コラム第938号：「ランサム事案における信頼と責任」

第938号コラム：北條　孝佳 理事（NPOデジタル・フォレンジック研究会理事/一般社団法人日本シーサート協議会専門委員）
題：ランサム事案*1における信頼と責任

1.　ランサム対応を「専門家」に委ねたくなる心理
　日本において、ランサム被害に直面した組織が、交渉会社や身代金の支払代行会社に支援を求めることは、慎重に検討されるべき選択肢である。多くの機関が繰り返し注意喚起しているように、身代金の支払いは復旧を保証するものではなく、結果として犯罪行為を助長する可能性も指摘されている。そうした状況の中で、「専門家に任せれば解決できるのではないか」という期待のもと、交渉や身代金の支払いを前提とした支援に目を向ける動きが見られることについては、慎重な検討が必要である。
　交渉会社や支払代行会社は、被害組織に対して一定の助言や支援を提供し得る存在ではある。しかし、その判断や助言は、あくまでビジネスの枠組みとして行われる以上、被害組織の利益と常に一致するとは限らない。このことを、支援を求める前に明確に認識しておく必要がある。なお、この点は外部専門事業者の活用一般を否定する趣旨ではなく、ランサム攻撃者との交渉や身代金の支払いへの関与を主たる業務とする事業者において生じ得る特有のリスクである。

2.　米国で実際に起きた「信頼の裏切り」
　交渉会社等に対する信頼は、時としてリスクにもなり得る。米国で発覚したランサム被害対応関係者の摘発事案は、こうしたリスクが現実化し得ることを示している。
　これは、ランサム被害対応に関与していた者らが、実際にはアフィリエイトとしてランサム攻撃を行ったり、攻撃者側と共謀し、複数の被害組織に対する恐喝等に関与したりしたとして訴追され、実刑判決が言い渡された事案である。そのうちの1人は、被害組織側の交渉を担当する立場にありながら、被害組織から得た交渉方針等に関する機密情報を攻撃者側に提供し、身代金額の引き上げに利用させたとされる。
　特に問題なのは、本来であれば被害組織の利益を守るべき立場にあった者が、被害組織から信頼されて提供された情報を、攻撃者側の利益のために利用させていたとされる点である。被害組織は、交渉担当者に対し、復旧可能性、支払方針、交渉方針など、危機対応上極めて重要な情報を共有せざるを得ない。だからこそ、こうした情報を託された立場の者が攻撃者側と結びついた場合、その影響は極めて深刻なものとなり得る。
　この事案の本質は、被害組織が危機的状況下で信頼した専門家側の内部者が、攻撃者側と結びつき、被害組織の信頼を裏切ったという点にある。米当局は、これらの行為を、恐喝の共謀等に該当する重大な犯罪と位置づけている。
　この事例は、交渉会社等の業態そのものを否定するわけではない。しかし、本来は被害組織を支援する立場にある者らが、被害組織の経営や存続に直結する内部情報に接触し、その立場を悪用し得るという構造的リスクが存在することを示している。極めて高い倫理性と責任が求められることは当然であるが、少なくともこの事例においては、その担保が十分に機能していたとは言い難い。
　被害組織は、交渉会社における機密情報の管理体制や交渉過程の状況、担当者のバックグラウンドチェックなどを客観的に確認する手段が乏しく、内部統制の実態を外部から確認することは極めて困難である。日本のみならず海外においても、ランサム交渉担当者やインシデント対応者一般について、特別な国家資格や公的認証制度が整備されているとはいえない。そのため、「交渉のプロ」という肩書きだけをもって、一定の倫理観や適格性が担保されると見ることはできない。

3.　非常時に歪められる意思決定プロセス
　こうした構造的問題は、状況の如何を問わず、被害発生時の意思決定プロセスそのものを歪める危険性を内包している。特に、ランサム被害の初動においては、技術的対応、事業継続、対外説明、法的リスク評価といった複数の判断を、限られた時間の中で同時並行して行う必要がある。本来、事前対策が適切に講じられていれば、被害発生後は復旧や回復に全力投球すればよく、交渉や身代金の支払いに依存しない対応を選択できる可能性が高まる。にもかかわらず、交渉や身代金の支払いの選択肢を残すことは、判断軸を揺るがし、対応全体を遅延させるリスクを生む。
　交渉や身代金の支払いの最終的な判断の主体はあくまで被害組織である。交渉の事実や身代金を支払った場合に生じる法的・社会的・レピュテーション(評判)上のリスク、支払後に復旧ができなかった場合のリスク、さらには将来的に同様の攻撃を誘発するリスクなどは、交渉会社等が関与していたとしても、その判断の結果についての責任まで負うわけではなく、最終的には被害組織自らが引き受けることになる。
　極限状況においても経営判断の合理性が事後的に厳しく問われるのであり、交渉会社や支払代行会社は、被害組織自身の判断を置き換える存在ではないことを、あらかじめ強く認識しておく必要がある。
　その意味で、経営者は、インシデント発生後に初めて交渉や身代金の支払いの是非を検討するのではなく、平時からランサム対応方針、意思決定権限、法務、情報システム、広報、事業部門、外部専門家との役割分担を整理しておくべきである。交渉会社等を利用する場合であっても、その委任範囲、報告義務、利益相反の有無、記録化の方法を明確にしなければならない。極限状況における判断であるからこそ、事前に定めた原則と手続に基づく統制が不可欠である。
　さらに、こうした統制を整備する前提として、交渉や身代金の支払いそのものが推奨されていない対応であることを認識しておく必要がある。そもそも、ランサム攻撃への対応としての交渉、とりわけ身代金の支払いは、各国政府機関や多数の組織から一貫して推奨しないことが注意喚起されている。このように推奨されていない行為を外部事業者に委ねるという判断自体が、新たなリスク要因になり得る。特に、日本においては、法的な観点から不透明な状況にあり、交渉や支払代行について、その法的評価が必ずしも整理し尽くされているとはいえず、適法か否かを一概に断定することが難しい側面がある。少なくとも「誰が関与しても問題ない」と言い切れる状況にないことは、被害組織として認識しておく必要がある。

