支払いをすれば問題が消えると期待するランサムウェアの被害者は、しばしば失望することになる。新たに発表されたグローバル調査「AI時代のランサムウェア報告書」は、12市場の約1,000人のセキュリティ専門家を調査し、身代金の支払いが確実な解決策とはほど遠いことを明らかにした。この調査結果は、セキュリティ研究者が何年も繰り返してきた警告——ランサムウェアの再身代金要求の支払いは、稀なケースではなく、現実的で増大するリスクである——に新たな重みを加えるものだ。

AI時代のランサムウェア報告書が明らかにしたこと

この調査は、組織がランサムウェア攻撃を受けた後にどのように対応するかについて、厳しい現実を描き出している。攻撃を受けた組織の過半数（54%）が、機密データを復元するために身代金を支払った。支払った組織のうち56%はファイルやシステムへのアクセスを回復できた。しかし、より憂慮すべき数字はその後に何が起きたかだ。被害者の3分の1以上（37%）が、最初の身代金をすでに支払った後に、2回目の身代金要求を受けたのである。

この統計だけで、組織がランサムウェア対応についてどう考えるべきかが変わるはずだ。支払いは、インシデントを終了させる一回限りの取引ではない。この調査の被害者の3分の1以上にとって、それは単に長期化し、よりコストのかかるサイクルの幕開けに過ぎなかったのだ。

なぜ支払いが安全性やデータ復旧を保証しないのか

ここで数字をじっくり考えてみる価値がある。支払った組織の間でも、半数近くは結局データを完全には復旧できなかった。そして、ファイルを取り戻せた組織のかなりの割合が、再び標的にされたのである。同じ攻撃者からより多くの金銭を要求されたのか、それとも支払いを交渉意志の証拠と見た別のグループによるものかは分からない。

このパターンは、他の最近の調査とも一致している。vpn.socialが取り上げたProofpointの調査でも、ランサムウェアギャングへの支払いがしばしば裏目に出ることが判明しており、支払い被害者の相当数が再度の身代金要求に直面している。組織が一度支払うと、確認済み支払者リストに載る可能性があり、その情報は犯罪グループの間で流通し、その組織は将来の攻撃にとってより魅力的な標的となる。魅力的でなくなるわけではないのだ。

また、ランサムウェアの交渉には強制力のある契約は存在しない。攻撃者には、金銭が移動した後で約束を守る法的・風評上のインセンティブがない。復号キーは不完全だったり、バグがあったり、単に届かなかったりする。レバレッジとして盗まれたデータは、約束が何であれ、売却されたり、漏洩したり、2回目の身代金要求のために保持されたりする可能性がある。

予防の代替策：バックアップ、暗号化、ネットワークセグメンテーション

こうした可能性を考慮すると、より回復力のある戦略は、そもそも支払うかどうかを決断しなければならない状況を減らすことだ。いくつかの実践が効果的な防御として一貫して示されている：

  • オフラインでテスト済みのバックアップを維持する。 メインネットワークから切り離され、定期的に復元テストが行われたバックアップがあれば、攻撃者と交渉することなく組織は復旧できる。
  • 保存時および転送中の機密データを暗号化する。 攻撃者がファイルを外部に持ち出しても、強力な暗号化は実際に使用・売却できるものを制限し、データ漏洩の脅威の背後にあるレバレッジを減らす。
  • ネットワークをセグメント化する。 システムを分離されたゾーンに分割することで、ランサムウェアが初期足場を得た後に拡散する範囲を制限し、被害を組織のより小さな部分に封じ込める。
  • 一貫してパッチ適用と監視を行う。 多くのランサムウェア侵入は依然として既知の未パッチ脆弱性や弱いリモートアクセス認証情報を悪用しているため、基本的な衛生管理で侵入口の大部分を塞ぐことができる。

これらの対策はいずれも組織を攻撃に対して免疫にするものではないが、合わせることで、侵入成功の可能性と、侵入が発生した場合の支払い圧力の両方を縮小させる。

攻撃前にインシデント対応計画を構築する

ランサムウェアインシデント後に最も良い結果を残す組織は、攻撃が発生する前に対応をすでにリハーサルしていた組織である傾向がある。つまり、支払いの決定を誰が行うか、法的・法執行機関の連絡先に誰を通知するか、従業員や顧客とのコミュニケーションをどう処理するか、システムをどう隔離・復元するかを明記した文書化された計画を持つことを意味する。

スタッフがシミュレーションされた攻撃シナリオを歩む机上演習を実施することは、実際のプレッシャーがないうちに計画のギャップを浮き彫りにするのに役立つ。また、インシデントが実際に発生した際の実際の対応も迅速化し、露出の時間枠を短縮し、他の選択肢が準備できていないように見えるからというだけで支払いに走る誘惑を減らす。

これがあなたにとって意味すること

ITリーダーやセキュリティチームにとって、この報告書は、ランサムウェアの再身代金要求の支払いが、最悪のケースの外れ値ではなく、計画に組み込むべきほど一般的であることを思い出させるものだ。身代金の支払いは、信頼できる保険ではなく、失敗の可能性が現実にある最後の手段として扱うべきだ。バックアップ、セグメンテーション、監視といった予防策に、他の基盤インフラコストと同じように予算を割り当ててほしい。数字は、攻撃者との繰り返しの交渉よりも長期的には安いことを示しているからだ。

専任のセキュリティチームを持たない個人ユーザーや小規模組織にとっても、同じ原則は縮小して適用できる。かけがえのないものはオフラインコピーを保持し、利用可能な場所では暗号化を使用し、システムがロックされた場合に誰に連絡するかを事前に把握しておくことだ。

重要なポイント

  • ランサムウェア攻撃を受けた調査対象組織の54%が身代金を支払ったが、支払い者の56%だけがデータへのアクセスを完全に回復した。
  • 支払った組織の37%が2回目の身代金要求を受け、支払いがリスクを終わらせないことを示している。
  • オフラインのバックアップ、暗号化、ネットワークセグメンテーションは、攻撃成功の可能性と支払い圧力の両方を減らす。
  • 攻撃前に構築されたテスト済みのインシデント対応計画は、復旧時間を短縮し、身代金支払いへの依存を減らす。
  • 読者はProofpointの調査結果で、身代金支払いが攻撃を解決できない頻度に関する追加の裏付けデータを確認できる。