オピニオン
エドワード・ドゥブロフスキー氏は10月8日、フィラデルフィアで開かれたCyber Risk Summitの会場に足を踏み入れました。スポンサー用バナーには、同氏の名前が掲げられていました。同氏が以前在籍していたCypferは、このイベントで最大のスポンサーです。ランサムウェア交渉に関する書籍も共著で執筆しています。ネットワークが停止し、復旧と引き換えに8桁の金額を要求されたとき、午前2時に電話をかけたくなる人物として、誰の目にもふさわしく見えました。
しかし、FBIはカンファレンスが終わる前に同氏を逮捕しました。
54歳のドゥブロフスキー被告は現在、連邦法違反で訴追されています。容疑は恐喝共謀と、脅迫による通商妨害で、ShinyHuntersに対する捜査に関連しています。中心となる疑惑は、ランサムウェア攻撃者との交渉のために組織が報酬を払っていた人物が、実は攻撃者側から報酬を得ていた可能性があるというものです。
これは個人の不正行為にとどまる話ではなく、制度そのものの失敗です。
FBIも同じ手口で被害に
ShinyHuntersは長年、同じ手口で犯行を重ねてきました。認証情報の窃取、SaaSの侵害、データの持ち出し、そして恐喝です。FBIの推定では、これまでに7,000万ドル超を稼いでいます。
最も大きな打撃を受けた標的は、病院でも銀行でもなく、FBI自身でした。Accentureの委託先が運用していたFBIjobs.govでは、Oracle PeopleSoftの既知の脆弱性が未修正のまま放置されていました。
ShinyHuntersはこの脆弱性から侵入し、AWS GovCloudへ横展開して、職員データを2TBから3TB程度持ち出しました。氏名、住所、社会保障番号、緊急連絡先などが含まれ、防諜担当職員のデータも対象でした。
Accentureの委託先と、既知で未修正の脆弱性。サードパーティリスクの失敗を捜査する立場にある機関が、そのサードパーティリスクの失敗によって攻撃を受けたことになります。
FBIのカシュ・パテル長官は10月9日、ドゥブロフスキー被告の逮捕を認めました。ShinyHuntersをめぐっては、これ以前にも2人が逮捕されています。9月にオランダでペピン・ファン・デル・スタップ容疑者が、9月29日にはヨルダンで「Rey」と名乗る17歳の少年が逮捕されました。他のインシデント対応（IR）企業が絡む追加の訴追が続く可能性もあります。
危機対応ベンダーは枠組みをすり抜ける
インシデント後の報道の多くが見落としている点があります。被害を受けた組織は、セキュリティで失敗したわけではありません。失敗したのはベンダー管理です。それも、最悪の日に無制限のアクセスを得るカテゴリーのベンダーに対する管理でした。
通常のベンダーには審査プロセスがあります。クラウドプロバイダー、給与処理業者、データを扱う事業者などが対象で、SOC 2報告書、質問票、契約上の表明保証、定期的な再評価を求められます。このプロセスには抜け穴もありますが、一定の摩擦が生まれ、その摩擦が問題の発見につながります。
危機対応ベンダーは、そのすべてを飛ばします。
真夜中にランサムウェア攻撃を受けたとき、ベンダー評価を引っ張り出す人はいません。IRの窓口が推薦した相手、検索して最初に応答した相手、ウェブサイトにそれらしい資格を掲げていた相手に連絡します。切迫した状況は現実のものです。そしてその切迫感こそが、ドゥブロフスキー被告のような人物を見抜くために整えた統制を無効にしてしまいます。
ランサムウェア交渉人は、最も機微な侵害データが置かれた場に同席します。脅威アクターと直接やり取りし、身代金の支払い判断について助言します。何が盗まれ、それが市場でどれほどの価値を持つかも把握しています。それにもかかわらず、雇った組織が身元調査をしていないケースがほとんどです。
これはベンダー管理の隙間ではなく、設計上の欠陥です。この枠組みは危機対応ベンダーが自分たちの味方であることを前提にしていますが、その前提を実際に検証したことは一度もありません。
3つの具体的な失敗
-