4.　原則と例外、そして主体的判断の重要性
　ランサム被害に遭った場合、まず原則として行うべきことは、事態を隠蔽せず、実態解明に向けた調査及び証拠保全を進め、必要に応じて関係機関と協力し、早期の被害回復及び事業継続を目指すことである。できる限りの情報を開示して説明責任を果たすとともに、監督官庁や警察等への相談又は報告を行うことも必要である。
　技術的・フォレンジック的な観点からも、初動で優先されるべきは交渉ではなく、各種のログ、端末、サーバ、クラウド環境等の証拠保全、侵入経路の特定、被害範囲及びデータ窃取の有無の確認、封じ込め、復旧可能性の検討である。仮に復号ツールが提供されたとしても、完全な復号が保証されるわけではなく、攻撃者側の暗号化処理、復号ツール又は鍵管理に問題があり、復号できないこともある。したがって、身代金の支払いの可否を中心に据えるのではなく、検証済みのバックアップ、復旧手順、再発防止策に基づいて事業継続を図ることが、実務上も経営上も重要である。
　また、ランサム攻撃者との交渉や身代金の支払いは行わないことも基本方針とすべきである。「身代金を支払えば被害をなかったことにできる」という考えは、ランサム攻撃者の思うつぼである。しかし、現実の事案では、身代金の支払いの可否について最終的に難しい判断を迫られる局面が生じ得る。このような危機的状況においては、「早期に復旧できるならよい」「金銭で解決できるなら仕方がない」と考えてしまいがちであるが、こうした発想は、目の前の事態の解消に意識が集中するあまり、事後的に問われる法的責任や社会的評価、中長期的な経営リスクを無視してしまう危険を孕んでいる。
　さらに、身代金を支払わないことを原則とするのであれば、ランサム攻撃者との交渉についてもその位置づけを慎重に考える必要がある。一般に交渉とは、双方の合意に向けた条件の調整行為であり、ランサム事案においては、身代金額、支払期限、復号鍵の提供など、身代金を支払う合意形成を目的として各種の条件を調整することを意味する。したがって、身代金の支払意思が存在しない場合、条件調整を目的とする交渉を行う必要性は乏しい。
　攻撃者が主張する窃取データの有無や内容、脅迫内容の把握、捜査機関や関係機関への情報提供のための事実確認など、限定的な接触が必要となる場面はあり得る。しかし、それは支払条件を調整する意味での交渉とは区別されるべきである。しばしば交渉の利点として語られることがあるが、その議論は、本来手段であるはずの交渉そのものを目的としてしまっており、一般論として推奨できるものではない。にもかかわらず交渉を行うことは、攻撃者に支払可能性を示唆することとなり、事態の悪化を招くリスクも否定できない。

5.　まとめ
　交渉会社等の内部者が実際にはランサムアフィリエイトとして自ら被害事案を作り出し、交渉に参画し、支払われた身代金から利益を得ていたことは、「専門家に解決を任せたい」という「信頼」を根本から裏切るものである。結局のところ、被害組織自身の判断と平時からの備えこそが、最終的に依拠せざるを得ないのである。
　追い込まれた極限状況において、どこまで原則を貫き、冷静な判断を維持できるかが問われる。
　短期的な安堵ではなく、長期的な健全性を重視した意思決定、これこそが企業経営者に求められる適切な判断である。

（*1）本コラムにおいて「ランサムウェア」ではなく、「ランサム」と呼称していることについては、コラム第913号を参照のこと。「ランサムウェア事案とランサム事案の違い」
https://digitalforensic.jp/2026/02/23/column913/

※著作権は、北條氏に属します。
※本稿は筆者の見解であり、IDFの見解を示すものではありません。