「金を払えば公開しない」と要求されたら――ランサムウェアと金銭要求

1．要求を受けた人が、そのまま交渉担当にならない

最初に受け取った担当者は、受信日時と時刻帯、経路、原文や画面の所在、相手の主張、指定された期限、実際の業務への影響を責任者へ伝えます。受領時点で真偽が分からなくても構いません。社内で不用意な返信、支払いの約束、独自のやり取りが始まらないよう連絡担当と承認者を定めます。

通常業務の共有メールや自動転送から要求文が広がる場合もあります。社内連絡先を必要な範囲に絞り、不審なリンク・添付を窓口担当が開く手順にはしません。証拠となる原文と、判断会議向けの要約を分け、安全な受渡し方法を技術担当が決めます。

警察庁は、データを暗号化せず窃取して対価を求める手口も案内しています。端末が使えていることだけで、金銭要求を単なる迷惑メールと確定させないでください。他方、要求が届いたという事実だけで、相手の言う全データ流出を認めることもできません。［2］

また、漏えいの対象者が補償や費用負担を求める連絡は、攻撃者の要求と同じ受付へまとめません。語気や金額だけで脅迫と決めず、申告内容・関連性・補償の検討は別の担当と記録で扱います。安全上の懸念や法的評価は上席へ上げます。

2．相手の主張と、自社が確認した流出の根拠を分ける

「情報を持っている」「削除できる」「すべて公開する」という言葉は、相手が述べた内容です。調査担当は、対象のシステム、利用期間、情報項目、アクセスや外部送信の記録、提示された資料との一致を確認します。経営会議では、相手の主張と技術調査の結論が混ざっていないかを点検します。

サンプルが提示されても、その情報が今回取得されたか、既に公知だったものか、加工されたものか、どの範囲を示すかは別々に確認します。サンプルの一部が自社情報と一致したことから、相手の主張する全件数や全システムの侵害まで確定することはできません。［1］

資料を確かめるために、一般の担当者が相手のサイトへアクセスしたり、ファイルを公開の解析サービスや未承認AIへ入力したりしません。必要な確認は、隔離された解析環境等を扱える専門家と調整します。受領の有無、取得者、確認した内容、残る疑問を記録し、実データのコピーを会議資料として増やさないようにします。

対象者への問い合わせでは、攻撃者のページを本人に見に行ってもらう案内をしません。自社の公表と専用窓口を案内し、対象の照合は承認済みの本人確認手順で行います。会社が確認できていない画像を、本人からさらに収集して埋め合わせる方法にも注意が必要です。

3．封じ込め、証拠保全、経営判断、復旧、本人対応を並行する

事故対応責任者は、支払いの是非だけを議題にせず、同時に進める仕事と担当を置きます。警察庁は被害が疑われる場合の隔離や、ログを失わせない配慮、警察への通報・相談を案内しています。個別システムの停止・再起動・保全方法は、技術担当・専門家と調整してください。［2］［3］

IT部門と専門会社は、拡大防止、取得可能な証拠、侵害範囲、復旧の前提を整理します。法務は法令・契約と外部連絡の条件、財務は必要費用・決裁・事業継続、広報と個人情報管理は説明・報告・通知を担当します。保険の連絡担当も置き、確認した約款や保険会社からの回答を残します。

本番のメールや管理システムが使えないときの代替連絡手段も確認します。ただし、急ぐからと私用サービスへ対象者名簿や事故資料を移すのではなく、責任者が使用範囲・アクセス権・保管を承認します。既存の連絡網が侵害されていないかも技術担当へ確認します。

警察相談とJPCERT/CCへの報告・相談は役割が異なります。公式の現行案内から連絡し、警察への相談がPPCへの報告や本人通知を代替するとは扱いません。外部へ相談した内容と、社内で引き続き判断する事項を事務局が整理します。［3］［4］［7］

4．支払判断の前に、保証されないことと制約をそろえる

支払っても、使える復号鍵が得られるか、全データが戻るか、複製が削除されるか、再要求や再侵入がなくなるかは保証されません。「削除証明を得れば終わる」といった前提を、そのまま経営判断の根拠にしないことが重要です。［1］

取引の適法性は、相手の実体、関係者、国・地域、取引の経路、適用法令で変わります。制裁、テロ資金供与、反社会的勢力、マネーロンダリング等の規制が関係する可能性は、法務・財務と専門家が確認します。財務省は経済制裁に伴う支払等の許可制を案内しています。暗号資産等の手段だけで「問題ない」とは判断できません。［5］

国外法令の適用は一律に断定できません。最新の公的資料と専門家による個別確認を前提とし、判断に使った資料・助言・未確認事項を残します。サイバー保険も加入だけで全費用が補償されるとは限りません。費用区分、限度額、免責、事故連絡期限、事前承認、指定業者の有無等を契約ごとに確認します。

