信頼されていた交渉人は、攻撃者のために動いていた

企業がランサムウェアの被害に遭ったとき、多くの場合、真っ先に連絡されるのがプロの交渉人である。身代金の要求額を抑え、時間を稼ぎ、パニック状態の経営陣と犯罪ハッカーとの間の緩衝役として雇われる。この仕組みは完全に信頼の上に成り立っている。今回の連邦判決は、その信頼が内部から破られたときに何が起こるかを示している。

あるランサムウェア交渉人が、被害者を代理していると称しながら、密かにBlackCat（別名ALPHV）ランサムウェアグループと共謀していたことが検察の捜査で判明し、連邦刑務所で70ヶ月の懲役刑を言い渡された。依頼企業を守るどころか、クライアントの保険適用範囲や支払い限度額などの機密情報を攻撃者に流し、犯罪側がより高額な要求を突きつけ、効果的に圧力をかけるための材料を与えていたとされる。判決には、この計画に関連する暗号資産の没収も含まれている。

この事件では、少なくとも5つの被害組織が確認されており、その中には、当初1000万ドルの身代金を要求され、最終的に約120万ドルを支払ったフロリダの医療機器メーカーや、メリーランド州の製薬会社、医師の診療所が含まれている。報道によると、この計画の全容には、ライバルのランサムウェアギャング同士の内紛も絡んでおり、あるグループが別のグループの活動を暴露すると脅迫するなど、犯罪エコシステムでさえ内部対立や裏切りと無縁ではないことを痛感させる。

被害者を蝕む手口

ランサムウェア交渉人は、極めて機密性の高い特殊な立場にある。仕事を遂行するために、通常は、どの企業も部外者には決して渡さないような情報へのアクセスを必要とする。手元の現金はいくらあるのか、サイバー保険が実際にカバーする範囲はどこまでか、社内の期限、そして経営陣がどれほど必死に、事態を静かに解決したがっているか、といった情報だ。こうした情報は秘密にされ、交渉の場でクライアントの利益を守るためだけに使われるべきものである。

交渉人が代わりにその情報を攻撃者に渡してしまうと、インシデント対応プロセス全体が、始まる前からすでに侵害されていることになる。被害者は情報に基づいた戦略的有意な立場から交渉していると信じているが、実際には相手は既にこちらの財政的な上限を知っているのだ。この不均衡が、今回の事件で要求額がこれほど急激にエスカレートした理由や、医療機器メーカーの当初の要求額が最終的な支払額の8倍であった理由を説明している可能性が高い。

これは孤立した事件ではない。以前、フロリダのランサムウェア交渉人が別の米国恐喝事件で有罪判決を受けたという報道で伝えたように、法執行機関はこれまでに、同じBlackCatに関連する恐喝ネットワークとつながりのある複数の交渉人を特定している。このパターンは、今回の背信が単発的なものではなく、インシデント対応業界を内部から悪用しようとする意図的で、少なくとも部分的には組織化された企てであったことを示唆している。

侵害被害者にとってのプライバシーへの影響

プライバシーへの影響は、身代金の額だけに留まらない。医療機器メーカー、製薬会社、医師の診療所は日常的に、機微な患者情報や健康データを保有している。交渉人が密かに被害者の利益を損なう行為をしていた場合、恐喝の過程で、他にどのような機密情報が暴露され、不正に取り扱われ、あるいは追加の圧力材料として使われたのかという、現実的な疑問が生じる。医療をはじめ規制対象セクターで事業を展開する企業は、既に厳格なプライバシー義務の下で患者データを保護することが求められており、ランサムウェアインシデント発生時の内部関係者による背信行為は、影響を受けた個人への通知の要否や方法を含め、その後のあらゆる判断を複雑にする。

また、多くの組織が手遅れになるまで考慮しない盲点も浮き彫りになる。交渉人やフォレンジック企業、侵害発生時に呼ばれる法律顧問といったインシデント対応ベンダーは、他のサードパーティリスクに適用されるのと同様の精査で吟味されることはほとんどない。企業はクラウドプロバイダーやソフトウェアベンダーに対しては広範なデューデリジェンスを実施する一方で、危機の最中に、主に評判や緊急性に基づいて交渉人を招き入れてしまうのだ。

この事例が意味すること

あなたの組織がランサムウェア交渉人やインシデント対応企業を雇う必要に迫られた場合、この事件は、慌てふためかずに、一旦立ち止まるべき理由となる。保険会社や単一の連絡先からの紹介だけに頼らず、資格情報を独自に検証すること。クライアント情報の取り扱い、保管、共有方法について直接質問し、交渉人が開示できることとできないことに関する文書化された境界線を要求すること。サイバー保険契約で特定のベンダーリストの利用が義務付けられている場合は、攻撃が起きる前にそのリストを事前に確認し、影響力も判断力も損なわれた進行中のインシデントの最中に慌てて対応するような事態を避けること。

個人にとっての教訓は、よりシンプルだが、やはり重要だ。あなたが関わった医療提供者、薬局、医療機器メーカーがランサムウェアインシデントを経験したという通知を受け取った場合、たとえ企業がデータ露出は限定的だったと述べていても、通知を真剣に受け止めること。このような事件は、侵害発生時の内部的な対応が、公式声明が示唆するよりもはるかに混乱したものになり得ることを示している。

要点

今回の判決は、完全に機密保持と信頼の上に成り立つランサムウェア交渉人という役割が、本来守るべき組織そのものに対して悪用され得ることを示す、稀でありながら具体的な事例である。危機が訪れる前にインシデント対応ベンダーを吟味し、明確な情報共有の境界線を契約に盛り込み、そして、ランサムウェア交渉人の交渉力は、秘密が攻撃者側ではなく、自社側で守られていることに依存していることを忘れないことだ。