ランサムウェアによる被害が後を絶ちません。もう既に「ランサムウェアとは何か?」を説明することが不要なほど、大手新聞紙等の一面にも掲載されるサイバー攻撃として周知されています。

しかし、その認識の多くは大企業の情報を奪いダークウェブ等で公開する、あるいは企業のパソコン等を使用不能にするといった被害を思い浮かべる人が多いのではないでしょうか?

ランサムウェアの被害にあったとしても「企業」が大変なだけで、そこで働く従業員に被害が及ぶわけではないと考えられているのではないでしょうか。

そのような認識を改めさせるランサムウェアを使った新たな「恐喝行為」が確認されました。

■従業員や宿泊者の個人情報を公開する新手の恐喝行為

AlphV / BlackCatと呼ばれるランサムウェアを活用した新たな恐喝行為が米国で確認されました。

これは、米国オレゴン州のホテルやスパからランサムウェアを利用して盗んだ情報が公開されていたといった内容ですが、ここまでなら良くある話です。

今回違っているのはその施設で働く従業員や宿泊者のデータを「容易に閲覧出来る」状態で公開されている点です。

筆者が実際に問題のWebサイトにアクセスすると以下の画面が現れ、従業員のデータ、もしくは宿泊者のデータを選択する画面が表示されます。

次に、従業員データを選択すると参照可能な従業員の氏名、電話番号、アメリカのソーシャルセキュリティナンバーがリスト形式で表示されます。

そして、個人名の横にある「ダウンロード」をクリックすると、この従業員の物と推測される顔写真や住所等が記載された履歴書等がダウンロードされます。

筆者が実際にダウンロードしてみると女性従業員の顔写真、氏名や住所、電話番号全て記載された資料を入手することが出来ました。

■身代金を支払わせる動機を高めることが狙いか

サイバー攻撃者がこのような「恐喝手段」を新たに採用した理由としては、企業側に身代金を支払わせる動機をより強固なものにしたいという考えがあると推測されます。

こういった「従業員」や「顧客」の個人情報を閲覧可能にすることで、どこまで身代金支払い率が上昇するかは分かりませんが、少なくとも情報が公開されていると知った従業員は不安になり企業内部から対応を求めることが十分に考えられます。

また、宿泊した「お客様」から指摘があれば対応を検討せざるを得なくなるかもしれません。

まだ、この新しい恐喝手法が今後定着化するかはわかりませんが、新たな恐喝手法の登場と、被害にあった場合にはこれまでとは違った被害が発生するという点について企業はリスクを想定する必要があるでしょう。