サマリ
ランサムウェアによってビジネスコストは大きく変化しましたが、金銭的な観点（いくら支払うべきか、また何をすべきで何をすべきでないか）については、ほとんど合意が得られていないようです。
優先すべき事項について、国内屈指のランサムウェア専門家に話を聞きます。サイバー衛生の改善、頻繁なパッチ適用、より強固なパスワードポリシー——チェック、チェック、チェック。 身代金の支払いを禁止する新たな法律については？ うーん、彼は言います…絶対にないとは言えない。
ホスト: マギー・ミラー、コンテンツマーケティングディレクター、Tanium
ゲスト: カーティス・マインダー、CEO、GroupSense
ショーノート
Taniumの新しいオンラインサイバーニュースマガジンFocal Pointのこれらの記事と、オーストラリアでの議論に関するサイバー脅威インテリジェンス（CTI）アナリストからの最近のアラートをご覧ください。
トランスクリプト
以下のインタビューは、明確さのために編集されています。
カーティス・マインダー: 政府の一部の人々は、違法にするだけで、人々が身代金の支払いをやめ、悪者が攻撃をやめると考えています。 実際のところ、起こりうることは、行動が地下に潜ることになるでしょう。 選択肢があるとして、例えば小さなビジネスを営んでいる場合、18年間取り組んできた小さなビジネスを失うか、法律を破るかもしれないが捕まらないかもしれないか、おそらく後者を選ぶでしょう。
マギー・ミラー: こんにちは、マギー・ミラーです。今日の「Let's Converge」では、ランサムウェアと、攻撃を受けた際に組織が問うべき重要な質問について話します。例えば、身代金を払うべきか払わないべきか？ いくら支払うべきか、あるいは耐えて何も支払わないべきか？
私たちのゲストは、情報セキュリティ分野で20年以上の経験を持つランサムウェア交渉人、カーティス・マインダーです。
サイバー偵察会社GroupSenseの創設者兼CEOとして、カーティスはランサムウェアの世界が矛盾に満ちていることを直接知っています。 例えば、多くのビジネスオーナーは、身代金を支払うことがそのような攻撃を乗り越え、顧客を守るための最も迅速な方法だと信じています。 しかし、一部の専門家は、ランサムウェアの支払いはさらなる攻撃と高額な要求を招くだけだと主張しています。
2021年、フランスの保険コングロマリットAXAは、ランサムウェアの支払いを行った企業のサイバー保険契約をキャンセルすると発表しました。 そして昨年、ノースカロライナ州は政府機関がそのような支払いを行うことを禁止した最初の州となりました。 では、企業のリーダーたちはどうすればよいのでしょうか？
カーティス、ご参加いただき、誠にありがとうございます。
マインダー： お招きいただき、ありがとうございます。
ミラー： 組織がランサムウェアにどう対処できるかという核心に入る前に、非常に基本的なことをお聞きしたいのですが：ランサムウェア交渉人として、実際にこれらのサイバー犯罪者とコミュニケーションを取らなければならないとき、どのような感じですか？ それは敵対的なのか、脅威なのか？ こうしたハッカーたちはどのような存在なのか？
マインダー： そうですね、様々です。 複雑な側面がありますが、私たちはハッカーではなく「脅威アクター」と呼んでいます。ハッカーにはポジティブな側面もあるからです。 しかし、大部分はテンプレート化されています。 彼らには従うプレイブックがあり、ビジネスと同様の組織構造を持っています。 そして、彼らと交渉するケースをいくつか経験すると、そのルーティンやプレイブックに慣れてきます。 ですから、非常にエキサイティングに聞こえるかもしれませんが、その多くは機械的な性質のものです。 時には予想外の方向に進むこともありますが、それほど頻繁ではありません。
もう一つ言えることは、交渉の一環として脅威アクターと対峙することは、間違いなく難しい課題であり、シナリオの核心部分と言えます。 しかし、被害者と協力する上でも、多くの専門的な技術が必要です。 そして、被害者の規模によって、社内政治から、小規模企業向けのいわばセラピストのような役割まで、幅広く対応が異なります。
ミラー： なるほど。 では、ランサムウェア攻撃の基本的な経緯を説明していただけますか？ たとえば、出勤したらコンピューターシステムがダウンしていて、身代金を要求されたとします。 最初に取るべき手順は何で、どのくらい迅速に対応すべきでしょうか？
マインダー： 安全な答えとしては、それは組織によって異なります。 しかし、オフィスに来て文字通り何も機能しない状況は、確かに非常に衝撃的です。 「何も」という点を強調しておきます。 多くの脅威アクターは、妨害の要素において非常に巧みになっています。