専門会社へ依頼するときは、調査・復旧・連絡支援の契約範囲、誰の指示で動くか、報酬条件、利益相反、報告先を確認します。外注により企業の決裁や承認が不要になるわけではありません。会議では、検討した選択肢、採否の理由、承認者、再検討する条件を記録します。

5．要求の期限と、報告・本人通知の判断を混同しない

攻撃者が示す期限は、法令上の報告や本人通知の期限を変えるものではありません。公開を止める約束が得られるかどうかにかかわらず、個人情報管理担当は判明した事実から対象性を判断し、法務・経営へ必要な対応を上げます。

個人情報保護法の漏えい等は、外部流出だけでなく、滅失・毀損も対象とします。ランサムウェアによる暗号化で個人データを復元できない場合は毀損に該当し得ます。同じ内容のデータが他に保管されている場合の扱いと、同時に窃取されたかの確認は別です。「バックアップがあるので報告不要」と一律に扱いません。［6］

窓口や公表では、業務停止、外部流出の確認、個別の対象有無を分けます。報告・本人通知・公表・取引先連絡は、目的と判断者を区分し、要求への回答待ちを理由に一括して保留しない設計にします。対象範囲が変われば、通知・FAQ・報告の変更判断へ戻します。［6］［7］

情報を共有すること自体を止めてしまうと、窓口は古い回答を使い続けます。必要な担当には、確認済み事項と未確認事項、案内の使用版、次の更新予定を渡します。侵入口の詳細や未承認の交渉情報などを、一般向けFAQへ混ぜる必要はありません。

6．復旧の見通しと、本人への約束を分けて答える

「支払えば情報は消えるのか」「自分のデータは公開されたのか」という質問に、窓口が推測で安心を約束しないようにします。回答前に、会社が確認した範囲、個別照会の方法、現時点で取れる安全案内を整理します。

この文例は、実際の確認状況と連絡体制に合わせて変更します。自社情報の流出を既に確認しているのに「主張だけです」と説明したり、連絡担当が決まらないまま折返しを約束したりしてはいけません。情報公開の脅迫文やサンプルをそのまま本人へ転送しないことも大切です。

復旧見込みは、技術担当の条件付きの評価を基に経営が承認します。「復旧作業中」と「安全を確認して再開できる」は区別し、影響のあるサービス、代替方法、次回案内を示します。調査終了日が未定でも、本人へ状況を伝える予定と、予定を守れない場合の連絡担当は決められます。

二次被害の申告や本人からの補償相談は、別の受付番号と確認担当へつなぎます。情報を公表すると言われていることと、本人に被害が発生したことの関連は、記録上も分けます。個人情報や原資料を未承認AIへ入力して回答を作ることはしません。

7．復旧しても、再侵入確認と本人対応は残る

バックアップがあること、復元テストで一部が戻ったこと、業務を安全に再開できることは同じではありません。感染の影響を受けていない復旧元、データの時点と欠落、業務上の照合、侵入口への対処を技術担当が確認し、再開範囲を承認します。［1］［8］

復旧の優先順位は、売上だけでなく、安全、生活や支払への影響、法定・契約上の対応、顧客への代替案を含めて経営が決めます。停止が長引く業務には代替担当・手段・見直し時点を置き、復旧予定の変更を窓口へ届けます。

技術面では、認証情報、脆弱性、権限、管理機能、残された侵入経路、監視を確認します。単に復号できた端末を戻すのではなく、再侵入の要因を取り除けたかを専門家と評価します。攻撃者の要求が途絶えたことは、安全確認の代わりにはなりません。［1］

事務局は、復旧の完了、追加報告・通知、未回答・未達、補償等の検討、契約・保険上の手続を別に管理します。縮小する窓口から残務を引き継ぐ担当、使用するFAQの版、記録の保管・見直し、再要求や新たな流出情報が出た場合の連絡先を残します。要求対応の一区切りを、事故全体の終了にしないでください。

8．実務チェックと、よくある質問

担当と残る仕事を確かめる6項目

• 要求原文と受領経過を安全に保全し、相手の主張と確認事実を分けた。
• 返信・交渉・約束の権限と、警察・専門家への相談担当を限定した。
• 封じ込め・保全・復旧・経営判断・本人対応に担当と次の期限を置いた。
• 公的推奨、適用法令、契約・保険、保証されない結果を分けて記録した。
• 報告・通知・FAQ・再連絡を、要求への結論待ちで止めていない。
• 再侵入確認、未達・未回答、保険等の手続、終了後の担当を確認した。

金銭要求への対応で重要なのは、相手の約束を結果の保証にせず、権限と根拠のある判断を残すことです。その間も、被害を抑え、業務をつなぎ、本人へ必要な情報を届ける仕事を並行して管理してください。