その理由ですが、何かと話題となるランサムウェアが「匿名化技術」を多数活用して構成されているからです。例えば、犯人とのコミュニケーションは、先の匿名チャットツールが使われますし、「リークサイト」と呼ばれるデータを公開するためのWebサイトは、普通のWebブラウザでは到達できない、経路が暗号化される“特別なWebブラウザ”を利用する必要があります。また、身代金は暗号通貨で決済するため、ウォレットのIDは分かったとしても、その先にいる人間まで特定するのは難しいでしょう。これらを一つ一つ解き明かすのは大変困難です。だからこそ、「ランサムウェアの被害は増え続けている」ともいえるでしょう。

　ランサムウェアの話題は「どうやって防ぐか」という話とともに、「身代金を支払うか否か」という点が注目されています。筆者の結論は「払うべきとも、払わないべきとも断言できません」です。なぜなら、奪われたデータの内容、システムの重要度により、判断基準がさまざまだからです。

図1　ユーロポール、そして多くのセキュリティベンダーが協力している「The No More Ransom Project」では、身代金は「絶対に支払ってはいけません」と断言している（https://www.nomoreransom.org/ja/index.html）［クリックで拡大］ 出所：NO MORE RANSOM

　そもそも、「身代金『払う』or『払わない』」というのは、その命題が間違っているという指摘もあります。先日、セキュリティベンダーのウィズセキュア 脅威インテリジェンス部門ディレクターのティム・ウェスト氏が来日し、記者に向けてラウンドテーブルを開催した際、支払いを行っても、ランサムウェアギャング内での“詐欺”が発生し、実際に攻撃した犯罪者が分け前をもらえなかったという事例を紹介していました。かつては身代金を支払ってもらうために、攻撃者も「信頼」を積み重ねてきましたが、どうやらそれは過去の話のようです。

図2　ウィズセキュア 脅威インテリジェンス部門ディレクターのティム・ウェスト氏が紹介したChange Healthcareの事例では、身代金を支払ったものの、ランサムウェアギャング内での“内部不正詐欺”が行われ、再度ランサムウェア攻撃を受けてしまったという［クリックで拡大］

　この点からも、「身代金を支払うべきではない」というのが基本になりそうですが、ウェスト氏は身代金を支払うとしても、「その前に『交渉』があるべきだ」と述べています。基本的に、攻撃者は高額な身代金をふっかけてきます。ですが、その金額に裏付けなどないため、多くの場合は攻撃者側と“交渉”することで、その金額はほぼ確実に下がるだけでなく、「うまくいけば選択肢が増える。悪くても時間を稼げる。支払わないとしても漏えいに備えて準備ができる。交渉は良い手段だ」とウェスト氏は説明していました。

　つまり、身代金を支払うか／支払わないか以前に、「交渉」というカードを切るべきなのです。その交渉には、最初に触れた匿名化チャットアプリが活用されます。交渉を行うのはシステム担当者や経営層になるでしょう。いつか来るかもしれないその日のために、これらのアプリを使ってみることは準備として重要だと思います。