この頃、セキュリティ界隈で

ランサムウェア身代金、“どうしても”のときの値切り方　13億円超の要求額を1.7億円に減額させた交渉術（2/2 ページ）

公開 2021年12月14日 08時01分

[ITmedia]

印刷する連載新着通知を受け取る

“丁寧”なほど身代金の額は低くなる傾向に

　とはいっても、自分たちを恐喝してきた相手に対してそうした態度で接するのは難しそうに思える。しかし被害企業が苛立ったり腹を立てたりしたために、交渉を一方的に打ち切られたケースもあるといい「交渉はビジネス取引とみなしたうえで、感情を排することが最善だ」とし「丁寧に応対するほど、身代金の額は低くなる傾向がある」と米Fox-ITは解説する。

　実際、身代金を当初の要求額の400万ドル（約4億5000万円）から150万ドル（約1億7000万円）に引き下げさせることに成功した企業の場合「Thanks Sir」から始まる返信の中で「復号鍵の提供に関して、あなた方の評判が非常に良いことを知りました。ぜひ考えをお聞かせください。敬意を表して」と結んでいた（原文は全て英語）。

　身代金支払いの期限についても、犯行グループはほとんどの場合、交渉が続いている間は、頼まれれば期限の延長には前向きに対応しているという。また、即金で支払うと約束すれば、少ない金額で手を打ってもらえる場合もあった。

　被害企業が要求額を支払う能力がないと訴え続けたことで、100万ドルの要求が35万ドル、あるいは15万ドルに減額したケースもある。

　1200万ドル（約13億6000万円）を要求されて、粘り強い交渉の末に150万ドル（約1億7000万円）で決着した企業もあった。この企業は「この1年間で収益が大きな打撃を受け、日々損失が拡大しています」と窮状を繰り返し訴えた上で「それでもお支払いする用意はあります」や「私たちは最善を尽くしています」「経営者が私財から5万ドルを出すことにしました」などと誠意を見せながら交渉を継続。

　最終的に「あなた方に140万ドルをお渡しして私たちのデータが公開されないことを約束していただくか、あるいはデータを公開し、支払いの観点からは何の価値もない状況になるかのいずれかです。そうなれば、私たちがお支払いする理由はありません。私たちは再建の取り組みに専念します。どうかこの2つの選択肢についてお考えください」と訴えた。結局、交渉は150万ドルで決着し、会社はその金額を犯行グループに支払った。

データを取り戻せても、相手が削除したことを保証する手段はない

　ランサムウェア被害に備えてサイバー保険に加入する企業も増えている。しかし犯行グループがその情報を入手して、保険金の額まで知った上で脅しをかけてくることもある。そうならないために、保険関連の書類はアクセス可能なサーバには保管せず、自分たちからはサイバー保険に入っていることに言及しないようにしなければならない。

　こうした交渉を重ね、決着した金額を支払い、たとえデータが取り戻せたとしても、いったんは相手の手に渡った自社のデータが完全に削除されたことを保証する手段はない。分業制の「サービスとしてのランサムウェア（RaaS）」ビジネスには、数多くの犯罪者が絡む。被害企業は結果的に情報が暴露されたり転売されたりする事態も想定して、対応を準備しておく必要があると米Fox-ITは指摘している。

この連載新着通知をメールで受け取る