ランサムウェアの感染が続く中、脅威への対応方法に関する従来の知恵は通用しなくなっています。
調査会社フォレスター・リサーチによると、恐喝者の要求に同意し、身代金を支払って会社の暗号化されたデータを復元するという、長い間不可能だと考えられてきた考えは、企業が実行可能な選択肢として熟考すべきだという。
フォレスター社のセキュリティとリスクを専門とする上級アナリスト、ジョシュ・ゼロニス氏は今月、組織は要求にすべて即座に屈服するべきではないが、犯罪者の条件に同意することが、コストのかかるデータ消去と回復のプロセスよりも良い選択肢であるかどうかを少なくとも検討すべきだと主張した。
アナリストだけではありません。他のセキュリティ専門家も、場合によっては、現状維持で壊滅的なシステム停止と復旧を余儀なくされるよりも、交渉する方が賢明な場合もあることに同意しています。定期的なオフラインバックアップやセキュリティパッチの適用、侵入防止対策など、他の主流の防御策が機能しなくなった場合、最終的な復旧手段として、支払いを検討しておくのが賢明かもしれません。
これは最初に選択するオプションではありません。事後対応のクリーンアップではなく予防に重点を置く必要がありますが、特に復旧作業に 7 桁以上の費用を承認する準備をしている場合は、このオプションを完全に破棄すべきではありません。
資金提供犯罪者に対する訴訟
マルウェアに関しては、政府機関や情報セキュリティ企業から、身代金要求には決して支払わないよう勧告されています。FBIのランサムウェア対策ガイダンス（PDF）では、ランサムウェアの被害に遭った人は法執行機関に連絡するよう推奨されており、個人PCの所有者と企業の双方に、いかなる脅迫要求にも決して支払わないよう呼びかけています。
むしろ、企業には、ネットワークから切り離してオフラインで保存したデータのバックアップを定期的に作成して維持し、ファイル暗号化型の恐喝ウェアに感染したシステムを消去して復元する準備をしておくことが推奨されます。
理由は容易に理解できます。身代金を支払えば、犯罪者は犯罪行為を続けるだけです。ランサムウェア感染に成功して大儲けしたハッカーは、ほぼ確実に同じ手口を、おそらく同じ標的に再び仕掛けてきます。身代金要求に屈すれば、犯罪者を勢いづかせ、他者を危険にさらすだけです。
もう一つの基本的な真実があります。犯罪者は信用できないということです。ランサムウェアの要求に支払ったとしても、実際に有効な解除コードが渡される保証はありません（場合によっては、マルウェアの運営者は、コードで暗号化したファイルを実際に解除する方法すら知らないか、それがうまくいくかどうかも気にしていません）。
サイバーエッジ・グループのCEO、スティーブ・パイパー氏は、レジスター紙に対し、同グループの最新の脅威レポートによると、ランサムウェアの要求に応じた企業のうち、最終的に実際にデータを回復できたのは約60％に過ぎないと語った。
「身代金を払ったとしても、5分の2の確率でデータが戻ってこない」と彼は説明した。
結局のところ、ランサムウェアに対する最善の防御策は、そもそも感染しないことです。感染しない場合は、企業は強力なバックアップとリカバリ計画を策定する必要があります。これは一見単純なことのように思えます。
しかし、必ずしもそう単純ではない。
統計や、サイバー犯罪者との交渉を避けるという強硬な主張は確かに有効ですが、組織が完敗し、データが危険にさらされる状況となると、状況は少し異なります。海運大手マールスクや米国ボルチモア市などの大企業は、身代金要求に一切応じないことを決意し、事実上ゼロから設備を修復した結果、数百万ドルに及ぶ莫大な復旧費用を負担することになりました。
たとえ企業がデータのバックアップを綿密に行っていたとしても、実際の復旧プロセスは、数百または数千台の PC や端末、数十台のサーバーまたはサーバー キャビネットを対象とする場合は特に、言うほど簡単ではありません。
ランサムウェアの仕業か：ConnectWise社が丸一日のサービス停止の原因を暴露
続きを読む
「バックアップを取っている組織でも、大多数の組織は回復能力をテストしていません」とフォレスター社のゼロニス氏はEl Regに語った。「また、バックアップを取っている組織でも、大規模な回復能力をテストしていません。」
ゼロニス氏は、企業に厳しい議論を促したいと考えている。プライドやエゴは、組織の財務状況や機能維持能力よりも優先されるべきなのか？ 例えば、ボルチモアでは、警察などの重要なサービスがランサムウェア感染の影響を受け、マースクの事業も大きな打撃を受けた。
結局のところ、組織は自社のビジネスにとって最善の選択肢を検討すべきだとアナリストは主張する。場合によっては、身代金要求の一部または全部に同意することが最善の選択肢となるかもしれない。
「身代金を支払うか否かの決定は、実際はビジネス上の決定であり、それと異なることを言う人はあなたの利益にならない」とゼロニス氏はエル・レグ紙に語った。
「どの時点で、私たちは自分たちのエゴよりも、必要なサービスをいかに提供し続けるかを優先するという決断を下すのでしょうか？」
こうした意見はゼロニス氏だけではありません。The Registerの取材に応じた複数の情報セキュリティ専門家は、復旧が容易でない場合は、企業は少なくともランサムウェア運営者と交渉を始めることを検討すべきだという考えを支持しました。
