ランサムウェア攻撃を受けたら「身代金」は払っていい？ サイバー捜査の実態と、世界が認める日本の「能力」

また、犯罪捜査を精緻に進めるという実力という観点からも、精密司法といわれる日本の刑事司法制度の中で、日本警察が培ってきた公判に耐えうる証拠構造によって犯罪を立証するという、いわばデカの魂ともいえる部分、言い換えると、捜査員が靴を擦り減らして証拠を収集する営みとその着眼点（デジタルと比較すればアナログというか、地べたの捜査とでもいいますか、そうした捜査の発想）を日本のサイバー警察はサイバー空間の捜査に持ち込んでいるため、被疑者の足取りをサイバー空間上で追うということにも日本警察は非常に長けていると言えます。私は着任以来、そのような捜査力の底上げに注力してきたため、日本のサイバー警察が評価されることはとても嬉しいです。

──ランサムウェアに話を戻しますが、今日本でも、ランサムウェア攻撃を受けた場合に、攻撃者から要求されるランサム（身代金）を支払うべきかどうかという議論がある。それについてはどう見ているか。

他国を見ると、身代金は支払ってはいけないという制度としている国があります。日本警察では、被害法人・組織の経営判断に関わる事柄であるので、身代金を支払えとも支払うなとも言いません。

他方で、私としては、企業の経営判断に関わる事柄である以上、企業の目線からは、身代金を支払うあるいは支払わないという経営判断の是非を決する拠り所が必要であるとの声があることを理解しないといけないと思っています。この点、今の私の立場からは、身代金を支払うと被害回復される確約もなければ、一度身代金を支払うと同一のランサムウェアグループ内のみならず、他のグループにもその事実が共有されるため、再度身代金を求められたり、別のランサムウェアのターゲットにされたりするリスクがあるということを申し上げることはできます。これを一つのアドバイスとしつつ、企業内で事前に、身代金を支払うか否かについて、コンセンサスを得ていただくのがよろしいのではないかと思います。

──日本は世界でもランサムウェア攻撃の標的になっている上位国だ。サイバー警察局・サイバー特別捜査部の能力の高さを踏まえると、企業や組織は、警察に相談すれば身代金を払わずとも解決できる可能性はあるのか。

そのとおりです。被害に遭ったら、ぜひ警察に相談してほしいです。まず、暗号化されてしまったデータを復号できる可能性があります。また、どのランサムウェアグループによる犯行なのかを知ることができれば、その手法や次なる攻撃の有無、手口、対抗手段等のアドバイスもできます。