ランサムウェア復旧企業は、犯罪者に身代金を支払うことなく暗号化されたファイルを救出できる高度な技術を約束している。それはまるでジェダイ級の専門技術のように聞こえる。最近のSecurity Boulevardの報道によると、連邦検察官はMonsterCloudの秘密兵器は高度な復号技術では全くなかったと主張している。この事件は、正規のランサムウェア復旧企業と過大な約束をする企業をどう見分けるかを疑問に思ったことがある人にとって、有用な手がかりとなる。
出典に関する注記：私たちが確認した報道は簡潔であり、以下の詳細はそこに記載されている内容に限定されている。これらは主張であり、有罪の認定ではない。私たちはソース資料から裁判所、提出日、事件番号を入手していないため、一次記録を求める読者は元のSecurity Boulevardの記事と連邦裁判所のドケットを直接参照されたい。
検察がMonsterCloudが実際に行ったと主張する内容
「These Aren't the Decryption Keys You're Looking For」と題されたSecurity Boulevardの記事によると、連邦検察官はMonsterCloudの秘密兵器は高度な復号技術ではなかったと主張している。同社は、被害者が攻撃者に支払うことなく暗号化されたファイルを復旧できると自らを宣伝していた。
私たちが入手したソースの抜粋は、検察が同社が代わりに何をしたと主張しているかを説明する前に途切れているため、その仕組みについて推測はしない。報道が確立しているのは、検察が指摘するギャップである：一方には宣伝された能力があり、他方には実際の手法が別のものであったという主張がある。
MonsterCloudにはこれらの主張に異議を唱える権利があり、裁判所が別途判断を下すまで、読者はこの事件を未解決として扱うべきである。
「身代金なし」復旧主張の検証が難しい理由
ランサムウェアの被害者は、ベンダーの技術的主張を確認できる立場にあることはほとんどない。彼らは通常、重要なシステムから締め出され、時間的プレッシャーにさらされ、会ったこともない人々と対応している。この組み合わせがマーケティングの文言を非常に説得力のあるものにする。
検証を困難にするいくつかの要素がある：
- 復号は不透明である。 ファイルが戻ってきたとしても、被害者は通常その方法を知ることができない。ベンダーは独自の手法を説明できるが、顧客にはそれを検査する方法がない。
- 外部から見た結果は同一に見える。 復旧されたデータは、技術的な修正から来たものでも、回復されたバックアップから来たものでも、別の経路から来たものでも同じに見える。
- 緊急性が精査を抑制する。 ダウンタイムは毎時間コストがかかるため、詳細な質問をすることは贅沢に感じられることがある。
- 秘密主義が売り込みに組み込まれている。 「独自」技術は、何も説明しないもっともらしい理由である。
これはすべての復旧企業が疑わしいという意味ではない。「身代金を支払わずにファイルを取り戻せる」という主張は、攻撃者自身の「有効な鍵を渡す」という約束と同じ懐疑心に値するという意味である。
ランサムウェア復旧またはインシデント対応ベンダーの評価方法
ベンダーを評価する最適なタイミングは、必要になる前である。いくつかの実践的なチェックポイント：
- 復旧がどのように機能するかを正確に尋ねる。 信頼できる企業は、復号が不可能な場合を含め、そのアプローチを平易な言葉で説明できる。
- 範囲を書面で取得する。 契約には、企業が何をするか、何をしないか、あなたに代わって攻撃者と通信したり支払ったりするかどうかが明記されるべきである。
- 支払いの開示を求める。 第三者が交渉や支払いを扱う場合、あなたはそれを知るべきであり、あなたの法律顧問と保険会社も同様である。
- 参考文献と実績を確認する。 連絡できる顧客を求め、独立した報道や法的履歴を探す。
- 保証には注意する。 すべてのファイルの復旧を正直に保証できる人はいない。
- 法律顧問と保険会社を早い段階で関与させる。 多くのポリシーと法的義務が、誰を雇えるか、支払いがどのように処理されるかを左右する。
これがあなたにとって意味すること
ビジネスを運営している場合、ITを管理している場合、または単にデバイスに重要なデータを保存している場合、この事件はリスクの第二層を浮き彫りにしている。第一は攻撃者である。第二は、その後誰を信頼するかについての、ストレスの多い慌ただしい決断である。
個人や小規模組織にとっての教訓は、復旧ベンダーを高信頼のサプライヤーとして扱い、それに応じたデューデリジェンスを適用することである。より大きなチームにとっては、インシデント対応プロバイダーを事前に選定し契約しておくことのリマインダーであり、危機の最中に誰も「ランサムウェア 助け」を検索することがないようにするためである。
これがランサムウェアの支払いと防御にとって意味すること
より広い教訓は、準備を回避する近道はないということである。オフラインでテスト済みのバックアップは依然として不可欠だが、それがすべてではない。私たちが二重恐喝ランサムウェアとバックアップだけでは不十分な理由の考察で説明しているように、現代の攻撃者はデータも窃取し、漏洩すると脅すため、ファイルを復旧してもインシデントは終わらない。
まさにそれが、プレッシャーの下で下される決断が危険である理由である。時間が迫っているとき、痛みのない修正の自信に満ちた約束は魅力的である。事前に合意された書面による計画が、そのプレッシャーの多くを取り除く。
重要なポイント
- 身代金なしの復旧の主張は健全な懐疑心で扱い、その方法がどのように機能するかを尋ねる。
- MonsterCloudの主張された行為は証明されていないことを忘れない；主張は連邦検察官からのものであり、同社は異議を唱えることができる。
- ランサムウェア復旧企業は事前に、書面で、法的および保険のインプットを得て評価する。
- テスト済みのオフラインバックアップを維持し、二重恐喝ガイドで扱っているように、暗号化と同様にデータ窃取にも備える。
- 攻撃の最中ではなく、攻撃の前にインシデント対応計画を構築し、ベンダーを選定する。
次にランサムウェア復旧企業からの大胆な約束を読むときは、まず詳細を求めよう。今の数時間の準備が、後のはるかに高くつく決断からあなたを救うことができる。
