理事長対談 第10回：サイバー不正の世界的脅威と日本企業の現状　〜ランサムウエアなど不正対策の最前線を聞く

３．日本企業における被害の実状と対策

違和感のある英語で書かれた脅迫文、というのは生々しいですね。RaaSを買って不正を行う人間、つまりアフィリエイター側が世界レベルで広範に拡散している上、目的が身代金のような経済犯罪になってくると今、サイバー犯罪者、不正行為実行者の摘発、さらにプロファイルやバックグラウンドの把握も相当難しい状況ではないですか。サイバー不正がここまでコモディティ化してしまうと、一昔前とは様相が全く異なりますね。

藤沼理事長のご指摘の通りです。実行者の素性が急速に読みにくくなりつつあります。犯罪の目的が暗号資産（仮想通貨）など経済犯の傾向が強くなっていますし、今後更に世界中の単純な金銭目的の犯罪者が小銭稼ぎの感覚でサイバー不正や企業脅迫にどんどん手を染めていけば、従来のような国家の影や地域性といった特徴は薄まる恐れがあります。先日、ある専門家から聞いたのですが、ランサムウエアを使って日本企業を攻撃してきた犯罪集団の中に、日本人、あるいは日本語や日本企業の状況などを相当理解できる人間が含まれている可能性があるとのことでした。

そのお話を踏まえると、あまり考えたくはないですが、すでに日本の犯罪集団がRaaSなどを使って企業にサイバー攻撃をかけている恐れが十分あり得えるわけですね。2021年には日本の地方の医療機関がランサムウエア攻撃に遭う事件が起きました。こうした状況の一方、日本の企業などはサイバー攻撃を受けた際には自社内で内々に処理する傾向が強く、つまり身代金を支払う事例が多いとも伝え聞きますが、実状はどうでしょうか。

2021年7月に公表されたある調査結果によると、「米国では被害企業の約8割が身代金を支払っており、日本の場合は3割の被害企業が支払った」とのデータがあります。ただし、この数値は明らかになっている事例に基づいており、見えない部分で処理されているケースも相当あると推測されます。

米国企業は8割も支払っているのですか。これは驚きました。米国では、いわゆる「サイバー保険」が普及していますが、そうした影響は考えられますか。保険があるということで攻撃側は「保険（金）で支払うだろう」と考え、そのために狙われるリスクはありませんか。

ご推察の通りでして、皮肉ですが、米国企業はサイバー保険への加入割合が高い分、身代金支払いに応じる傾向が強く、支払いに応じる一番の理由とも言われています。それゆえ、米国財務省の外国資産管理室（OFAC）は2020年から2年連続で、「（ランサムウエア攻撃で）身代金を払ってはいけない。払ったら厳しく罰する」旨の勧告を発出しているほどです。その一方で米国の場合、サイバーセキュリティ・インフラセキュリティ庁（CISA）、FBIなどが被害企業への支援に積極的に取り組んでいます。日本でも大きな話題になりましたが、2021年5月に米国最大の燃料パイプラインを運営するコロニアル・パイプライン（Colonial Pipeline）社がサイバー攻撃を受けた事件の際には、FBIが捜査に乗り出してシステムの乗っ取りに使われていた暗号鍵を犯行グループから入手し、システムの機能を回復しました。ただし、あの事件に関しては「運が良かった」というのが私たち専門家の見解です。おそらく、実行犯の末端構成員を捕まえて、暗号鍵を入手できたのではないかと推測されています。

米国企業においては、会社を守るために身代金を支払ったとして、連邦政府のOFAC規制やテロ資金規正法に違反すれば刑事罰が科されるかもしれません。逆に、身代金要求に応じず、その結果、企業活動が破綻してしまえば、株主代表訴訟や取引先から訴えられる恐れもあります。攻撃を受けた企業の経営陣は、限られた時間で経営判断を下さなくてはいけない難しい局面です。日本企業も同じ構図ですね。まず、山岡先生のような専門家の意見をしっかり収集した上で意思決定をしたいところですが、専門家がすぐ近くにいるとも限らない。悩ましい問題です。

ランサムウエア攻撃が従来の破壊型のサイバー攻撃と最も異なる点は、初期段階から経営陣を巻き込む、経営陣が意思決定をしなくてはいけないという状況だと感じます。ランサムウエアでシステムがロックされた後、「身代金を払いますか、払いませんか」という問いが企業に突きつけられます。そして、これを解決できるのは経営陣だけです。経営陣が、巨額の身代金を支払うか否かの意思決定を下さないといけない。仮に数カ月間、工場や生産ラインが停止するとしても、毅然とした姿勢を貫くか否か、もしかすると機密情報も同時に盗み出されていて、それを公表される恐れもあります。これは私の実体験なのですが、従前のサイバーセキュリティ・インシデントの場合はIT部門や管理部門など、いわゆる現場からまず相談が入ってきました。ところがランサムウエア攻撃の場合、経営層からご連絡を頂くことが多いです。

サイバー不正にどのように対峙していくか、私たち不正検査士も世界各国で議論し、大きく注目しています。「ゼロトラスト・セキュリティ」などの概念も出てくる中、もはや未然に防御する手段はないもので事後対応を軸に対策を考えるべきなのか、そういった諦観的な考え方も一部にはあります。

