ある銀行はランサムウェアハッカーの言葉を信じた

サイバーセキュリティ報道でリバー銀行と特定された米国の金融機関は、ランサムウェア攻撃者が顧客プロファイル、内部文書、機密の銀行記録を含むテラバイト単位の機密データを盗み出した後、重大なサイバーセキュリティインシデントを開示した。身代金の支払い後、同行は、主に犯罪グループ自身の保証に基づき、攻撃者が盗んだデータを削除したと信じていると述べた。

この話が注目に値するのは、この細部だ。ランサムウェア交渉は、支払いが完了すれば盗まれたファイルが破棄されるという約束で終わることが多い。しかし、これらの取引には独立した検証プロセスが組み込まれていない。犯罪組織の言葉を頼りにする銀行や組織は、データが消えたことを実際に確認する手段を持たない。データはコピーされたり、転売されたり、数カ月後に二度目の脅迫に使われるために保持されたりする可能性がある。

ランサムウェアギャングを信頼することがギャンブルである理由

ランサムウェア事業は、契約を守ることではなく、金銭を搾取することを中心に成り立っている。攻撃者がデータを窃取してしまえば、そのデータのあらゆるコピーを彼らが掌握する。削除の約束は強制力がなく、被害組織がその遵守を確認できる技術的メカニズムは存在しない。たとえ攻撃の背後にいる特定の個人が自分のコピーを削除するつもりでも、盗まれたデータは身代金が要求される前に、アフィリエイトネットワーク、初期アクセスブローカー、あるいは第三者バイヤーを経由することが多い。一つのコピーを削除しても、すべてのコピーが消えたことにはならない。

顧客プロファイルや機密の財務記録を扱う銀行にとって、これは極めて重要だ。銀行データは、単にリセットできる盗難パスワードとは異なる。口座番号、取引履歴、内部コンプライアンス文書は、侵害が開示された後も長く、詐欺や個人情報窃盗に価値を持ち続ける。規制当局や顧客に対して、データが削除されたと信じていると銀行が伝えることは、実質的に、最初に侵入して情報を盗んだのと同じ行為者を信頼するよう一般市民に求めているに等しい。

このパターンは一つの事件に限ったことではない。セキュリティ研究者や業界の報告は、ランサムウェアグループが支払いを受け取った後でも、データを保持したり、転売したり、漏洩させたりすることが頻繁にあることを繰り返し示してきた。犯罪グループの保証を、未確認の主張ではなく、侵害に対する解決策として扱うことは、実際にデータが露出した顧客に対して金融機関がリスクを伝える方法について、懸念すべき前例を作る。

あなたにとってこれが意味すること

侵害を開示した金融機関と取引している場合、またはまだインシデントを報告していない（まだの）金融機関であっても、ランサムウェア攻撃に関係したデータは、攻撃者の主張にかかわらず、永続的に侵害されたものとして扱うのが最も安全な前提だ。実践的には、次のことを意味する。

  • 口座明細や信用レポートを注意深く監視し、特に銀行からの侵害開示後の数カ月間は、身に覚えのない動きがないか確認する。
  • オンラインバンキングのパスワードを変更し、まだ有効にしていなければ多要素認証を有効にする。盗まれた内部文書には、秘密の質問への回答や資格情報のリセットに使われる情報が含まれていることがあるためだ。
  • 銀行名や口座番号、最近の取引に言及した迷惑な電話、テキスト、電子メールには懐疑的になる。盗まれた銀行データは、説得力のあるフィッシングの試行を作り出すためによく使われる。
  • 公共のWi-Fiや不慣れなWi-Fiネットワークでオンラインバンキングにアクセスする際にはVPNの利用を検討する。接続を暗号化することで、銀行側の侵害とは別に、認証情報が傍受されるリスクを低減できる。Mozilla VPN free trial のようなサービスは、暗号化されたブラウジングがあなたの定期的なバンキング習慣に合うかどうかを、低いコミットメントで試す方法を提供する。

これらの手順のいずれも、既に発生した侵害を元に戻すことはできないが、盗まれたデータがあなたに対する直接的な金銭的被害につながる確率を減らすことができる。

金融機関にとってのより大きな構図

この事件は、侵害を受けた組織がどのように一般市民とコミュニケーションを取るかに関する、より広範な緊張を浮き彫りにしている。規制当局は重大なサイバーセキュリティインシデントの開示をますます求めるようになっているが、開示規則は、組織に対して、攻撃者の主張をそのまま繰り返す前にその内容を検証することを要求していない。銀行が顧客にデータが削除されたと信じていると伝えるとき、その声明は証拠よりも希望を反映している。機密の顧客データを扱う金融機関は、盗まれた情報が最悪の形で保持されていることを前提とするインシデント対応慣行を必要としており、ランサムウェアギャング自身の主張をなぞるような公共向けメッセージではない。

重要なポイント

ランサムウェアへの支払いはデータ削除を保証するものではなく、いかなる銀行や企業も、犯罪グループが盗んだファイルを実際に破壊したかどうかを検証することはできない。あなたの金融機関が侵害を開示した場合、自分のデータは無期限に露出されているものとして扱うこと。口座を監視し、ログインセキュリティを強化し、実際の口座情報に言及したフィッシングの試みに警戒を怠らないこと。ランサムウェア行為者の約束を信頼することはセキュリティ戦略ではなく、あなたにとっても同じであってはならない。