現時点では、サイバー攻撃によるシステム障害についての「第四報」までが公開されています。事件発生時から定期的に外部へ情報発信を行えている点は、非常に素晴らしい対応であり、社内で苦心していたであろう現場のスタッフや、このような発信を判断した経営層には敬意を表したいと思います。

　特に、一目見て尋常ではない事態だと感じさせるのが、冒頭に示されたタイムフレームです。一部を引用しましょう。

　ポイントは、10月1日20時32分に管理者アカウントの権限を奪取された後、わずか3日間ほどで組織内の探索やデータ搾取が行われた点にあります。通常、ランサム攻撃の一連の流れでは、最後の段階で「脅迫」が行われます。侵入から脅迫までは社内の探索にある程度の時間をかけるため、侵入後は深く静かに潜伏しており、「脅迫」が行われた時点で攻撃は仕上げの段階に入ったと見なされます。

　しかし、今回の報告を見ると、わずか3日程度でその全てが実行されていました。このスピード感に、防御側が対応していかなければならないという現実が、この報告書によって突き付けられています。

　もう一つ、筆者が注目したのは、「お前のデータは暗号化した、身代金を払え」といった内容が、誰にでも分かるように表示される「ランサムノート表示」のタイミングです。日本の企業を狙いすましたかのように、“金曜深夜（土曜日の午前1時台）”に実行されていることが分かります。果たして、このタイミングで犯行声明が出された場合、組織が気付くのはいつでしょうか。通常であれば月曜の朝まで対応できず、その時には既に手遅れとなっているでしょう。

　美濃工業は、その点でも対応が素晴らしかったです。ランサムノートが表示されてから、金曜深夜にもかかわらず、1時間ほどでそれを検知し、直後にネットワークを遮断するという対応を行ったとしています。

　さらに、最新の報告書では、同社の情報がいわゆるダークウェブに掲載されていることを確認した上で、「現時点では、本件に関連して、お客さまおよび取引先さまに具体的な被害や不正利用が生じている事実は確認されておりません」と発表しています。警察をはじめとする関係各所への報告も行っており、事件発生後の対応については滞りなく進められていて、学ぶべき点が多いと感じました。

　侵入後、管理者権限を奪われてしまえば、わずか3日間で攻撃者はゴールを決めてしまいます。その限られた時間の中で、われわれは何ができるのでしょうか。