長年にわたり、ランサムウェアは暗号化されたサーバーとバックアップの問題として理解されてきた。Semperisの報告書は重要な変化を指摘している。ランサムウェア攻撃の37%がすでに物理的または心理的脅威を含んでいるのだ。つまり、圧力はもはや企業のネットワークにとどまらない。ランサムウェア、物理的脅威、ドキシング、スワッティングの事例は、標的が人間にもなり得ることを示している。

本記事では、わかっていることを整理し、こうした戦術が従業員や家族にどのように及ぶ可能性があるか、被害を抑えるためにどのような具体的な手順が役立つかを解説する。

ランサムウェアが個人的なものになるとき：Semperisの報告書が明らかにするもの

SoftZoneが報じたSemperisの報告書によると、ランサムウェア攻撃の37%が物理的または心理的脅威を取り入れている。公開された要約では、ドキシングとスワッティングの事例が明示的に言及されている。原著ではこれ以上の内訳は入手できないため、脅威の種類別や国別に数字を外挿すべきではない。

この傾向の背後にある論理は理解しやすい。組織がバックアップを持ち、システムを復元できるなら、暗号化は梃子としての力を失う。個人的な恐怖を加えることは、意思決定者に圧力をかける方法である。脅威は技術的なものではなくなり、感情的なものになる。

同じ報告書を扱った他のページによると、Semperisのインシデント対応コンサルタントであるTim Beasley氏が、ロシアのマトリョーシカ人形やその他の地域的な物品が入った小包を受け取ったと語ったという。この詳細は報告書に関する検索結果に由来するものであり、主要な情報源によるものではないため、我々が検証したデータではなく参考情報として扱う。それでもなお、こうした事例が描写する脅迫のニュアンスを物語っている。

ドキシングとスワッティング：攻撃者が従業員や家族にどう迫るか

報告書が言及する2つの用語を理解しておくべきだ。

ドキシングとは、誰かの個人情報（住所、電話番号、家族や仕事に関するデータ）を収集して公開することである。その情報の多くはすでに公開情報源、ソーシャルメディア、登記簿、過去の漏洩で流通している。攻撃者は誰かを暴露するためにハッキングする必要はない。断片をつなぎ合わせるだけで十分な場合がある。

スワッティングとは、緊急サービスに虚偽の通報をして、住宅に緊急出動させることである。でっち上げの通報を本物のように装い、そこに住む人々や警察官自身にとってのリスクを伴う。

両者の結びつきは直接的である。ドキシングが住所と文脈を提供し、スワッティングがそのデータを具体的な物理的脅威に変える。そのため、従業員、経営陣、ITスタッフの家族は、インシデント対応に関与していなくても標的になり得る。

このアプローチは、データに基づく恐喝というより広い傾向に合致している。スペインにおけるランサムウェアの増加とAIによるデータ窃取に関する我々の報道で説明したように、攻撃者は被害者への圧力を高めるために盗まれた情報にますます依存している。

被害に遭った場合の対処：隔離、記録、通報

あなたやあなたの周囲の誰かが攻撃に関連する脅威を受けた場合、以下の一般的な指針が役立つ。ただし、専門家や当局の助言に代わるものではない。

  • 人の安全を最優先する。 信憑性のある物理的脅威がある場合は、直ちに緊急サービスに連絡する。
  • 影響を受けた機器を隔離する。 感染したデバイスをネットワークから切断して拡散を食い止める。ただし、対応チームが証拠として役立つ可能性のあるものの電源を切らないよう指示している場合はそれに従う。
  • すべてを記録する。 メッセージ、メール、スクリーンショット、受け取った小包、通話記録を日時とともに保存する。自分で応答したり交渉したりしない。
  • 適切な相手に知らせる。 セキュリティ責任者、経営陣、法務チームに報告する。個人の場合は、会社に事の次第を通知する。
  • 通報する。 警察に被害届を提出する。データを公開すると脅された場合は、正式に記録に残す。
  • 周囲に知らせる。 脅威が家族に言及している場合は、不審な電話、訪問、郵便物にどう対応すべきか伝えておく。

狙われる前に個人データの露出を減らす方法

誰もデジタル足跡を完全に消すことはできないが、あなたを特定しようとする者の仕事を難しくすることはできる。

  • 公開プロフィールを見直す。 ソーシャルメディアで、あなたの都市、勤務先、家族の写真、生活習慣を誰が見られるかを制限する。
  • 自分の名前を検索する。 検索エンジンや個人データを集約するサイトで、あなたやあなたの住所について何が表示されるか確認する。多くは削除を申請できる。
  • 身元を分ける。 仕事用、買い物用、個人サービス用に異なるメールアドレスと電話番号を使う。
  • 二段階認証を有効にするそして固有のパスワードを使い、古い漏洩がさらなる扉を開かないようにする。
  • 職場での共有は慎重に。 社内ディレクトリや職務プロフィールに載せた個人の連絡先データは、間違った相手の手に渡る可能性がある。
  • 家庭でリスクについて話す。 重要システムへのアクセス権を持つ職種で働いているなら、脅威に直面したときどうすべきか家族が知っておくことが望ましい。

VPNはIPアドレスを隠し、信頼性の低いネットワーク上での通信を保護できるが、すでに公開されているあなたに関するデータを消すものではない。それは追加の層であり、ドキシングに対する完全な解決策ではない。

これがあなたにとって意味すること

企業で働いているなら、たとえ技術チームの一員でなくても、あなたは攻撃者にとっての接触点になり得る。個人であれば、あなたのデータは周囲の誰かに対する梃子として使われる可能性がある。良い知らせは、防御の大部分が予防的であり、あなたの手の届くところにあるということだ。露出するデータが少なければ、被害者に圧力をかける材料も少なくなる。

組織にとって、この報告書は対応計画に従業員と家族への支援を含めるべきことを示唆している。技術的な復旧だけでなく。

結論と次のステップ

Semperisのデータ、すなわち物理的または心理的脅威を伴う攻撃が37%という数字は、物理的脅威、ドキシング、スワッティングを伴うランサムウェアがすでに現実の状況の一部であることを示している。身を守るために：

  1. インターネット上で自分の名前と住所を検索し、公開されるべきでないものの削除を依頼する。
  2. ソーシャルメディアのプライバシー設定を調整し、個人アカウントと仕事用アカウントを分ける。
  3. 基本計画を準備する：誰に知らせるか、何を記録するか、いつ緊急通報するか。
  4. これらの指針を家族やチームと共有する。

データ窃取がこうした攻撃をどこまで促進しているかを理解したい方は、スペインにおけるランサムウェアの増加に関する我々の報道をお読みいただきたい。そして今日から、自分のどの個人データが誰にでも手の届くところにあるかを見直すことから始めよう。