ランサムウェアQilinの中心メンバーを大阪で拘束、ドイツへ引き渡しと報道

朝日新聞とドイツの公共放送ZDFは、ランサムウェア集団Qilin(キリン)の中心メンバーとされる28歳のロシア国籍の男が、日本で拘束され、ドイツへ引き渡されたと報じています。ランサムウェアは、データを暗号化して身代金を要求する攻撃です。当事者の公式の発表は確認できていません。この記事は、報道をもとにまとめています。

報道で分かっていること

朝日新聞によると、日本の捜査当局は、男が旅行で大阪市内にいた5月下旬に身柄を拘束しました。東京高裁が引き渡しできると判断し、10月2日にドイツ側へ引き渡したと伝えています。ZDFは、引き渡しが7日の直前の金曜日(10月2日)だったと伝え、ノルトライン=ヴェストファーレン州の司法大臣と内務大臣が、7日にデュッセルドルフで発表したとしています。

ZDFは、州の発表として、Qilinが2024年以降、世界で約4千社を脅し、ドイツで約150社、ノルトライン=ヴェストファーレン州で約30社が被害に遭ったと伝えています。要求した額は合計で約30億ドル、実際に払われたのは1億4千万ドル超とされています。いずれも州側の説明を報じたもので、編集部では確認できていません。

日本の会社との関係

朝日新聞は、Qilinが2025年のアサヒグループホールディングスへのサイバー攻撃で、犯行声明を出したと伝えています。この攻撃では、受注や出荷が止まる被害が出ました。

ただし、今回の男がアサヒグループへの攻撃に関わったとは、確認した報道に書かれていません。また、日本の会社が今回の件で受ける直接の影響や、日本の警察の公式の説明は、報道に書かれていません。

仕組みとして続く恐れ

朝日新聞は、中心メンバーの下に、ランサムウェアで攻撃する実動部隊が複数あるとされると伝えています。ZDFも、中心のグループが攻撃用のソフトと設備を用意し、多数の協力グループが攻撃して、取り分を分け合う形だと説明しています。

この形では、中心の一人が拘束されても、ほかの協力グループが攻撃を続けられる可能性があります。報道に、攻撃が減るという見通しは書かれていません。

影響する会社・しない会社

• 影響する: ランサムウェアで業務が止まる恐れがある全ての会社です。報道に、特定の業種や規模に限る説明はありません。
• 影響する: 取引先や委託先が止まると自社も止まる会社です。物流や受発注の仕組みを外部に頼っているほど、巻き込まれます。
• 影響しない: 今回の拘束によって、自社の機器やソフトの更新が必要になるわけではありません。脆弱性の修正のような、特定の製品を使う会社だけに関わる話ではありません。
• 影響しない: 日本の警察から、会社に新しい対応を求める発表は、確認できていません。

情シスが今日やること

1. バックアップを確認します。最新の復元に成功した日付を調べ、書き換えられない場所や、ネットワークから切り離した場所に、世代を持った複製があるかを見ます。
2. 復元の手順書を開き、誰が・どの順で・何時間で戻すかが書いてあるかを見ます。なければ、今日のうちに骨組みだけでも作ります。
3. 外から入れる入口を洗い出します。VPN装置、リモート操作の仕組み、管理画面です。更新が止まっているものと、多要素認証がないものを、一覧にします。報道は、侵入の手口を書いていません。入口の点検は、一般的な備えです。
4. 連絡先を確かめます。警察、取引先の窓口、保険の窓口、専門業者の連絡先が、紙か別の場所に控えてあるかを見ます。
5. 経営層に、次の三つを一言で伝えます。報道があったこと、攻撃は止まると書かれていないこと、今日バックアップと入口を点検したことです。

起きたあとの動き方は、ランサムウェアはなぜ「最初の1時間」で差がつくのかにまとめています。