資格情報の確認：ドゥブロフスキー被告のLinkedInプロフィールには、Cypferの創業者と記載されていました。しかしCypfer自身の広報担当者は、同氏は創業者ではなく、2025年11月に退社したマネージングディレクターだったと報道陣に語っています。組織は本人が書いたプロフィールを根拠に同氏を雇い、誰も確認しませんでした。評判がそのまま商品である業界で、自己申告の資格は審査基準になりません。
-
利益相反のスクリーニング：ランサムウェア交渉人は、脅威アクターのネットワークと実務上の関係を維持しています。それが仕事の性質であり、直ちに失格となるわけではありません。ただし構造的な利益相反であることは確かで、既存のベンダー質問票では扱われていません。「貴社の経営陣は、脅威アクターのグループと金銭的な関係を持っていませんか」と尋ねる人はいません。無理な質問ではなく、誰も聞かないだけです。
-
継続的なモニタリング：ドゥブロフスキー被告は2025年11月にCypferを離れました。その後に同氏を雇った組織は、名の知れた企業との過去の関係を頼りにしており、同氏の状況が変わったことを知る手段がありませんでした。ベンダーの状況は固定されたものではありません。一度きりの導入時審査では把握できません。
監査だけでは解決できない
従来のサードパーティリスク管理（TPRM）は、監査、契約、規制コンプライアンスの訓練を受けた人々が築いてきました。その経歴には確かな価値があります。しかし、今回の事件が示す問題に対しては十分ではありません。サイバーに通じたTPRM担当者は、同じベンダーでも見方が違います。交渉会社の経営陣が持つ人脈が、既知の脅威アクターのインフラと重なっていれば、それが何を意味するかを理解しています。通信手段についてどんな質問をすべきかも知っています。ベンダーが謳う能力が技術的にあり得るものか、単なる宣伝文句かも見極められます。
FBIで起きたAccentureをめぐる侵害は、示唆に富んでいます。既知で未修正の脆弱性は珍しいものではなく、通常の技術的なベンダー評価で見つかります。コンプライアンス重視の審査では見つかりませんでしたが、技術に明るい審査担当者なら気づいたはずです。
質問票は判断力の代わりにはなりません。しかし、その判断力を発揮できるだけの技術的な深みを持つチームを作ることはできます。
実際に何をすべきか
-
危機が起きる前に、危機対応ベンダーのパネルを構築する。IR企業、交渉人、フォレンジックベンダーを今のうちに審査します。経営陣の身元調査を行い、利益相反を書面で開示させ、所属先を確認します。審査は毎年更新します。真夜中に連絡が必要になったときは、審査済みのリストから選びます。
-
企業単位ではなく、経営陣個人のレベルでデューデリジェンスを行う。企業単位の審査では、個人の行動を見逃します。侵害データにアクセスできる企業の担当者には、社内の機微な職務に就く従業員と同じ水準の審査を課すべきです。
-
利益相反に関する質問を書面で行う。実際に尋ね、署名入りの回答を求め、その内容を遵守させます。
-
TPRM部門にサイバーの専門性を組み込む。エスカレーション先としてではなく、日常のベンダー監督を担うチームに常設の能力として置きます。
-
ベンダーを事前だけでなく、インシデント後にも評価する。重大なインシデントに第三者が関与した場合は、その企業が表明どおりに対応したかを評価します。多くの組織は
そのデータを捨てています。捨てるのをやめましょう。
ドゥブロフスキー被告は、サイバーリスクのカンファレンスの壇上で、自らが関与したとされる問題の権威として登壇していました。そこへ連邦捜査官が現れ、同氏を連れ出しました。業界が同氏に壇上を与えたのは、資格が立派に見え、その裏付けを誰も確認しなかったからです。
サードパーティリスク管理のプログラムは、まさにこうした事態を防ぐために存在します。問われているのは、社内ネットワークに入り込むあらゆるベンダーに、技術的な深みをもって適用されるのかどうかです。それとも、最も重要な場面で機能しなくなる、形だけのコンプライアンス対応にとどまるのでしょうか。
脅威アクターは、緊急時のために設けた例外を尊重してくれません。彼らはすでに、その隙間に入り込んでいます。
翻訳元: https://www.darkreading.com/cyber-risk/when-your-ransomware-negotiator-works-other-side
