ランサムウェア復旧企業MonsterCloudのオーナーが、ランサムウェア被害者を欺いたとして起訴された。報道によると、同氏は顧客に対し、同社が独自技術を用いて暗号化されたデータを復旧したと説明する一方で、攻撃者に復号ツールの代金を秘密裏に支払っていた。このランサムウェア復旧企業の詐欺容疑は、危機に際して依頼した企業が、公言している通りのことをしているとは限らないという有益な戒めである。

これらの疑惑は法廷で未だ立証されておらず、これまでに入手可能な詳細も限られている。それでも、この事件は、ランサムウェア被害に遭ったあらゆる組織が問いを投げかける準備をしておくべき実務的な問題を提起している。

MonsterCloudのオーナーは何で告発されているのか

起訴の中心にあるのは、顧客に伝えられていたことと、実際に起きたとされることとの間の隔たりである。被害者らは、MonsterCloudが独自の専有技術でファイルを復旧していると信じ込まされていたと報じられている。しかし検察は、同社が裏で攻撃者に復号ツールの代金を支払っていたと主張している。

核心的な問題は、単に身代金が支払われた可能性があることではない。問題は、その支払いが、データと資金を危険にさらしていた当人たちから隠されていたとされることである。顧客には、犯罪者に資金を提供するかどうかを自ら決定する機会が与えられていなかった。

秘密の身代金支払いが被害者に害を及ぼす理由

復旧企業が密かに身代金の仲介役を務めると、被害者は一度にいくつかのものを失う。

  • 情報に基づく選択。 攻撃者への支払いは、ビジネス上、法律上、倫理上の重大な決定である。顧客に告げずに代わりに決めることは、その決定を顧客の手から奪うことになる。
  • 正確な価格設定。 報酬が隠された身代金と上乗せ分を覆っているなら、顧客は説明された作業に対して価格が妥当かどうかを判断できない。
  • 法的・保険上の明確性。 組織には、身代金支払いに関連する報告義務、保険会社の要件、制裁上の懸念がある場合がある。知らされていなかった支払いは適切に処理できない。
  • 誠実なリスク評価。 専有の復旧技術という主張は、問題が技術によって解決されたことを示唆する。しかし実際には、攻撃者が依然としてあなたのデータを保持し、あなたが支払ったことを知り、何も削除する理由がないかもしれない。

これは、攻撃者と交渉するすべての企業が不適切に行動しているという意味ではない。中には自らの役割を公然と開示している企業もある。本件で主張されている害は、隠蔽から生じている。

ランサムウェア復旧企業を雇う際の危険信号

インシデントの最中に技術的な主張を常に検証できるわけではないが、鋭い質問をし、明確な回答を求めることはできる。

  1. 専有技術に関する曖昧な主張。 その手法が実際に何なのか、そしてあなたを攻撃した特定のランサムウェアファミリーに対してこれまで機能したことがあるのかを尋ねる。「我々を信じてくれ」に等しい回答には警戒する。
  2. 書面にすることを嫌がる。 正規のベンダーなら、あなたに代わって攻撃者に支払いや交渉を行うことがあるかどうかを契約書に明記できるはずである。
  3. 不明瞭な報酬。 労務費、ツール、第三者への支払いを分けた内訳を求める。
  4. 迅速な決定への圧力。 インシデント中の緊急性は現実だが、保険会社、法律顧問、法執行機関への相談を思いとどまらせるベンダーは精査に値する。
  5. 明確な報告の欠如。 何が行われたか、ファイルがどのように復号されたか、復号鍵がどこから来たかを含む文書を受け取るべきである。

署名する前に、あなたのサイバー保険証券にすでに審査済みのインシデント対応パネルが含まれているか確認する。それを利用すれば、ストレス下で未知の企業を雇う可能性を減らせる。

この事件が身代金支払い論争にとって意味するもの

この事件は、身代金の支払いを抑制すべきか、あるいは禁止すべきかという、より広い議論の真っただ中に位置している。当社の南アフリカのランサムウェア支払い禁止論争に関する報道は、自ら身代金を支払った人々の間を含め、意見がどれほど分かれているかを示している。

この話はさらに複雑さを加える。支払いが制限されたり快く思われなかったりすれば、静かな仲介業者への需要が高まり、復旧サービスを隠れ蓑にして支払いを隠す誘惑も強まるかもしれない。国や企業が支払いについてどう決定するにせよ、誰が誰に支払っているかについての透明性は不可欠である。

これがあなたにとって意味するもの

事業を営んでいる、あるいはそのITを管理しているなら、教訓は攻撃が起こる前に方針を固めておくことである。誰に連絡するか、保険会社が何を要求するか、支払いに関する方針は何かを決めておく。最悪のタイミングで慌てて助けを探すときこそ、ミスや詐欺が最も起こりやすい。

個人ユーザーや非常に小規模な組織も例外ではない。ベンダーがファイルを解除すると約束したら、何をどう行うのか尋ね、伝えられた内容の写しを保管しておく。

実行可能な要点

  • 復旧ベンダーに対し、攻撃者に支払いや交渉を行うかどうか、また行う場合は事前にあなたに伝えるかどうかを書面で開示するよう求める。
  • 第三者への支払いを示す項目別の報酬内訳を要求する。
  • 保険会社、法律顧問、法執行機関を早い段階から関与させる。
  • オフラインでテスト済みのバックアップを維持し、ベンダーの主張に頼らざるを得ない状況にならないようにする。
  • 支払いがなぜこれほど議論の的であり続けるかの背景については、南アフリカのランサムウェア支払い禁止に関する記事で、より広い議論を読んでほしい。

MonsterCloudへの起訴はあくまで容疑にすぎないが、採用する価値のある明確な習慣を指し示している。金銭やデータが動く前に、復旧ベンダーに何を正確に行うのかを書面で述べさせることである。