もっと有利な条件にできるはず─ランサムウェア交渉人が見せた意地と成果

被害の全容を把握せよ

シャーが扮する「ジュリア」がメッセージを送ってから3時間半が経過したとき、ランサムウェア攻撃者側から返信があった。

「どうも。こちらと対話する許可は得ているか？」

シャーは1時間半の間、何も返信せず放置したところ、「もっとチャットに頻繁にアクセスして、メッセージをチェックせよ」と送られてきた。

シャーは最初の要求をきっちりと押し通した。

「上司からメッセージの応対をするように言われています。我々はあなたがどんなデータをお持ちなのかわかりません。詳細かファイルツリーをお送りいただけますか。送っていただければそれを経営陣に伝えます」

シャーがプロらしい仕事っぷりを発揮している傍ら、STORMの「技術屋」と呼ばれる部門が行動を開始していた。STORMの社員は、ロンドンに約20人いるほか、私が訪問したモーリシャスのビジネスパークにも12人ほどいる。

建物の住所録には、この会社の番号だけは記載されていない。オフィスは殺風景で、黒いゲーミングチェア、多くのパソコン、ほぼ空の白い本棚がしつらえられただけだ。大きなスクリーンには、青い世界地図があり、その下にはちらちらとした文字列が並ぶ。白、黄、赤の光る点は、世界各地で起こっているスパム、ウイルスへの感染、サイバー攻撃のライブ中継といったところだろう。

技術屋のスタッフは、一度にたくさんの戦術を駆使した。アクセス遮断のために侵入口を特定し、IPアドレスを追跡し、ログを見直して疑わしい活動を発見してブロックするためシステムのパターンを調査するツールを導入した。また、彼らはメッセージをもとに既知の犯罪集団との関連がないかを調べるべく、やり取りのタイミングや構文をも検討した。

こうして得られた証拠から、犯行グループは著名な犯罪集団ALPHV、またの名をBlackCat（BlackMatter、Black Basta、DarkSideとは別の組織である）の分派である、とSTORMは推測した。

ランサムウェア犯罪集団は、「REvil」「Scattered Spider」「Clop」（馬の蹄の音ではなく、ロシア語で「南京虫」を意味する語）といったように、漫画の悪役みたいな名前や虫のような名前を好んで名乗る傾向がある。何者かがこの攻撃について情報を出していないか、この会社のデータが競売に出されていないか、また、競合他社がすでにこのデータを手にしていないかを知るべく、技術屋たちはダークウェブをくまなく探した。

こうした努力を、シャーが相手のハッカーに直接要求する、「生存証明」と呼ぶものと照らし合わせる。要するに、新聞に掲載される人質の写真のようなものである。犯人側が盗んだデータ一覧をスクリーンショットして送ってくることを期待しているが、これにより対話の相手が正しいかどうかも判断できる。

最近のケースで、シャーは「生存証明」ができない相手と交渉した。彼はこれを、ダークウェブ上で犯罪集団の攻撃に関する情報を見た人間が加害者になりすましているにすぎないと結論づけた。

その頃、STORMの上級サイバー調査官であるベン・マルドゥーンは、攻撃を阻止し、身代金の支払いを免れるための質問や推奨事項の一覧を、被害を受けた会社に見せていた。この会社のデータはどのように保存、整理されていたか、不要なシステムはすべてシャットダウンされていたか、最も機密性の高い情報はどこにあったか、管理者権限のあるアカウントは何にアクセスできるのか……。

会社側が質問に答えていくうちに、話し合いの雰囲気は悪くなっていった。

「疲労してストレスのたまった人たちを相手にするのも仕事のうちなのです。彼らから協力を得られれば、業務の完全再開までの時間を大きく短縮できますから」とマルドゥーンは言う。

被害を受けた会社の顧客には、政府機関、警察、医療サービスなども含まれていることがわかった。マルドゥーンが同社のセキュリティ設計について尋ねたとき、「少しの間、気まずい沈黙が続きました」という。

