禁止すべきか、すべきでないか――これが、企業や政府機関、その他の組織に対するランサムウェア攻撃が急増していることを受け、現在、世界中の立法者たちが議論を交わしている難しい問題です。
ランサムウェアへの身代金支払いを違法化することを提唱する団体 は、これは単なる需要と供給の問題だと考えています。つまり、ある州や国の組織が身代金の支払いを禁じられていることをハッカーが知れば、彼らは攻撃の矛先を他の場所に向けることになるでしょう。 FBIは、身代金の支払いを好ましく思っておらず、それが悪意のある者たちに犯罪を続ける動機を与えてしまうと見なしています。 議会での議論が続いているほか、少なくとも3つの州――ニューヨーク州、ペンシルベニア州、ノースカロライナ州――が今年、身代金支払いの禁止を検討しており、州および連邦レベルで、共和党と 民主党の両党から法案が提出されています。
懐疑派は、こうした法案が弊害の方が利益を上回り、ハッキング被害者にさらなる問題を山ほど生じさせ、ひいてはさらなる脅威に対して被害者をより無防備な状態に追い込む恐れがあると懸念しています。 もし組織が法律を無視して身代金を支払うことを選んだ場合、ハッカーは 標的を脅迫し、 そのような情報を秘密にしておくようさらに要求することができるようになります。
米国司法長官の元顧問であるメーガン・ブラウン氏は、懐疑派の立場をとっています。 現在はWiley Rein LLPでサイバーセキュリティ分野の弁護士を務めるブラウン氏は、攻撃にさらされる機会がますます増えている事業主や組織のリーダーたちに共感を寄せています。
のエンドポイント担当氏との率直な対談の中で、ブラウン氏は、現在議会で審議されている、被害者にランサムウェア攻撃や身代金の支払いを報告することを義務付ける法案について、また、なぜそれらが役立つとは確信できないのかについて、自身の見解を述べています。
この会話は、分量を調整するため要約し、若干の編集を加えてあります。
ランサムウェアの被害に遭った企業に対し、身代金を支払うべきかどうかについて、どのようにアドバイスすればよいでしょうか？
企業は、支払うかどうかという二者択一の判断を、自発的に比較的迅速に行う傾向があります。 そこで、弁護士の役割は、その決定に伴うリスクを管理することです。
現行法の下で、ランサムウェアの身代金を支払うことにはどのようなリスクがあるのでしょうか？
テロリストにお金を渡してしまうリスクがあります。 そして、それは違法です。 外国資産管理局（OFAC）をはじめとするさまざまな連邦規制制度では、テロリストや指定団体リストに掲載されている者に対して資金を提供しようとする際、大きな赤い「停止」の標識が立ちはだかります。
「『身代金を支払うのは不道徳だ』と断固として主張する人たちは、手術の予約すら取れない医療機関に、そのことを伝えてみるべきでしょう。」
これは厳格責任制度であり、たとえ自分がテロ組織のフロント団体に資金を提供していることを知らなかったとしても、それが発覚すれば、あなたは責任を問われることになります。
では、なぜ企業は結局、サイバー犯罪者に身代金を支払ってしまうのでしょうか？
人々が十分に認識していない、非常に大きなリスクがあると思います。 経営幹部の方や、企業の取締役を務めている方は、その企業およびその株主、所有者、投資家――ヘッジファンドから、退職金を株式に投資しているおじいちゃんやおばあちゃんに至るまで、あらゆる関係者――に対して、受託者責任を負っています。
では、例えば、御社が「 」という、業務を麻痺させるようなランサムウェア攻撃を受けたとしましょう。。 バックアップがうまくいかず、すべてのデータが暗号化されてしまっています。 身代金を支払わなかった場合、受託者としての義務を果たしていると言えるでしょうか？ もしビットコインで会社に数十万の利益をもたらすことができるとしたら、その受託者が取るべき合理的な行動とは何でしょうか？ 多くの場合、それは支払うためです。
多くの人は、身代金を支払うことは間違った行為だと考えています。 以上です。 企業は、あらかじめ自社の安全を守るために、もっと責任を持つべきではないでしょうか？
「身代金を支払うのは不道徳だ」と断固として主張する人々は、手術の予約すら取れない の医療機関（ ）に、そのことを伝えてみるべきでしょう。 あるいは、重要なファイルにアクセスできず、サービスを提供できなくなり、その結果、会社が倒産してしまうようなケースもあります。
「被害者を罰することが解決策だとは、どうしても納得できません。」
