ランサムウェアの「ビジネスモデル」から考える、企業の新たなリスク戦略
脅威の状況は絶えず変化しており、その進化はAI駆動型攻撃に顕著に表れている。ランサムウェアのような古くからある攻撃手法もまた進化を続けている。しかし、ランサムウェアの基本的な仕組みは変わらない。犯罪者がシステムに侵入し、データを暗号化して、その解除と引き換えに金銭を要求するというものだ。ところがランサムウェア攻撃を支えるエコシステムは、偵察やデータ交渉といった専門的な役割を備えた、企業のようにプロフェッショナル化された構造へと進化している。攻撃者は高価値の標的を特定し、恐喝の効果を最大化するためにAIを活用するようになっている。
「近所の不良集団」から「隣の企業」へ
ランサムウェアの犯罪者を、どこか卑劣なギャングの一味と考えるのは見くびりすぎだ。今日、ランサムウェアグループは他の企業と何ら変わりなく活動している。彼らの日常業務を支配しているのは、一般企業で行われていることと大差ない。優秀なスタッフを採用し、引き留め、無駄のない強力なランサムウェア組織へと構成することを目指している。利益を拡大し、新たな標的をパイプラインに投入し続けようとしているのだ。
他の企業と同様に、現代のランサムウェア事業者には以下のような専門的な役割が存在する。
● 偵察スペシャリスト： 標的に関する調査書をまとめるのが役割。これには最高経営責任者（CEO）の報酬や財務責任者の家族の詳細など、ランサムウェア攻撃の適切な局面でゆすりの材料として使われる重要情報が含まれる。
● 初期アクセスブローカー： 漏洩したパスワードやダークウェブで購入したパスワードを使って侵入した後、そのアクセス権を攻撃を実行する事業者に販売するのが役割。
● スコープ設定チーム： ネットワークをマッピングし、攻撃が最大の影響を与え、最も大きな混乱を引き起こし、復旧の可能性を最小限にできる箇所を特定する。
● 交渉人： セキュリティ機関の交渉人と同様、身代金交渉を主導する。通常、高い英語力を持ち、プレッシャーの下でも冷静沈着である。
● 資金洗浄スペシャリスト： ランサムウェアの支払いは、セキュリティ機関に追跡されてはならない。洗浄役の仕事は、ミキシングサービスや取引所を経由させ、追跡や差し押さえができないようにその支払いを移動させることだ。
これらのグループによる自己認識は異なる。彼らにとって、自分たちは防御側と戦う敵対者ではない。セキュリティの脆弱な被害企業というライバル企業と競争しているビジネスなのだと考えている。一部のランサムウェア事業者は、自らの攻撃を被害者に対して「後払いのペネトレーションテスト」と表現することさえあるという。「どのみちセキュリティテストには費用を払っていただろう」と彼らは主張する。まるで「セキュリティの隙を見つけてやったのだから、金を払うべきだ」と言わんばかりだ。
AIはどこで登場するのか？
一般的な誤解として、生成AIがランサムウェアを強力に後押ししたという説がある。確かにAIはフィッシング詐欺の質を高めるのに役立っているが、ランサムウェアグループはAIが登場する以前から、優秀な英語話者を雇っていた。AIが役立っているのは、データの分類と、価値のあるデータ（特に、漏洩した場合にビジネスのサプライチェーンの上流や下流に甚大な影響を及ぼすような極めて機密性の高いデータ）の特定である。
資金洗浄プロセスの進化
ランサムウェアによる資金の洗浄は困難だが、不可能ではない。暗号資産（仮想通貨）ミキシングサービスへの取締りや、制裁対象となった取引所の閉鎖により、いくつかの容易なルートは断たれた。それでも、制裁対象の取引所が非公式に稼働し続けている管轄区域を通じて、多くのランサムウェア資金が今も流れている。同時に、各国が個人による暗号資産の所有に対する規制を強化している。その結果、多くの人々がグレーマーケットでの取引に押し流されており、このグレーマーケットが不正な資金を引き寄せる温床となっている。
セキュリティリーダーはいかにこの変化に対処すべきか
最優先事項は、ランサムウェアグループを、豊富な資金力を持つプロフェッショナルな敵対者として認識することだ。ランサムウェアによるデータ侵害のコストが500万ドル（約7億8100万円）に達する中、対策を誤った場合の代償は極めて大きい。比較的容易な方針決定の一つに、身代金支払いの禁止が挙げられる。しかし、書面の上では優れて見える方針も、厳しい現実に直面することがある。ランサムウェアによる強奪で重要データが奪われ、倒産の危機に瀕している企業を想像してみてほしい。このような状況において「身代金不払い」の教条は逆効果だ。では、正しいアプローチとは何か。それは、ランサムウェアグループの活動方法に基づいたリスク管理体制を構築することである。
● 人とプロセスのギャップに対処する。 攻撃者はまず組織図を物色する。資金へのアクセス権を持ち、最も保護が手薄な人物を探し出し、標的を特定した上で、それに応じたマルウェアを選択する。セキュリティ予算は、機密情報の保護に責任を持つ特定の役割に対して適切に配分されるべきである。
● 防御的AIに投資する。 ランサムウェアグループはまだ大規模にはAIを活用していない可能性があり、したがって防御側におけるAIの優位性はまだ有効だ。機械学習、行動分析、自律型AIエージェントを組み合わせ、サイバー攻撃をリアルタイムで検知・隔離・無害化するAIソリューションに投資することで、この優位性を積極的に活用すべきである。
● 身代金に対する姿勢を決定しておく。 攻撃者は身代金を要求する前に、企業の保険の補償内容や売上高をすでに把握している。事前に合意された計画には、支払い検討の基準となる閾値や、バックアップからどれだけのデータをまず復旧させるか、データが本当に盗まれたことを証明するためにどのような証拠を要求するか、といった事項を含めるべきである。
● 取締役会を議論に巻き込む。 支払うか支払わないかの決断は、業務、評判、顧客に影響を及ぼす。実際のインシデントの最中に、プレッシャーに押されて誤った判断を下さないよう、事前に訓練を重ねておくことが重要である。
ランサムウェアグループは、自らがビジネスを運営していることをすでに理解している。本当の問いは、防御側がビジネスを相手にするように彼らと戦う覚悟ができているか、ということだ。
