数十億ドル規模のビジネス

調査会社チェイナリシスのデータによると、公表された身代金の支払額は2023年にほぼ倍増し、10億ドルを超え、昨年はインターネット恐喝の復活の記念すべき年となった。

被害者全員が事件を公表するわけではないので、実際の数は間違いなくはるかに多い。しかし、数少ない明るい点は、年末に向けて身代金の額が減少したことだ。これは、サイバー防御能力の向上に向けた取り組みと、ハッカーが盗んだデータを削除または返却するという約束を守るという被害者の認識の高まりの結果である。

記録的な身代金

身代金の支払いを拒否するランサムウェアの被害者がますます増えている一方で、サイバー犯罪集団は標的とする被害者の数を増やすことでその減少を補っている。

金儲けブライス.jpg
マルウェア攻撃は企業やビジネスにとって問題になりつつあります。

たとえば、MOVEit のハッキングでは、Clop ランサムウェア グループが、広く使用されている MOVEit Transfer ソフトウェアに存在する、これまで見たことのない一連の脆弱性を悪用し、2,700 人以上の被害者のシステムからデータを盗みました。多くの組織は、機密データの公開を防ぐために身代金を支払わなければなりませんでした。

Chainalysisは、Clopグループが集めた身代金は1億ドル以上で、2023年6月から7月までのランサムウェア攻撃の総額のほぼ半分を占めると推定している。

その後、9月にカジノ・エンターテインメント大手のシーザーズは、ハッカーによる顧客データの漏洩を防ぐために約1500万ドルを支払った。注目すべきは、8月のシーザーズ襲撃事件が報道されなかったことだ。

それだけではなく、大手リゾートホテルグループのMGMリゾーツも身代金の支払いを拒否した後、「回復」するために1億ドル以上を費やさなければならなかった。 MGMが支払いを拒否したことにより、氏名、社会保障番号、パスポートの詳細など顧客の機密データがオンラインで漏洩した。

リスクの増大

シーザーズのような多くの組織にとって、身代金を支払うことはメディア危機に対処するよりも簡単な選択肢です。しかし、被害者が支払いを拒否するケースが増えるにつれ、サイバー犯罪グループはより過激な戦術に訴えるようになっている。

たとえば、昨年 12 月、ハッカーはがん患者を治療する病院を標的にしました。あるいは、もっと巧妙なことに、ハッカー集団「Alphv」（別名「BlackCat」）が米国政府のサイバーインシデント開示規制を利用してメリディアンリンクを脅迫し、「顧客データと業務情報の重大な侵害」について同社が通知を怠ったと非難した。

身代金の支払いを禁止するか、禁止しないか?

サイバーランサムウェア事件の取り扱いを専門とするコーブウェア社によると、米国やその他の国が身代金の支払いを禁止した場合、企業は当局への事件の報告をやめ、被害組織と法執行機関の協力関係が確実に阻害されるという。それだけでなく、この禁止政策は違法な身代金支払い市場を助長することになる。

一方、業界の専門家の中には、企業がハッカーに金銭を支払うことを禁止することは、短期的にはマルウェア攻撃の増加につながる可能性があるものの、長期的な解決策になると考える者もいる。

レコーデッド・フューチャーの脅威アナリスト、アラン・リスカ氏は、身代金の支払いが依然として合法とみなされている限り、この状況は続くだろうと述べた。 「以前は身代金の支払いを禁止するという考えに反対していたが、今は状況が変わりつつある」とリスカ氏は語った。 「恐喝は増加傾向にあります。件数だけでなく、攻撃の性質や背後にいるギャングの面でも増加傾向にあります。」

（TechCrunchによると）

2024 年には、スマートフォン ユーザーを狙った新しいマルウェアが多数出現します。2024 年には、Android や iOS オペレーティング システムを搭載するデバイスを含むスマートフォンに侵入し、脆弱性を悪用して制御できる新しいタイプのマルウェアが、スマートフォン ユーザーにさらに多く出現すると予想されます。