ランサムウェア攻撃者への支払いは平和を保証しない

身代金を支払えば問題が解決すると考えている組織は、その戦略を再考した方がいいかもしれない。TechRadarが取り上げた新たな調査によると、身代金を支払った被害者の56%がシステムへのアクセスを回復したと回答した一方で、37%という3分の1以上が、最初の支払い直後に二度目の恐喝要求を受けたという。さらに2%は支払ったにもかかわらず、データをまったく回復できなかった。

この調査結果は、ランサムウェアの身代金支払いが「支払い、復号キーを受け取り、終わり」という単純な取引であるという一般的な思い込みに疑問を投げかけるものだ。むしろデータは、かなりの割合の被害者にとって、最初の支払いは解決ではなく、攻撃者による最初の一手として扱われていることを示唆している。これは、他の最近の調査結果とも一致する。別のランサムウェアレポートでは、組織の約半数が支払い後に交渉していることが判明しており、身代金支払いが単なる一度限りのコストで済むことは稀であるという考えを補強している。

なぜハッカーは更なる要求を迫るのか

攻撃者の視点から見れば、繰り返し恐喝を試みる論理は明白だ。被害組織が一度支払いの意志と能力を示してしまえば、その組織は追加要求の格好の標的となる。ランサムウェアグループは、事業の復旧や顧客データの保護、規制上の罰則回避といったプレッシャーにさらされている企業が、長期のダウンタイムや公的な侵害開示のリスクを避けるために、再び支払いに応じることが多いのを熟知している。

また、この調査は身代金交渉プロセスにおける別の複雑な側面、すなわち価格の柔軟性についても取り上げている。レポートで引用された専門家は、ランサムウェアの攻撃者が度々当初の要求額を引き下げ、元の要求額から最大96%もの値引きに応じるケースもあると指摘している。これは寛大さではない。最初の金額を意図的につり上げ、真の目的は単に被害者から何らかの支払い（どんな額でも）を引き出すことにある、という交渉戦略を反映している。この力学を理解することは重要だ。身代金要求額が合理的な市場によって決められた固定価格ではないことを示しているからだ。それらは、すでにストレスにさらされた組織が支払える最大限の金額を引き出すために仕組まれた交渉の、最初の提示額に過ぎない。

つり上げられた初期要求額、大幅な値引き、そして繰り返される恐喝のパターンを総合すると、公正な交換ではなく、優位性の上に成り立つエコシステムの実態が浮かび上がってくる。一度でも被害者が支払えば、攻撃者はプレッシャーが有効であるという証拠を手に入れ、そのデータは同じ組織に対して再利用されるか、犯罪者コミュニティ内で「追求する価値のある標的」である証拠として共有される可能性がある。

これがあなたにとって意味すること

個人、中小企業、大企業を問わず、ここで得られる教訓は、「いかなる状況下でも身代金を支払うべきではない」ということではない（それは各組織が独自のリスク許容度と法的義務に基づいて判断すべき決断である）。むしろ教訓は、支払いを確実な解決策として扱うべきではないということだ。身代金の支払いを検討する者は誰でも、それが最後の要求になるとは限らない可能性、そして金銭がやり取りされた後でもデータの復旧が保証されているわけではない可能性を想定しておく必要がある。

これは、専任のインシデント対応チームを持たない中小規模の組織や個人に特に関係がある。同じ被害者が支払い、その後再交渉する実態を示したランサムウェアレポートは、リソースの豊富な企業でさえ、攻撃後の収束に苦心していることを浮き彫りにしている。専門的なインシデント対応のサポートがなければ、支払い後に良好な結果を得られる確率が、より小規模な標的にとって必ずしも高くなるとは限らないのだ。

実際的な意味合いとしては、事後の交渉スキルよりも、事前の予防と準備がはるかに重要だということだ。信頼性が高く、オフラインで保管され、テスト済みの復旧手順と強力なエンドポイントセキュリティは、そもそも攻撃者の持つ優位性そのものを減らす。バックアップから復旧できるために支払いを検討する必要が一切なければ、二度目の要求のリスクを含む、全ゆる恐喝の連鎖は無意味になる。

実践可能な対策

ランサムウェアとそれに続く恐喝の連鎖へのエクスポージャーを減らすための、いくつかの具体的な対策を以下に挙げる。

  • 定期的かつテスト済みのバックアップをオフラインまたは隔離された別環境に保管し、攻撃者の協力に依存せずに復旧できるようにする。
  • 身代金の支払いは、その後に要求が続く現実的なリスクを伴うビジネス上の決断として扱い、確実な解決策とは見なさない。
  • 支払いを決断する前に、法執行機関や経験豊富なインシデント対応の専門家を関与させる。彼らは攻撃者グループの過去の行動に関する洞察を持っていることが多いためだ。
  • パッチ適用、多要素認証、ネットワークセグメンテーションといった基本的なセキュリティ衛生対策に投資し、そもそも被害に遭う可能性を低減する。

結局のところ、この調査は、ランサムウェアの身代金支払いが購入するのは「解決」ではなく「可能性」に過ぎないことを再認識させるものだ。交渉に頼るのではなく、回復力を計画している組織は、身代金要求に直面するかどうかに関わらず、はるかに強固な立場に立つことができる。