しかしWannaCryは、規模が大きかったとはいえ事件の1つにすぎず、身代金を支払うべきではないという教訓が、1つの事例で広まるとは考えにくい。
Thompson氏は「もし今後1年間でWannaCryのような事例が30回も起き、データは取り戻せないという話が知れ渡れば、被害者は金銭を支払うのを止め、長い時間と多くの苦痛を経て、事態は好転し始めるだろう」と話しているが、悲惨な事例がそれだけの頻度で起こることは考えにくいとも述べている。
十分に備える
これは、WannaCryと同じ規模の問題が当面起こらないという意味ではない。すでに新しい種類のランサムウェアが見つかっているし、WannaCryで使われた攻撃コードを、トロイの木馬に応用した例も出てきている。次は、もっとプロフェッショナルな集団による攻撃が発生するかも知れない。
Malwarebytesの最高経営責任者（CEO）Marcin Kleczynski氏は「政府機関が、この種の攻撃用の武器を持っていることは明らかだ。Hacking Teamを覚えているだろうか？あの会社もハッキングを受けた」と述べている。
「Hacking Teamは10種類前後の攻撃コードを持っており、その10種類は非常に優れたもので、それをもっとも高い値段を付けた顧客に売っていた。間違ったものの手に落ちれば、それらのコードは兵器化され、スパイ行為ではなく、ランサムウェア攻撃や破壊工作に使われる」（Kleczynski氏）
これは、WannaCryのようなランサムウェア攻撃が将来起こる可能性が高いということだ。「私は、2017年のうちにそのような攻撃が2つか3つは起きると考えている。これは最低限の数字だ」とKleczynski氏は言う。
多くの組織には、基本的なランサムウェアに対する備えもない。次の攻撃では、一部の組織で大惨事に発展する可能性もある。
「正しいセキュリティコントロール、パッチの適用、バックアップなどで積極的に準備を調え、被害を防ごうとしない限り、身代金を支払わなければデータを失う事態に陥る人が数多く出るだろう」とLyne氏は言う。
しかし場合によっては、WannaCryの悪名が、一部の企業にとって、将来のランサムウェア攻撃に備えるきっかけになるかもしれない。
Ferguson氏は「WannaCryの事例は、身代金を支払ってもデータが取り戻せない場合があるため、復旧手段や緩和策に取り組む必要があることを意識させた」と述べ、WannaCryの問題を主要なメディアが報道したことで、ランサムウェアはセキュリティ産業の外でも認知されたと論じている。
「うまくすれば、脆弱性の管理や、パッチの管理、レガシーシステムなどにも、もう少し注意が払われるようになるかもしれない」と同氏は言う。「私は、WannaCryからも多くのことを得られると考えている」
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
