セキュリティの敵「アクションバイアス」の正体と回避策【前編】

ランサムウェア被害の企業が、バックアップを取っていても身代金を払ってしまう“心理的理由”

企業はサイバー攻撃の発覚後、即座に行動しようとする。ただし迅速に動き過ぎることはかえって適切な対処の妨げになる。どういうことなのか。理解の鍵を握るのが「アクションバイアス」だ。

公開 2021年09月13日 05時02分

更新 2023年01月23日 17時15分

著者

Arielle Waldman

[TechTarget]

印刷する連載新着通知を受け取る

　企業は攻撃を受けたら、被害を最小限に抑えるために「即座に行動する」より「時間をかけて行動する」ことが最善策になる――。2021年8月、セキュリティカンファレンス「Black Hat 2021」で、米国家安全保障局（NSA）サイバーセキュリティコラボレーションセンターのテクニカルフェローを務めるジョサイア・ダイクストラ氏と、ジョンズ・ホプキンス大学公衆衛生学大学院（Johns Hopkins Bloomberg School of Public Health）シニアアソシエイトのダグラス・ハフ氏が、企業が攻撃を受けた後の対処方法について講演した。両氏が論じたのは、スピードを重視した対応が必ずしも最善であるとは限らないということだ。

ランサムウェア被害企業が「バックアップは万全」でも身代金を払ってしまう理由

併せて読みたいお薦め記事

知っておきたいインシデント対策

ランサムウェア攻撃は後を絶たない

　ダイクストラ氏とハフ氏によると、企業が攻撃されたときに問題となるのは「アクションバイアス」に陥ることだ。アクションバイアスとは、攻撃を受けたという大きなストレスにさらされ、「とにかくアクションを起こしたい」と思ってしまう心理現象を指す。

　サッカーの“あのシーン”に例えれば分かりやすい。ペナルティーキック（PK）を受ける際、ゴールキーパーは中央に止まれば、ゴールを守る確率が一番高いといわれている。実際には「動きたい」衝動を抑え切れず、右か左に動くゴールキーパーは珍しくない。

　サッカー場にしても企業にしても、人間は強いストレスを感じているとき、「行動しなければならない」という切迫感を覚える。「アクションバイアスは、冷静に考えて適切な対策を講じることを妨げてしまう」とハフ氏は指摘する。

　Black Hat 2021でダイクストラ氏は、ランサムウェア（身代金要求型マルウェア）攻撃を受けた企業の具体例を取り上げ、アクションバイアスについて説明した。その企業では攻撃後、システムが使えなくなった従業員、いち早く回復を目指すセキュリティ担当者、ビジネスへの影響が心配の経営陣が対処に携わった。3者はそれぞれ立場が違うものの、共通していたのは「状況をコントロールしようとする行動に出たことだ」とダイクストラ氏は言う。「3者は焦って、事前に準備していた計画も実行せず、攻撃に対処するためにできることは何でもしようとした」（同氏）

　このような反応は、最近、ランサムウェア攻撃を受けた石油パイプライン大手のColonial Pipelineや食肉加工大手JBSの子会社でも見られた。両社は、データをバックアップしていたり、設備への影響が限定的だったりするにもかかわらず、即座に身代金の要求に応じた。まさに絵に描いたようなアクションバイアスだ。

　後編は、アクションバイアスを避けるための具体策を紹介する。