そして、何もないということが何を意味するかを考えると、それは単にコンピューターが使えないとか、顧客があなたと取引したり製品を注文したりできないとか、あるいはメーカーであれば製品を出荷できないということだけを意味するのではありません。 それはまた、給与計算ができないとか、スタッフと電子的に連絡が取れないといったことも意味します。 つまり、非常に微妙な課題が山積みになるのです。 理想的には、規模を問わずあらゆる組織が計画を持ち、その計画を実行しているべきです。 その計画は、サイバー保険のようなものによって左右されることが多いです。
つまり、サイバー保険に加入していれば、物事を行う順序の一部がそれによって決まります。
もう一つ言えることは、身代金要求メモ自体に遭遇したとき——それらはある種テンプレート化されていて——悪者からの一連のすべきこととすべきでないことが書かれており、その一部は悪いアドバイスではありませんが、一部はある種見せかけのものです。 しかし、身代金要求メモには実際に要求している金額が含まれていないため、脅威アクターが何を要求しているかは、彼らに連絡するまで実際にはわかりません。 そのため、いつ、どれだけ迅速にそれを行うかについては、一種の芸術的な側面があります。 そして、それは本当に攻撃の具体的な状況に基づいています。
ミラー： なるほど。 身代金攻撃が増加していることはわかっていますが、それらはどのように進化しているのでしょうか？ 現在対処しているサイバー攻撃について、数年前と比べて何が新しく、または異なっていますか？
Minder: そうですね、私たちの防御が向上するにつれて、彼らは常に改良を重ね、私たちの防御を回避しようとしています。 ですから、技術的な観点からも、戦略的な観点からも、いたちごっこのような競争が続いています。 彼らはコールセンターを雇って、あなたの顧客や従業員に電話をかけ、攻撃について知らせ、あなたを恥じ入らせて交渉させ、支払いをさせるところまで踏み込んでいます。 つまり、彼らは恐喝の部分を本当に強化しているのです。
技術的なコンポーネントがいたちごっこのように変化しているにもかかわらず、ほとんどの攻撃が数年前と変わらないままであることは、非常にもどかしいことの一つです。 そして、脅威アクターが比較的容易に侵入できるようにしているのは、企業が犯している基本的なサイバーセキュリティ上のミスであることがほとんどです。
Miller: ランサムウェア交渉人の主な仕事の一つは、異なる規模の異なる企業に対して、支払うべき妥当な金額を決定することです。 では、どのようにしてそれを決定するのですか？
Minder: それは素晴らしい質問です。 私たちが最初にこれを業務として始めたとき、私が脅威アクターとの交渉部分、つまり交渉そのものと呼ぶものに本当に集中していました。 しかし、これらのケースの最初の段階で、支払うべきかどうかという質問を受け続けました。 そして私たちの答えは常に、わかりません、というものでした。なぜなら、それはビジネス上の決断であり、倫理的な決断であり、ある意味法的な決断でもあるからです。
基本的な判断基準を説明するとすれば、最初の基準は、身代金を支払うことが組織としての倫理規定やコアバリューに違反するかどうかです。 それが最初です。 なぜなら、もしそうであれば、その問題に対する答えは明らかです——何があっても支払いはしない、ということです。 しかし、従業員に給与を支払い、事業を継続することを優先するというコアバリューがある場合もあります。これは通常よくあるケースです。
[笑い。] そして次のゲートに進みます。それは、違法かどうかという問題です。 財務省には、取引してはならない人物のリストがあります。 そのため、法的な影響を理解することが重要です……また、現在一部の州では法律を制定しており、ノースカロライナ州を含む州では、身代金の支払いを違法とする法律が可決されています。 したがって、このコンプライアンスに関する要素を理解する必要があります。 それは違法なのか？ これでそのゲートを通過しました。
そして、これが本当に難しい問題です。これはあなたの質問とも関連しますが、身代金の交渉や支払いはビジネス的に意味があるのか、そして適切な金額はいくらなのか、ということです。 それは本当に難しい質問です。なぜなら、攻撃の多くはある意味で主観的な性質を持っており、定量的な回答を出すことが難しいからです。 私はそれを「ランサムウェアの爆発半径」と呼んでいます。ランサムウェア攻撃の最初の影響は業務の中断であると理解しています。
機械を使用できず、顧客と対話することもできません。 その業務中断の周囲には、同心円状の影響の輪があり、それらは時として業務上の影響そのものよりも長く続き、より費用がかかるか、またはより大きな損害をもたらす可能性があります。 その一部は明らかです——私たちは恐喝の部分について話しました。 つまり、データを漏洩させたり、ビジネスパートナーや従業員に連絡を取ったりすると、ブランドや信頼に関する問題が生じます。 そして、より微妙なものもあります。例えば、給与を支払えない場合、しばらくの間給与を支払えず離職が発生した場合、その人たちを補充するために新しいスタッフを再雇用し、再訓練し、採用するのにどれだけのコストがかかるかということです。
