カーティス・ミンダーは、周囲の航空機の座席に座っている人々の覗き見から、自分のノートパソコンの画面を隠しました。
It was late June, 2021, and the CEO and founder of GroupSense—which bills itself as a cyber reconnaissance company—was in the delicate and dangerous final stages of negotiating a ransomware deal with cybercriminals who were demanding the lofty sum of $6 million to return a corporate client’s network and data to normalcy.
「これは手強い案件でした」と、 44歳のミンダー氏は振り返ります。同氏は毎日2、3件の ランサムウェア（ ）に関する和解交渉を仲介しています。 多くの攻撃とは異なり、今回の事件では、ハッカーたちはこの非上場企業の財務記録を盗み出したため、その価値がいくらであるかを把握していたのです。 また、彼らは同社のサイバー保険契約も発見しており、それによれば、同社には支払いのための資金力があることが示されていました。 要するに、ハッカーたちが優位に立っていたのです。
「たいていの場合、ランサムウェアの交渉は、金額についてやり取りを繰り返す、いわばテニスの試合のようなものです」とミンダー氏は述べています。 「今回は、彼らはそれをしようとはしませんでした。」 「彼らは頑なに譲りませんでした。」
With U.S. ransomware attacks skyrocketing more than 300% and known payouts leaping 341% to $412 million last year, compared to 2019, negotiators like Minder are becoming vital lifelines for thousands of corporate and government agency victims around the world. しかし、そのサービスは物議を醸すこともあります。
ランサムウェア攻撃の捜査を担当するFBIおよび国土安全保障省は、各組織に対し、身代金を支払わないよう勧告しています。 彼らが指摘するように、支払ったからといって、データが必ず戻ってくるという保証はありません。 また、ランサムウェア集団の活動を助長し、助成も行っています。
とはいえ、組織――特にインフラや医療業界の組織――においては、システムをできるだけ早く復旧させるかどうかという、文字通り生死を分ける決断を迫られる場面もあります。 そこで、ミンダーのような専門家の出番となります。
[関連記事：サイバー保険は、サイバー攻撃に対する最善の防御策ではありません]
優れた交渉人なら誰でもそうであるように、ミンダー氏は率直さ、狡猾さ、そして魅力を巧みに組み合わせ、依頼人の危機を打開しています。 先日の交渉の際、ミンダー氏はハッカーたちに対し、依頼人は支払いに応じる用意はあるが、その金額が破産につながるような場合は別だと伝えました。 ミンダー氏とその顧客たちは、ハッカーたちがコールセンターを動員して、スタッフが提示した価格を受け入れないことは彼らの最善の利益にならないとスタッフやパートナーに伝え、圧力を強めてきたにもかかわらず、その姿勢を貫き、忍耐強く、揺るぎない態度を保ち続けました。
結局、ミンダー氏の乗った飛行機がサンフランシスコの滑走路に着陸した時点で、彼はハッカーたちを説得し、当初の要求額より約 85％から 90％少ない金額を受け入れるよう同意させていました。 同乗者たちは、そのことに全く気づいていませんでした。
誰に電話しますか？
ニュースにあまり関心がなくても、今や誰もが知っているように、ランサムウェアとは、データやプログラムを暗号化することで、コンピュータシステムやデータへのアクセスを通常は遮断する、悪意のあるソフトウェア（マルウェアと呼ばれる）の一種です。 その後、犯人たちはシステムや情報のロックを解除するための支払いを要求してきますが、このプロセスは数週間、場合によっては数ヶ月にも及ぶことがあります。
ITシステムや情報をこれほど長期間利用できない状況に耐えられる組織はほとんどないため、見識のある経営幹部は、 問題を解決するための最速の方法を特定するために、外部の支援を求めています。。 通常、まずはプライバシー専門の弁護士に相談するか、サイバー保険の保険会社に連絡するか、あるいはその両方から始めます。 各担当者は、クライアントが抱えるリスク（法的、技術的、その他）を評価し、一連の今後の対応策を提案いたします。
「たいていの場合、ランサムウェアの交渉は、金額についてやり取りを繰り返す、いわばテニスの試合のようなものです。」GroupSenseのCEO兼創業者、カーティス・ミンダー氏
