サイバーリスク：より速く、より高く、より強く

リスクの波及

米国の独立記念日といえば、日本の盆と正月が一緒に来たような非常に重要な日。この独立記念日の３連休前日となる7月2日に、米フロリダのソフトウェア会社がランサムウェア被害にみまわれた。同社のソフトウェアを使用しているおよそ60社の企業が被害に遭っている。

60社。
最近では、一つの脆弱性から数百社や数千社が被害に遭うことも多い。そのため、比較的影響が少なかったのではと思われる方もおられるかもしれない。

しかし今回、被害に遭った60社がどのような企業であったのかということに着目していただきたい。
これら60社は企業のITを管理する企業だった。そして、ランサムウェア被害に遭ったソフトウェア会社が開発した、ソフトウェアの更新などを管理するソフトウェアを使用して顧客のITを管理していた。

つまり、その影響範囲は、被害を受けた60社に自社のIT管理を委託していた1000社以上におよび、米国だけでなく南米や欧州、アフリカなどの企業にも影響がおよんでいる。
フロリダで発生したサイバー攻撃被害により、スウェーデンのスーパーマーケットのレジも動かなくなったのだ。

身代金の支払い

その後、同ソフトウェア会社はランサムウェアによって暗号化されてしまったファイルを復号化するツールを入手し復旧に取り組んでいる。 この復号化ツールの入手に際して一部のメディアでは、犯行グループに身代金を支払うことで入手したということや、身代金を支払って入手したが、ツールは機能しなかったといったことなど、いくつもの憶測が報じられた。

その後、同社は身代金を支払ったことを否定する声明を自社のウェブサイトに掲載している。^*2

用いられたツールはセキュリティ企業の協力で提供され、影響を受けた顧客のIT環境復元を積極的に支援していることも述べられている。同社では更なるサイバー攻撃を助長してしまうことを懸念して、しばし沈黙していたのだ。実際にサイバー攻撃被害に遭った企業では、このような理由から詳細な情報を時間差で公表したり、敢えて公表しないといった対応を取ることも多々見受けられる。

また、ランサムウェア攻撃の際には、被害者がバックアップデータから被害前の状態に復旧してしまうことを避けるために、マルウェアによってバックアップデータを探し出して削除するというところまでセットで行われることが一般的である。ところが、今回被害に遭った60社の中には、マルウェアがバックアップを削除していなかったため身代金要求に応じなかったという声も伝わってくる。

この身代金要求に応じるか否かということについては、平時より議論の的となることの多い悩ましいテーマではある。しかし今後は、犯行グループにとっても悩ましい問題となるかもしれない。

新たな規則

ランサムウェア被害に遭い身代金を要求された場合。
その身代金はATMからどこかの銀行に振り込むわけでも、アタッシュケースに詰めた現金を橋の下にいる犯人に投げ渡すわけでもない。ビットコインなどの暗号通貨と呼ばれる比較的匿名性のある決済手段を用いて、身代金を支払うこととなる。

ところが、暗号通貨の匿名性を規制することで犯罪による収益を取り締まる規則を、EU（欧州委員会）の行政機関であるEC（欧州委員会）は7月20日に議会へ提案した。^*3

既に匿名の銀行口座はEUのマネーロンダリング防止およびテロ対策資金調達（AML / CFT）規則によって禁止されているが、今回はその規則を暗号通貨セクター全体へと拡張しようとするものである。暗号通貨の取引を処理する企業に対して、送信者と受信者のさまざまな個人データ収集を義務付けており、暗号通貨の転送に対して完全なトレーサビリティを確保することを求めている。
具体的には、顧客の名前、住所、生年月日、口座番号、受信者の名前を記録する必要があるとしている。

これにより、マネーロンダリングやテロ資金供与の可能性を防止および検出したり、サイバー犯罪やテロリストグループを取り締まったりできることを当局では期待している。^*4　実際、UNODC（国連薬物犯罪事務所）によると世界のGDPの2〜5%相当が毎年マネーロンダリングされているとも言われており、EuropolによるとEUにおける経済活動の1.3%は疑わしい取引に関係していると推計している。^*5　これらのことからもマネーロンダリングはEU内での主要な問題の一つとなっており、今後ECは新たな監督当局の設置も検討している。

今回の提案については、遅延や追加の修正を除いて今年後半に欧州議会で審議されることが予定されている。

進化と深化

EUのマネーロンダリング防止規則により、ランサムウェア攻撃を行う犯行グループが一時的に思い止まることはあるかもしれない。しかし、ランサムウェア攻撃によるサイバーリスクを完全に排除することは困難だろう。何故なら、ランサムウェア攻撃は30年以上前から存在する古典的な攻撃手法であり、その時々で新しい技術や手法、法規制の抜け穴などをつきながら進化してきたからだ。

ここでサイバー攻撃の被害に遭った企業に、もう一度目を向けてみたい。サイバー攻撃の被害に遭った場合その影響は、身代金の支払いや事業中断に伴う逸失利益による被害、GDPRなどの法規制に伴う制裁だけではない。

2018年にサイバー攻撃によって個人データを漏洩したブリティッシュエアウェイズに対して2000万ポンドの制裁金が科されたことは、各種報道からもご存知の方は多いことだろう。^*6　40万人超の顧客に関連したログイン情報やカード情報、連絡先の情報などが漏洩した事件だ。

この事件で個人データが漏洩した本人（データ主体）による集団訴訟が、7月6日に和解となった。その詳細は開示されていないため和解金額などの条件は開示されていないが、この集団訴訟は英国における個人データに関する集団訴訟としては最大のものとなり16,000人を超えるデータ主体からの申し立てがあった。平均で2,000ポンドと試算する意見もあるが、莫大な金額であることには間違いない。

冒頭述べたフロリダでのサイバー攻撃がスウェーデンのレジを止めたように、サイバーリスクはITで繋がっている現代社会を瞬く間に拡がる。更に、その影響は直接的な被害だけでなく、法規制に伴う制裁や、影響を受けた個人による集団訴訟など深く爪痕を残す。そして、その手法や用いられる技術などは日々進化し、より強力なものとなって襲いかかる。
残念ながら、サイバーリスクの進化と深化は止まりそうにない。

出典

^*1 https://www.europol.europa.eu/newsroom/news/unhacked-121-tools-against-ransomware-single-website

^*2 https://www.kaseya.com/potential-attack-on-kaseya-vsa/

^*3 http://ec.europa.eu/finance/docs/law/210720-proposal-funds-transfers_en.pdf

^*4 https://ec.europa.eu/commission/presscorner/detail/en/QANDA_21_3689

^*5 https://www.europol.europa.eu/crime-areas-and-trends/crime-areas/economic-crime/money-laundering

^*6 https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2020/10/ico-fines-british-airways-20m-for-data-breach-affecting-more-than-400-000-customers/