その計算は本当に難しく、ケースの最前線で私たちは企業がこれを整理するのを支援していますが、これがどれだけの価値があるかを決めるのは、被害者である彼ら自身に委ねられています。 そして時には、それが私たちが関与するかどうかを左右します。なぜなら、ビジネスにとって到底受け入れられない数字が出た場合、答えは「悪い連中に連絡すること自体やめましょう——これは実現できないので、別の方法を見つけなければならない」となるからです。 非常に複雑です。
Miller: ええ。 今年の初め、ランサムウェア攻撃を受けたある組織にインタビューしましたが、彼らは身代金を支払いませんでした。 その理由は、すべてのデータのバックアップを持っていたため、必要なデータをすべて確保できたからです。 また、安全にオンラインに復帰することもできました。 感染したエンドポイントを隔離していたのです。 他のすべてのエンドポイントを更新し、かなり迅速にオンラインに復帰することができました。
では、このようなことが起きた場合に備えて、これが基本的に最善の対策だとお考えですか？
Minder: 確かに、ビジネス継続性と技術的なアプローチでこれを解決することが最善の状況です。 しかし、多くの組織では、あなたが説明されたようにうまくいかないことが多いのです。 組織の規模によっては、複数のサイト、複数のネットワーク、複数のシステムなど、すべてについて話すことになり、それらを復元することは非常に面倒で時間のかかるプロセスになり得ます。
最初は非常に自信を持って、「ねえ、見てください、私たちはこいつらに支払いたくない」と言う人たちのケースもありました。 私たちは完璧なバックアップを持っている、復元するつもりだ。' そして私は、良かった、私も彼らに払いたくない[笑い]、だからそうしよう、と思った。 しかしその後、彼らは12時間後に私に電話してきて、これを復元するのに8週間かかることが判明し、水曜日までにこれを稼働させる必要があると言った。
だから、それは本当に組織とそのバックアップ、そして技術面でどのようなビジネス継続プロセスが組み立てられているかによって異なる。
私の考えでは、ランサムウェアの問題を抑制し始める方法は4つある：1つ目は予防だ。 それが私のお気に入りだ、なぜなら影響の範囲のようなもので、私たちのコントロール下にあるからだ。 それは比較的安価でプロアクティブだ。
2つ目はテクノロジーで、あなたが話しているのはそれだ。 脅威を検出し、隔離し、影響を最小化できるツールだ。
3つ目はポリシーだ。 現在、ランサムウェアの被害者である場合、多くのケースで二つの選択肢があります。身代金を支払うか、廃業するか、あるいは身代金を支払うか、従業員を解雇するかです。 または、病院であれば、身代金を支払うか、人が死ぬかという選択になります。これは実際に起きていることです。 はい。 そして、政策によって推進できる第三の選択肢があると私は考えています。それは被害者に補助付きの復旧支援を提供するプログラムで、身代金を支払わずに事業を継続できるよう支援するものです。 それが私がワシントンで取り組んでいることです。
最後の【第四の】選択肢は私のお気に入りですが、最も実現可能性が低いものです。 それは、悪意ある者たちへの否定的な結果です。 [笑い。] しかし、ご存知の通り、悪意ある者のほとんどは、引き渡し条約のない非友好的な国で活動しており、自国政府から非公式な恩赦を受けているような状況です。
Miller: ええ。 同意します。 私が話した組織は、置かれていた状況において非常に幸運でした。 彼らによると、共に活動していたFBIでさえ、このような事態を経験した他のほぼすべての企業と比べて、彼らはより良い立場にあると伝えたそうです。
Minder: うまくいけば、将来的にはそれを例外ではなく、むしろ標準にできることを願っています。
Miller: でも、あなたが予防の観点から話していた方向性は気に入っています。 では、組織が積極的に取り組むためにできることは何でしょうか？ 例えば、強固なサイバーhygiene（衛生管理）は、組織が攻撃を防いだり最小限に抑えたりするのにどれほど役立つのでしょうか？
Minder: 対応側にいることの利点の一つは、技術的なインシデント対応者にも私たちが行っている業務にも共通することですが、すべてのケースで脅威アクターがどのようにアクセスを得たかを把握できることだと思います。 それらを整理すると、ケースの大多数、約80パーセント以上が、あなたがおっしゃったような基本的なサイバーhygieneを実施していれば、最初から防げた可能性があることがわかります。
