの場合、支払った金額に見合った成果を手に入れ、再び標的とされることは少ないという。

　「攻撃者集団の多くは、一度身代金を受け取れば再度攻撃することはない。これは彼らにとって重要な『評判』の問題なのだ。彼らは約束を守れば、『将来の被害者』も身代金を支払うだろうと期待している」（ベントローネ氏）