何が問題になるか
場面
社内のサーバやパソコンのデータが暗号化され、業務が止まります。画面には、復号と引き換えに金銭を求める文面が出ます。データを持ち出し、支払わなければ公開すると迫る二重恐喝もあります。経営者は、支払・復旧・報告を短い時間で判断することになります。
法律の整理
警察庁は、身代金の支払に応じないよう求めています。支払ってもデータが戻る保証はありません。支払先が制裁対象の組織なら、法令違反のおそれもあります。支払の判断は経営者が、警察・弁護士・保険会社に相談したうえで行います。
警察庁は、支払について「犯罪グループ等の活動資金となることが懸念される」「暗号化されたデータの復号が保証されるわけではない」旨を被害者に説明しています。
支払ってもデータが戻る保証はありません
データが持ち出されていれば、個人情報保護委員会への報告と本人への通知が必要です。暗号化だけでも、漏えいのおそれとして報告対象になり得ます。委員会は、報告対象の例に「ランサムウェア等により個人データが暗号化され、復元できなくなった場合」を挙げています。不正の目的によるおそれがある場合の報告期限は「発覚日から、60日以内」です。取引先の情報があれば、契約上の通知義務も生じます。
会社が備えること
確認すること
- 感染端末をネットワークから切り離したか
- バックアップが汚染されていないか
- データが持ち出された形跡があるか
- 個人データや取引先の情報が含まれるか
- 契約や保険に、事故時の通知の定めがあるか
対応
復旧の前提はバックアップです。感染端末を切り離し、バックアップの汚染がないことを確かめてから復元します。端末の電源は落としません。警察庁は、電源を落とすと調査に必要な「ログ等が消失する場合もある」と注意しています。
バックアップの汚染がないことを確かめてから復元
「No More Ransom」プロジェクトの復号ツールで戻る場合があります。警察庁がこのツールを案内しており、IPAもこのプロジェクトに参加しています。
警察への通報・被害届は、保険金請求や取引先への説明にも必要になります。脅迫文・端末・ログといった証拠を保全します。
初動の流れは不正アクセスを受けたことが分かりました。最初の数時間で何をすべきですか、報告の手順は顧客情報が入ったパソコンを社員が紛失しました。何をすればよいですかでも説明しています。
ご相談で伺うこと
- 被害に気づいた日時と、その後の措置
- 暗号化・持ち出しの範囲と、含まれる情報
- 脅迫文の内容と、要求された金額
- バックアップの保管場所と状態
- 取引先との契約と、保険の内容
- 警察・関係機関への連絡の状況