これは残念なことです。なぜなら、私たちの聴衆のほとんどはおそらく技術者であり、サイバーセキュリティに特化した人々だからです。 彼らは目を丸くするでしょうが、それでも構いません。 私は気分を害しません。なぜなら、私たちはこれらのことについて長い間話し続けてきましたが、多くの組織ではまだ実施されていないか、うまく実施されていないからです。 パスワードポリシーや認証情報ポリシーなどです。
複雑なパスワードの使用、パスワードの使い回し禁止などです。 認証情報ポリシーとは、業務と無関係なものに会社の認証情報を使用しないことを意味します。 Facebookアカウントの作成や、お気に入りの趣味サイトへの登録に使用しないでください。悪意のある者がそれらのサイトから認証情報を入手し、私たちに対して悪用するからです。
多要素認証については多くを語っていますが、それは多くの問題を解決します。 つまり、最初にお伝えしたいくつかのことを実施していなくても、多くの場合、MFAがそれを解決してくれます。
パッチ適用について—私はサイバーセキュリティに生涯を捧げてきており、組織におけるパッチ適用の複雑さは理解していますが、基本的なパッチ適用でさえ依然として問題になっているようです—産業制御システムの話ではなく、人々のノートパソコン、Safariブラウザなど使用しているもの、あるいは携帯電話の話です。 公演でよくこんな冗談を言います：ワードゲームを楽しんでいる最中に携帯電話をアップデートするのは本当に面倒だとわかっていますが、それでもやってください。 Redditでスクロールしていてブラウザを再起動したくないのはわかりますが、それでもやってください…そして、それを組織のポリシーとサイバー衛生の一部にしてください。
Miller: ええ。 これらのヒントは素晴らしく、いくら強調してもし足りません。 では、サイバースキルのギャップはランサムウェアにどれほどの影響を与えているのでしょうか？ これを別のビジネス上の問題と捉える人もいるかもしれませんが、何らかの関連性があるとお考えですか？
Minder: まさにそうです。この質問が大好きなのは、私にとって一種の情熱を注ぐテーマだからです。 サイバーセキュリティの人材には需給の問題があり、市場の大部分がサイバーセキュリティのギャップを補う人材を確保できない状況にあります。 それは人材不足が原因です。 平均給与はすべて市場の最上位にあり、経済的な動機を持つ人々はその方向へ進もうとします。
そのため、中堅市場やそれ以下の規模では、本物のサイバーセキュリティの専門知識へのアクセスがほぼ存在しない状態です。 そして、状況は一向に改善されていません。 例えば、ニュースで耳にするサイバーセキュリティインシデントやランサムウェア攻撃の1件ごとに対して、私たちが知らないだけで被害を受けている中小企業が何千社も存在します。 しかし、クリーニング店や印刷店、あるいは5人規模の小さな会計事務所であれば、自社が導入しているすべての技術に関連するリスクを理解し、軽減することを期待するのは、ある意味で無理な話です。 私は自分の携帯電話がどのように機能するか分かりません。私はテクノロジーの専門家なのに。 まるで魔法の箱のようなものですよね？ ですから、これらの人々がそういったことすべてを理解することを期待するのは無理な話です。
では、どうすれば基本的なサイバーセキュリティの知識をそういった人々に届けられるのでしょうか？ 私はその問題に取り組む非営利団体を持っていますが、これは米国の国家安全保障と経済に影響を与えていると思います。
ミラー： そのようなお考えを聞けて良かったです。 少し話題を変えますが、昨年、保険会社のAXAはフランスにおいて、ランサムウェアの身代金支払いを企業に補償するサイバー保険ポリシーを停止すると発表しました。 これは、増え続けるランサムウェア攻撃の流れを食い止めようとしていたフランス政府のサイバー担当官からの要請を受けてのことでした。 それ以来、どのような影響が出ていますか？ そして、状況に変化はありましたか？
マインダー: 身代金を違法にするといったようなことには、問題があると思います。 それは、支持者たちにチームのために犠牲になれと言うようなものです。
これを以前にあなたが尋ねた質問と組み合わせると、自分を守る能力が全くない人々に、他の誰もが支払わなくて済むように、基本的に全員のために十字架にかかって死ねと求めていることになります。 それは合理的なアプローチだとは思いません。 そして、それはその国の経済に対してより大きな影響を与える可能性があります。 ですから、こうした懲罰的な政策よりも、教育とサイバースキルが問題へのアプローチとして正しい方法だと思います。
Miller: フランスで起きたようなことが、ここアメリカでも起きる可能性はありますか？