この藤沼理事長の問題提起は、実は私たちサイバーセキュリティの専門家の間でも大きな論点になっています。興味深い事例が米国で起きまして、ソーラーウィンズ社のネットワーク管理ソフトウエアを利用する企業が長期間にわたりハッカー集団に不正侵入されていたことが、2020年12月に発覚しました。被害組織にはペンダゴンが含まれており、半年間にもわたってハッカー集団がペンタゴンのネットワークの中に不正侵入していた可能性が指摘されています。米国の国家安全保障局（NSA）は、2000年代前半から数千億円をかけて構築したネットワーク監視システム、『Einstein』を開発・運用していましたが、この『Einstein』をもってしても不正侵入を感知できなかったことを意味します。こうなると、「サイバーセキュリティに『完璧』はあり得ないのではないか。まして企業レベルなどに一体何ができるのだ」という悲観論が出てきても仕方ありません。ただし、ランサムウエア攻撃に関しては、RaaSのように技術力の低い攻撃者によるパッケージ化された攻撃が多い点に鑑みると、当該パッケージの傾向を踏まえた対策を講じることはサイバーリスクの低減には確かに有用です。

具体的な対抗策はどういうものでしょうか。

例えばサイバー攻撃の9割は、電子メールが起点になっているという調査結果があります。この調査結果を前提とすれば、非常に単純に聞こえるかもしれませんが、「不用意に電子メールを開かない」といったカルチャーを社内に醸成する、電子メール攻撃対策として社内教育や模擬訓練を徹底するといった対策でも、サイバーリスクを相当軽減できる可能性があります。付け加えると、近年に普及したVPNサービスやクラウドサービスに関し、認証情報の漏洩にも注意を払うべきです。これは2段階認証などで侵入を防ぐことが可能です。また、サイバー保険を提供している保険会社では、万一の場合の保険金の支払いだけでなく、予防措置として、社員向けの模擬訓練などリスク軽減策をサービスとして提供する会社もあり、サイバー保険への加入はリスクの転嫁のみならず、リスク低減にも資するとの指摘もなされています。もう一つの重要な視点として強調したいのは、サイバー不正といえども典型的な不正対策が肝要になる、ということです。2021年に発生した米国企業におけるランサムウエア被害の事案では、組織内部の人間がIDとパスワードをハッカー集団に故意に渡し、それから侵入された可能性が指摘されていました。ダークウェブ上では今、クラウドサービスなどのIDやパスワードの売買も盛んに行われています。ダークウェブ上で、匿名でこれらの情報を売り飛ばして暗号資産（仮想通貨）で支払いを受ければ、売る側も買う側も一切足がつかないからです。

なるほど、確かにサイバー空間での不正ですが、不正の本質は会社の知的財産侵害や営業秘密の流出などと同じですね。となると、会社に対するロイヤリティ（信義心）の低下など、動機の面でも典型的な社内不正と変わりはないですし、機会や正当化の側面を含めて、社員に対するマネジメントも留意すべき要素となりますね。

経営陣の善管注意義務に関して申しますと、経営の責任としては、サイバー攻撃からのリカバリーが議論の焦点になりますが、責任を問われた時に「やるべきことはきちんとやっていました、その上で攻撃者のレベルが高く結果回避不可能でした」と、しっかりエクスキューズできるレベルまで体制を整えておく上では、大局的にはコンプライアンス体制や総合的な不正対策など、原理原則の基本的な活動も大事なポイントだと考えられます。

最後の質問ですが、今後、山岡先生が取り組みたい課題や問題意識を教えてください。

やはり、経営層にサイバーセキュリティのマインドを持っていただくこと、そのための啓蒙活動です。NISC、経済産業経産省、日本経済団体連合会（経団連）などがサイバーリスクは経営レベルの問題であるとして経営者へ警鐘を鳴らしています。私も全くもって同意見でして、日本のサイバーセキュリティの底上げには経営者の意識醸成が不可欠だと思います。もう一つは、サイバーセキュリティを目的とした多様なステークホルダーによる連携体制の構築です。サイバーセキュリティを構築する上で、攻撃と防御の非対称性がポイントに挙げられます。攻撃側は一点を突破すればいいのですが、防御側は全てを守らなくてはいけません。防御側の負担は重く、各企業や組織が個々に対応していては大変です。個々の負担を分散する上でも、企業や組織の垣根を越えた情報の共有や連携の構築が求められています。

先日、ある雑誌記事で、サイバー犯罪関連の日本の法制度が十分に整備されていない指摘を読みまして、いささかショックを受けました。検閲禁止の問題や通信の秘密保持といった憲法による制約のほか、電気通信事業法、有線電気通信法、電波法など現行法では規制に限界があるばかりか、摘発や捜査の妨げになるケースも存在する、との趣旨でした。法律家として、山岡先生のご見解はいかがですか。

既存の法制度が、サイバー犯罪の捜査や摘発に必要な活動とコンフリクトを起こすケースは、実は米国や欧州などでも問題視されています。サイバーセキュリティの文脈においては、ダークウェブ上を定期的に監視し、ハッカーの動向、被害企業から盗まれた個人情報や企業情報が流出していないかなどを調査するサイバーインテリジェンスというサービスが普及しつつありますが、こうした活動を行う際、個人情報保護法への抵触などが指摘されています。おそらく、不正検査士の方々も業務の中での情報収集に関しては難しい局面が多いと察しますが、サイバー空間という法域や国境を越えて、更には「人」や「時間」に関する既存の概念を超えた環境下で、不正や犯罪と対峙していく上では、現行法に一定の例外規定を認めることや法律の抜本的な見直しを視野に入れる必要があると思います。

不正と戦う側が萎縮してしまう仕組みのままでは、大局的には不正を助長しかねません。サイバー不正対策は、多様なステークホルダーが連携して、一緒に声を上げて、変えていくべき急務のテーマですね。山岡先生、本日は示唆に富んだお話をありがとうございました。