その後、多くの場合、彼らは経営陣をランサムウェア交渉の専門家に紹介し、ハッカーとの対応を支援してもらいます。 サイバー保険スタートアップ企業「Resilience」のクレーム担当最高責任者であり、セキュリティ・テクノロジー研究所（Institute for Security & Technology）のランサムウェア対策タスクフォースの共同議長も務める現役弁護士のマイケル・フィリップス氏は、ほとんどのクライアントを交渉担当者に紹介することは当然のことだと述べています。
「短気な経営幹部やIT部門の責任者の中には、どうしても自分たちだけで交渉しようとする人が必ずいる」と彼は言います。しかし、彼らは基本的なルールを理解しておらず、放っておくと事態をさらに悪化させてしまう恐れがあります。
「あるCEOとやり取りしたことがありますが、その方は完全に激怒していました」とフィリップス氏は述べています。 「彼は、熱血で男らしい男で、加害者に連絡を取って、彼に対して自分がどう思っているかをはっきり伝え、脅してやろうと考えていたのです。」 「しかし、そのような行動は事態を悪化させるだけであり、ハッカーに要求をエスカレートさせたり、沈黙を守らせたり、あるいは意地でさらなる攻撃を仕掛けさせたりするきっかけになってしまいます。」
[関連記事：ラテラルムーブメント：サイバー犯罪者がネットワーク内をどのように移動するか、そしてそれを阻止する方法]
さらに、実際にサイバー犯罪者に身代金を支払う段階になった場合、フィリップス氏は、取引を成立させるために必要な量のビットコインをどこから集めればよいのか、その手掛かりさえ持っていない企業やIT部門の責任者が多いと指摘しています。
「専門家のサポートなしに、数百万ドル相当の仮想通貨を取得しようなどとは、決して考えてはいけません」と彼は言います。 専門家にお任せした場合のような、価格面での安心感は得られないでしょう。 例えば、評価額が異常に高騰していた時期に仮想通貨を購入し、本来よりもはるかに高い金額を支払ってしまったという方々と話をしたほか、ビットコインを間違ったアドレスに送金してしまったために、結局2倍の金額を支払うことになったという方々とも話をしました。」
敵を知れ
中小企業やそのパートナー企業にサイバー保険を提供するCysurance社のCEO、カーステン・ベイ氏は、同社も同様に、交渉担当者に顧客を紹介していると述べています。その理由は、交渉担当者が、総コストを抑制し、手続きを迅速に進める方法を、誰よりもよく知っている傾向があるからです。
「ランサムウェアの交渉担当者は、特定の規模の組織に対してどの程度の支払いが妥当か、関与している攻撃者や攻撃の手口などについて熟知しています」とベイ氏は述べています。 「彼らはあなたの敵を熟知しており、どの敵が 60％、 40％、あるいは 20％のダメージ軽減を受けるかを把握しています。これにより、大幅な節約が可能になります。」
「時には組織が……単にビジネス上の判断として、バックアップからの復旧を試み、ハッカーには「失せろ」と言うこともあります。」ミンダー
だからといって、交渉担当者がすぐにサイバー犯罪者への支払いに踏み切るわけではありません。 ミンダー氏によると、彼のクライアントの 80％は確かにいくらか支払っていますが、約 20％は例外なく支払わないとのことです。
「組織によっては、身代金を支払うことは自社の基本理念に反するとして、倫理的な立場を明確にすることもあります」と彼は述べています。 「また、場合によっては、適切な事業継続計画が整備されており、問題解決への明確な道筋が示されていることもあります。」 あるいは、その攻撃による影響はそれほど深刻ではないと考えているのかもしれません。 あるいは、単にビジネス上の判断として、バックアップから復元を試みて、ハッカーには「失せろ」と言うだけかもしれません。」
しかし、そのような余裕のある組織はほとんどありません。 実際、サイバー攻撃の被害者の大半は、ITリソースが乏しい中小企業であり、彼らは「パニックに陥っている」と、アリゾナ州スコッツデールで警察の刑事として勤務した後、フェニックスのキヴ・コンサルティング（Kivu Consulting）でランサムウェア交渉担当となり、さらに保険会社オールステート（Allstate）では のインシデント対応 およびフォレンジック部門のマネージャーを務めるキース・スワンソン氏は述べています。
[関連記事：サイバー犯罪者が小規模な公益事業者を標的にする理由]
スワンソン氏によると、そのような状況になった場合、交渉担当者の役割は、当事者たちを落ち着かせることだそうです。 彼はクライアントと協力して、ハッカーがどのようにネットワークに侵入したのかを突き止めています。 (ヒント： セキュリティ対策が不十分、または 設定ミスのあるエンドポイント デバイス、および パッチが適用されていないソフトウェア が、多くの場合、原因となっています。) その後、彼はクライアントがハッカーによって個人情報や機密データが盗まれたかどうかを特定できるよう支援し、（被害者との通信内容を分析することで）そのランサムウェアの背後にいるサイバー犯罪グループを突き止め、さらにシステムを完全に復旧させるための選択肢について話し合います。
