ハッカーは「少額」しか狙わないから、被害を訴えられることが少ない!?足立照嘉（サイバーセキュリティ専門家、投資家）

もはや、ハッキングは、「確実に利益を生むビジネス」だ。
だからこそ、優秀なハッカーほど、マーケティングに余念がない。
いったい彼らは、何をどんなふうにチェックしているのか？
ハッカーの恐るべし”視点”や”傾向”を、話題の新刊『サイバー犯罪入門　国もマネーも乗っ取られる衝撃の現実』より、紹介！

＊＊＊＊＊

◆ハッカーに狙われるホテルの特徴

（中略）
　2017年に、こんな事件があった。オーストリアのある高級ホテルで、突如として宿泊客に渡すカードキーへの書き込みができなくなってしまったのである。
　なんと、ホテルのカードキーシステムがマルウェアに感染してしまっていたのだ。ホテルは犯人から、「カードキーシステムを復活させたければ、ビットコインで18万円相当の身代金を支払うこと」を要求され、支払ってしまった。
　後に、ホテル関係者が、IT系ニュースサイトThe Vergeの取材を受けている。そこで「被害は、カードキーの書き込みができなくなったことだけだ」と述べている。
　しかし、問題はそこではない。
　このホテルがサイバー攻撃の被害に遭うのは、この時で、なんと4回目だったのだ。
　私が思うに、この4回全てが同一犯の犯行ではない。というのも、日本でオレオレ詐欺の被害に遭った人というのは、“騙されやすい”人のリストに載ってしまい、そのリストは同業他者に転売されてしまう。すると、たびたび詐欺事件のターゲットにされてしまう、というのが、詐欺業界のセオリーだからだ。今回のホテルも、サイバー犯罪のターゲットとなりやすいホテルとして扱われている可能性がある。

◆サイバー犯罪者は、マーケティング能力が高くないと成功しない

　この事件において、もう一つ問題視すべきことは、このホテルは、身代金要求に応えて18万円相当のビットコインを支払ってしまったことである。
　この時は、運良くロックが解除されたが、前述のようにマルウェアの出来が悪いと、支払ってもロックが正常に解除されないこともある。
　さらにここで問題視しなくてはならないことは、反社会勢力からの金銭要求に応じてしまったことで、コンプライアンス上の問題も問われる可能性があるということである。
　サイバー犯罪はコンピュータマニアの青年が愉快犯的に行っていると思いがちなので、案外見落としてしまうが、これらの犯行は、反社会勢力の資金源となっていることも多い。そのため、京都府の説明によると、日本の地方自治体ではランサムウェアの被害に遭っても、身代金を支払ってはいけないことになっている。
　たしかに、一刻も早くカードキーのシステムを復活させなければ、大勢の宿泊客が部屋に入れずに困ってしまう。ホテルとしては、身代金(犯人が賢いのは、これが、莫大な金額ではないことだ)さえ払えば復活するのなら、背に腹は代えられず、さっさと払って通常営業を再開したいのであろう。しかし、対応には慎重になるべきなのだ。
　このようにシステム全体を乗っ取ることで“システムを人質にとり”、身代金を要求するランサムウェア犯罪は2016年頃から急増している。重要インフラや工場のプラントなどを狙った同様の手口も、2017年に入ってからはさらに増加し、150カ国以上で被害を招いた事件も発生している。
　実は、日本人は、「すぐに支払ってくれる魅力的なターゲット」であり、このことも犯罪の増加を助長している。
　ところで、第2章で取り上げたビジネスメール詐欺では、一件あたりの被害額が数千万円単位におよぶことも多かったが、ランサムウェア犯罪の場合、従来の手口と比較して少額であるという特徴がある。どちらかというと、フィッシング詐欺のように「不特定多数にバラまくことで収益をあげる」「少額を多数から集める」タイプのサイバー犯罪だ。「考える間を与えずに支払わせる」ため、「支払うことのできるであろう、絶妙な金額」の設定を、犯行グループが考えているのが特徴だ。
　さらに、「要求に従って支払えば、システムの不具合は“ちゃんと”解除される」ところも特徴の一つだ。「ちゃんと解除される」という評判が広まることは絶対条件なのだ。なぜなら、解除が約束されたものでなければ、被害者だって支払いを躊躇してしまうからだ。
　サイバー犯罪者は、口コミや評判に気を配り、絶妙な金額の設定を行っている。マーケティングのレベルが高いのだ。