冷凍食品大手のニチレイが受けたサイバー攻撃について、新たな動きがあった。
「RansomHouse（ランサムハウス）」と名乗るハッカー集団が、少なくとも20万件以上のファイルを公開したという。取引に関する資料や個人情報なども含まれているとみられている。
「20万件以上のファイル流出」。数字だけを見ればかなり深刻な事態である。実際、個人情報が含まれている以上、フィッシング詐欺／なりすまし／取引先を装った詐欺など、二次被害への警戒は必要になる。
しかし今回は、少し違う方向から観測してみたい。
20万件ものファイルを公開したRansomHouseは、それによって一体何を得たのだろうか。
ニチレイは「払わなかった」のか？
おはこんばんにちは！力学観測研究所のRYOです！
まず、ここは事実と推測を明確に分けておく必要があります。
ニチレイがRansomHouseから身代金を要求されたのか／要求されたとして、それを拒否したのか／何らかの交渉が行われたのか。その詳細は公表されていません。
したがって、「ニチレイは身代金を払わなかった」と断定することはできない。
7月13日にシステム障害が発生。ニチレイはシステムを遮断し、外部の専門会社と復旧を進め、その後通常稼働へ戻しています。
一方、RansomHouseは犯行声明を出し、その後もデータを公開。8月10日までには、少なくとも20万件以上のファイルが公開されたという。
内側の交渉はともかく外側から見れば、
「RansomHouse側が期待していた展開になっているのだろうか？」という疑問は浮かんでくる。
恐喝材料は「公開する前」が一番強い
ランサムウェアによる二重恐喝では、盗んだ情報以上に「まだ公開されていない」という状態に価値がある。
「払わなければ公開するぞ❗」と言っている間は人質として機能するが、本当に公開すれば、そのカードは一枚消える。さらに公開を続ければ、残るカードも減っていく。
もちろん、情報流出による被害や二次被害の危険性は残る。しかし攻撃者側から見れば、脅しを実行するほど「公開しない」という商品価値を自ら失っていく。いわば、自傷的な恫喝である。
20万件は「20万件のカモ」なのか
20万件という数字には迫力がある。しかし、氏名／メールアドレス／電話番号などが中心なら、それだけで20万件の「カモ」になるわけではない。
もちろん、ニチレイとの関係が分かる情報はフィッシングやなりすましに悪用される可能性がある。ただし、ニチレイや関係企業が注意喚起を徹底すれば、詐欺の成功率は下げられる。
流出した情報は回収できないが、「犯罪商品としての価値」は下げることができる。
ニチレイには高い授業料と「経験」が残った
今回、ニチレイが払った授業料は高い。一方で、「実際に攻撃された企業」だけが得られる経験も残った。
BCP／バックアップ／訓練があっても、実際にどの業務が止まり、誰が判断し、どこまで影響が広がるのかは、当事者になって初めて見える部分がある。
今回ニチレイは、平時には見えない組織の「シャドウ」を観測した。この経験を検証して組織知にできれば、それは攻撃者にはコピーできない経験資産になる。
一方、RansomHouseには何が残ったのか
反対にRansomHouseは、侵入／データ窃取／脅迫／公開まで、相応の技術と時間を費やしている。
もちろん、ニチレイが身代金を支払わなかったとは断定できない。しかし、20万件以上を公開してなおカードを切り続ける姿を見ると、いろいろとお察ししたくなる。
「20万件晒したぞ！」
――それで、いくら儲かった？
「侵入できても儲からない」が最も怖い
ランサムウェア対策は「侵入を防ぐ」だけではない。犯罪を経済活動として見れば、「侵入に成功しても儲からない」環境を作ることも防御になる。
復旧できる／被害を限定できる／注意喚起で二次被害を抑える／恐喝に屈せず事業を続ける。そんな企業が増えれば、攻撃者に残るのは「徒労」である。
ニチレイには高い授業料とともに、実戦経験という資産が残った。一方、RansomHouseが何を得たのかは分からない。
恐喝という商売にとって、「頑張って攻撃したのに割に合わなかった」ほど格好の悪い結末もない。
コメントを残す