ランサムウェアはもはやネットワークを暗号化して身代金を要求するだけにとどまらない。EscudoDigitalの報道によれば、ランサムウェアの被害に遭った企業の調査員や従業員が自宅の玄関先で脅迫的な小包を受け取る事例が増えている。ランサムウェアによる従業員への物理的脅迫は、サーバーにかかる圧力を自宅の居間にまで移し、郵便住所というごく日常的なものを機密データに変えてしまう。
元記事は短く、小包の中身や背後にいるグループについては詳述していない。そのためここでは、確認されている事実と、サイバーセキュリティに従事しているかどうかにかかわらず誰もが取れる実践的な対策に焦点を当てる。
ランサムウェアによる恐喝が自宅の玄関先まで届く仕組み
恐喝の論理は単純だ。被害者が受ける圧力が大きければ大きいほど、支払う可能性が高まる。長年にわたりその圧力はデジタル的なものだった。暗号化されたファイル、データ公開の脅迫、顧客への電話などである。脅迫的な小包の送付は、組織だけでなく特定の個人を怖がらせることを狙うため、別の層を加えるものだ。
公表された情報によれば、受け取り手にはこれらのグループを追跡する調査員だけでなく、攻撃を受けた企業の従業員も含まれる。つまり、脅威の専門家でなくても標的になり得るということだ。間違った企業で間違った時期に働いていれば十分なのである。
これらの戦術の目的は通常、威嚇である。自宅に届くメッセージは、攻撃者があなたの居場所を知っているということを伝え、その感覚こそが圧力の一部となる。
攻撃者はどうやって自宅の住所を見つけるのか
情報源は住所の入手方法を説明していないため、一般的な観点から述べるのが適切だ。個人の住所が厳重に守られた秘密であることはまれである。それは様々な場所に現れ得る。
- データブローカーの記録：氏名、住所、電話番号を含むプロファイルを収集・販売している。
- 公開記録：国によっては不動産登記や会社設立登記など。
- ソーシャルメディアや職業プロフィール：都市名、勤務先、近所の写真、位置情報付きの投稿など。
- 過去の漏洩：他のインシデントで流出した個人データが今も流通している。
- 攻撃対象企業の内部データ：侵入者が人事ファイルにアクセスできた場合。
最後の点は重要だ。攻撃者がネットワーク内で時間を過ごすと、システム以上の多くのものを見ることができる。攻撃者が気づかれる前に3か月間ネットワーク内に潜んでいたメキシコの中小企業の事例では、侵入から恐喝が始まるまでの間にどれほどの余裕があり得るかが明らかだ。
露出を減らす：データブローカー、公開記録、ソーシャルプロフィール
完全な匿名性は存在しないが、誰かがあなたを特定することをずっと難しくすることはできる。良い出発点は以下の通りだ。
- 自分の名前を検索する。 姓名、電話番号、住所を検索エンジンや人物名鑑で試してみよう。自宅住所がどこに表示されるか記録しておく。
- データブローカーに削除を申請する。 多くの業者がオプトアウトフォームを提供している。面倒な作業であり、データが再び現れることもあるため、定期的に繰り返すとよい。
- 公開記録を確認する。 自分の住所が記載されている場合、私書箱や勤務先の住所など代替住所を使えるかどうかを調べる。
- プロフィールを整理する。 都市名、地区名、自宅とわかる特徴が写った写真、リアルタイムの位置情報付き投稿を削除する。投稿を閲覧できる人を制限する。
- 個人と仕事を分ける。 登録や買い物には別のメールアドレスと電話番号を使い、仕事上の身元と私生活を結びつけないようにする。
- 勤務先に確認する。 セキュリティ部門や攻撃を受けた組織で働いている場合は、自分の個人データがどの内部システムにあり、誰がアクセスできるかを確認する。
脅迫的な小包を受け取った場合の対処法
不審な、または脅迫的な荷物が届いた場合、最優先はあなたの安全だ。
- 小包を待っていなかった場合や疑念がある場合は開けないこと。他の人、特に子どもやペットから遠ざけておく。
- 当局に通報し、指示に従う。物理的脅迫は警察の問題であり、単なる情報セキュリティの問題ではない。
- 勤務先に報告し、セキュリティチームとインシデント対応責任者に伝え、他の同僚へのリスクを評価してもらう。
- すべてを記録する：小包、差出人、ラベル、関連するメッセージの写真を、中身に触れずに撮る。
- デジタル環境を見直す：重要なパスワードを変更し、二段階認証を有効にし、自分のデータが新しいリストに掲載されていないか確認する。
- 家族と話し合う：不審な荷物や予期しない訪問があった場合の対処法について。
これがあなたにとって意味すること
サイバーセキュリティで働いているなら、あなたの住所は露出したサーバーと同じようにリスク表面の一部である。他の企業で働いている場合も教訓は同様だ。企業の侵害が最終的にあなたの私生活に影響を及ぼす可能性がある。良い知らせは、ほとんどの対策が無料で実行可能だということだ。公開情報を制限し、リストからの削除を申請し、いざという時に誰に連絡するかを事前に知っておくこと。
結論と次のステップ
ランサムウェアによる従業員への物理的脅迫は、デジタル恐喝が画面を越え得ることを示している。パニックになる理由はないが、備える理由はある。今週、30分を使って自分の露出を監査しよう。名前を検索し、ディレクトリで住所を見つけて削除を申請し、公開プロフィールの可視性を見直す。その後、3か月間攻撃を受けたメキシコの中小企業の事例を振り返り、恐喝が始まる前に攻撃者がどれだけネットワーク内にとどまれるかを理解しよう。あなたのデータが誰かの手に届くものが少なければ少ないほど、あなたを脅かそうとする者にとってそれは役に立たなくなる。