会社側の不備が明らかになっていったが、STORMはうまく機転を利かせる。STORMにはトラウマのカウンセラーもおり、顧客側が動揺を乗り越える手助けもしているのだ。STORMのディレクターであるハーレー・モーレットは、「みんな心のなかでは『オーマイゴッド！』と言っているよ。でもそれじゃ何の解決にもならないんだ」と語る。

ライバル企業にサイバー攻撃を企てたらとんでもない事態に…

「身代金を絶対払わない」のは正しいか

果たして、ランサムウェア犯罪集団は、暗号化して圧縮されたファイルを送信してきた。やっと「生存証明」が得られたのだ。予期していたほど悪い結果ではなかった。

「幸いなことに、そこには非常に限られた数の顧客情報しか含まれておらず、機密性も低いものでした」とマルドゥーンは言う。だが、脅迫的なメッセージは次々に送られてきた。

「我々はすでにあなたがたの顧客のネットワークにも侵入しており、そちらのパスワードを利用してすべての被害者のネットワークを全部見ることが可能になっている。もしこれが公になれば、あなたの会社にどんな罰金が課せられるか、情報が流出した顧客にどんな訴訟をされうるか、おわかりだろうね？」

シャーは、こうした脅迫を無視することを人質交渉の教訓として心得ている。会話に感情を挟み込むと、時間の浪費になるばかりか相手を不必要に刺激することになりかねない。

返信を書く際、彼は「大変お待たせいたしました」「ご都合のよろしい折にご連絡をくださいますようお願いいたします」などといった、淡々としたビジネスライクなフレーズを用いる。また、IT部門のジュリアでないと見抜かれてしまわないよう、データに関心があるそぶりも見せる。議論はしない。また、彼の側から支払いの話をだすこともない。

「お金の話を始めてしまうのは、相手の前に人参をぶら下げて走り出させるようなものですからね」とシャーは言う。

身代金の問題はやっかいだ。支払うことでさらなる犯罪の増加も懸念される。「こうした支払いに応じることは、悪意のある行為者を富ませ、増長させるにとどまらず、さらなる攻撃の永続化へと動機づける」と米国財務省は警告している。

2023年には、ホワイトハウス高官が身代金支払いを禁止する可能性を示唆した。英国政府は現在、ランサムウェア案件についてはその被害報告をすること、そして支払いをする際には政府からの許可を得ることを義務づけている。

だが、私が話を聞いたサイバーセキュリティの専門家の多くは、政府が支払いに罰則を設けることは逆効果になると考えていた。「もし強制できたとしても、おそらくは例外を作らなければならなくなるでしょう」と話すのは、米国のサイバーセキュリティ・社会基盤安全保障庁の元トップ、スザンヌ・スポールディングだ。

「でも、たとえば病院を例外にした場合、そこが標的にされる可能性もあります」

公的機関のなかには、すでにハッカーへの支払いを禁止し、さらには会話をすることさえも禁じているところもある。シャーは後者について、金を支払わずにデータを取り戻す機会を逃しているかもしれないという（交渉が彼の業務上の利益になるという事情ももちろんあるが）。

また、彼は交渉をネガティブなものとみなすことが犯罪者側の利益になるとも言う。これにより、被害者がほかの被害者や政府当局との情報共有に消極的になってしまうからだ。シャー自身、可能な限りFBIなどの機関に情報を提供しているが、これらの機関のほうは身代金の支払いを思いとどまらせるために情報を出し渋っているという疑いもある。

犯罪集団の出す情報も信用できるものとは限らない。今回の生存証明もどうだろうか。本当に彼らの持っているものを反映しているだろうか。この時点では、会社側が情報漏洩に気づいてまだ2日程度しか経っていない。CEOは、会社の評判を守るため、可能な限り自分たちの顧客に知られないままでいるつもりだった。

シャーとヘアブラウンは、この方針に懸念を示した。この会社は政府とも取引があるため、サーバーに国家安全保障にかかわるデータがあるかどうかは知ることができなかった。

「いくら注意しても注意しすぎるということはありません」とヘアブラウンは語る。あるケースでは、顧客は某国の軍の輸送を扱っていた。ランサムウェア攻撃に際して、STORMはなんとか顧客を説得して政府に警告を伝えてもらった。ヘアブラウンは、「通報を怠れば、本当に危険なことになります」と言う。

