信頼された内部関係者が共犯者に

企業がランサムウェアの被害に遭うと、攻撃者との微妙でリスクの高い会話を扱うため、専門の交渉担当者に頼ることがよくあります。これはまさに、41歳のアンジェロ・マルティーノがDigitalMintで果たしていた役割そのものでした。同社は組織がランサムウェアインシデントに対応し、身代金の支払い交渉を代行するのを支援する企業です。マルティーノは進行中の侵害事案に投入され、本来なら被害者を守る側の立場に立っていました。

ところが、裁判記録によると、マルティーノは近年悪名高い恐喝組織の一つであるBlackCat（ALPHVとしても知られる）ランサムウェアグループのアフィリエイトと密かに協力していたのです。顧客の利益を守るどころか、被害者に代わって行うはずの交渉の内部から、機密情報を攻撃者に流していたとされています。その内部情報により、ギャングはより高額な支払いを引き出すことができ、複数の事案で被害組織から搾り取られた総額は約7500万ドルに上ったと報じられています。マルティーノは有罪を認め、連邦刑務所で70か月の刑を言い渡されました。

このスキームがランサムウェア交渉をどう蝕んだか

ランサムウェア交渉が存在するのは、攻撃を受けた企業が犯罪グループとのコミュニケーションや脅迫の信頼性評価、身代金支払いの妥当性判断に必要な専門知識を欠いていることが多いからです。DigitalMintのような企業は、経験を活かして要求額を減額させ、データ復旧能力を検証し、被害者が二重に搾取されるのを防ぐ防火壁の役割を果たすべき存在です。

マルティーノの事件は、そのモデルを根本から覆します。進行中の交渉から、顧客の内部情報、財務的な限界点、被害者の交渉材料の状況といった機密詳細を漏洩することで、BlackCatのアフィリエイトに最大限の支払いを迫るための手の内を明かすことになったのです。これは、マルティーノと雇用主の間だけでなく、雇用主と、危機対応チームが自分たちのためだけに動いていると信じていた全ての顧客との間の、深刻な信頼の裏切りです。

この種の内部者による共謀は、ランサムウェアの被害者がすでに脆弱な立場にあるからこそ、特に有害です。被害者は、機密データ、業務停止期間、規制上のエクスポージャーについて迅速な決断を迫られるプレッシャーにさらされています。InstructureがCanvas侵害後に身代金を支払った事例が示すように、組織は支払いが利用可能な中で最も被害の少ない選択肢だと判断する場合があります。その判断を扱う交渉担当者が被害者に不利に働く金銭的動機を持っている場合、支払いを正当化する計算全体が損なわれてしまいます。

この事件が企業にとってより大きなプライバシー懸念を引き起こす理由

ここでのプライバシーへの影響は、直接的な金銭的損失をはるかに超えます。ランサムウェア交渉では通常、盗まれたデータの範囲、内部のセキュリティ評価、役員間のコミュニケーション、企業が支払いに応じる用意のある金額の詳細など、極めて機密性の高い情報が共有されます。被害者は、こうした情報が信頼できる対応者の厳格に管理されたサークル内に留まると想定して共有します。

マルティーノの行動は、インシデント対応のエコシステム自体が障害点になり得ることを示しています。侵害後にあらゆる正しい手順を踏んだ組織、つまり評判の良い企業を雇い、推奨プロトコルに従い、法執行機関に協力したとしても、内部からデータと交渉上の立場が損なわれる可能性があるのです。これは、ShinyHuntersがCanvas身代金キャンペーンで学校ポータルを改竄した際のエスカレーション戦術に見られるような、世間の恥とデータのテコを使って解決を迫る攻撃者の圧力戦術と鏡映しです。

これがあなたにとって意味すること

あなたの組織がランサムウェアグループとの交渉に直面した場合、この事件は、ベンダー選定プロセスがサイバーセキュリティツールと同様に精査に値することを思い起こさせます。候補となる交渉企業に、内部統制、従業員の身元調査、アクティブな事案において顧客データがどのように区分・監視されるかを尋ねてください。交渉の詳細に誰がアクセスできるのか、攻撃者とのコミュニケーションに関して誰かがチェックされない権限を持っていないかについて、明確さを求めてください。

広範なベンダーデューデリジェンスにリソースを割けない個人や小規模事業者にとっての教訓は、より広いものです。そもそも露出し得る機密データを最小限に抑えることです。強力なバックアップ習慣、ネットワークセグメンテーション、容易にアクセスできるシステムに保存する個人情報や財務データの量を制限することで、ランサムウェアグループや侵された内部者があなたに対して持つレバレッジを減らせます。

主なポイント

  • 機密データを扱うあらゆるベンダーに適用するのと同じ厳格さで、インシデント対応や交渉の企業を精査する。
  • アクティブなランサムウェア事案の最中、交渉企業が従業員のアクセスを内部的にどう監視・監査しているかを尋ねる。
  • 妥協されやすいシステムに保存される機密データの量を減らす。露出が少なければ、攻撃者や内部者にとってのレバレッジも小さくなる。
  • ランサムウェア交渉は、第三者に完全に委ねられるブラックボックスではなく、独自の監督が必要な決断として扱う。

マルティーノの事件は、ランサムウェア対応業界における内部者の裏切りとしては稀ですが深刻な事例です。これは交渉企業が広く信頼できないということを意味するわけではありませんが、信頼は当然視するのではなく検証されるべきだということを強調しています。特に、企業の最も機密性の高い侵害の詳細がかかっている場合にはなおさらです。