同じ被害者を狙う第二の捕食者

ランサムウェアに感染するだけでも十分ひどい。今度は「Ransom Busters」と名乗る脅威アクターが、同じ被害者から二重に利益を得る方法を見つけ出した。この手口に関する報道によると、このグループはすでにランサムウェア攻撃を受けた組織に接触し、2万ドルから6万ドルの価格で盗まれたデータを「削除」すると持ちかける。

その勧誘文句は表面的にはほぼ親切に聞こえる。「私たちに支払えば、盗まれたファイルが公に出回ったり売買されたりすることは絶対にありません」と。実際には、このグループのツールとインフラを分析した研究者たちは、支払いが何かを保証することを示す証拠はほとんど見つかっていない。Ransom Bustersの詐欺は、復旧サービスというよりは、最初の脅迫の上に重ねられた二度目の恐喝の試みのように見える。

Ransom Bustersの手口の仕組み

このグループの活動に関するセキュリティ分析は、複数のレポートで記録されているパターンを指し示している。Ransom Bustersは、ランサムウェア集団のサーバーにアクセスできる第三者を装い、被害者に代わって介入できると主張する。場合によっては、このグループは外部の救助者ではなく、自分たちが戦っていると主張する同じランサムウェアエコシステム内で活動するアフィリエイトであるように見える。

これらの手法の背後にあるツールを調査した研究者たちは、バックドアの痕跡とインフラの重複を特定し、真に独立した復旧サービスというよりも、既存のランサムウェア運営との連続性を示唆している。言い換えれば、盗まれたデータの「削除」を申し出ている人々は、そもそもその盗難に関与していたか、少なくとも実行犯と密接な関係を維持している可能性がある。

これは重要な問題だ。なぜなら、被害者にとっての計算が完全に変わるからだ。正規のインシデントレスポンス企業に対して誠意を持って支払うことは一つの話だが、盗まれたファイルをまだ管理している可能性がある、あるいは削除を保証する実質的な能力を持たない組織に支払うことは別の話だ。偽の復旧企業がランサムウェア詐欺の背後に隠れているという報道で取り上げられているように、ランサム形式の支払いが行われた後、データが実際に破棄されたことを確認する検証可能な仕組みは存在しない。

支払いが何も保証しない理由

元の攻撃者であれ、Ransom Bustersのような想定上の第三者であれ、どんな「支払えば削除」オファーの中核的な問題は検証である。盗まれたデータが組織のネットワークから出てしまえば、被害者はその後に何が起こるかを確認する方法がない。削除されたフォルダのスクリーンショットや口頭での保証は証拠にはならない。「削除」が行われる前にコピーが作られる可能性があり、犯罪集団の支払い合意への遵守をチェックする独立した監査人も存在しない。

これは、従来のランサムウェア支払いについてセキュリティ専門家が長年指摘してきた傾向であり、ここではさらに強く当てはまる。Ransom Bustersは本質的に、被害者がすでに絶望的であることに依存したビジネスモデル全体を持つ組織を信頼するよう求めている。ちょうど一度の恐喝事件を経験したばかりで、今度は救済を提供すると主張する当事者から二度目の要求に直面しているのだ。研究者が指摘する警告傾向は単純明快だ。恐喝経済は多様化しており、新たなアクターが元の攻撃が終わった後でも被害者の恐怖を収益化する方法を見つけ出している。

あなたへの影響

あなたの組織がランサムウェアインシデントを経験し、その後誰かが電子メール、ダークウェブポータル、または直接メッセージを通じて連絡を取ってきて、有料で盗まれたデータを削除すると申し出てきた場合、その連絡を元のランサムメモと同じ懐疑心で扱ってください。その主張を検証する信頼できる方法はなく、支払いは執行可能な保証を生み出さない。

最も安全な道は、そのような連絡を直接交渉するのではなく、インシデントレスポンスチームや信頼できるサイバーセキュリティ企業を通じて処理することだ。ランサムウェア事件を扱う法執行機関は一般的にこの種の二次的恐喝スキームを認識しており、特定のアプローチが信頼できるものか、単に同じ攻撃の別の角度に過ぎないかを評価するのに役立てることができる。

実践可能な要点

  • セキュリティまたは法務チームによる独立した検証なしに、侵害後の「データ削除」オファーを正当なものとして扱わないこと。
  • Ransom Bustersのようなグループからの連絡を一方的に交渉するのではなく、法執行機関に報告すること。
  • ランサムウェア攻撃で持ち出されたデータは、その後の支払いにかかわらず、恒久的に露出したものとして扱うこと。
  • バックアップと検知のプラクティスを今すぐ強化し、最初のランサムウェア事件とそれが招く二次的恐喝の可能性そのものを減らすこと。

Ransom Bustersのようなスキームの登場は、ランサムウェアの余波が最初の攻撃と同じくらい危険であり得ることを思い出させる。安全への近道を提供する者、特に有料で提供する者に対して懐疑的であり続けることが、今も最善の防御策である。