支払うべきか、支払わざるべきか:DriveSaversがFinancial Times紙に引用された後の見解

英国政府は、NHS(国民保健サービス)、地方自治体、学校を含む公共部門および国家の重要インフラ事業者を対象に、身代金の支払いを全面的に禁止する方針を進めています。これは深刻な問題に対する真摯な対応です。しかし、ランサムウェア被害者の大半は中小企業であり、重要インフラの運営事業者ではありません。重要インフラ事業者を対象とした禁止措置は、攻撃全体のごく一部にしか及ばないため、それだけではランサムウェア犯罪全体の件数を減らす効果は限定的だと考えられます。

これに関しては、すでに実例が存在します。ノースカロライナ州は2021年に政府機関によるランサムウェア身代金の支払いを禁止し、フロリダ州も2022年にこれに続きました。しかし、どちらの禁止措置も、両州における犯罪活動を実質的に抑止した形跡は見られません。Risk LedgerのCEOであるヘイドン・ブルックス氏は、同記事の中で関連する論点を提起しています。公共機関が支払いをできなくなれば、犯罪グループは規制の緩い民間セクターの標的へと矛先を移す可能性が高く、また保険会社もランサムウェア関連の保険金支払いを完全に対象外とすることで対応し、その結果として保険料が上昇する可能性があるというものです。

他の地域では、法的な状況は異なります。英国、オーストラリア、そしてDriveSaversが事業を展開するその他の法域では、独自の規制を検討中、あるいはすでに施行しています。そのため、米国外の組織は、米国のルールが自国にも適用されると考えるべきではありません。

DriveSaversが対応する案件には、数年前にはこれほど一貫していなかった共通の構造が見られます。攻撃者はシステムを暗号化する前に、バックアップ基盤そのものを破壊または削除しています。その典型例が、Veeamバックアップリポジトリ、Hyper-Vホスト、VMware ESXiホストです。DriveSaversがこの2年間に対応したランサムウェアのデータ復旧案件のうち、およそ半数は、攻撃者が主要サーバーに手を付ける前に、Veeamバックアップを特に狙ったケースでした。Veeamは仮想化環境向けのバックアッププラットフォームとして世界で圧倒的な地位を占め、全世界で約55万の顧客を抱えていますが、多くのIT担当チームは、削除または破損したVeeamバックアップファイルが、DriveSaversが独自に開発した復旧ツールや技術によって、しばしば復旧可能であることに気づいていません。

攻撃者から提供される復号ツールも信頼性に欠け、特に大容量のファイルやデータベースではその傾向が強くなります。復号ツールを入手するために身代金を支払った組織であっても、その後に専門的なデータ復旧を必要とするケースが多く見られます。これは、復号処理そのものによってデータが破損してしまうためです。また、イミュータブル(改変不可能)バックアップは、投資する価値が確かにあるとはいえ、絶対に安全とは言えません。DriveSaversでは、イミュータブルであると宣伝されていたバックアップサーバーが完全に削除されてしまった案件にも対応してきましたが、これはそのイミュータビリティを管理するソフトウェア自体が侵害されていたためです。

最近対応したある案件では、DriveSaversは削除されたバックアップから必要な業務データをすべて復旧させることで、数百万ドル規模とされる身代金要求を保険会社が回避できるよう支援しました。必要となったデータ復旧サービスの費用は、その金額のごく一部にとどまりました。これは、より大きな変化の一部でもあります。保険会社は現在、身代金の支払いを承認する前に、データ復旧が可能かどうかを日常的に確認するようになっていますが、これは数年前には標準的な質問ではありませんでした。

身代金を支払ったとしても、攻撃者が正常に機能する復号キーを渡してくれる保証はなく、データが元の状態のまま戻ってくる保証もなく、盗まれたデータが後になって別の場所に流出しないという保証もありません。

逆の主張についても同様の慎重さが求められます。ここで、2つの概念を区別しておくことが有益です。

Mausと共に取材を受けた他の何人かは、この禁止措置に関する議論そのものよりも注目すべき論点を提起しています。Tenableのプロダクト担当VPであるギャビン・ミラード氏は率直に述べています。より有益な問いは、そもそもランサムウェアをいかにして収益性の低いものにするかだ、ということです。大半の攻撃は今なお既知の脆弱性や外部に露出したシステムを悪用しているため、露出管理のほうが、どのような支払いポリシーよりも長期的な効果をもたらします。Delineaのスペンサー・ヤング氏は、アクセス制御に関する関連論点を提示しました。常設の権限を制限し、単一の盗まれた認証情報がネットワーク内を自由に移動できないようにすることで、攻撃が成功した場合でも被害を縮小できるというものです。

備えという観点では、最も早く復旧できる組織は、攻撃が発生する前の段階で、バックアップの保管場所、どのシステムが重要であるか、そして誰に連絡すべきかをあらかじめ文書化している傾向があります。この連絡先リストは、主要サーバーとは別の場所に保管し、他のすべてと一緒に暗号化されないようにする必要があります。また、そこには法律顧問、サイバー保険会社、そしてデータ復旧サービスの連絡先を含めるべきです。

ランサムウェアの要求に応じて支払うべきかどうかというジレンマを解決するのは、決して簡単なことではありません。これは単一の道徳的選択ではなく、複数の要素を考慮すべき判断だと捉えてください。データがどれほど機微であるか、バックアップが無事だったか、具体的にどの攻撃者が関与しているか、法的リスクがどの程度あるか、そしてデータ復旧が実際にどの程度現実的かといった要素です。身代金の支払い期限に判断を迫られる前に、早い段階で外部の支援を求めることで、判断材料を減らすのではなく、増やすことができます。

Financial Times紙の全文レポートはこちら: 「Surge in ransomware hacks deepens divide over whether to pay」(閲覧には購読が必要な場合があります)。