だが、今回攻撃を受けた会社のCEOは、生存証明に記されているデータがすべてであると信用することにした。攻撃の事実も、いまのところ秘密にされている。

驚きの要求額

シャーは、犯人側が500万ドル（約7億2000万円）を要求してくると予想した。マルドゥーンは、会社のサーバーのフォレンジック調査に鑑みて、要求額はさらに高額な1500万ドル（約21億6000万円）になると想定した。そのため、メッセージを見てふたりは驚愕した。

「あなたがたの置かれた状況と、我々の受け取ったデータの量から算定して、200万ドル（約2億8700万円）の支払いを要求する」

「自分が攻撃した会社のことを知らないか、データをちゃんと調査していないかでしょうね」とシャーは述べた。取引相手がこれほど間抜けであることがわかったいま、彼は楽観的になった。

しかし、マルドゥーンはそう簡単にこの犯人を見くびることはしなかった。「なぜ彼らは会社全体を狙わなかったのだろう。もっと深刻な打撃を与えることも可能だったはずなのに」。顧客情報を利用しないという選択の裏には、何か狙いがあったのだろうか？　「もしかすると、政治的な理由でそれを踏みとどまったのかもしれない」とマルドゥーンは言った。

全部の顧客情報を公開すると脅せば、注目を集めすぎて警察、軍、政府からの動きを誘発してしまう一線を越えると犯罪集団側が判断したのではないかというのだ。サイバーセキュリティの専門家によると、ランサムウェア犯罪集団の側では、こうした計算が日常的におこなわれているという。

スポールディングは、犯罪者側の論理をこう説明する。「犯罪集団が金銭を要求し、企業側が支払いに応じ、保険会社が払い戻しをおこない、実害が何もおこらない、という構図が続く限りは、対応の優先順位は低いままかもしれません」

だが、保険会社がコストを支払うと、保険料の値上がりという形で社会に影響が及ぶ。これにより経済的に苦しむのは中小企業だが、そのほとんどがサイバーセキュリティ保険に加入していない。

人命や主要インフラを危険にさらすようなものもあるが、そのほとんどはミスによるものだとされる。犯罪集団のなかには、自らに社会的責任があるかのようにふるまうものもある。病院や学校を攻撃することはないというプレスリリースを出している集団もある。

過去にシャーは、ある私立病院のクライアントを担当した際、「病院はコロナの患者で溢れかえっている」とメッセージを送り、時間稼ぎをすることに成功した。実際にはこの病院は美容整形外科だったが。

では、今回の事件の犯罪集団は単なる愚か者だったのか、それとも戦略的なものだったのだろうか。ヘアブラウンはシャーと同じ意見だった。もしも犯罪集団が会社のネットワークの大きさを理解していれば、顧客の名前を挙げることもできただろうと彼は考えた。とはいえ、それも確かめようがない。

AIで顔を偽り、ハニートラップで誘拐し…SNSを使ったスパイ工作のすごすぎる実態

相手に成功を錯覚させる

数日の間、シャーはジュリアとして丁寧なメッセージを送り、身代金支払いに関する重要な交渉を遅らせることに成功した。彼は「もうすぐご連絡します」と書いた。

CEOは、犯人側が優位性を前面に出さなかったことがどれほど幸運だったかを理解しつつあった。数日の説得の末、彼は取締役会から200万ドルを支払うことの許諾を得た。だが、シャーはその必要はないと言った。彼はふたたびメッセージを送る。

「おはようございます。経営陣より、和解について相談したいとの申し出がありました。ご存知のように、我々の資金力ではご提示いただいた金額を支払うことができかねます。この額の調達は我々の能力を超えており、達成が難しいと判断されました。双方が満足し、問題を迅速に解決できるような適切な和解案を探りたいと考えております。そのため、金額は下げていただかなければなりません」

シャーは、会社に資金の余裕がないように装いつつも、相手にはその要求が通ったかのように思わせようとしていた。犯罪集団に本気を伝えるために、メッセージの肩書きまで変えて次のように署名した。「人事部長　クリストフ」

