Proofpoint：身代金支払者の22％が繰り返しの脅迫に直面

企業は身代金を支払い続けている、新たなデータが示す

企業に身代金要求を拒否するよう促してきた長年の指針にもかかわらず、多くの企業がいまだにサイバー犯罪者に支払いを行っている。セキュリティ企業Proofpointの新たな調査によると、身代金を支払った企業のほぼ4分の1（22％）が再び2度目の脅迫の標的になったという。この数字は、支払いに本当に問題解決の効果があるのかという深刻な疑問を投げかける。

この調査結果が発表されたのは、当局がこれまで以上に強く、企業に対して攻撃者に屈しないよう呼びかけている時期と重なる。英国の国家サイバーセキュリティセンター（NCSC）は長年、身代金の支払いに反対するよう警告してきた。支払いが更なる攻撃を助長し、盗まれたり暗号化されたデータが実際に戻ってくる保証がないと注意を促している。しかしProofpointの調査結果は、公式の助言と現実のビジネス判断がしばしばまったく異なることを示唆している。

それでも企業が支払う理由

ランサムウェア攻撃は企業を厳しい立場に追い込む。システムがロックダウンされたり、機密データが公表の脅しを受けると、経営陣はしばしば、風評被害や規制リスク、業務停止のコストを身代金の支払いと天秤にかけざるを得なくなる。多くの組織にとって、支払いは正常に戻る最速の方法に感じられるのだ。たとえセキュリティ専門家が、事態がそれほどすっきり解決することは稀だと警告していても。

その計算は、ランサムウェアビジネス自体がプロ化した現在、さらに深刻なものとなる。交渉は一種のコテージ産業と化しており、攻撃者とのやり取りを専門に請け負い、要求額を抑えようとする企業が雇われる。しかし、この業界に論争がなかったわけではない。ある注目を集めた事件では、プロの交渉人がBlackCatランサムウェア取引における役割で70ヶ月の禁固刑を言い渡された。これは、こうした支払いを仲介する人々が、必ずしも企業の最善の利益のために動いているわけではないことをはっきりと思い起こさせる。同じ交渉人（裁判記録ではMartinoとして特定されている）に関する関連事件は、仲介者が関与すると、身代金支払いのエコシステムがいかに不透明で法的リスクの高いものになり得るかをさらに強調している。

支払いに伴うプライバシーコスト

繰り返し脅迫を受けた22％という統計が重要なのは、多くの企業が支払いの理由として挙げる「問題が解決する」という核心的な理屈を覆すからだ。ほぼ4分の1の被害者が支払い後に再び標的にされたのであれば、支払いは安全を買っていない。それは単に、組織が喜んで支払う意思と能力があることを攻撃者に確認させ、将来の攻撃にとってより魅力的な標的にしているだけかもしれない。

また、こうした議論でしばしば見落とされるプライバシーの側面もある。ランサムウェア攻撃では、暗号化が行われる前段階で、機密データ、顧客記録、従業員情報、財務詳細が盗まれていることがよくある。身代金を支払っても、その情報流出は元に戻らない。攻撃者は既にデータをコピーしている可能性があり、支払いは、それが後日販売や漏洩されることなく削除されるという検証可能な保証にはならない。侵害された企業のシステム内に情報が存在する個人にとって、密室で行われている身代金交渉は、自分の情報がプライベートに保たれるかどうかとはほとんど関係がない。

これがあなたに意味すること

あなたが消費者の場合、このデータは、企業が身代金を支払うという決断が必ずしもあなたの個人情報を守ることにはならないということを思い出させる。ランサムウェア事件後に届く侵害通知やクレジット監視の提供は、影響を受けた企業が攻撃者との状況を解決したと言っているかどうかに関わらず、真剣に受け止める価値がある。

IT、セキュリティ、または経営幹部の立場にいるなら、Proofpointの調査結果はインシデント対応計画に直接反映させるべきだ。支払いを手っ取り早い解決策として扱うべきではない。一度支払った組織は引き続き魅力的な標的であり続けるように見える。つまり、復旧計画には送金と安堵のため息だけでなく、インシデント後のより強固な防御強化を含める必要がある。