MS13-089はダークウェブ上にリークサイトを開設し、最初のデータを公開し、暗号化を伴わない二重恐喝戦略を採用している。
古いMicrosoft IDの上に築かれたブランド
長年にわたり「MS13-089」は、2013年のMicrosoftセキュリティ情報で、WindowsのGDIグラフィックコンポーネントにおける重大な脆弱性（リモートコード実行に悪用可能）を指していた。今日、同じ略号が新たなランサムウェアグループMS13-089の名称として再利用されている。
この選択は単なる気まぐれではない。Microsoft界隈の歴史的な識別子を再利用することは、OSINTの検索にノイズを混入させ、「ストリートギャング」というイメージから「ソフトウェア脆弱性」というイメージへと注意を移す。実際、このグループはサイバー領域の枠内に即座に位置づき、アナリストが長年、十分に文書化されたセキュリティ問題として結び付けてきた略号を利用している。
リークサイト：明確なメッセージ
複数のサイトやソーシャルチャンネルによって拡散されたリークサイト（クリーンネット側）のスクリーンショットは、必要最小限の構成を示している。上部にMS13-089の名称、中央に「LEAKED DATA」セクション、そしてその直下に最初の被害者に割り当てられた2つのカードが並ぶ。各枠にはロゴ、ドメイン、被害者サイトから抽出した公式の短い説明、「PUBLISHED 1%」という表記のバー、そして「MORE」ボタンが表示されている。
この構造は、二重恐喝型リークサイトの今や標準となったモデルを踏襲している。ギャングのブランドを目立たせ、被害組織を簡潔なカードで列挙し、侵入の証拠として公開されたデータサンプルを探索するよう促す明確な誘導――「MORE」ボタン――を備える。
各被害者の下に表示される「PUBLISHED 1%」バーは、単なるデザイン上の演出ではなく、データの公開露出レベルを示す指標である。ランサムウェアのリークサイトの用語では、このラベルは盗まれたデータのうち約1%のみが公開されたことを示し、残りの99%は被害者との交渉における圧力としてグループが保持していることを意味する。
暗号化なしの二重恐喝：「患者に害を与えない」という物語
MS13-089の最も特異な点の一つは、被害者のシステムを暗号化しないという公言された選択であり、データの窃取とリークの脅迫のみに集中している。侵害監視サイトが報じたコミュニケーションの中で、同グループは「患者に害を与えないため」としてVirginia Urologyの資産を暗号化しなかったと主張し、二重恐喝のみに基づく戦略を掲げている。
この物語――他の文脈でも、攻撃者が自らを破壊者ではなく「プロフェッショナル」として見せようとする際に見られる――は、しかし本質を変えない。診療記録、保険データ、税務書類の流出は依然として重大な被害であり、数百万人に影響し得るうえ、重要な規制上の結果（米国ではHIPAA、欧州ではGDPR）を伴う可能性がある。もはやレバーは暗号化による業務停止ではなく、取り返しのつかない公的露出の脅威である。
影響
MS13-089の登場は、ランサムウェア情勢における重要な傾向を裏付けている：
- 二重恐喝は暗号化を超えて進化している：MS13-089のようなグループは、多くのシナリオにおいて、リークの脅しだけで広範な評判・法的・規制上の危機を引き起こし得ることを示している。システムを直接停止させなくても、である。
- リークサイトは中核的なコミュニケーション資産になる：「PUBLISHED 1%」のような要素は、アナリストに情報を提供するだけでなく、標的に対する圧力の「公開された」「時間軸を伴う」物語を構築するために設計されている。
防御側にとってこれは、対応プレイブックに大規模暗号化のシナリオだけでなく、影響の全てがデータ漏えいに依存するケースも統合することを意味する。すなわち、リークサイトの継続的監視、部分公開への迅速な対応能力、そして「1%公開」から全面露出の脅威へと進行する事態を管理するためのコミュニケーションおよび通知計画である。