信頼されていたインサイダーが自らのクライアントを裏切る

企業がランサムウェアの攻撃を受けた場合、通常は交渉担当者を呼びます。攻撃者との連絡、状況の評価、被害の軽減を試みるのがその役目です。この関係は完全に信頼の上に成り立っています。インシデント対応企業であるDigitalMintの元交渉担当者が、その信頼が破られたときに何が起こるかをまさに示しました。

41歳のアンジェロ・マルティーノは、被害者の利益を代表するはずの交渉担当者として働きながら、BlackCatランサムウェアグループ（ALPHVとしても知られる）と共謀したとして、連邦刑務所で70ヶ月の懲役刑を言い渡されました。Help Net Securityの報道によると、マルティーノは依頼人を純粋に守るのではなく、その立場を利用して、依頼人が撃退しようとしていたまさにその犯罪者たちに情報を流していたとのことです。この事件は、DigitalMint交渉担当者の70ヶ月の刑に関する以前の報道でさらに詳しく取り上げられており、ほとんどのランサムウェア被害者が考えもしない脅威、つまり自分たちを守るために雇った人間が脅威になるというケースを浮き彫りにしています。

ランサムウェア交渉担当者が極めて機密性の高いデータを握る理由

ランサムウェア交渉担当者は、極めて特権的な立場にあります。その仕事を効果的に行うためには、通常、被害組織の内部のほとんどの従業員でさえ目にすることのない詳細情報へのアクセスが必要です。侵害の範囲、どのデータが盗まれたか、企業がどの程度のサイバー保険に加入しているか、そして企業が現実的に支払う意思または能力がある金額などです。こうした情報は攻撃者にとっては金の鉱脈です。例えば、被害者の保険限度額を知っていれば、ランサムウェアグループは身代金要求額を調整し、支払い可能な最大額を搾り取ることができます。

まさにこの点が、プライバシーの観点からマルティーノの事件を注目すべきものにしています。これは、外部のハッカーが企業のシステムに侵入したケースではありません。機密性の高いアクセス権が役割上必要とされるために特に招き入れられたインサイダーが、そのアクセス権を、彼を雇った人々に対して悪用したとされるケースなのです。インシデント対応や交渉を専門とする企業が存在するのは、ほとんどの組織がランサムウェアの危機に内部だけで対処する専門スキルを持たないからです。外部の専門家に頼るのは合理的で、しばしば必要なことですが、それは同時に、被害者がその信頼が正当なものかを独自に検証する最小限の能力しか持たないまま、第三者に信頼を委ねていることも意味します。

ランサムウェアを取り巻くエコシステム全体では、すでに被害者は困難なプライバシー上のトレードオフを強いられています。身代金を支払っても盗まれたデータが削除される保証はなく、誠実に交渉するということは、相手方だけでなく、助言を与える側の全員も誠実に行動していると前提しています。このような事件は、その前提を揺るがし、被害者が自分たちを助けるはずの専門家に対して情報を完全に開示することをより躊躇させ、最も重要な瞬間にインシデント対応を遅らせる可能性があります。

これがあなたにとって意味すること

ほとんどの読者は個人的にランサムウェア交渉担当者を雇うことはないでしょうが、根底にある教訓は広く当てはまります。つまり、機密データにアクセスするサードパーティベンダーは、そのベンダー組織内部の最も弱い部分と同じだけしか信頼できないということです。法律事務所であれ、インシデント対応の委託業者であれ、クラウドプロバイダーであれ、個人情報や財務情報を扱う企業であれ、その関係の安全性は、外部からは見えない内部統制にかかっています。

企業にとって、この事件は、ランサムウェアインシデントの発生前および発生中に厳しい質問をするよう促す教訓です。交渉企業の誰が保険の詳細情報や支払い権限にアクセスできるのか？ 単独の従業員が監督なしで脅威アクターと直接連絡を取ることを防ぐ内部統制があるか？ 会話は記録され、レビューされているか？ これらは、危機の最中にほとんどの企業が考えつく質問ではありませんが、侵害が発生する前にこそ、デューデリジェンスの一環として行うべき質問なのです。

個人にとっての教訓は、より間接的ですが、それでも重要です。取引のある企業がランサムウェア攻撃を受けた場合、そのインシデントの処理、つまり交渉中に誰があなたの漏洩したデータにアクセスするかは、ほとんどあなたの制御の及ばないところです。だからこそ、そもそも単一の組織と共有する機密性の高い個人データの量を最小限に抑え、パスワードマネージャーや多要素認証などのツールを使用して、一度の侵害がより広範なアカウント侵害に連鎖しないようにする、もう一つの理由になります。

インサイダーリスクに先手を打つための要点

今回の判決は、ランサムウェア対応中のインサイダーによる裏切りには深刻な法的結果が伴うという明確なシグナルを送るものですが、事後の処罰よりも予防が重要です。もしあなたの組織がインシデント対応や交渉の企業と連携しているなら、文書化されたアクセス制御、交渉の独立した監視、明確な契約上の説明責任を強く求めましょう。もしあなたが、信頼していた企業での侵害によって影響を受けた個人であれば、通知を真摯に受け止め、使い回したパスワードを変更し、その組織に関連付けられたアカウントを監視してください。

マルティーノの事件は、ランサムウェア交渉の分野で今後何年にもわたって戒めの例として引用されるでしょう。他のすべての人にとっては、危機における信頼は得て証明されるべきものであり、当然と見なすべきではないという有益な教訓です。