Minder: 可能性はあります。政治というものがどういうものか、ご存知でしょう[笑]。 私にはいくらかの希望があります。なぜなら、CISAのジェン・イースタリーとそのチームは、より予防的かつ支援的なプログラムという正しい視点からこれを見ていると信じているからです。 そして、彼らはその政策の一部を推進しています。
そして私は、この現実とそこから生じる潜在的な長期的損害や影響について、上院と下院の議員たちを教育するためにできる限りのことをしています。 現場や最前線にいる私たち技術の専門家は、これが本当に何についてのことなのか、被害者であるとはどういうことなのか、そしてサイバー人材へのアクセスがないといったこれらの攻撃を取り巻く状況について、地方および国家レベルの議員たちに機会があるたびに教育する責任があると思います。そうすることで、彼らがこれを純粋に否定的な状況として見たり、被害者を否定的な視点で見たりしないようにするためです。被害者は私たちと同じ存在なのですから。
これらの企業はただ自分たちの仕事をしているだけです。 彼らは最善を尽くしています—特に、COVIDやサプライチェーンの問題を乗り越えてきた中小企業にとって、[ランサムウェア攻撃を受けた場合に]廃業するか法律を破るかしかないと言われるのは酷なことです。
そして、この問題への法的アプローチとして、政府の一部の人々は、単に違法にすれば人々は身代金の支払いをやめ、悪者も攻撃をやめると考えています。 しかし、おそらく実際に起こることは、行動が地下に潜ることです。 中小企業として、長年取り組んできたビジネスを失うか、法律を破るかもしれないが捕まらないかもしれないかという選択肢があれば、おそらく後者を選ぶでしょう。18 従業員を守り、投資を守りたいのです。
そのため、これらの攻撃のマクロレベルでの可視性を失ってしまう可能性があります。 CISAもこのように考えていると思います。 そして、彼らがその立場を維持してくれることを願っています。
Miller: さて、深刻なトピックについて話してきましたが、ポジティブな話で締めくくりたいと思います。お気に入りの成功事例を一つ教えていただけますか？ 最初は絶望的な状況だったけれど、結果的にうまくいったというケースはありますか？
Minder: ええ、そういったケースはたくさんあります。バックアップが状況を救ったシナリオに似たものもあります。
ただ、そういったシナリオには常に少し注意書きがあります。というのも、脅威アクターが大量のデータのコピーを持ち去っているからです。 ほとんどの場合、彼らはそれを売るか、流出させます。 面白い余談もあります。一部の脅威アクターは被害者の数があまりにも多いため、時々忘れてしまうことがあるのです [笑]。 実際にそういうことがありました。彼らが脅したようにデータを流出させるのを待っていたのに、結局そうしなかったのです。 ただ忘れてしまったのです。 彼らには200人もの被害者がいて、次のターゲットへと移っていくのです。
また、脅威アクターを説得して、証拠として盗んだファイルをダークウェブに公開させ、最も重要な設定ファイルなどをダウンロードして復元できたケースもありました。 そういった本当にうまくいったケースもいくつかありました。
ただ、私が最も気に入っているのは、予防プログラムの効果と私たちが行っているNPO活動です。そこでは、サイバースキルのギャップを解消しながら、中小企業が無料でこうした変革を実現できるよう、文字通り支援しています。 そして、それが最善の形です。なぜなら、攻撃そのものが起きないからです。 私たちは、その前に手を打っているのです。
Miller: それが最善ですね。この問題の解決に向けて、あなたのような方がいてくださることを嬉しく思います。
Minder: ありがとうございます。
Miller: 素晴らしいです。 Kurtis、本日はインタビューにご参加いただき、本当に素晴らしかったです。 ポッドキャストにご出演いただき、誠にありがとうございました。
Minder: こちらこそ、光栄です。 お招きいただきありがとうございました。
Miller: 私はサイバー偵察会社GroupSenseの創設者兼CEOであるKurtis Minderと話をしてきました。
ランサムウェアについてもっと読みたい方は、Taniumの新しいオンラインサイバーニュースマガジンFocal Pointをご覧ください。 ショーノートにいくつかの記事へのリンクがあります。または、tanium.comにアクセスして、今日のトップビジネスリーダーやセキュリティ専門家とのさらなる会話をお聞きください。 お気に入りのポッドキャストアプリでLet's Convergeを必ずご登録ください。このエピソードが気に入ったら、5つ星評価をお願いします。
ご視聴ありがとうございました。 次回のLet's Convergeのエピソードでも、さらなるサイバーインサイトをお届けできることを楽しみにしています。
