ランサムウェアに感染したら身代金を払うべき？
ランサムウェア感染で身代金を支払う企業もある
コンピュータに感染してデータを暗号化し、復号の見返りとして身代金を要求するマルウェアをランサムウェアと言います。IPAの「情報セキュリティ10大脅威 2023」において、組織に対するサイバー攻撃の第１位にランクインしており、その脅威は日本のみならず世界中で猛威を振るっています。
ランサムウェアについては「身代金を支払ってはならない」というのが定説ですが、実際のところ、身代金を支払いデータの復旧に成功している企業も一定数存在しています。
プルーフポイントが実施した「State of the Phish 2023」の調査によると、2022年の日本のランサムウェアの感染率は68%であり、身代金支払率は18%とされています。
一方、世界に目を向けてみると、主要７か国において身代金支払率の平均値は66%であり、調査対象の15か国の中でも、日本の18%という数値は最も低いものです。
身代金を支払った場合でも、一度の支払いでデータが復旧できたケースは約半分のみであり、追加の支払いを行ってデータを復旧できたケースもあれば、追加の支払いを行っても復旧できなかったケースもあります。
ランサムウェアに感染した場合、データが暗号化されてしまい、その復旧にはコストがかかります。結局のところ、自力での復旧に必要なコストより請求された身代金の金額の方が低ければ、素直に身代金を支払い復旧を期待するというのは妥当な判断と思われます。
ただし、身代金を支払ってもデータが復号されるとは限らず、またツールなどを使って自力で復旧できる可能性を考慮すると、身代金を支払うかどうかの判断は非常に難しくなるでしょう。
見方を変えると、身代金を支払うということは犯罪者に対する資金提供とも言えます。仮に自社がランサムウェアの被害に遭った場合でも、データ復旧のためとはいえ、犯罪者への資金提供を認めてしまうのは決して良い考えではありません。
現状では、身代金の支払いを罰するような法律は整備されておらず、お金で解決できるならばと身代金を支払う企業が存在しているのが現状です。ランサムウェアへの対策は技術的な手法に加えて、身代金の支払いを違法とするような法律の整備が必要な段階と言えるのではないでしょうか。
多重脅迫が企業を追い詰める
ランサムウェアはデータを復号することを盾に身代金を要求するサイバー攻撃ですが、現在は多重脅迫による身代金の要求がはびこっています。これは暗号化に加えて、さらなる危害を与えると追加の脅迫を行う手口です。
たとえば、暗号化したデータを流出させるという２重の脅迫や、データを奪った企業に対して別のサイバー攻撃を仕掛けるという３重の脅迫、ターゲットの企業の顧客や取引先にデータを暴露すると脅す４重の脅迫など、日本においてもこのような多重脅迫が当たり前になりつつあります。
このような多重脅迫は、自社のみならず顧客や取引先へのランサムウェアの感染を知らせる要因となり、取引の中断や顧客離れ、信用の失墜など企業にとって大きなリスクとなるのは間違いないでしょう。
ランサムウェアに感染したら専門家に相談
ランサムウェアに感染したら、まずは感染したコンピュータをネットワークから切断し、ほかのネットワークやコンピュータへの感染拡大を防ぎましょう。また自社だけの判断で身代金の支払いを決めるのではなく、警察やセキュリティの専門家に相談し適切な対応を確認するべきです。
このような事態を避けるために、適切なデータのバックアップ体制を整えたり、サイバーセキュリティ保険に加入したりしておくのも有効な手段です。サイバー攻撃の手口が高度化している現在、万全のセキュリティ対策を行っているつもりでも、ほんのわずかな弱点が大きな被害をもたらしてしまうからです。
少しでも被害を少なくするためには、自社のリソースだけを当てにするのではなく、外部の専門家と連携したセキュリティ対策が必要とされているのです。
参考
- https://eset-info.canon-its.jp/malware_info/special/detail/210930.html（2023年７月31日確認）
- https://cybersecurity-jp.com/ransomware/column/61/（2023年７月31日確認）
- https://www.proofpoint.com/jp/blog/thret-insight/Japans-Ransomware-Payment-Result-2023（2023年７月31日確認）
- https://xtech.nikkei.com/atcl/nxt/column/18/00001/07178/（2023年７月31日確認）
- https://japan.zdnet.com/article/35204980/（2023年７月31日確認）