スワンソン氏は、サイバー犯罪者たちは交渉において一定のスケジュールに従って動いていると顧客に説明し、結論に至るまでには時間がかかるだろうと警告しています。 さらに重要なことに、彼は彼らに対し、たとえ身代金を支払ってこの難局を打開するための暗号技術的な解決策を手に入れたとしても、システムがすぐに正常な状態に戻るわけではないことを指摘しています。 データはすぐには返ってきません。 それもまた、時間がかかります。
最も冷静な者の生き残り
「ほとんどの経営者にとって、これはプレッシャーの大きい状況です」と彼は述べています。 各社の存続だけでなく、顧客、パートナー、投資家、従業員、そしてメディアとの関係も、すべて危機にさらされています。
「ある金曜日の午後、ハッキング被害に遭ったクライアントから電話があり、『今なら何でもします！』と言われました。 」 スワンソン氏は次のように述べています。 「彼らは、『月曜日までにシステムを復旧させるためには、今後 30 分以内にこの身代金を支払わなければならない』と言いました。」 バックアップはありません。 「その方法の方が復号が早いため、支払わなければならないのです。」 もちろん、それは事実ではありません。 暗号鍵の代金を支払ったとしても、1週間以内に復旧した例は、これまで一度もありません。 暗号化および復号化の処理により、ファイルが破損してしまいます。 接続を切断してしまいます。 コンピュータが不安定になってしまいます。 「まさに悪夢です。」
たいていの場合、交渉担当者は経営幹部を現実的な考えに引き戻すことができます。 その後、彼らはバックアップの状況について率直な話し合いを行うことになります。 もし、ハッキングされたデータベースがオンサイトにあったものの、組織が賢明にも情報をオフサイトの場所に保管していたことが判明した場合、その組織は有利な立場に立つことになります。 必ずしも交渉する必要はありませんが、合意によって復旧プロセスが早まったり、ハッカーが盗んだデータをダークウェブの「 」 に公開しないことに同意してくれるのであれば、交渉する価値がある場合もあります。
戦いの準備
スワンソン氏もミンダー氏も、サイバー犯罪者に金を支払うつもりで交渉に臨むことは決してないと述べています。 しかし、依頼人が不利な立場にある場合、その結末がそうなる可能性が高いことを、依頼人自身も承知しています。 そこで、人質事件に臨むベテランの警察交渉官なら誰でもそうするように、彼らは可能な限り多くの交渉のコツを駆使して、相手との信頼関係を築こうとするのです。
ランサムウェアの攻撃者とのやり取りは、通常次のような流れになります。ある日、従業員が出勤すると、システムが正常に動作していないことに気づきます。 メールが利用できません。 彼らは、重要な社内アプリにアクセスすることができません。 外界とのデジタル接続が途絶えます。 そんな最中、経営幹部やIT責任者の画面に、復号鍵と引き換えに、追跡不可能なビットコインでの支払いを要求する電子身代金要求書が表示されます。 そのメモには、犯人の身元が特定されている可能性さえあります。 Conti、DarkSide、Maze、NetWalkerは、よく見られる悪役です。
「専門家のサポートなしに、数百万ドル相当の仮想通貨を取得しようとするのは避けるべきです。」 [その費用は]本来あるべき額よりもはるかに高くなる可能性があります。”マイケル・フィリップス氏（弁護士、レジリエンス）
そこからなら、攻撃者との連絡は比較的簡単です。 また、この手紙には通常、暗号化された 、ProtonMail、 のアドレス、あるいは 上のチャットポータルへのリンクが含まれています。Tor （「The Onion Router」の略）は、ユーザーが匿名でウェブを閲覧できるオープンソースのプライバシー保護ネットワークです。
スワンソン氏によると、このゲームの一環として、ハッカーとのやり取りを制限することが含まれているとのことです。
「彼らと何度もやり取りを続けるのは避けたいのです」と彼は言います。 「私たちは時間を味方につけるために、彼らにこう言います。『ねえ、あなたたちは私たちの家を焼き払ったんです。 「私たちは、再び活動を再開しようと奔走しているところです。」 必死に見えないように、彼らとは適度な距離を保っています。 彼らの反応をじっくりと聞いてみましょう。 相手の口調を分析してください。 「そして、その場に応じて臨機応変に対応するのです。」
スワンソン氏によると、ハッカーたちの口調は様々だとのことです。 中には、「強がって、自分の名を知らせようとしている連中」もいます。 それから、私たちを「クソ野郎」とか「クソ頭」とか、そんな風に呼ぶ連中もいます。 「とはいえ、私が出会う人のほとんどは、かなりプロフェッショナルな振る舞いをしています。」
ミンダーさんも同様の経験があります。
