何が起きたのか：両陣営に加担した交渉人

企業がランサムウェア攻撃を受けたとき、真っ先に連絡する相手のひとつが交渉人だ。パニックに陥った被害者と犯罪集団の間に立ち、身代金の要求額を下げたり、復旧までの時間を稼いだりすることを任された、信頼のおける専門家である。その関係は完全に信頼の上に成り立っている。Malwarebytesの報道によれば、ある交渉人はその信頼を、考えうる限り最も有害な形で裏切った。被害者がBlackCatランサムウェア集団に対抗するのを助けるどころか、被害者のために進めているはずの交渉の内情を、密かに犯罪者側に流していたのだ。

その結果生まれた「ランサムウェア交渉人によるインサイダー脅威」のシナリオによって、被害者は数百万ドルの損害を被った。本来なら企業と攻撃者の間の防壁として機能すべき交渉人が、事実上、第二の攻撃者となり、しかも被害者の財務的な限界、法務戦略、支払い意思といった特権的な情報にアクセスできる存在になってしまったのである。これはインシデント対応の失敗として最悪の部類に入る。なぜなら、組織が費用を払って頼った安全策そのものを、負債へと変えてしまうからだ。

ランサムウェア・アズ・ア・サービス（RaaS）集団はいかにして信頼される仲介者を勧誘するのか

BlackCat（別名ALPHV）はランサムウェア・アズ・ア・サービス（RaaS）グループとして活動しており、マルウェアやインフラをアフィリエイトにライセンス供与し、アフィリエイトが攻撃を実行して利益を分配する仕組みをとっている。このビジネスモデルは、収益の取り分と引き換えに協力する人々のネットワーク構築に常に依存してきた。窃取した認証情報を販売する初期アクセスブローカーから、実際に暗号化ペイロードを展開するアフィリエイトに至るまで、あらゆる層が存在する。買収された、あるいは加担する交渉人は、そうしたネットワークの次の論理的な延長線上に位置する存在にすぎない。正規のインシデント対応エコシステムに潜り込み、犯罪組織が自力では決して入手できない情報を共有できる人間である。

だからこそ、この事例はBlackCat単体の話にとどまらない重要性を持つ。ランサムウェア集団は、侵害対応における最も弱い部分が、必ずしもファイアウォールや未パッチのサーバーではないことを、ますます理解しつつある。それは「人」であり、具体的には、セキュリティインシデントの最もストレスのかかる瞬間に被害者が信頼することを選んだ人間でありうる。信頼とアクセスを悪用するという同じ原則は、ランサムウェアやデータ恐喝の世界の至る所で見られる。たとえばShinyHuntersによる欧州評議会人事システム侵害のような事例でも、攻撃者は一度侵入経路を確保すれば、いかに効果的に内部アクセスを活用できるかを改めて示している。

これが侵害被害者の攻撃対象領域を拡大させる理由

ほとんどの組織は、ランサムウェアのリスクを自社ネットワークの観点で考える。エンドポイント、サーバー、バックアップ、従業員教育といった要素だ。しかし、攻撃がすでに始まった後で呼び込むベンダーやコンサルタントがもたらすリスクについて考える組織は、はるかに少ない。しかし交渉人は、フォレンジック調査官や侵害対応コーチと同様に、危機的状況にある企業が持つ最も機微な情報にアクセスできる立場にある。被害者が支払いを予定している身代金の金額、実際にどのデータが盗まれたのか、そして公表を避けるために組織がどれほど必死になっているか、といった情報だ。

そのアクセスが悪用されれば、被害はさらに深刻化する。被害者は身代金そのものによって金を失うだけでなく、交渉におけるあらゆる交渉力を失う。なぜなら、話し合いが始まる前に、すでに犯罪組織側にこちらの最終ラインが筒抜けになっているからだ。この事例は、インシデント対応のサプライチェーンにも、他のベンダー関係と同じ厳格な精査が必要であり、しかるべき役職に就いているというだけで、危機下における信頼を当然のように前提とすべきではないことを、改めて思い起こさせる。

危機が訪れる前にインシデント対応者と交渉人を審査する方法

ランサムウェア交渉人やインシデント対応企業を審査する最適なタイミングは、攻撃が起きる前であり、時間的プレッシャーによって入念なデューデリジェンスがほぼ不可能になる最中ではない。組織は以下の具体的な手段を講じることができる。

  • 当該企業の実績を確認し、同様のインシデントを経験した過去の顧客からの推薦を求める。
  • 当該企業が自社スタッフをどのように審査しているか、身元調査や、交渉内容にアクセスできる人物に関する内部統制について尋ねる。
  • あらゆる交渉において、単一の窓口だけに頼るのではなく、文書化され監査可能なコミュニケーションログを要求する。
  • 社外の法律顧問や第二のセキュリティアドバイザーを関与させ、身代金の金額や支払いのタイミングといった主要な決定を独立して検証する。
  • そうしたベンダーとの関係や契約を、インシデント対応リテイナー（顧問契約）の一環として事前に構築しておき、侵害の最中に慌てて支援を探すような事態を避ける。

これがあなたにとって意味すること

あなたの組織にランサムウェア対応計画があるなら、この事例は、実際にその計画に誰が含まれているのか、そしてその人物をどれだけ熟知しているのかを再検討する良いきっかけとなる。ランサムウェア交渉人によるインサイダー脅威は稀だが、その結果は極めて深刻であるため、事前にある程度の審査を行う努力に見合う価値がある。同じ理屈は、侵害時に特権的なアクセス権を持つあらゆる第三者にも当てはまる。フォレンジック調査官、法律顧問、広報企業のいずれも、新しいソフトウェアベンダーに適用するのと同じ精査に値する。

重要なポイント

  • インシデント対応企業や交渉企業は、スタッフの身元調査や推薦確認を含めて、危機が訪れる前に審査する。
  • 一人の信頼する個人に依存するのではなく、すべての身代金交渉について文書化され監査可能なログを要求する。
  • 第三者の対応者を単なる防御側ではなく、自社の攻撃対象領域の一部として扱う。
  • ランサムウェアや恐喝グループが、初期アクセスから最終交渉に至るまで、侵害のあらゆる段階で信頼を悪用する手法について、常に最新情報を把握しておく。