銀行が犯罪者の誠実さに賭ける

ランサムウェアに関して、その犯罪ビジネスモデル全体の中で最も奇妙な部分の一つが、支払いの後に続く約束です。つまり、「金を払えば、盗んだデータを削除する」というものです。アラバマ州に拠点を置くリバー・バンク・アンド・トラストの親会社であるリバー・ファイナンシャル・コーポレーションは、その約束を額面通りに受け取ったようです。同銀行は証券取引委員会に提出したフォーム8-Kで、攻撃者から「表明」を得ることなどを含め、影響を受けたデータの抑制を試みる措置を講じたと開示しました。これは、盗まれた情報が破棄されるという書面による確約を本質的に意味します。注目すべきは、同提出書類の中でリバー・バンクが実際に身代金を支払ったかどうかが明示的に確認されていない点です。にもかかわらず、ランサムウェアの攻撃者からそのような「表明」を得られるのは、通常、金銭のやり取りが行われた後でのみです。

この開示は、ランサムウェアのデータ削除の約束を信用したいと考える者にとって、気まずいタイミングで行われました。法執行機関によるLockBitランサムウェア作戦の摘発により、被害者がすでに恐喝の要求に応じて支払いを行ったケースでも、被害者のデータがグループのインフラに保持されていたことが明らかになりました。言い換えれば、多くの企業がインシデントを終結させ、規制当局や顧客、自社の取締役会を安心させるために頼りにしている「データ削除済み」というチェックボックスは、少なくとも一部の文書化された事例では、単に虚偽だったのです。

ランサムウェアのデータ削除の約束がほぼ守られない理由

ランサムウェア集団にデータ削除の対価を支払うという概念全体が、明白な矛盾の上に成り立っています。つまり、そもそもあなたのネットワークに侵入して機密記録を盗んだ犯罪組織に対して、自発的に交渉材料を放棄するよう求めているのです。もしそのグループがデータのコピーを保持したり、ダークウェブのマーケットプレイスで販売したり、後日、第二の恐喝に利用したりしたとしても、強制力のあるメカニズムも、監査証跡も、法的な救済手段も存在しません。セキュリティ研究者たちは長年、ランサムウェア集団によって提供される「削除証明」の動画、スクリーンショット、書面による声明は、設計上検証不可能であると警告してきました。LockBitの摘発は、セキュリティコミュニティの多くがすでに想定していた事柄に、単に確固たる証拠を突きつけたに過ぎません。

金融機関にとって、この問題は極めて重要です。銀行は、社会保障番号、口座の詳細、取引履歴など、存在する中で最も機密性の高い個人データの一部を保持しています。侵入の際にそのデータが外部に持ち出された場合、犯罪者による削除の約束は、情報が露出した顧客に対して実際の保護を提供するものではありません。せいぜい、規制当局への提出書類に記載できる口実を提供するだけです。

侵害はどのように発生したか

リバー・バンクのインシデントは、何もないところで発生したわけではありません。以前の脅威インテリジェンスの報告によると、この侵害は、古いVPNプロトコルの脆弱性を介して不正なアクターがアクセス権を取得したことに関連しており、その詳細はリバー・バンク・アンド・トラストのランサムウェアインシデントに関する以前の報道で探求されています。時代遅れのリモートアクセスインフラは、まさにそれがネットワークの境界に位置することが多く、スキャンが容易で、パッチ管理サイクルで見落とされがちであるという理由から、ランサムウェア集団の最も一般的な侵入口の一つであり続けています。いったん内部に侵入すると、攻撃者は通常、水平移動を行い、価値のあるデータストアを特定し、ランサムウェアのペイロードを起動する前に情報を外部に持ち出します。つまり、盗難は、誰かが異常に気付くかなり前に発生することが多いのです。

あなたにとっての意味

もしあなたがリバー・バンク・アンド・トラストの顧客であるか、あるいはランサムウェアのインシデントを開示した機関の顧客であるなら、現実はこうです。攻撃者からのデータを削除するといういかなる約束も、安全性を保証するものとして扱うべきではありません。ランサムウェア攻撃で情報がいったん企業のネットワークから流出した場合、後にどのような保証が得られたとしても、その情報は永久的に侵害されたものとして扱う必要があります。つまり、不審な活動がないか口座や信用報告書を監視すること、実際の口座詳細に言及するフィッシングの試みに警戒すること（これは、盗まれた銀行データが犯罪グループの間で流通する際の一般的な後続戦術です）、そして社会保障番号や口座番号が露出したデータセットの一部に含まれていた場合は、信用凍結を検討することを意味します。

この出来事の推移を見守る企業や金融機関にとっての教訓は、より広範なものです。インシデント対応戦略の一環として、ましてや規制当局に緩和措置として開示するに値するものとして、ランサムウェアのデータ削除の約束に依存することは、組織がデータ保護をどれほど真剣に扱っているかについて、誤ったシグナルを送ることになります。検証済みのバックアップ、ネットワークのセグメンテーション、VPNゲートウェイのようなリモートアクセスインフラへの迅速なパッチ適用は、犯罪組織から引き出されるいかなる保証よりも、顧客データを保護する上ではるかに大きな効果を発揮します。

要点

  • ランサムウェアグループによる盗難データの削除の約束は、検証不可能で強制力のないものとして扱い、真の安全策とはみなさないでください。
  • 侵害を開示した金融機関と取引がある場合は、口座明細や信用報告書を注意深く監視し、信用凍結を検討してください。
  • 開示されたインシデントの後、数週間から数か月にわたり、正確な口座情報や個人情報を引用するフィッシングメッセージには特に警戒してください。
  • 組織は、既知のVPNやリモートアクセスの脆弱性へのパッチ適用を優先すべきです。時代遅れのプロトコルは、依然としてランサムウェア集団の主要な侵入口であり続けているからです。

ランサムウェアの調査によって、犯罪グループが約束することと実際に行うこととの間のギャップが引き続き明らかになるにつれ、消費者も企業も、ランサムウェア集団が書面でどのような表明を行おうとも、盗まれたデータは決して真に消え去ることはないという前提で計画を立てるべきです。