身代金は支払うべきかいなか
昨年10月にランサムウェア攻撃に遭い、一部診療停止に陥った徳島県つるぎ町立半田病院が、ハッカー集団に身代金3万ドル（約420万円）を支払ったとする報道(共同通信)がある。記事の中でも「復旧を依頼されたIT業者の関係者が交渉した可能性がある」としている。
ハッカー集団からのリーク情報であるので信憑性が疑われるが、共同通信の取材に対しハッカー集団は「取引は成立し、復元プログラムを提供した」と説明したとしている。記事ではロシアを拠点にしたハッカー集団としているが、本当にこの集団が取材に応じたのだろうか。
応じた理由はただ一つ。それは身代金を支払えば、データは確実に復旧できることを示したかったに違いない。なぜなら、ほとんどのセキュリティを専門にしている会社は、身代金を支払ってもデータが復元できる保証はないので身代金は支払うべきではないと主張しているからだ。捜査当局が反社会的行為だとして身代金を支払わないよう警告するのは当然のこととして、データが本当に復旧するのか、しないのかは、被害者にとっては悩ましい問題だろう。
望まれるDMARCの普及
現在起こっているサイバー犯罪の原因は、96%がフィッシングメール（偽メール）によるものだとされている。ならばランサムウェア感染予防の手段としてもフィッシングメールを少しでもなくす努力をした方が、遠回りの解決策に見えて近道だ。
筆者は長年、DMARCの普及を訴えてきた。DMARCについての技術的な解説は、ここでは省くが、DMARCとはフィッシングメールを撲滅するためのメール通信に関する通信規約である。英国では2016年に政府のドメイン「gov.uk」をすべてDMARCに対応させることを義務付け、17年には米国が連邦機関へのDMARCを義務付けている。
TwoFiveが11月に発表した日経255の企業が管理・運用する5047ドメインのうちDMARCを採用している割合は124社（55.1%）で、5月から半年間で5.3%増加しているそうだ。ちなみに日本情報経済社会推進協会（JIPDEC）が昨年12月に発表した我が「国の行政機関が発行するメールマガジンのなりすまし対策の状況の調査結果」によると政府ドメイン「go.jp」でDMARCに完全に対応しているメールアドレスは、わずか8.3%だそうだ。
まもなくDMARCが提唱されて10年になろうとしているが、普及はまだまだのようだ。医療業界もランサムウェアの被害が少しでも少なくするために、各病院のドメインをDMARC準拠に設定して欲しいものだ。
いまやすべての人間と国家が、サイバー攻撃の対象となっている。国境のないネット空間で、日々ハッカーたちが蠢き、さまざまな手で忍び寄る。その背後には誰がいるのか。彼らの狙いは何か。その影響はどこまで拡がるのか─。われわれが日々使うデバイスから、企業の情報・技術管理、そして国家の安全保障へ。すべてが繋がる便利な時代に、国を揺るがす脅威もまた、すべてに繋がっている。
特集はWedge Online Premiumにてご購入することができます。
