ハッキング特集🛡️｜ランサム被害から会社を守る💻️第007講｜盗む、閉じ込める、さらす――会社を二度人質に取る「二重恐喝」の正体
【二重恐喝とは何か】
ミカ「ランサムウェアは、ファイルを暗号化して開けなくする攻撃ですよね？」
教授「それだけなら、まだ“一度の恐喝”じゃ。現在は、そこにもう一つの脅しを重ねる攻撃が増えている」
ミカ「もう一つの脅し？」
教授「データを盗んでから暗号化し、復旧できなくするだけでなく、盗んだ情報を公開すると脅すのじゃ」
これが「二重恐喝」じゃ。
・第一の脅し：データを暗号化して、業務を止める
・第二の脅し：盗んだデータを公開すると脅す
つまり、会社は「仕事ができない」と「秘密を失う」の二つを同時に突きつけられる。
【盗む→暗号化→脅す】
二重恐喝は、概ね次のような流れで進む。
①会社のネットワークへ侵入する
②重要なファイルや個人情報を探す
③機密データを外部へ持ち出す
④社内のファイルを暗号化する
⑤「身代金を払わなければ、データを公開する」と脅す
ミカ「つまり、バックアップから復旧しても、盗まれた情報の問題は残るんですね」
教授「その通り。バックアップは暗号化への対策にはなるが、すでに盗まれた情報を取り戻すことはできない」
【昔のランサム攻撃との違い】
以前のランサムウェアは、主に「ファイルを開けなくする」ことが目的だった。
そのため、会社側に安全なバックアップがあれば、身代金を支払わずに復旧できる可能性があった。
しかし二重恐喝では、バックアップがあっても攻撃者はこう脅す。
「ファイルは戻せても、顧客名簿は公開する」
「設計図を取引先へ送る」
「従業員の給与情報をインターネットに掲載する」
「復旧したとしても、情報漏えいの説明責任は残る」
教授「犯人は、会社の“復旧ボタン”だけでなく、“信用”まで押さえにくるのじゃ」
【なぜ盗まれたデータが危険なのか】
盗まれる情報は、単なる文書ファイルだけではない。
・顧客の氏名、住所、電話番号、メールアドレス
・従業員の給与情報や人事情報
・取引先との契約書
・見積書、請求書、売上データ
・製品の設計図や研究開発資料
・ログイン情報や認証情報
・医療機関であれば、患者の診療情報
ミカ「暗号化されたファイルは復元できるかもしれない。でも、外へ出た情報は回収できない」
教授「そうじゃ。いったん公開された情報は、コピーされ、保存され、別の場所へ拡散される可能性がある」
そのため、二重恐喝では、システム復旧だけでなく、情報漏えいの調査、本人への通知、取引先への説明、再発防止策まで必要になる。
【日本企業の実例1 KADOKAWAグループ】
2024年、KADOKAWAグループでは、ニコニコ関連サービスなどで大規模なシステム障害が発生した。
KADOKAWAは、複数のサーバーにアクセスできなくなり、調査の結果、ランサムウェアを含む大規模なサイバー攻撃を受けたことを公表した。被害拡大を防ぐため、サーバーを停止し、サービスだけでなく会計システムにも影響が及んだ。KADOKAWA公式発表
その後、同社は攻撃による情報漏えいについても公表した。
ここで重要なのは、被害が「サイトが見られない」という障害だけで終わらなかったことだ。
・サービス停止
・サーバー停止
・会計システムへの影響
・取引先への支払い遅延のおそれ
・個人情報や業務情報の漏えい調査
・サービス再開と安全確認
ミカ「ファイルが開かないだけでも大変なのに、会社の外へ情報が出ると、問題が何倍にも広がるんですね」
教授「それが二重恐喝の怖さじゃ。システム障害と情報漏えいが、同じ事件の中で同時に起こる」
KADOKAWAグループは、その後もシステム障害や情報漏えいに関する情報を段階的に公表している。KADOKAWAシステム障害関連情報
【日本企業の実例2 アサヒグループホールディングス】
2025年9月、アサヒグループホールディングスでは、サイバー攻撃によるシステム障害が発生した。
同社の公表によれば、複数のサーバーや一部のパソコン端末のデータが暗号化され、攻撃者は障害発生の約10日前にネットワークへ侵入していたとみられている。
さらに、一部の従業員用パソコンのデータが流出し、サーバー内の個人情報についても流出の可能性が確認された。
同社は、ネットワークを遮断し、データセンターを隔離。安全性を確認したバックアップから復旧し、サーバーを再構築した。アサヒグループ公式発表
