7500万ドルの身代金がDark Angelsに支払われた事実は、2024年7月にセキュリティベンダーZscalerが公開したレポート「ThreatLabz 2024 Ransomware Report」で明らかになったものだ。このレポートでZscalerは、2024年初頭にある組織がDark Angelsに「前例のない」金額を支払ったと説明する。その後同年8月に、ブロックチェーン分析企業Chainalysisが「これまで記録された中で最高額となる7500万ドルがDark Angelsに支払われたことを確認した」と報告した。

　Chainalysisの情報を受けて、Zscalerは短文投稿サイト「X」（旧「Twitter」）で支払い金額を追加情報として補足した。それに際して、被害を受けた組織が、経済誌『Fortune』による企業の売上高ランキング「Fortune 50」に名を連ねる企業であることをほのめかした。

　Zscalerは被害を受けた企業の名前を明かしていない。だがセキュリティニュースを扱うWebサイト「BleepingComputer」は、その組織が製薬大手のCencora（旧AmerisourceBergen）ではないかと推測する。Cencoraは2024年版「Fortune Global 500」で18位にランクインし、およそ2620億ドルの年間売上高を誇る企業だ。同年2月に米国証券取引委員会（SEC）に提出した8-K書類（株主や投資家に影響を与え得る重要な出来事を報告する書類）で、同月にサイバー攻撃を受けたことを開示している。

　この書類によると、Cencoraは2024年2月21日（現地時間、以下同じ）に情報システムからデータが流出し、その一部に個人情報が含まれている可能性があることを発見した。製薬会社向けに医薬品流通サービスを提供する同社は、「法執行機関、サイバーセキュリティ専門家、外部からの助言を受けながら、この不正アクセスについて調査を開始した」と説明する。

　2024年7月に提出された8-K書類の修正書で、Cencoraは攻撃者がよってさらに多くのデータを流出させ、その中には顧客の患者の個人識別情報や保護すべき医療情報が含まれていることが判明したことを明かした。ただし同社は、このデータが「公開された形跡はなく、今後公開されることを示す証拠もない」とも記している。

　Cencoraはこの攻撃が同社の業務に大きな影響を与えず、ITシステムは問題なく稼働していると述べた。「この事件が当社の財務状況や営業成績に重大な影響を及ぼす可能性は低いとみる」と修正書には記載されている。

報告金額のからくり

　2024年9月、通信社Bloombergは情報筋の話として、Dark AngelsがCencoraから7500万ドルの身代金を受け取ったことと、この攻撃における当初の要求額は1億5000万ドルだったことを報じた。Bloombergによると、Cencoraの代表者はこの報道に関するコメントを拒否し、「うわさや臆測には応じない」と述べた。

　Bloombergの報道と近いタイミングで、暗号資産を調査する匿名の研究者ZachXBTが、「2024年3月7日と8日に、CencoraからDark Angelsへの送金と思われる3件のビットコイン送金があったと思われる」との見解をXに投稿した。

　Cencoraの代理人はBloombergに対し、「2024年2月の情報漏えいに関連する費用を記載した同年の第3四半期業績報告書を含め、同社の公開発表内容に変更はない」と述べた。この決算報告書にある「その他」の費用の大半が、今回の被害に関連しているという見方がある。

　Zscalerの脅威インテリジェンス担当ディレクターであるブレット・ストーングロス氏は、CencoraがSECに提出した8-K書類中の数字は、サイバー保険の存在によって実態を反映していない可能性があると指摘する。ストーングロス氏は、「上場企業がランサムウェア攻撃で身代金を支払った事例を幾つも目撃し、かなりの金額が支払われたことを知っている」と語る。同氏がそうした被害企業の8-K書類を調べたところ、セキュリティ侵害による損失額が、支払った身代金の額をはるかに下回る記載があったという。

　Cencoraは自社のWebサイトにおいてサイバー保険に加入していることを明記しているものの、保険会社の名前や保険内容は公開していない。

　次回は、Dark Angelsの手口を掘り下げる。