ハッキング特集🛡️｜ランサム被害から会社を守る💻️第006講｜身代金を払えばデータは戻るのか――「払えば解決」が通用しない理由
【結論：戻る場合はある。しかし、保証はない】
ミカ「身代金を払えば、暗号化されたファイルは元に戻るんですか？」
教授「**戻ることもある。だが、必ず戻るわけではない。**これが最初に覚える答えじゃ」
ミカ「えっ。お金を払えば、犯人が鍵を渡してくれるんじゃないんですか？」
教授「犯人は犯罪者じゃ。約束を守る契約相手ではない。鍵が届かない、鍵が壊れている、復号に時間がかかる、データをすでに外部へ持ち出されている――そんな可能性もある」
英国の国家サイバーセキュリティセンターも、身代金を支払ってもデータやコンピューターにアクセスできる保証はなく、復号キーを入手できても直ちに通常業務へ戻れるとは限らないと説明している。NCSC公式ガイダンス
【身代金は「復旧費」ではなく「犯罪者への支払い」】
ランサムウェアの犯人は、画面に「支払えば鍵を渡す」と表示する。
しかし実際には、支払い後も次の問題が残る。
・鍵が届かない
・届いた鍵が一部のファイルにしか使えない
・復号処理に何日もかかる
・システムそのものが壊れている
・盗まれたデータが公開・売却される
・再び同じ会社が狙われる
教授「つまり、身代金を払っても、会社が買えるのは“復旧の可能性”だけじゃ」
ミカ「復旧そのものを買えるわけではないんですね」
教授「その通り。しかも、支払いによって犯罪者に『この会社は払う』と認識される危険もある」
【なぜ、お金を払っても元通りにならないのか】
【理由1：復号キーが正しく動くとは限らない】
攻撃者が渡す復号ツールは、すべてのファイルを完全に戻せるとは限らない。
暗号化の途中で破損したファイル、データベース、仮想サーバー、共有フォルダーなどは、鍵があっても正常に戻らない場合がある。
【理由2：ファイル以外の仕組みも止まっている】
会社の業務は、ファイルだけで動いているわけではない。
認証、サーバー、ネットワーク、会計、販売管理、バックアップ、プリンター、クラウド連携など、多くの仕組みがつながっている。
ミカ「ファイルが戻れば、すぐ仕事に戻れるんじゃないんですか？」
教授「パソコンの中に書類が戻っても、ログインできなければ使えない。データが戻っても、システムが動かなければ業務は再開できないのじゃ」
【理由3：データを盗まれている可能性がある】
近年のランサム攻撃は、暗号化だけではない。
先にデータを盗み、「払わなければ公開する」と脅す二重恐喝が使われる。
この場合、身代金を払ってファイルが戻っても、盗まれたデータが本当に削除されたかは確認できない。
NCSCも、攻撃者が「削除した」と約束しても、後からデータを販売・公開したり、再び公開を脅したりする可能性があると注意喚起している。NCSC公式ガイダンス
【実例1 Colonial Pipeline――支払っても復旧は一瞬ではなかった】
2021年、アメリカの燃料パイプライン会社Colonial Pipelineがランサム攻撃を受け、燃料供給に大きな影響が出た。
同社は攻撃者に約440万ドル相当の身代金を支払い、復号ツールを受け取ったと報じられている。
しかし、そのツールだけで迅速に通常運転へ戻れたわけではない。復号処理が遅く、システム復旧には時間がかかり、会社側はバックアップなども使いながら復旧を進めた。
さらに、米司法省は後日、支払われた暗号資産の一部、約230万ドル相当を押収したと発表した。米司法省の発表
教授「この事件の教訓は、“払ったら元通り”ではなく、“払っても復旧作業は続く”ということじゃ」
ミカ「しかも、燃料供給のような社会インフラでも、支払いだけでは解決しなかったんですね」
【実例2 KADOKAWA――戻すべきものはファイルだけではない】
2024年、KADOKAWAグループでは、ニコニコ関連サービスなどに大規模なサイバー攻撃が発生した。
公式発表によれば、複数のサーバーにアクセスできなくなり、ランサムウェアを含む攻撃の可能性を確認。被害拡大を防ぐためサーバーを停止し、同じデータセンターにあった会計システムにも影響が及んだ。
その結果、サービス停止だけでなく、取引先への支払いに遅れが生じる可能性まで公表された。KADOKAWA公式発表
この事例から分かるのは、復旧対象が「暗号化されたファイル」だけではないことだ。
・サービスを再公開する
・安全なサーバーを用意する
・アカウントを再設定する
・データが改ざんされていないか確認する
・会計や決済を再稼働させる
・利用者や取引先へ説明する
教授「データが戻っても、会社の信用や業務が自動的に戻るわけではない」
【では、会社はどう判断すべきか】
攻撃を受けた直後に、社長や担当者が一人で「払う・払わない」を決めてはいけない。
まず、次の関係者を集める。
・経営者
・情報システム担当者
・法務・個人情報担当者
・加入していればサイバー保険会社
・警察や関係機関
・ランサムウェア対応の専門業者
・必要に応じて顧客や取引先への連絡担当者
支払いを検討する場合でも、犯人への送金前に、復旧可能性・情報流出・法的問題・再感染の危険性を確認する必要がある。
特に、攻撃者の所在地や関係組織によっては、制裁や法令上の問題が生じる可能性もある。支払いを決める前に、専門家へ相談することが重要だ。
【感染が疑われたときに最初にすること】
ミカ「もし今、社内のファイルが一斉に開けなくなったら？」
教授「まず、慌てて支払わないことじゃ」
被害端末をネットワークから切り離す
ランサムノートや画面の表示を保存する
何が開けないか、発生時刻を記録する
バックアップを上書きしない
専門家、保険会社、警察などへ相談する
侵入経路を調査する
復旧後に再感染しないよう、原因を修正する
電源を切る、初期化する、ファイルを削除する、犯人とすぐ交渉する――これらは自己判断で行わず、専門家に確認する。
【身代金より強いものは、使えるバックアップ】
身代金を払わずに復旧できる会社には、共通点がある。
・ネットワークから切り離されたバックアップがある
・複数世代のバックアップを保管している
・復元テストを定期的に行っている
・バックアップの管理者権限を分けている
・復旧手順を紙やオフラインでも確認できる
教授「バックアップがあるだけでは不十分じゃ。実際に戻せることを確認して、初めて“使えるバックアップ”になる」
ミカ「バックアップも一緒に暗号化されたら、意味がありませんね」
教授「その通り。常時接続されたバックアップは、攻撃者から見れば“次の人質候補”なのじゃ」
【これだけは覚える】
身代金を払えばデータが戻るとは限らない。
復号キーが届いても、完全復旧・即時復旧・情報削除は保証されない。
支払いの前に、バックアップ、専門家、保険会社、警察、法務担当へ相談する。
本当の備えは、身代金を払う判断ではなく、払わずに復旧できる仕組みを作ること。
【まとめ】
「身代金を払えば、データは戻るのか？」
答えは、戻る場合もあるが、保証はない。
さらに、ファイルが戻っても、業務・信用・顧客情報・取引先との関係まで元通りになるとは限らない。
ランサムウェア対策の最終目標は、犯人に交渉することではない。犯人に交渉しなくても会社を再開できる状態を作ることだ。
