アスクルやアサヒも被害に遭った｢ランサムウェア攻撃｣､最近は個人の端末ではなく《"サーバーや開発者"を標的にする手口も》意識改革が必要

アサヒHDを攻撃したとされる「Qilin（キリン）」は、比較的活動期間が短いグループですが、その背景にはサイバー犯罪の構造的な変化があると阿部氏は指摘します。 

GMOサイバーセキュリティ byイエラエ 執行役員の阿部慎司氏（写真：筆者提供）

かつて最大手だった「LockBit（ロックビット）」が法執行機関によって解体された後も、ランサムウェアに関わる活動は止まらず、新たなグループが台頭している流れの1つだというのです。

Qilinは「RaaS（ランサムウェア・アズ・ア・サービス）」と呼ばれるビジネスモデルを構築しています。ランサムウェアという攻撃ツールを開発するプラットフォーマーが、それを利用して実際に攻撃を仕掛ける実行者（アフィリエイター）を募集し、得た身代金を分配する仕組みです。Qilinはプラットフォーマーとして、効率的に儲けるための基盤を提供するのです。

アスクルを攻撃したのは「RansomHouse（ランサムハウス）」というグループです。2022年ごろから活動が確認されており、ランサムウェアで暗号化する前に機密データを盗み出し、二重脅迫する手口で知られています。今回も、1.1テラバイトの顧客情報を盗み出したと声明を出しました。

彼らが狙うのは、より被害規模が大きくなる大企業です。数で稼ぐよりも、1件あたりの期待値を上げる戦略です。そして今、その矛先が日本企業に向けられ始めています。

「もともと、Qilinはほぼ欧米狙いが多かったのですが、最近、アジアに進出してきました。支払いに応じる傾向があると見られる獲物がたくさんいそうだから来るので、もしかしたら日本の企業は身代金を簡単に払うようだぞ、という感じになったとすると、今後も多分ターゲットとして狙われることが増えていく可能性があります」（阿部氏）

攻撃者もコストをかけています。儲かる見込みがなければ、わざわざ手間のかかる日本企業を狙いません。サイバー犯罪者とはいえ、一般的なビジネスと同様にROI（投資対効果）を高めようと努力しています。誰かが身代金を支払ったという事実が、彼らのマルウェアビジネスを継続させているのです。

身代金は払うべきなのか…

では、もし被害に遭ったら身代金を払うべきなのでしょうか。阿部氏は「まずは弁護士に相談してください」と前置きしました。犯罪組織への支払いが、自社のコンプライアンス違反や株主代表訴訟のリスクに直結する可能性があるため、法的な問題をクリアする必要があるためです。もし、支払っても被害を復旧してくれないというリスクもあります。

一方で、攻撃者側にもビジネスとしての論理が働きます。