古くからの恐喝手法に新たなひねりを加えて

ランサムウェア集団は長年、恐怖と緊急性を利用して被害者に身代金の支払いを迫ってきた。今回、「ランサムバスターズ」と呼ばれる手口に関する報道によると、少なくとも1つのランサムウェアアフィリエイトが新たな角度を見つけたという。それは、被害者を救済するはずの人物を装うことだ。

攻撃後に単に身代金を要求して姿を消す代わりに、この攻撃者は被害者に支援の申し出を持ちかけ、「インシデント復旧サービス」を装って近づくようだ。問題は、この「支援」が中立的ではないことだ。これは、身代金の支払いを正規の経路から逸らし、そもそも侵害を引き起こした同じ犯罪エコシステムの懐に戻すように設計されていると思われる。

これは戦術における重要な変化だ。従来のランサムウェア事業は、暗号化し、身代金を要求し、復号鍵を提供する（かもしれない）という、単純で乱暴な取引を中心に構築されている。そのプロセスに偽の復旧レイヤーを挿入することで、攻撃者は絶望した被害者を2回操作できる。1回目は最初の侵害時、2回目は被害者がそこから抜け出そうとしている最中だ。

被害者がこの策略に特に弱い理由

ランサムウェアに襲われた組織は、しばしば危機モードで運営されている。システムはダウンし、経営陣はプレッシャーにさらされ、意思決定者は業務を復旧するための信頼できる道筋を必死に探している。その環境こそが、偽の「復旧サービス」を効果的にする要因だ。被害者は必ずしもすべての支援の申し出を疑いの目で精査しているわけではなく、迅速な解決策を求めているのだ。

この戦術はまた、ランサムウェア攻撃者が攻撃者と支援者の境界線を曖昧にするという、より広範なトレンドを利用している。これは、脅威アクターが信頼される役割を偽装してアクセスや影響力を得た他の最近の事例、例えばサイレントランサムグループが法律事務所のITスタッフに物理的に成りすました事例を反映している。偽装が対面であれ、偽の復旧ブランドを通じてであれ、その目的は同じだ。組織が実際に誰と取引しているのかを確認する体制が最も整っていないまさにその瞬間に、信頼を悪用することだ。

ランサムウェアグループはまた、機会があれば幅広いセクターを標的にする用意があることを示しており、スペースベアーズがフランスの通信プロバイダーであるステラを攻撃した事例が見られる。「ランサムバスターズ」のような戦術は、最初の攻撃後であっても、業界を問わず被害者は交渉が始まれば危険は去ったと思い込めないことを示唆している。

偽の復旧サービスによるプライバシーへの影響

ここでのプライバシーへの影響は、金銭的な側面を超えている。被害者が正規の復旧サービスだと思って関わると、ネットワーク、データ流出、社内の意思決定プロセス、さらには支払い意思についての機密情報を共有する可能性がある。その「サービス」が実際には攻撃者によって管理されている、または攻撃者と提携している場合、その情報はすべて侵害の原因となった人々に直接流れていく。

これにより、攻撃者があらゆる段階で利益を得るフィードバックループが生まれる。支払いを受け取り、被害者がどう対応しているかに関する情報を得て、正規の支援を装って2度目の金銭搾取の機会すら得る可能性がある。すでにデータ侵害に対処している組織にとって、この種の手口は問題を解決するどころか、露出を増幅させる。

これがあなたにとって意味すること

もしあなたの組織がランサムウェアに襲われたら、迅速な解決策を見つけなければというプレッシャーは非常に大きくなる可能性がある。しかし、この手口は、危機の最中に提供されるすべての支援が本物であるとは限らないことを思い出させる。復旧企業、交渉人、サイバーセキュリティコンサルタントは、必ず独立した方法で検証すべきだ。理想的には、紹介、確立された評判、またはサイバー保険プロバイダーを通じてであり、攻撃直後に突然現れた連絡先を通じてではない。

また、正規のインシデント対応企業は通常、侵害直後に予告なしの支援の申し出を持って突然現れたりしないということも覚えておく価値がある。身代金交渉やデータ復旧の支援を主張する予期しない連絡は、情報や金銭がやり取りされる前に、特別な精査に値する。

実践的なポイント

  • インシデント復旧や交渉サービスを利用する前に、信頼できる独立した経路（特に先方から連絡があった場合）を通じて必ず検証すること。
  • 法執行機関とサイバー保険プロバイダーに早い段階で関与させること。彼らは正規の復旧パートナーと日和見的な攻撃者を区別するのに役立つ。
  • 身元が確認されていない相手には、侵害、システム、支払い意向に関する詳細な情報を共有しないこと。
  • 侵害後に予告なく届く支援の申し出には、最初の身代金要求書と同じレベルの懐疑心を持って対応すること。

「ランサムバスターズ」のような手口は、ランサムウェアによる恐喝が身代金要求書が届いた時点で終わるわけではないことを示している。攻撃後の余波で誰を信頼するかに警戒を怠らないことは、最初の侵害を防御することと同じくらい重要だ。