近年、企業が「システム障害」や「不正アクセス」を公表した後、ランサムウェアグループやハッカー集団が「自分たちの犯行だ」と主張するケースが相次いでいます。
食品メーカー、金融機関、通信事業者、医療機関など、業種を問わず同様の事例が発生しており、ニュースで「犯行声明が出た」という報道を目にする機会も増えました。
しかし、犯行声明が出たからといって、その内容がすべて事実とは限りません。
企業は攻撃者の主張を鵜呑みにせず、事実に基づいた調査と適切な情報公開を進める必要があります。
本記事では、ハッカー集団の犯行声明が出た際に企業担当者が確認すべき5つのポイントを解説します。
なぜ犯行声明が出されるのか
近年のランサムウェア攻撃では、データを暗号化するだけでなく、情報を窃取したうえで「公開サイト（リークサイト）」に企業名を掲載する「二重恐喝（Double Extortion）」が一般的になっています。
攻撃者は、
- 身代金の支払いを促す
- 被害企業へ心理的圧力をかける
- 他の攻撃実績を誇示する
- 自分たちの存在をアピールする
といった目的で犯行声明を公開します。
そのため、犯行声明は攻撃者側の一方的な主張であり、企業は客観的な事実確認を優先する必要があります。
確認すべきポイント① 犯行声明が事実かどうかを確認する
攻撃者が企業名を掲載しただけでは、実際に侵入や情報窃取が成功したとは断定できません。
過去には、
- 古いデータを再掲載したケース
- 他社データを誤って掲載したケース
- 実際には侵入していないにもかかわらず企業名だけ掲載したケース
も報告されています。
まずは、
- 自社システムへの侵入痕跡
- ログ
- EDR・SIEMなどの監視結果
- フォレンジック調査
などから事実確認を進めることが重要です。
確認すべきポイント② 公開された証拠の内容を確認する
犯行声明には、
- ファイル一覧
- 社内文書
- 顧客情報の一部
- システム画面
- データベースのスクリーンショット
などが掲載されることがあります。
確認すべきなのは、
- 自社固有の情報か
- 最新データか
- サンプルデータか
- 個人情報が含まれているか
- 機密情報が含まれているか
という点です。
なお、攻撃者のリークサイトへ不用意にアクセスしたり、公開データをダウンロードしたりすることは避けるべきです。
確認すべきポイント③ 情報漏えいとシステム侵害を分けて考える
犯行声明が出た場合でも、
- システムへ侵入された
- データが窃取された
- ランサムウェアが実行された
- バックアップも暗号化された
- 業務停止が発生した
では被害内容は大きく異なります。
例えば、
「侵入された可能性がある」
ことと、
「個人情報漏えいが確認された」
ことは別問題です。
調査結果が判明するまでは、事実と推測を明確に分けて情報公開することが求められます。
確認すべきポイント④ 顧客・取引先への影響を整理する
被害が確認された場合は、
- 氏名
- メールアドレス
- 電話番号
- 住所
- 契約情報
- 認証情報
- クレジットカード情報
- 取引先情報
など、どの情報が影響を受けたのかを整理します。
特に認証情報が漏えいした可能性がある場合には、
- パスワード変更
- MFA（多要素認証）の有効化
- 不正ログイン監視
- フィッシングへの注意喚起
など、利用者への具体的な案内も重要になります。
確認すべきポイント⑤ 継続的な情報公開と再発防止策を示す
インシデント発生直後は、すべての事実を把握できないことが一般的です。
そのため企業は、
- 現時点で確認できている内容
- 調査中の事項
- 利用者が行うべき対応
- 次回の情報更新予定
- 問い合わせ窓口
を整理し、継続的に情報を更新することが信頼回復につながります。
また、原因究明だけでなく、
- アクセス管理の見直し
- 認証強化
- バックアップ運用
- セキュリティ監視体制
など、再発防止策まで示すことが重要です。
モバイル不正対策ラボの見解
近年のサイバー攻撃では、攻撃そのものだけでなく、「犯行声明」が企業の信用やブランドイメージへ大きな影響を与えるケースが増えています。
しかし、犯行声明はあくまで攻撃者側の情報発信です。
企業が優先すべきなのは、
- 客観的な調査
- フォレンジックによる事実確認
- 顧客・取引先への適切な説明
- 再発防止策の実施
であり、攻撃者の主張に振り回されないことが重要です。
また、利用者側もSNSなどで拡散される未確認情報ではなく、企業の公式発表や公的機関の情報を確認するよう心掛けましょう。
まとめ
ハッカー集団の犯行声明が出た場合でも、すぐに内容を事実と判断するべきではありません。
企業担当者は次の5つの視点で状況を整理することが重要です。
- 犯行声明の信頼性を確認する
- 公開された証拠の内容を確認する
- 情報漏えいとシステム侵害を分けて考える
- 顧客・取引先への影響を整理する
- 継続的な情報公開と再発防止策を示す
近年はランサムウェアによる「二重恐喝」が一般化しており、犯行声明はインシデント対応の一部になりつつあります。
攻撃者の情報ではなく、事実に基づいた調査と適切な情報公開を行うことが、企業の信頼維持につながります。