ランサムウェアの身代金は、本当に「絶対に払うな」でいいのだろうか？ 私は、この常識を問い直すべきだと思う。 2024年、英国の医療検査会社Synnovisがランサムウェア攻撃を受け、ロンドンの病院では1万件以上の外来予約と1,700件以上の医療処置が延期された。 さらに2026年に発表された米国の研究では、ランサムウェア攻撃を受けた病院で、攻撃開始時にすでに入院していた患者の院内死亡率が相対的に34〜38％上昇したと報告されている。 もはや企業の金銭的損失だけではない。人命に関わる問題だ。 各国の対応もさまざまだ。 米国FBIは身代金の不払いを推奨し、英国では公共部門や重要インフラ事業者による支払いの禁止も議論されている。 一方、オーストラリアでは一定の企業に対し、身代金を支払った場合の72時間以内の報告を義務付けている。日本でも、支払いそのものを一律に禁止する法律はない。 ここで、誘拐事件を考えてみたい。 人質事件では、犯人の要求を丸のみすることと、人質を救うために交渉することは別の話だ。交渉によって情報を集め、時間を稼ぎ、要求額を引き下げることもある。 ランサムウェアでも、同じ発想が必要ではないだろうか。 もちろん、身代金を支払ってもデータが戻る保証はないし、犯罪を助長する危険もある。 それでも私は、プロの交渉人を育成し、身代金の全額または一部の支払いも、法令の範囲内で交渉の選択肢として認めるべきだと思う。 なぜなら、最初から支払いを完全に封じてしまえば、交渉人は最も重要なカードの一枚を失うからだ。 「交渉はしていい。でも金銭的な譲歩は一切認めない」 これでは、まともな交渉が難しくなる。 犯罪心理、法律、サイバー技術、危機管理に精通した専門交渉人を育て、被害を最小化するための交渉手段を持たせる。日本もそうした仕組みを整えるべきではないか。 「犯罪者には一円も払わない」という原則を守ることが目的になってはいけない。

GMOグループほお名前ドットコムの件、ハッカーは話をしたがっている。話を聞いてもらいたがっている。 こちらは元FBIトップ交渉人の交渉術の本。この本を読むと、犯行グループと交渉しないのはかなりの悪手だ。 プロの交渉人を雇って交渉させるべき。 amzn.asia/d/05S5mIH9

信用がないと商売成り立たないのは、ハッカーも誘拐ビジネスも同じ。

オワコンからの使用されなくなるまでが相当に長いんですよね。 COB○Lとかは相当前にオワコン化していると思うんですが、まだまだ現役だし。

組織を憎んで人を憎まず

改めて考えてみたけど、意外になかった。 金融系の受託で求められる固定IP化がエンプラプランじゃなくてProプランで使えるぐらいかな。

「GMOのセキュリティがガバガバで、誰でも簡単に侵入できる状態だった。だからGMOが悪い」という批判があるけど、これって実はハッカー側の印象操作に乗せられているんじゃないか、という危うさも少し感じている。 今回の攻撃者の声明を見ていて、ちょっと気になったことがある。 攻撃者は、GMOの管理体制の問題として、Active Directoryによる集中管理や、複数の顧客VPSに共通する管理者アカウントの存在などを具体的に指摘している。 でも、肝心の「最初にどうやってGMOの管理環境に侵入したのか」については、具体的な説明がない。 管理者のIDやパスワードを盗んだのか、何らかの脆弱性を突いたのか、それとも別の方法だったのか。 そこが分からない以上、本当に最初の侵入が簡単だったのかどうかは、まだ判断できないと思う。 ここで分けて考えたいのが、「最初に侵入することの難しさ」と「一度侵入された後に被害が広がりやすいこと」は、別の話だという点。 仮に共通の管理者アカウントが存在していたとしても、それは管理者権限を奪われた後に、多数の顧客環境へアクセスできてしまう問題であって、誰でも簡単に外部から侵入できたことを意味するわけではない。 もちろん、侵入後の被害を食い止めるための対策が不十分だったのであれば、そこはGMO側の問題としてきちんと検証されるべきだと思う。 ただ、今回の攻撃者はGMOに金銭を要求している立場でもある。 GMOの管理体制の問題については詳しく説明する一方で、自分たちが最初にどうやって侵入したのかは明かしていない。 こうした情報の出し方によって、「GMOは誰でも簡単に侵入できるほどセキュリティが甘かった」という印象が広がっている可能性もあるんじゃないだろうか。 そして、GMOへの批判が強まれば企業としての信用も傷つくし、攻撃者にとっては身代金交渉を有利に進めるための圧力にもなり得る。 だとすると、攻撃者にとって都合のいいストーリーが、世間に広まってしまっている可能性も考えておきたい。 GMOのセキュリティ対策に問題があったことと、最初から誰でも簡単に侵入できたかどうかは、分けて考える必要があると思う。 GMO側の問題は問題としてしっかり検証すべきだけど、同時に、ハッカーが発信する情報をそのまま受け取って、知らないうちに攻撃者の思惑に乗せられてしまうことにも気をつけたい。

