犯行声明を利用して読むランサムウェアの世界①（ransomware.live編）
はじめに
※技術的な話は次回からになります。
いまや、サイバー攻撃のニュースは日常的なものになりましたが、その中でも、特にランサムウェアによる被害報告は後を絶ちません。
大企業から中小企業、病院、自治体まで、誰もがターゲットになり得る時代です。
※ランサムウェア... Ransomware（身代金要求型不正プログラム）
しかしニュースで報じられるのは大企業等の「一部の被害」だけに留まっており、実際にどの企業が攻撃を受けたのか、どんな脅迫や交渉が行われているのか、そしてどの国・業界が狙われやすいのか、このようなリアルな現場情報は、意外なほど公に出てこないのが現実です。
そこで本記事では、ransomware.live というサイトに着目しました。
このサイト（＋α）を活用して、独自で情報を収集し、社会の潮流を自力で得られるようになってもらうことを目的とします。
目標）
・ransomware.live の使い方に慣れる
・ransomware.live を用いて社内報告資料を作成できるようにする
・ransomware.live と 他 API を絡めた活用ができるようにする
ransomware.liveとは？
ransomware.live は、世界中のランサムウェアグループが運営するリークサイトを収集し、誰でも無料で参照できるようにした OSINTサイトです。
※OSINT... Open Source INTelligence（公開情報の収集）
攻撃者たちは、被害企業が身代金を支払わないと判断すると、「支払わなかったから公開する」等と犯行声明を出します（複数パターンあり）。ransomware.live はその犯行声明を世界中から集約し、被害者名・国・攻撃グループ・日付、被害者総数などをデータ化できる仕組みになっています。
攻撃者が見せたい世界
犯行声明を出し、情報を公開しているランサムウェア攻撃のデータが多数蓄積されています。逆に言えば、犯行声明を出していない攻撃については追跡ができません。
そのようなケースでは、有償の脅威インテリジェンスツールを利用したり、
デジタルフォレンジックによる個別調査を行ったりと、別の手段が必要になります。
このように「犯行声明を出していない攻撃も存在する」という前提はありますが、それでも ransomware.live から得られる情報には大きな価値があります。なぜなら、そもそも犯行声明を行うような組織こそ、自らの影響力やブランド力を誇示しようとするタイプの攻撃者だからです。
そうした発信は単なる脅迫行為ではなく、彼らがどのような戦略で世の中に存在感を示そうとしているのかを映し出しています。
権威力やブランドの誇示
攻撃グループは、自らの「実績」を誇示するために犯行声明を出します。
Asahiなどの有名企業を犯行グループが名指しで公表するのは、「うちのツールは大企業にも通用する」というマーケティング的なアピールであるとも考えられます。
近年では RaaS（Ransomware as a Service） モデルが一般化し、
攻撃ツールやサービスを商品として提供するグループ間の競争が激しくなっています。つまり、犯行声明＝脅迫文であると共に、同時に広告でもある。
「このランサムウェアを使えば、こんな企業にも成功できる」と示す見せしめの側面があるのです。
情報操作・株価への影響など
さらに一部のケースでは、声明が金融市場を揺らす目的で使われることもあります。例えば先日欧州大手の JLR（Jaguar Land Rover） が攻撃対象として公表された際には、事実確認前にもかかわらず株価が変動したという調査もあるとのことです。このような例は、攻撃者が企業価値や世論を操作するために声明を利用していることを示唆しています。
まとめ
犯行声明は「攻撃者が何を見せたいか」を映すいわば鏡のようなものであり、その裏には様々な思惑が交差する現代のサイバーセキュリティ情勢が透けて見えるものであると言えます。
こうした声明を分析することにより、被害追跡を行うこともできますが、実際はそこに留まりません。更にそこから浮かび上がるのは、どの組織が影響力を持ち、どの国や業界がいま「狙われやすい構造」にあるのか、要はサイバー攻撃を通して見える「社会の動き」です。
この潮流を理解する上で最も身近で有効な観測点が、ransomware.live であるということです。犯行声明を定点的に観察することは、専門機関の高額ツールを使わなくとも、個人レベルで世界の脅威トレンドを読み取るための貴重な手段です（更にはこのスキルが情シス等の分野で企業にリアルタイムで求められていたりします）。
だからこそ、まずはこの無料OSINTを使いこなし、攻撃者の声を読み解くスキルを自分の中に育てていけるようにしていきましょう。
筆者紹介
Takumi｜Cybersecurity Evangelist 兼 セキュリティエンジニア（OSINT、セキュリティ診断士）英語講師からIT業界へ転身。情シスを経て、現在は診断士・OSINT分析を中心に活動。CTI（サイバー脅威インテリジェンス）の力を活かし、企業の「守る力」を高める取り組みを推進中。
LinkedIn）