これらの企業が自業自得だという前提には同意できません。 仮にそうだったとしても、社会として、企業が倒産してしまうことが正しい答えなのでしょうか？ 学校が機能しなくなってしまうことでしょうか、それとも、大量の機密情報がダークウェブに流出してしまうことでしょうか？
とはいえ、ランサムウェアへの支払いを止めさせることには、公共政策上の根拠があるのではないでしょうか？
ああ、もちろんです。 あなたは、悪質な行為を継続させるインセンティブを含む市場を作り出しているのですよね？
世の中には、金儲けになるからという理由で、他の悪意のある人物たちに「ランサムウェア・アズ・ア・サービス」を提供している悪意のある人物たちがいます。 ただ、被害者を罰することが解決策だとはどうしても納得できません。
身代金の支払いを容易にするための仮想通貨の利用を規制するのはいかがでしょうか？
ブロックチェーン関係者は、ビットコインやこうしたデジタル通貨の利用は、支払いを追跡する方法があるため、実際には役立つと主張するでしょう。 司法省（DOJ）がコロニアル・パイプラインへの身代金の一部を回収した件で、その様子をご覧になったことでしょう。
[関連記事：コロニアル・パイプラインへのサイバー攻撃は、アメリカ国民が求めていること――政府がサイバーセキュリティを最優先にすること――を浮き彫りにしています]
バイデン政権が推進し、現在議会で審議されているランサムウェア関連法案について、どのようにお考えですか？
幅広い事案報告義務化に向けて、合意形成が進んでいるようです。 一部の法案では、被害者がランサムウェア攻撃や脅威を受けた場合、また身代金を支払った場合はその相手先を含め、速やかに政府に報告することを義務付ける内容となっています。 民間企業は、サイバー攻撃を受けた場合、誰かがその報告を期待しているということを認識しておく必要があります。
身代金の支払いを全面的に禁止する法律が制定される可能性はあるのでしょうか？
それが、あまり実現可能性の高くない法案のどれかに盛り込まれていると知っても、私は驚くことはないでしょう。
勢いはそこにはないのでしょうか？
私が目にした文言によると、まず悪質業者リストと照合した上で、支払いに代わる選択肢を検討する必要があるようです。例えば、「バックアップを使って事業を再開することは可能ですか？」といった質問をするなどです。 お支払い前に、他に何かできることはありますか？
「法律で規制するのであれば、罰則よりも報奨を用いて、自発的な活動を促すべきです。」
重要なのは、お支払いを行う前に、十分な確認作業を済ませていることを確かめることです。 率直に申し上げて、そうしたデューデリジェンスの多くはすでに実施されていると思います。 どの企業も、OFACの規制に抵触するような事態は避けたいと考えています。
提案されている追加の報告要件は妥当でしょうか？
私が懸念しているのは、通報義務化によって、 自発的な協力の意欲が損なわれる可能性が高いということです。。 すでに多くの企業がDHS［国土安全保障省］に連絡しています。 彼らはFBIに通報しました。
「 72 時間以内に報告しなければならない」という法律があり、もしミスを犯せば政府に厳しく追及されるという状況では、判断の基準が変わってきます。 今日では、「これが私たちが見たものですが、それが具体的に何なのかは分かりません」と、以前よりも気兼ねなく言えるかもしれません。
もし、 のような書面による報告書 を提出しなければならず、そこに以下の 25 項目をすべて記載しなければならない場合と比べると、もう少し気兼ねなく情報を共有できるかもしれません。また、もし何か間違えてしまうと、当局から指摘を受け、罰金を科される可能性もあります。
もしあなたが法律の起草を担当することになったら、どのような法律を作りますか？
さらに別の法律が必要かどうかは分かりません。 あるいは、もし法律で規制するのであれば、 のような自主的な活動を、罰則よりもむしろ報奨によって促進するよう努めるべきでしょう。
誰かに何かをしてもらいたいなら、その人にとって費用がかからず、リスクもないようにすればいいですよね？ 彼らに法的責任の免除措置を与え、手続きを簡素化しましょう。 すでに、 2015年の「サイバーセキュリティ情報共有法（CISA）」という、比較的緩やかな法律が存在しています。 この仕組みは、自発的な共有を促進するとともに、その活動に対して数多くの優れた保護措置を提供しています。 なぜその強化を検討していないのかは分かりませんが、とにかく現状はこうなっています。