サイバー犯罪者が国際的に活動しているなら、守る側にも「サイバー世界の国連」のような、国をまたいで対処を調整する組織が必要ではないか。 各国の捜査機関、司法、クラウド事業者、セキュリティ企業が継続的に連携できる体制にしてほしい。脅威情報を共有し、証拠が失われる前に保全し、各国の法に基づく捜査や摘発につなげる。 国ごとに法律も利害も違う。その調整が難しいからこそ、常設の国際的な組織やルールが必要になる。 小さなWebサービスでも、自社の防御には責任を持つ。しかし、外国の捜査機関を動かし、国外の証拠を確保するところまで、一企業で完結させることはできない。 犯罪が国境を越えている以上、守る仕組みも国境を越えて機能する必要がある。「あとは各社で頑張ってください」では、責任の範囲が広すぎる。

この件、GMO側のセキュリティの不備から、GMO側を批判する論調も見かけるけど、自分はこの熊谷さんの主張に全面的に同意する。手のひら返しだ。 「セキュリティがガバガバだから、侵入される方が悪い」で済ませるなら、何のための法律なのか。 戸締まりの甘い家に泥棒が入ったら、戸締りの悪い家の自己責任になるか。 銀行強盗が入ったときに、銀行の警備が甘かったのでは？という話になるか。 ハッカーによる不正アクセスも同じだ。 不意打ちの攻撃が容易なことに対して、完全な防御は非常に難しい。 この難易度の非対称性を解消するために法律で攻撃者を捌いて社会で守っていく必要がある。 だから、サイバー攻撃に対する官民連携、法律の整備、国際協力が必要ということは当然だと思う。企業が防御と情報提供を担い、国が法に基づく捜査や対処を進め、国境を越えて証拠保全や摘発に協力する。 法律を整えるだけでなく、実際に加害者の責任を問える体制まで必要になる。 防げなかったという理由だけですべてを自己責任にするなら、極端には、自宅や会社にミサイルを撃ち込まれても「迎撃ミサイルを配備していなかった方が悪い」という話になる。 まあ、AWSの最重要USリージョンのデータセンターなら迎撃ミサイルまで配備しそうな（すでにしている）気もする。

業務でVercelを選ぶ理由の一つは、送信元IPの固定だ。自分は国内企業向けの受託が多く、グローバルエッジより他システムのIP制限対応が求められる。 VercelはProプランで月$100／プロジェクト＋転送料で固定化できる。Cloudflare純正の専用IPはEnterprise向けで、小規模受託では採用しづらい。

企業として、内部に顧客に大きな損害を与えうる脆弱性があることがわかったら、どうすべきなのだろうか。 ① 直ちにサービスを停止し、脆弱性が解消されるまで再開しない。 ② サービスは継続するが、顧客に脆弱性の存在とリスクを公表し、注意を促す。 ③ 顧客には公表せず、サービスを継続しながら速やかに修正する。 もちろん、脆弱性の深刻度や悪用の可能性によって適切な対応は異なる。 ただ、ひとつ問いたい。 顧客が重大な損害を被る可能性を企業が認識しているにもかかわらず、そのリスクを顧客に知らせず、企業側の判断だけでサービスを継続することは許されるのだろうか。

Shopify傘下に入った後、Hydogenに取り込まれてRemix自体はReact Routerと迷走して、そこで開発者の感心が急速に失われた感じですね。

ちょっと前に、うちの上層部がお名前ドットコムでドメイン調べた時にドメインの値段が数千円だったのが、翌日に再度調べたらプレミアムドメインになって70万円になってた事がある。またしばらくしたら7万円ぐらいに安くなってたけど。あれなんだったんだ。