Dark Readingが報じた著名なランサムウェア交渉人の逮捕は、侵害に備えた計画を立てたことのあるあらゆる組織にとって、不快な問いを突きつけている。攻撃者に対処するために雇った人物が、相手側のために働いていたらどうなるのか、という問いだ。この事件は、ランサムウェア交渉人に対する内部脅威の審査が、周辺の技術的統制だけでなく、あらゆるインシデント対応計画に組み込まれるべきだという鋭い reminder である。

元記事はこの教訓を、ベンダープログラムのより強力な監督の必要性として位置づけている。本記事では、交渉がどのように行われるのか、この逮捕が何を明らかにしたのか、そして中小企業やプライバシーを重視するユーザーがそれに対して何ができるのかを見ていく。

ランサムウェアによる恐喝と交渉の実際の仕組み

企業がランサムウェアの被害に遭うと、最初にかける電話の一つが多くの場合、専門の交渉人である。彼らの仕事は攻撃者と連絡を取り、状況を評価し、被害を減らそうとすることだ。パニックに陥った被害者と、システム復旧や盗まれたデータの非公開と引き換えに支払いを要求する可能性のある犯罪者との間の緩衝材として機能する。

この取り決めは、被害者が仲介者を完全に信頼して初めて機能する。交渉人は身代金要求を見て、どのデータが奪われたかを知り、多くの場合、被害者がいくら支払えるのか、そしてどれほど緊急にシステムを取り戻す必要があるのかを理解している。被害者は通常、それらのいずれも独自に確認する能力をほとんど持たない。危機的状況にあり、時間がなく、交渉人の専門性に依存しているのだ。

恐喝は管理するのがますます難しくなっている。The Registerが報じた世界的な調査によると、ランサムウェア攻撃の37%が現在、個人的な脅迫を含んでいる。心理的であれ物理的であれ、そうだ。被害者への圧力が高まるにつれ、彼らを導く人々への依存も高まる。

交渉人の逮捕が明らかにする内部リスク

ほとんどのセキュリティ計画は外部の攻撃者に焦点を当て、より少ない程度で従業員にも焦点を当てている。第三者のベンダーは、特に緊急時に招かれる専門家の場合、通常はデフォルトで信頼されているものとして扱われる。この逮捕は、その前提の弱さを示している。機密性の高い交渉にアクセスできる仲介者は、計り知れない影響力を持つ立場にあり、その人物の利益が依頼者の利益と異なる場合、依頼者はそれを知る由もないかもしれない。

これは純粋に仮定の心配事ではない。vpn.socialの関連報道では、元DigitalMintの交渉人がBlackCatの取引で70か月の判決を受けた経緯が詳述されており、別の報道では交渉人MartinoがBlackCatとの関係で70か月の判決を受けた経緯が扱われている。これらの記事は具体的な事件の詳細を扱っており、より広い論点を強調している。つまり、交渉人との関係は、めったに監査されない信頼に依存しているということだ。

Dark Readingの報道からの要点は、すべての交渉人が疑わしいということではない。これほどのアクセス権を持つベンダーは、他の高リスクの内部関係者と同じ精査に値する、ということだ。

ベンダーが侵害されたとき、被害者とそのデータがさらされるもの

交渉人やその他の対応ベンダーが侵害された場合、あるいは依頼者に反して行動している場合、その露出は身代金そのものをはるかに超えて広がる可能性がある。交渉人が果たす役割に基づくと、懸念される領域には以下が含まれる。

  • 交渉戦略： 被害者の予算、期限、支払い意欲はすべて仲介者に見えている。
  • 盗まれたデータの詳細： 交渉人は通常、何が奪われたかを知る。これは、それらのファイルに個人情報が含まれていた人々にとって重要である。
  • 意思決定： 支払うか、遅らせるか、押し返すかについての助言は、企業と影響を受ける人々にとっての結果を形作る。
  • 通信： 攻撃者との間のすべてのメッセージは交渉人を通る。

個人にとって、リスクは間接的だが現実のものである。侵害された組織の中にデータを持つ顧客、患者、従業員は、どのベンダーが選ばれるかについて発言権を持たないが、その選択が間違っていた場合には結果を負う。

必要になる前に侵害対応ベンダーを審査する方法

交渉人やインシデント対応会社を評価する最適なタイミングは、攻撃の前であり、冷静に質問できるときだ。元記事はベンダープログラムのより強力な監督を求めているが、以下の手順はその考えを実践する現実的な方法である。これらは事件から導かれた要件ではなく、一般的な優良慣行である。

  1. ベンダーを事前に選んでおく。 プレッシャーの中で会社を選ぶと、デューデリジェンスの余地がなくなる。インシデント対応計画の一部として、審査済みの候補リストを構築しよう。
  2. 内部統制について尋ねる。 その会社は自社のスタッフをどのように審査しているのか。誰が依頼者の交渉にアクセスできるのか、そのアクセスは記録され、レビューされているのか。
  3. 期待事項を文書化する。 契約には機密保持、利益相反、脅威アクターやその他の当事者との関係の開示を盛り込むべきである。
  4. 意思決定にもう一組の目を向ける。 主要な選択を一人に任せるのではなく、自社の経営陣、法律顧問、保険会社がレビューするようにしよう。
  5. データ共有を制限する。 ベンダーには必要なものだけを渡し、何を受け取ったかの記録を保持しよう。
  6. 関係を定期的に見直す。 対応ベンダーを第三者リスクプログラムの一部として扱い、一度きりの承認ではなく定期的なチェックを行おう。

これがあなたにとって意味すること

中小企業を経営しているなら、専任のセキュリティチームがないかもしれず、それによってベンダーへの信頼がさらに重要になる。サイバー保険会社やITプロバイダーに、どの対応会社と仕事をしているのか、そしてそれらの会社がどのように監督されているのかを尋ねよう。今尋ねるいくつかの質問は、危機の最中に下す悪い決定よりもはるかに安くつく。

個人であれば、実践的なステップは、組織があなたについて保持する情報を制限することだ。サービスが本当に必要とするデータだけを共有し、ユニークなパスワードと多要素認証を使用し、侵害通知に注意して、情報が露出した場合に迅速に行動できるようにしよう。企業のインシデント対応ベンダーを審査することはできないが、何か問題が起きたときの被害を減らすことはできる。

主な要点

著名なランサムウェア交渉人の逮捕は、仲介者が内部リスクになり得るということを思い出させるものであり、ランサムウェア交渉人に対する内部脅威の審査は、備えの計画においてバックアップやパッチ適用と並んで位置づけられるべきだ。危機の前にベンダーを選び、その統制について厳しい質問を投げかけ、主要な意思決定に対して独立した監督を維持しよう。

具体的な事件の詳細については、判決を受けた元DigitalMint交渉人に関する報道をお読みください。恐喝が激化するにつれてベンダーへの信頼がなぜさらに重要になるかについては、ランサムウェア攻撃における個人的脅迫に関する調査をご覧ください。