シュタッドラー・レール、エベレストグループからの1230万ドルの身代金要求を拒否

スイスの鉄道車両メーカー、シュタッドラー・レールがサプライヤー経由のサイバー攻撃を受ける

スイスの鉄道車両メーカー、シュタッドラー・レールは、サイバー攻撃の標的となったことを確認し、自らを「エベレスト」と名乗るハッキンググループからの1230万ドルの身代金要求を公に拒否しました。同社によると、流出したデータは自社の内部システムからではなく、サプライヤーのプラットフォームから取得されたものであり、グローバルな生産活動には影響が出ていないとのことです。

この事例は、企業のサイバーセキュリティ体制が、サプライヤーネットワークの中で最も弱い部分によって左右されることを改めて示しています。堅牢な内部防御を備えた組織であっても、依存しているパートナーやベンダー、データ交換プラットフォームが侵害されたために、身代金要求の対象として名前が挙がることがあるのです。

シュタッドラー・レールのサイバー攻撃で何が起きたか

シュタッドラーによると、エベレストグループは、同社のネットワークに直接侵入するのではなく、サプライヤーとの情報交換に使用しているプラットフォームを通じて技術データにアクセスしました。同社はこの違いを重要視しており、この攻撃が中核的な生産システムやエンジニアリングシステムには及んでおらず、世界中の製造業務は通常通り継続していると説明しています。

エベレストは、窃取したデータの公開やさらなる悪用を防ぐ代わりに、約1230万ドルを要求したと報じられています。シュタッドラーは支払いを拒否しました。同社がこの種の対決に直面するのは今回が初めてではありません。同じエベレストグループからの同様の身代金要求をシュタッドラーが以前に拒否した件で取り上げたように、同社はサイバー犯罪者への支払いに反対する公の姿勢をすでに打ち出しており、今回の確認によってその立場が改めて強化されました。

サプライヤー侵害がプライバシーリスクを高める理由

シュタッドラーの事例は、産業界や製造業でますます一般的になっているパターンを浮き彫りにしています。攻撃者は、企業がサプライヤーや請負業者、物流パートナーとデータを共有するために使用するサードパーティのシステムを標的にしているのです。これらの共有プラットフォームには、機密性の高い技術文書、設計ファイル、ビジネス記録が含まれていることがよくありますが、企業の主要インフラと同じセキュリティ基準で管理されているとは限りません。

プライバシーに関心のある読者にとって、ここで重要なのは、身代金の金額に関する見出しの陰に隠れがちな点です。侵害がサプライヤーのシステムで発生した場合でも、流出したデータには、そのサプライチェーンに関連する従業員、請負業者、顧客の情報が含まれている可能性があり、たとえ製造元自身のネットワークに一切触れられていなくても、影響を受ける可能性があるのです。生産には影響がないというシュタッドラーの声明は事業継続性には言及していますが、どのようなカテゴリーのデータが流出し、下流の誰に影響が及ぶ可能性があるのかという疑問を必ずしも払拭するものではありません。

これは、シュタッドラーの身代金拒否事例が、シュタッドラー自身のインフラへの直接侵入ではなく、サプライヤー側のプラットフォームを中心に展開されたのと同様に、シュタッドラーの以前のエベレストとの対決で記録された、より広範な傾向と一致しています。ランサムウェアグループは、有名ブランドに関連する価値あるデータを入手しつつも、より侵害が容易なこれらの二次的なアクセスポイントを意図的に標的にしているようです。

シュタッドラーの拒否とランサムウェアの対峙

支払いを拒否することで、シュタッドラーはランサムウェアの要求に対して交渉しないという公の姿勢を取る組織の増加リストに加わりました。このアプローチには現実的なトレードオフが伴います。支払いを拒否すれば、攻撃者への金銭的インセンティブを断ち、さらなる犯罪活動への資金供与を避けられますが、その一方で、窃取されたデータが最終的に流出したり、売却されたり、シュタッドラーのビジネスに関係する従業員、サプライヤー、顧客を狙った二次的なソーシャルエンジニアリング攻撃に使用される可能性があることも意味します。

沈黙を守るのではなく、同社が攻撃を公に確認したこと自体も注目に値します。このような状況での透明性は、影響を受ける可能性のある当事者（従業員、ビジネスパートナー、規制当局など）が、何がリスクにさらされているかを理解し、適切な予防策を講じるのに役立ちます。

これが意味すること

ほとんどの読者はスイスの鉄道車両メーカーの従業員ではないでしょうが、シュタッドラー・レールのサイバー攻撃には広く当てはまる教訓があります。サプライチェーン侵害がランサムウェアグループの侵入口としてますます利用されるようになっており、そのため、自分が存在すら知らないかもしれないベンダーとの関係を通じて、個人情報や職業上のデータが流出する可能性があるのです。外部のサプライヤーやパートナーとデータを共有する企業で働いているなら、それらのサードパーティプラットフォームがどのように保護されているか、また、自社がその慣行を把握できているかどうかを問う価値があります。

特に今回のような公表された侵害の直後に、取引のある企業に言及した予期せぬ連絡を受け取った場合は、注意して扱ってください。攻撃者は、ランサムウェア開示後の混乱に乗じて、影響を受けた組織の従業員、顧客、パートナーを標的としたフィッシングキャンペーンを仕掛けることがよくあります。

実行可能なポイント

• 組織が機密データを共有するために使用しているサードパーティのプラットフォームを確認し、ベンダーにセキュリティ慣行について尋ねる。
• 最近の侵害ニュースに言及したフィッシングの試みに警戒する。攻撃者はしばしば、詐欺に正当性を持たせるために公表された情報を悪用する。
• シュタッドラーのサプライヤー、請負業者、パートナーである場合は、間接的な報告に頼るのではなく、公式の会社発表を注視して最新情報を入手する。
• 身代金の支払いを公に拒否する組織を支援する。これは、将来の攻撃を駆り立てる金銭的インセンティブを減らすことになるが、拒否しても窃取されたデータが最終的に表面化しないことを保証するものではないと認識しておく。

シュタッドラー・レールの事例は、現代のサイバーセキュリティにおけるより広範な真実を浮き彫りにしています。自社のネットワークを保護することは必要ですが、もはやそれだけでは十分ではありません。ランサムウェアグループが大手企業を取り巻くサプライヤーエコシステムをますます標的にする中で、このようなインシデントがどのように展開し、組織がどのように対応するかについて情報を入手し続けることは、自分自身のデータとデジタルフットプリントを守るための最善の方法の一つであり続けます。