Proofpoint 調査：ランサムウェア集団への支払いはしばしば裏目に出る

身代金の支払いが脅威を終わらせることはほとんどない、と調査が示す

セキュリティ企業 Proofpoint の新たな調査は、法執行機関が長年繰り返してきた警告を裏付ける新たな数字を示しています。ランサムウェア集団に身代金を支払っても、問題が解決することはほとんどない、というものです。この調査によると、英国の調査対象企業の 58% がランサムウェア攻撃後に身代金を支払ったことを認めました。しかしデータは、その判断が解決ではなく、むしろ更なる問題を招くことが多いことを示唆しています。

調査では、身代金を支払った組織の約 22% が同じ攻撃者から再度恐喝を受け、同じ盗まれたデータに関連して追加の支払いを求められたケースもありました。中には、システムのロック解除のために一度支払った被害者が、数週間後や数か月後に同じ情報を流出させると新たに脅迫され、別の支払いを要求されるということもありました。さらに懸念されるのは、身代金を支払った被害者の約 2% がファイルをまったく取り戻せなかったことです。その理由は、攻撃者が提供した復号ツールが機能しなかったか、そもそも犯罪者が約束を果たすつもりがなかったかのいずれかです。

このパターンは、FBI や Europol が何年にもわたって企業に伝えてきたことと一致します。つまり、身代金の支払いは犯罪活動の資金源となり、クリーンな解決を保証することはほとんどなく、組織を「支払う意思のある格好の標的」としてマークする可能性がある、ということです。

なぜ身代金の支払いが再度の攻撃を招くのか

犯罪者の視点から見れば、再度の恐喝が行われる理屈は単純です。一度、企業が問題を消すために支払う姿勢を示すと、その企業は攻撃者にとって、そして多くの場合、地下フォーラムで被害者データを売買する他の犯罪グループにとっても、既知の存在となります。身代金を支払っても、盗まれたデータが削除されるとは限りません。多くのケースでは、攻撃者のインフラにコピーが残ったり、アフィリエイトグループと共有されたり、二度目の要求のための交渉カードとして密かに保持されたりします。

これが、Proofpoint のデータが浮き彫りにする核心的な緊張関係です。つまり、業務を復旧させるために支払うという短期的な安心感が、長期的な負債を生み出す可能性があるのです。攻撃者は、事業の再開、顧客の信頼の保護、規制の監視の回避を迫られている企業は、データ漏洩の結果を受け入れて立ち去るよりも、再び支払う可能性が高いことを知っています。その計算こそが再恐喝を助長し、それがセキュリティ研究者がランサムウェアへの支払いを、差し迫った危機を、より大きく、繰り返し発生する可能性のある危機へと交換する決断だと評し続ける理由です。この同じ Proofpoint 調査の再ランサムウェア攻撃に関する報道 では、被害者が支払う意思を示した時点で、攻撃者側の動機付けの構造は強化されるだけだと指摘されています。

身代金の枠を超えたプライバシーへの影響

ランサムウェアの報道は業務の停止に焦点をあてることが多いですが、プライバシーへの影響も同等に注目に値します。企業がデータの露出を防ぐために身代金を支払う場合、それは事実上、法的な執行力のない約束を守ることを犯罪組織に信頼していることになります。顧客記録、従業員データ、財務詳細情報、保健情報は、支払いの有無にかかわらず、転売や漏洩のリスクにさらされたままになり得ます。侵害されたシステム内にデータが置かれている人々にとって、身代金の支払いは、自分の個人情報が安全であるという確かな保証にはなりません。

これは、機微な個人データを取り扱う組織に特に関係します。侵害によって、通知義務、規制上の罰則、そして身代金が支払われた後もずっと続く持続的な風評被害が引き起こされる可能性があるからです。この調査の結果は、ランサムウェアが単なる IT インシデントではないことを改めて示しています。それはプライバシーインシデントであり、最初の報道が途絶えた後も長く影響が再浮上し得るのです。

これがあなたにとって意味すること

ビジネスを経営している場合、または企業の IT やセキュリティの決定を管理している場合、この調査からの教訓は明らかです。身代金の支払いは解決への保証された道筋ではなく、将来の攻撃にさらされる可能性を高めるかもしれない、ということです。インシデント発生時のパニックの中で下される決定は、支払いに関係なく攻撃者が盗んだデータを保持することが多く、また支払いに応じる姿勢を見せることで組織が繰り返し標的にされる可能性があるという現実と比較検討されるべきです。

一般の消費者にとって、これは、ランサムウェア攻撃に関連したデータ侵害が、当初の報道が示唆するよりも長い影を落とす可能性があることを思い起こさせるものです。あるインシデントで露出した個人情報は、影響を受けた企業が状況を解決済みと報告したとしても、後日の漏洩で再び表面化する可能性があります。

主なポイント

• Proofpoint のデータによると、調査を受けた英国企業の 10 社のうち約 6 社が攻撃後に身代金を支払った。
• 支払った企業の約 22% が、しばしば同じ盗難データを使って再び恐喝を受けた。
• 支払った被害者のうちごく一部は、ファイルへのアクセスをまったく回復できなかった。
• FBI や Europol を含む法執行機関は、ランサムウェアの要求に支払わないよう引き続き推奨している。
• 企業は、身代金支払いを安易な解決策とみなすのではなく、インシデント対応計画、オフラインバックアップ、侵害通知への準備に投資すべきである。

ランサムウェアは依然として根強い脅威ですが、この調査は、セキュリティ専門家が長年主張してきたメッセージを補強します。つまり、支払いは安心を買うことにはならない、ということです。組織も個人も、予防、準備、そして盗まれたデータを人質にする犯罪者によるいかなる約束に対しても懐疑的であることで、よりよく身を守ることができるのです。