オークション開始前に表明された拒否

ほとんどのランサムウェア被害は、攻撃者がデータを窃取し、リークサイトへの掲載を発表し、その後ようやく被害組織が公に反応する、というおなじみの流れをたどる。ベルリン州政府はそのパターンを破った。この事件の報道によると、ベルリン時間午後3時39分、恐喝者らが公に主張を投稿する前に、カイ・ウェグナー市長とベルリン内務・スポーツ担当上院議員のイリス・シュプランガーは共同声明を発表し、身代金の支払いを拒否した。その同じ午後、犯行グループはベルリン州機関のデータ5.79テラバイトとされるものをオークションにかけると発表した。

この順序は重要だ。ベルリン当局は、恐喝未遂がどう展開するか、あるいは世論の圧力が高まるかを待つことはなかった。彼らは先制的に立場を表明し、攻撃者が公開の暴露をちらつかせて得ようとしていたであろう交渉材料を事実上排除した。これは、ベルリンがランサムウェアの要求を完全に拒否した決定で既に注目を集めているこの事件における、小さくとも示唆に富む詳細である。

ライシダとは何者か、何が持ち去られたのか

この攻撃の背後にいるのは、政府および公共部門のネットワークを標的としてきたランサムウェア集団ライシダである。ベルリンのケースでは、市の行政システムへの侵入は即座に検知・封じ込めされなかった。この事件の経緯に関する報道によると、検知から封じ込めまでの約7日間のギャップにより、ライシダは接続が最終的に切断されるまでに、5.79テラバイトのデータ全体を外部に持ち出すのに十分な時間を確保した。不審な活動を察知してから実際に遮断するまでのこの時間帯は、ランサムウェア事件が封じ込めから壊滅的な事態へと移行する境目となることが多い。

ベルリンが支払わないと明確にした後、ライシダは脅しを実行した。グループは窃取したデータをオークションに出品した。これは、もはやシステムの暗号化だけに依存しないランサムウェア運営者の間でますます一般的になっている戦術である。その代わりに、先に機密データを窃取し、被害者が支払いを拒否した場合にそれを売却または公開すると脅す。このモデルはしばしば二重恐喝と呼ばれる。窃取データのオークションはさらに複雑な要素を加える。それは、元の被害者だけでなく、あらゆる買い手に門戸を開くものであり、単純なリークよりも多くの手に情報が渡る可能性がある。

なぜ政府は「ノー」と言うことが増えているのか

ベルリンの拒否は、公共部門の間でのより広範な傾向に合致する。身代金を支払っても、窃取されたデータが実際に削除される保証はなく、攻撃者が再度の支払いを求めて戻ってこないという保証もない。また、特定の都市や機関が交渉に応じる用意があるというシグナルを他の犯罪グループに送るリスクもあり、将来の攻撃を招く可能性がある。州政府にとってはさらなる考慮事項がある。犯罪組織への支払いに公的資金が使われれば監視の対象となり、また、身代金の支払いを全面的に思いとどまらせる国や地域の指針と矛盾する可能性もある。

ベルリンの拒否は、オークションの出品が公開される前に行われたが、これは当局が恐喝未遂が公になるずっと前に立場を固めていたことを示唆している。この種の準備態勢、すなわち事件がエスカレートする前に対応計画を用意しておくことは、セキュリティ専門家が長年にわたってあらゆる規模の組織に採用するよう促してきたことである。

あなたへの示唆

ほとんどの読者は政府ネットワークを管理することはないだろうが、ベルリンのケースはそれでも実用的な教訓を提供する。あなたが利用するサービスが、市の機関であれ、医療提供者であれ、企業であれ、ランサムウェア攻撃を経験した場合、その組織の対応はしばしばここで起こったことを反映する。すなわち、支払い拒否、そしてその後の窃取データの販売やオークションへの出品である。つまり、通知書や信用監視サービスの案内、あるいは情報漏えいの開示が届くのは、実際の窃取からかなり後になる可能性があり、封じ込めがどれだけ速かったかに応じて、数日から数週間後になることもある。

同様の侵害の影響を受ける可能性のある政府や機関のシステムとやり取りするならば、自分の情報が既知のデータ流出に含まれていないか定期的に確認し、予期しない通知メールや電話については、公式チャネルを通じて確認できるまでは注意して扱う価値がある。

重要なポイント

ベルリンがライシダの身代金要求を、グループがオークションを開始する前に拒否する決定を下したことは、公共機関が恐喝未遂にどう対処しているかの変化を浮き彫りにしている。すなわち、早期に決定し、明確に伝達し、攻撃者の次の動きを待たない、ということだ。一般の読者にとって、この事件は、ランサムウェアの影響がしばしば段階的に展開することを思い出させる。検知、封じ込めの遅延、拒否、そしてその後のデータ販売である。そして、取引のあるあらゆる組織に関連する侵害通知に常に注意を払うことが、自分自身を守る最も簡単な方法のひとつであり続ける。影響を受けたシステムに関連があるならば、ベルリン州機関からの公式発表に注目し、依存する組織がランサムウェア事件に見舞われるたびに、個人情報を積極的に監視することを検討してほしい。