法執行機関がカーテンの裏を覗いたとき

2024年2月、国際的な法執行機関の連合が、近年最も活発なランサムウェア活動のひとつであるLockBitの背後にあるインフラを解体しました。調査員がLockBitのシステムにアクセスした際に見つけたのは、単なる犯罪活動の証拠だけではありませんでした。彼らが発見したのは、同グループが被害者に対し、しばしば身代金の支払いと引き換えにデータを削除したと伝えた後も、盗んだ被害者データのコピーを保持し続けていたという事実です。

このひとつの詳細は、一見した以上に遥かに重要な意味を持っています。長年にわたり、ランサムウェア攻撃を受けた組織の標準的な対応策には、静かで不愉快な選択肢が含まれていました。すなわち、身代金を支払い、攻撃者から削除の約束を得て、先に進むというものです。今回のLockBitの暴露は、多くのセキュリティ研究者が長らく疑っていたことを裏付けています。その約束はしばしば無価値であり、被害者にはそれを知る術がほとんどないのです。

被害者が伝えられることと実際に起こることの隔たり

ランサムウェアの交渉は通常、インシデント対応企業、保険会社、あるいは被害組織自身によって非公開で行われます。犯罪グループが盗んだファイルを削除したと主張しても、その主張を独自に検証する手段はほとんどありません。被害者は、そもそもシステムに侵入しデータを盗んだ張本人の言葉を信じるよう求められるのです。

LockBitの事例は、なぜその信頼が誤っているのかを示しています。犯罪組織が、交渉ポータルや削除証明書を備えた、いわば「顧客サービス」を被害者向けに運営できるほど洗練されていても、貴重な盗難データを実際に破棄する根本的なインセンティブは存在しません。データには転売価値、交渉の梃子としての価値、そして将来の恐喝価値があります。削除することは攻撃者自身の利益に反するのです。

この断絶が、侵害発表のようにニュースの見出しを飾ることはほとんどありません。問題をなかったことにするためにひそかに支払いを行う企業には、削除の約束が守られなかったと公表する理由はほとんどなく、ましてやそれに気づかなければなおさらです。その沈黙が、好ましくない結果が公の記録以上に頻繁に起こっている理由の一端を担っています。LockBitのインフラが摘発されたことで、約束と現実のギャップがようやく可視化された数少ない事例の一つとなりました。これは、GoogleがCCP関連のハッキングネットワークを阻止した事例が、影響を受けた組織からは隠されたままだったはずの活動の幕を引いたのとよく似ています。

これがランサムウェアに対する組織の考え方を変えるべき理由

実際的な教訓は、身代金の支払いが常に誤った選択であるということではありません。インシデントにはそれぞれ法的、運用的、財務的なプレッシャーがあり、支払いが最もマシな選択肢と判断する組織もあるでしょう。教訓は、支払いをデータ漏洩問題の解決策として決して扱うべきではないということです。

一度データが組織の管理下を離れたら、その後にどんな保証があったとしても、永久に侵害されたものとして扱うべきです。つまり、通知義務、顧客への連絡、リスク評価は、盗まれたデータが依然として流通している前提で進める必要があるのです。支払い後のクリーンな解決を前提とするサイバー保険やインシデント対応計画は、時代遅れで、ますます信用を失いつつある前提に基づいています。

これはあなたにとって何を意味するか

ランサムウェア攻撃に関連した侵害で自分のデータが巻き込まれた可能性のある個人にとって、LockBitの暴露は、企業がインシデントは「解決済み」と発表したからといって警戒を緩めてはならないことを思い出させてくれるものです。犯罪者からの削除の約束は保証ではなく、あなたの情報はニュースの見出しが消えた後もずっと露出したままかもしれません。

企業、特に専任のセキュリティチームを持たない中小企業にとっては、これは交渉よりも予防を重視すべき事例です。強固なバックアップ習慣、ネットワークのセグメント化、基本的なエンドポイントの衛生管理は、恐喝者の言葉に頼らざるを得ない立場に追い込まれる可能性を減らします。個人用や仕事用のアカウントがどのように保護されているか、機密性の高いトラフィックが安全な接続経由でルーティングされているかどうかなどを確認することは、妥当な出発点です。一部の組織では、IVPNやMozilla VPNといったプロバイダーを比較するページにあるような選択肢を、露出を減らす幅広い取り組みの一環として検討しています。もちろん、単一のツールで完全なセキュリティ戦略の代わりになるものではありません。

実践的なポイント

  • 削除の約束がなされたとしても、ランサムウェア攻撃で盗まれたデータはいつまでもリスクに晒されるものと想定する。
  • 身代金の支払いを、完全な侵害通知や顧客保護策の代わりにしない。
  • 攻撃者への支払いが唯一の選択肢にならないよう、バックアップとネットワークセグメンテーションを優先する。
  • 自分のデータが侵害に巻き込まれたと通知されたら、当初の発表からかなり経った後も、アカウントや信用レポートを監視する。
  • 自分のデータを扱うあらゆる組織に対し、身代金を支払ったかどうかだけでなく、ランサムウェアインシデントにどう対応するかについて透明性を求める。

LockBitの摘発は、犯罪者がもはやストーリーをコントロールできなくなった後、サイバー恐喝が実際にどのように展開されるかを、稀に見る形でフィルターなしに垣間見せてくれました。削除の約束を、敵対的行為者による未検証の主張としてではなく事実として扱うことで、あまりにも多くの被害者が誤った終結感を抱いてきました。懐疑的であり続け、備え続けることが、依然としてより優れた長期的戦略です。