「彼らの全体的な態度を表現するとすれば、『冷淡』という言葉がふさわしいでしょう。」 「そのほとんどは脅威にはなりません」と彼は言います。 「彼らは淡々とこう言います。『これが私の持っているものです。』」 「私がこうするつもりです。もしお支払いがなければ、あなたには次のような影響が生じます。」 「彼らは、それほど敵対的というわけではありません。」
法的な影響の変化
交渉担当者が、 孤立した状態で仕事をすることはめったにありません。 やり取りのほとんどは、クライアントから承認を得ています。 また、法執行機関（FBI）にも必ず連携を取るよう細心の注意を払っています。 また、どの団体に身代金を支払うことが許され、どの団体には支払ってはならないかを定めた連邦規制について、常に認識しておく必要があります。
身代金を支払うことは、通常、違法ではないというのはあまり知られていない事実です。 実際、FBIのような連邦機関は、この手法ではデータの返還が保証されないことを指摘しつつ、単にその実施を控えるよう勧告しているに過ぎません。 ただし、身代金の支払いが違法となるのは、組織が、 に掲載されている米国財務省外国資産管理室（OFAC）の制裁リスト に掲載されているハッカーに支払いを行った場合です。 政府のテロ監視リストと同様に、これらは北朝鮮やイランといった敵対的な外国勢力と関連があるとみられるハッキング集団を特定するものです。 そして、そのリストは増え続けています。 実際、 とChainalysisによる調査（ ）によると、今年確認されたランサムウェアの身代金支払いの32％がOFAC関連の制裁リスクを伴っていたことが判明しました。これは、 2020年の 15％と比較しての数値です。
とはいえ、交渉担当者によると、彼らはほとんどのハッカーと協力し、当初の要求額の 10％から 25％の範囲で身代金の支払いに合意することが常にできているとのことです。
「それは一種の芸術です」とスワンソン氏は言います。 「私たちは言葉の選び方でそれを実現しています。」 私たちの創造性。 私たちのタイミングですね。 私たちは時々、新型コロナを言い訳にしていました。 いやあ、選挙の最中にはドナルド・トランプ氏まで利用してしまったほどです。 「その瞬間に思いつくことは何でも、活用します。」
業界からの反発への対応
業界の誰もが、ランサムウェアの交渉がそれほど巧妙なものだと認めているわけではありません。
例えば、フランスの保険会社AXAは最近、政府当局者から「犯罪を助長する恐れがある」との懸念が示されたことを受け、 へのランサムウェアの支払いの補償を打ち切ることを決定しました。 一方、サイバーセキュリティ企業やAmazon Web Servicesの支援を受けて、「The No More Ransom Project」という団体が結成され、ランサムウェアへの身代金支払いに異を唱えています。 また、8月には、 マイクロソフトが、ハッカーに身代金を支払うことなくデータを迅速に復旧させる製品を開発するため、スタートアップ企業のRubrikに出資しました。
身代金の支払いに対する反発（必ずしも交渉担当者に対するものではありません）は、金融サービス業界にも波及しており、SolarWinds、Kaseya、CNA Financial、Colonial Pipeline、Acerなどを標的とした大規模なランサムウェア攻撃が相次いだことを受け、サイバー保険の保険料は上昇の一途をたどっています。 例えば、マーシュ社のCEOであるジョン・ドネリー氏は、サイバー保険 の保険料率が、過去1年間で最大 60％ 上昇したと述べています。 Cysurance社のベイ氏によると、これは確かにフォーチュン 1000 社の最終利益を圧迫することになりますが、同社の約70％がサイバー保険に加入していると見られています。 しかし、攻撃を受けている小規模な企業にとっては、この値上げは大きな打撃であり、多くの企業が保険料を支払う余裕を失うほどです。
[関連記事：サイバー保険は、サイバー攻撃に対する最善の防御策ではありません]
「中堅企業こそが、最も大きな苦境に立たされているのです」とベイ氏は述べています。 “When you get below $50 million in annual revenues, you’re probably looking at 30% to 40% coverage. 「もっと良くならなければなりません。」
ベイ氏は、他の観測筋とは異なり、身代金の支払いがサイバー保険の保険料引き上げの主な原因であるとは考えていないと述べています。
「付随的なコストが、苦痛や損失の大部分の原因となっています」と彼女は言います。 「交渉の末、身代金として12,000 ドルを支払う人もいますが、その上に300,000 ドルの復旧費用がかかってしまう場合もあります。」 Kaseyaのような大規模なサプライチェーン攻撃の話でない限り、人々にとって大きな負担となるのは復旧にかかる費用なのです。 ですから、交渉担当者が相手方をこのプロセスをより早く進めさせれば進めるほど、良いのです。」
