以前から世界各地で被害が報告されているコンピューターシステムへのアクセスを制限する、ランサムウェア（身代金要求ウィルス）が、ここ数年で国際的に高度な「ビジネスモデル」に成長し、個人のみならず政府や企業にとっても大きな脅威となっている。

一部の被害者は高額なセキュリティソフトを購入して対策を取ってはいるものの、多くの場合は効率的に問題解決するため「身代金」が支払われている。米関係当局は被害者に対し、サイバー犯罪者に金を払わないよう呼びかけている。

昨年から世界各地でこのランサムウェアによる被害報告が増加している。このウィルスは多くの場合、インターネットファックスを装った電子メールの添付ファイルとして送信され、メールを受信した人が添付ファイルをクリックすると感染する。感染するとコンピューター内部のファイルを暗号化したり、PC自体をロックしたりすることで使用不能にし、元に戻すことをひきかえに、身代金を要求する。

　「恐ろしい業務内容」完成度の高いビジネスモデル

ロイター通信によると、ランサムウェアの被害にあった米マサチューセッツ州テュークスベリー当局のコンピューターシステムには、身代金を支払うための説明が付いていたという。

現地警察によると、町側は自力でロック解除せず、加害者へ身代金600米ドル（約6万4800円）を支払うことを選んだ。身代金を渡す方が安かったためだという。

関係当局やネットセキュリティー会社は、この事件がランサムウェアを使ったサイバー犯罪行為のプロセスが高度に専門・分業化しており、多くの顧客サービスやマーケティングスキルの手法を取り入れていることを表すものだとして、注意を呼びかけている。

ネット情報会社フラッシュポイントのランス・ジェームズ氏は、ランサムウェアを用いた恐喝犯罪は、時には非常に高度に組織化されていると指摘。被害者がスムーズに身代金を支払えるようサポートし、システムやデータが速やかに回復できるよう、違法な臨時コールセンタースタッフや電子メール対応グループを雇って対応しているという。

また、別のセキュリティ会社、ホールド・セキュリティによると、こうしたランサムウェア犯罪組織はグラフィックデザイナーや翻訳者を雇い、多数の国や地域に手を伸ばしている。

さらに、位置情報技術を使って、被害者の位置情報を特定して使用言語を選択し、世界各国の被害者が、犯罪グループの身代金要求を理解できるようにしているという。

マサチューセッツ州のコンピューターサービス会社、デルフィ・テクノロジー・ソリューションズのジェームズ・トロンブリー氏は「完成度の高いビジネスモデルだ。ただし、その業務内容が恐ろしい」と語っている。昨年、同社は顧客3社が身代金をビットコインで支払うサポートを行ったが、顧客名の公表は差し控えるとしている。

　高度な技術でバックアップシステムも麻痺

セキュリティ会社によると、2014年12月、テュークスベリーはランサムウェアによって町のバックアップシステムもブロックされてしまい、一刻も早くシステムを回復するために、身代金を支払う選択に迫られていた。その後、警察署と病院でもランサムウェアの感染が見つかり、同様の状況にさらされていた。

セキュリティ技術の専門家によると、こうした犯罪手口は10年以上前から存在していたが、手口の完成度が高まってきたことでコンピューターユーザーが以前よりも大きな脅威にさらされることになった。現在のランサムウェアは非常に優れた暗号化技術をそなえているほか、コンピューターのバックアップシステムを感染させることや、たった1つのネットワークを通じて大量のコンピューターを感染させることも可能だという。

　身代金の支払いを選択する理由

ランサムウェアによる犯罪の手口が高度に専門化したことと、要求される金額が法外なものではないことから、被害者側が金を支払ってしまうケースが多い。

これまでの被害総額を明らかにすることは難しいが、トップクラスのインターネットセキュリティ会社で構成されるサイバー・スレット・アライアンスの試算によると、2015年の1月から9月の間に最も広まったランサムウェア、CryptoWall3の全世界における被害総額は3億2500万米ドル（約351億円）にのぼる。

　身代金の支払いはサイバー犯罪を支持すること

以前から関係当局は被害者に対し、身代金を支払わないよう求めてきた。米連邦捜査局（FBI）特別捜査官、ウィル・ベイルズ氏は、身代金を渡すことはこうした恐喝犯罪ビジネスを支持することと同じであり、ランサムウェア犯罪をさらに助長させるものだと警告している。

その一方で同氏は、被害者の多くは身代金を支払うことで金銭的被害を最小限にとどめているともしている。ランサムウェア恐喝事件の調査を行っているセキュリティ会社によると、1回の身代金の相場は1ビットコインで、これは現在の市場価格で420米ドル（約45,000円）。これは被害者がセキュリティコンサルタントに1時間相談した場合の報酬額に相当するという。

高額な身代金を要求されるケースもある。2月に全システムがランサムウェアに感染されたロサンゼルスのハリウッド長老教会病院は、1万7000米ドル（約184万円）を要求された。同病院が支払いに応じたことでシステムは復旧した。

カリフォルニア州のロバート・ハーツバーグ上院議員は、ランサムウェア恐喝事件が広く周知されることで、同様の犯罪が更に広まると危惧している。同氏は今年2月、ランサムウェア恐喝を行った場合、最大4年の実刑判決を適用するという議案を提出しており、同州上院議員安全委員会は4月12日、この議案に対する審議を開始する。

身代金の支払いを拒否する被害者も存在する。テキサス州ヒューストンにほど近いペアランド独立学区は、2回のランサムウェア恐喝攻撃を受け1600米ドル（約17万3000円）の身代金を要求されたが、これを拒否。代わりに数千ドルを費やしてセキュリティソフトを導入した。同学区のデスクトップシステムサポート部門責任者、ジョナサン・ブロック氏は、こうした非常に切実な脅威は取り除かなければならないと明言している。

（翻訳編集・桜井信一／単馨）