お名前.comの事件、最初は犯行グループが圧倒的に有利だと思っていた。正直、「GMOの規模なら、100万ドル程度の身代金をなぜ払わないんだろう」とも。補償や信用低下のコストを考えると、払った方が安く済むように見えたからだ。まあ、払えば解決する保証もないのだけど。 でも、ここまで徹底抗戦するのを見ていると、印象が変わってきた。GMOは身代金を拒否し、利用者への補償を打ち出し、犯人特定につながる情報には100万ドルの懸賞金。犯人には払わず、被害への対応と犯人を追う方には金を出す。資金力を背景に、補償の負担を引き受けてでも持久戦に持ち込む構えに見える。 効いているのは、資金力に加えて、熊谷社長のトップダウンなのかもしれない。内情は分からないけど、目先の経済合理性を無視してでも「犯罪者には絶対に払わない」を貫く意思決定。仮に犯人の主な手札が個人情報の公開で、暗号化で業務を止めるカードがないなら、どれだけ脅しても金を払わない相手は相当やりにくい。「払った方が安いですよ」という話が通じないのだから。 もちろん、利用者の被害が消えるわけでも、GMOの管理責任がなくなるわけでもない。ただ、犯人の目的が金なら、これはかなりの誤算では。「金のある企業」を狙ったつもりが、「金を使ってでも屈しないトップのいる企業」を敵に回してしまった。犯行グループは今、相手を間違えたと後悔し始めているのかもしれない。

もうこれから個人の秘密の情報・データ・行動は全て漏れるという前提で行動するしかない。隠れてやましい事は何もできない。秘密の趣味やら盗聴・盗撮、その他犯罪行為が全て暴露される可能性がある。 そして誰もが秘密を抱えなくなると、ハッカーは飯の種がなくなり安心安全社会が訪れてってアレレ？

ランサムウェアの身代金は、本当に「絶対に払うな」でいいのだろうか？ 私は、この常識を問い直すべきだと思う。 2024年、英国の医療検査会社Synnovisがランサムウェア攻撃を受け、ロンドンの病院では1万件以上の外来予約と1,700件以上の医療処置が延期された。 さらに2026年に発表された米国の研究では、ランサムウェア攻撃を受けた病院で、攻撃開始時にすでに入院していた患者の院内死亡率が相対的に34〜38％上昇したと報告されている。 もはや企業の金銭的損失だけではない。人命に関わる問題だ。 各国の対応もさまざまだ。 米国FBIは身代金の不払いを推奨し、英国では公共部門や重要インフラ事業者による支払いの禁止も議論されている。 一方、オーストラリアでは一定の企業に対し、身代金を支払った場合の72時間以内の報告を義務付けている。日本でも、支払いそのものを一律に禁止する法律はない。 ここで、誘拐事件を考えてみたい。 人質事件では、犯人の要求を丸のみすることと、人質を救うために交渉することは別の話だ。交渉によって情報を集め、時間を稼ぎ、要求額を引き下げることもある。 ランサムウェアでも、同じ発想が必要ではないだろうか。 もちろん、身代金を支払ってもデータが戻る保証はないし、犯罪を助長する危険もある。 それでも私は、プロの交渉人を育成し、身代金の全額または一部の支払いも、法令の範囲内で交渉の選択肢として認めるべきだと思う。 なぜなら、最初から支払いを完全に封じてしまえば、交渉人は最も重要なカードの一枚を失うからだ。 「交渉はしていい。でも金銭的な譲歩は一切認めない」 これでは、まともな交渉が難しくなる。 犯罪心理、法律、サイバー技術、危機管理に精通した専門交渉人を育て、被害を最小化するための交渉手段を持たせる。日本もそうした仕組みを整えるべきではないか。 「犯罪者には一円も払わない」という原則を守ることが目的になってはいけない。

「身代金を絶対払わないマン」と「バグ絶対出さないマン」に、自分は同じ匂いを感じる。 目の前の損失を徹底的に避けようとして、もっと大きな損失への備えまで止めてしまうところ。 たとえば、小さな不具合を恐れて、依存ライブラリの更新や認証の改善を先送りする。変更によるバグは避けられても、既知の脆弱性は残る。その先でランサムウェアの侵入を許したら、何を守っていたのか分からない。 侵害された後も、「身代金は払わなかった」で責任を果たしたことにはならない。停止が長引く損害も、利用者の救済も含めて判断する。原則を守ることと、利用者を守ることが一致するかは、最後まで考えたい。