米ソフトウェア企業Kaseyaが、ランサムウェア攻撃に対する身代金の支払いを拒否したことを明らかにした。同社が攻撃に対するユニバーサル復号キーをどのように入手したかについて、注目が集まっていた。
Kaseyaは「サードパーティーから」復号キーを入手し、セキュリティ企業Emsisoftと協力して、被害を受けた企業への対応を進めていることを米国時間7月22日に明らかにしていた。
26日、Kaseyaは対応状況をアップデートし、今回の攻撃を実行したハッキンググループ「REvil」に身代金を支払ったといううわさを否定した。REvilはKaseyaに身代金7000万ドル（約78億円）を要求したと報じられていた。
Kaseyaは「当社は復号キーを手に入れるために、直接にもサードパーティーを通じた間接的な方法でも、身代金を支払ってはいないことを間違いなく明言する」とした。
「身代金を支払うかどうかは各企業が判断しなければならないことだが、Kaseyaは専門家と相談の上、今回の攻撃を実行した犯罪グループと交渉しないことを決定し、その後も方針を変えていない」（同社）
このアップデートによると、EmsisoftとKaseyaのインシデント対応チームは、影響を受けた組織に引き続き復号ツールを提供している。影響を受けた組織には、スウェーデンのスーパーマーケットチェーンのCoopやバージニア工科大学、メリーランド州レオナルタウンの行政組織などが含まれる。
Kaseyaは復号ツールについて、「攻撃で暗号化されたファイルに対して100％有効」だとした上で、被害を受けた全ての企業に対して、Kaseyaに申し出ることを勧めている。
ユニバーサル復号ツールのニュースは被害を受けた多数の組織に歓迎されたが、一部企業はKaseyaが復号と引き換えに秘密保持契約（NDA）の締結を強制していたと述べている。
CNNの報道によると、Kaseyaは復号ツールへのアクセスと引き換えに、NDAの締結を要求しているという。米ZDNetはKaseyaの広報担当者Dana Liedholm氏と複数の企業に確認したが、NDAについてはコメントできないと回答があった。
情報セキュリティの専門家であり、ホワイトハウスで最高情報責任者（CIO）を務めたTheresa Payton氏は、攻撃を受けた後にNDAを結ぶことは人々が考えるより一般的だとしつつ、「被害者に対してNDAを要求することは障害の対応として常にあるわけではない」と記している。
「サプライチェーンへのサイバー攻撃が複数の被害者に影響する場合、法律顧問が被害者にNDAを要求して対応のやり方が公にならないようにするということは時々ある」（Payton氏）
Payton氏はNDAの目的が必ずしも後ろめたいものではないとして、被害を受けた企業に対し、契約を結ぶ前に顧問の法律家に相談することを推奨している。
「NDAの目的が、復号ツールを提供したサードパーティーを明らかにしたくないということ、また、復号ツールの提供方法を明らかにしたくないということであれば、今回のNDAは納得できるものだ」（同氏）
「今回のNDAがこうした目的のためではなく、訴訟を避けるものだとしたら残念だ。今回の事件の大きな影響を考えれば、Kaseyaの法律顧問が法的な保護のためにNDAを推奨するというのは、ありそうなことだ」（Payton氏）
この記事は海外Red Ventures発の記事を朝日インタラクティブが日本向けに編集したものです。