この事件では、次の二つが同時に起きている。
・データが暗号化され、業務システムが停止した
・一部のデータが窃取され、情報漏えいの可能性が生じた
受注や出荷システムにも影響が及び、同社は一部業務を手作業で続けながら、段階的に復旧を進めた。
教授「注目すべきは、バックアップから復旧している点じゃ」
ミカ「では、身代金を払わなくても解決できたんですか？」
教授「そこは公表情報だけで断定してはいけない。しかし、安全なバックアップと再構築の仕組みが、復旧の土台になったことは分かる」
二重恐喝への備えでは、暗号化対策だけでなく、情報を盗まれた場合の調査体制も必要になる。
【二重恐喝で会社の中に起こること】
二重恐喝を受けると、会社は一つの事故に対応すればよいわけではない。
①システムを止めて被害拡大を防ぐ
②どの端末やサーバーが感染したか確認する
③何が盗まれたのか調査する
④バックアップが安全か確認する
⑤業務システムを再構築する
⑥個人情報や機密情報の漏えいを確認する
⑦顧客、従業員、取引先へ説明する
⑧警察、専門家、保険会社、関係機関へ報告する
⑨再発防止策を実施する
ミカ「攻撃者は数時間で仕掛けても、会社の対応は何週間、何か月も続くんですね」
教授「サイバー攻撃は短距離走、復旧はマラソンじゃ。しかも、途中で記者会見まである」
【身代金を払えば情報は消えるのか】
攻撃者は「支払えばデータを削除する」と約束することがある。
しかし、犯人が本当にデータを削除したかを、会社側が完全に確認することは難しい。
・すでに別の犯罪者へ渡っている
・コピーを複数保存している
・公開サイトに掲載される
・後から再び脅迫に使われる
・従業員や取引先へ直接連絡される
このため、身代金を払っても、情報漏えいの可能性が消えるとは限らない。
教授「犯人の“削除しました”という言葉を、監査証明書として受け取るわけにはいかん」
ミカ「犯罪者からの自己申告ですからね……」
【会社が今から備えるべきこと】
二重恐喝への対策は、暗号化対策と情報漏えい対策を分けて考える。
【暗号化への備え】
・ネットワークから切り離したバックアップを持つ
・複数世代のバックアップを保管する
・定期的に復元テストを行う
・バックアップの管理者権限を分ける
・重要システムの復旧手順を紙でも確認できるようにする
【情報窃取への備え】
・重要情報を一つのサーバーに集めすぎない
・個人情報や機密情報へのアクセス権限を絞る
・誰がいつデータへアクセスしたか記録する
・古いアカウントや不要な権限を削除する
・退職者や外部業者のアカウントを放置しない
・情報漏えい発生時の連絡体制を決める
【侵入を早く見つける備え】
・多要素認証を導入する
・VPNやネットワーク機器を最新状態に保つ
・異常なログインを監視する
・端末やサーバーの不審な動きを検知する
・従業員に不審なメールや添付ファイルを開かない教育を行う
【感染が疑われたときの初動】
「身代金を払うか」は、最初に決めることではない。
まずは被害を広げないことが重要だ。
・被害端末をネットワークから切り離す
・ランサムノートや画面表示を保存する
・ファイルやログを勝手に削除しない
・バックアップを上書きしない
・専門業者、保険会社、警察などへ相談する
・何が盗まれた可能性があるか調査する
・顧客や取引先への説明方針を決める
教授「犯人は、こちらが慌てるほど有利になる」
ミカ「だから、最初の対策は“パニックにならない”ことですね」
教授「そうじゃ。二重恐喝では、技術だけでなく、経営判断の速さと冷静さも問われる」
【これだけは覚える】
二重恐喝とは、データを盗み、さらに暗号化して、二つの弱点を同時に突く攻撃である。
バックアップがあれば暗号化から復旧できても、盗まれた情報まで消えるわけではない。
身代金を払っても、攻撃者がデータを削除した保証はない。
システム復旧、情報漏えい調査、顧客や取引先への説明を同時に考える必要がある。
本当の備えは、盗まれても被害を広げにくい情報管理と、止まっても復旧できる仕組みである。
【まとめ】
二重恐喝は、会社のデータを二度人質に取る。
一度目は、ファイルを暗号化して業務を止める。
二度目は、盗んだ情報を公開すると脅して、会社の信用を揺さぶる。
データが戻れば終わりではない。会社が守るべきものは、ファイルだけでなく、顧客の信頼、従業員の生活、取引先との関係、そして事業を続ける力である。
