アリかナシか、ランサム攻撃の身代金支払いと交渉 有識者たちの見解は……

辻氏：（交渉によって）時間が稼げるっていうメリットもあります。

北條氏：それはありますね。窃取されたデータが何かを調べたり、リークサイトにアップされた場合のリリースを検討したり、取引先などに連絡したりする時間などが必要なこともあります。ただ、私としてはそもそも身代金の支払いを推奨しないし、支払わないならば一切交渉しないというのが基本的なアドバイスだと思っています。

辻氏：払うつもりが全くないのであれば、交渉はしない方がいいです。交渉を行った場合、盗んだ情報だけでなく、その時のチャットログも公開対象になるんです。場合によってはこれが致命傷になる。払うつもりはなく、相手から情報を引き出すためだけに交渉するのは、僕は良くないと思います。

北條氏：チャットログの公開について、犯人側と接触すること自体は、日本の法律に何か違反するかというと、違反するわけではありません。だから、仮にチャットログがリークされたとしても「接触はしたけど、払うつもりはなかった」って言えちゃうとは思います。

辻氏：（世間には）勘繰られますけどね（笑）。僕はやはり「払う気がないなら交渉するな」ですね。払う気があるなら、盗んだデータが本物なのか確認する価値はある。そして金額の交渉ですね。これまで見てきた中では、交渉すればほぼ身代金は下がるので。

●ランサムギャングも「最近の若いのは……」状態？

北條氏：一方で、最近のランサムウェアグループの動きが、私には腑に落ちないんです。過去のランサムウェアグループは、かなりのプロフェッショナル集団だったと思います。犯罪ではありながら、ちゃんとビジネスとして捉えていた。かつては身代金が支払われると、復号ツールを提供し、復号できるまでアフターサービスも欠かさない。

　内部分裂が起きても、被害に遭って身代金を支払った企業のデータが表に出てくることはなかったので、きちんと削除されていたのではないかと思います。被害企業をだますことや裏切ることをすると信用にかかわるので、他の被害企業も身代金を支払えばきちんとデータは元に戻り、窃取したデータもきちんと削除するとアピールするビジネススタイルだったと考えています。

　それが、2024年2月に検挙された「Lockbit」は、身代金を支払った企業のデータもこっそり持っていたことが明らかになってしまった。つまり、ランサムウェアグループ内の統制が取れていない。プロじゃなくなったんじゃないかと思います。