15分としないうちに、「30分以内に返答する」と返事があった。

さらに8分後、続報が届く。

「やあクリストフ。余計な駆け引きはお互いの時間の無駄だ。金額が高すぎるとのことだが、こちらのトップは値下げしてもいいと言っている。そちらの逆オファーの金額を提示したまえ。とはいえ、あまりに少額ではだめだ。納得できる額なら、私はさっさと手を引く。メッセージを読んでから1時間以内に返信するように」

シャーは2時間放置して、以下のように返した。

「こんにちは、ご返信ありがとうございます。あなたのメッセージを経営陣へと伝えます。どのような決定であれ話し合いが必要になりますので、返答には時間を要してしまいます。そのため、1時間以内の返答はできかねます。時間を無駄にすることは私たちの利益になりませんし、速やかに解決したいと思っています。もしあなたがたのほうから改訂した金額をご提示いただければ、私から経営陣に共有することができますので、より早い解決が可能だと確信しております。お早目のご連絡をお待ちしております。どうもありがとうございます。人事部長　クリストフ」

シャーは相手の要求のいちいちを拒否した。と同時に、私にこう説明した。「『解決』や『確信』といった、同意をにおわせる言葉を使っています。こうすることで相手側は『おれはうまくやれているんだ』と思い込むのです」

9分後、ハッカーからの返事があった。

「この交渉は70万ドル（約1億円）という金額で手打ちとしよう。以降の値下げ交渉には応じない」

シャーは愉快に思いはじめていた。「本当に何もわかってないな」。次の要求は100万ドル（約1億4000万円）くらいだろうと思っていたが、よもや半額以下になるとは。相手はどうやら本当に愚かだったようだ。

被害を受けたCEOはというと、問題解決を望むあまり、もう70万ドルを払ってしまおうとしていた。シャーは当事者の双方に腹を立てていたが、ここで投げ出すことはなかった。20時間も空けたのち、彼は「いま、上の決定を待っているところです」とだけメッセージを送信した。

意地とプライドの値下げ

そしてさらに数時間後、シャーは人事部のクリストフに大胆な手を打たせることにした。長く、非常に丁寧なメモ書きに、次のように記した。

「現在、17万9500米ドル（約2580万円）の用意がありますので、すぐにお渡しすることができます」

シャーが私にこの話をした際、私はこの彼の行動を奇妙に思ったが、彼はその理由がわからないようだった。解決策は目の前にあるのに、なぜシャーは交渉を継続したのか？　そうすることで、当事者の双方に迷惑をかけているようにさえ私には思えたのだ。

この犯罪集団が将来また事件を引き起こすことを防ぐために、あまりにも早く屈することを避けようとしていたのだろうか。それとも彼のエゴだろうか。ランサムウェア自体の生態に関わる問題なのだろうか。

シャーはいずれもいっさい考えていなかった。彼は困惑した様子で「もっと早く終わらせることもできたけれど……」と口ごもった。「なんかしっくりこなかったんですよね」

「理由を考えたことはなかったけれど、いつもそうしていますよ。安くできるものなら、できるだけ安いほうがいいと思うので」

いずれにせよ、犯罪集団はこの申し出を受け入れた（「問題解決への熱心さは評価する」）。STORMは制裁チェックをおこない、この会社が指定されたビットコインウォレットに99ドルをテスト送金するのを手伝った。受領確認ののち、身代金の全額が支払われた。これにて一件落着。

あとは、被害を受けた会社が保険金請求書を記入し、請求担当者が証拠を確認し、弁護士が書類に署名をするだけだ。顧客たちは、自分たちのデータが漏洩したとは知らぬまま、いつも通りにこの会社と取引をしている。

60万人分の個人情報に加えて原発の設計図まで…あらゆる機密情報を盗み出す北朝鮮「サイバー戦士」の恐るべき実力

IT先進国エストニアの首相が力説「民主主義国はウクライナからサイバー防衛について学ぶべきだ」

ネットを遮断してもハッキングできる「最恐スパイツール」を中国が完成させていた