ランサムウェア攻撃の身代金は支払うべきか【第2回】

「ランサムウェア攻撃」を受けても身代金を払ってはいけない4つの理由

ランサムウェア攻撃に遭った企業は「身代金を支払う方がよい」と判断をすることがある。だがセキュリティ関連団体や専門家は、身代金の支払いを推奨していない。その理由は。

公開 2021年11月17日 08時00分

更新 2023年02月22日 00時47分

著者

Kyle Johnson

[TechTarget]

印刷する連載新着通知を受け取る

　ランサムウェア（身代金要求型マルウェア）攻撃を受けた企業が、攻撃者からの身代金要求に応じてしまう理由は幾つかある。それでも一般的には、企業は身代金の支払いを避けるべきではないと考えられている。それはなぜなのか。

　米連邦政府機関やセキュリティアナリストの見解は、「ランサムウェア攻撃の被害企業が身代金を支払うことは有害無益だ」という意見で一致している。支払うのが現実的な選択肢に見えたとしても、以下で紹介する理由から、被害企業は身代金を支払うべきではないという。

理由1．攻撃を助長する

併せて読みたいお薦め記事

連載：ランサムウェア攻撃の身代金は支払うべきか

第1回：「ランサムウェア攻撃」に遭った企業が身代金を払いたくなる4つの理由

ランサムウェア攻撃の被害事例

　被害企業が身代金を支払えば、攻撃者はさらなる攻撃のための追加資金を手に入れることになる。「身代金を支払った」といううわさが立つと、被害企業が繰り返し攻撃を受ける可能性が生じやすくなる。

理由2．身代金の要求がエスカレートする

　一般的なランサムウェア攻撃では、攻撃者が追加の身代金を要求する。攻撃者は被害企業に、1回目の支払いでデータ復号鍵を与え、2回目の支払いで盗んだデータを渡す。

理由3．データが戻ってくるとは限らない

　被害企業が身代金を支払っても、攻撃者がデータを返す保証もなければ、復号鍵でデータが攻撃前の状態に戻る保証もない。セキュリティベンダーSophosのレポート「The State of Ransomware 2021」によると、2021年1～2月に、調査対象の企業が身代金を払って、暗号化されたデータを全て復元し、取り戻した割合は8％にとどまる。29％の企業は、取り戻したデータの割合が50％以下だった。

理由4．法的な問題になる恐れがある

　攻撃者への身代金の支払いが、法的なトラブルを招くことがある。ランサムウェア攻撃者が活動拠点としている国によっては、攻撃者に身代金を支払うことが「テロリストへの資金供与」だと見なされる場合がある。

　身代金を支払うことは、ランサムウェア攻撃のサイクルを継続させることにつながる。「ランサムウェア攻撃がもうからなくなるまで、攻撃者がこの攻撃ベクトルを見直すことはない」と、調査会社Forrester Researchのアナリストであるアリー・メレン氏は指摘する。攻撃サイクルを遅らせる方法の一つとしてメレン氏が挙げるのは、身代金を払うのを拒否することだ。「攻撃者は金を稼ぐために、別の方法に切り替えざるを得なくなる」と同氏は語る。