■しかく概要

2021年05月05日に「Volue」という会社がランサム攻撃の被害に遭いました。「Volue」はノルウェーのオスロに本社を置くエネルギーの生産、取引、流通、消費を自動化および最適化ソフトウェアなどを提供するサプライヤで、送配電、上下水道、建設など幅広い分野へソフトウェアを提供しています。拠点は、ノルウェー、スウェーデン、デンマーク、フィンランド、ドイツ、スイス、ポーランド、トルコにあり、ヨーロッパ全土に顧客がおり、ヨーロッパの10大ユーティリティ企業のうち8つ(EnBW、Enel、E.ON、Fortum、Innogy、RWE、Uniper、Vattenfall)が顧客にいるそうです。「Volue」は非常に透明性の高い対応を行っていると感じたため、その対応内容を発表ベースにメモをしていきます。

■しかくリリースタイムラインと発表要旨

「Volue」は今回の事件についてのアップデートを報告する緊急アップデートのページ用意し、そこにアップデート情報の記載やリリースやその他の関連事項をリンクするという形を取っていました。以下は、その緊急アップデートページの情報をベースに記載、リンクされていた情報の要旨をまとめたものです。(時間に関してはCEST:中央ヨーロッパ夏時間)

■しかくGDPRへの影響についての掲載内容

2021年05月07日に公開されたGDPRへの影響への追加情報である「Volue Technology ransomware attack Additional information about any GDPR implications 」に記載された内容は以下の通りでした。

■しかく透明性が高いと評価できた点

1早期にインシデント発生を公開

「Volue」は被害が発生したその当日に事件の公表をしています。公表内容においてもランサムウェアに感染したということが明記されており(後にランサムウェアの名前も公開)、対応内容(自身のアクションだけではなく、顧客へのアプローチなど)についての言及しています。インシデントに関する発表は、ある程度把握されてからと考えがちです。すべてが明らかになってから公表をするというケースも少なくないでしょう。そのような傾向がみられる中、即日の発表は評価できるポイントであると言えるでしょう。

2SNSの活用

「Volue」はいくつかのSNSアカウントを所持していおり、その中のTwitterを用いてインシデントに関するアップデートについて複数回ツイートをしています。インシデント発生時には、状況にもよりますが自身のWebサイトで情報を発信できない可能性があります。今回のように発信可能な状態であったとしても自組織のサイトを見ているとは限らないため、自らが持つチャネルを通じて情報を積極的に発信することは透明性が高いと判断できるでしょう。

3頻繁で積極的な情報公開

2021年05月05日から17日まで13日間で19回の情報公開を行っています。また、2021年05月07日からは毎朝09:30よりZoomを利用したWebキャストにて日次の報告を行っていました。情報の公開は一見、一方通行に思えますが、情報を発信するということは、それに対するリアクションが想定されます。これは顧客や社会へのコミュニケーションの試みであり、顧客への安心と信用に繋がると言えるでしょう。

4顧客に向けたガイダンスを公開

被害を受けたランサムウェアの名前に関しても公表し、それに関連するドキュメントの紹介をした上で顧客が行うべきアクションやIOCについても言及しています。これは、何が起きているかを顧客に把握してもらい、その時点で取ることのできる顧客の安全策の提示と言えるでしょう。IOCに関しては、入手次第より多くの情報を共有するという記載もあり、今後の情報公開にも期待できます。

5リーダーシップの可視化

被害が発生した日に出されたリリース「Update on Cyberattack on Volue」においてCEOのメッセージを掲載しています。インシデント対応において、組織のリーダーの存在が外から見えることはあまり多くない印象です。(あるとしたらリリースの際、その文書の片隅に名前が出るくらいでしょうか)言われなくともインシデントが発生している際は組織のリーダーが指揮を執り、判断をしているはずですが、それが外から第三者にも見えるということは重要なポイントであると言えるでしょう。また、アップデート情報を掲載するページの下部には「For more information, please contact」があるのですが、そこにはCEOとCFOの情報が掲載されていました。

■しかくコメント

2019年に私が知りうる範囲で最も素晴らしい対応を行ったと感じた組織に同じくランサム被害に遭った「Norsk Hydro」があります。「Volue」の対応を見て、私は真っ先に「Norsk Hydro」を思い出しました。過去に私が書いた記事では、以下の5つ項目が挙げられていました。(この話題は私の講演でも取り上げたことがあります。)

1. 迅速に被害を発表
2. SNSを使って情報発信
3. 透明性を確保する姿勢
4. 頻繁に情報発信
5. リーダーシップの可視化

言い回しについては同じものや異なるものがあるものの概ねどちらも素晴らしく、互いに勝るとも劣らない対応であったのではないかと思っています。「Norsk Hydro」も「Volue」もノルウェーのオスロの会社であることが共通点の1つとして挙げられるのですが、ここまで対応の良い組織がどうして出てくるのかという理由がとても気になるところです。どんなに詳細な調査結果が出てきたとしても、それを公表するかということは別の問題です。現場がその情報を公開すべきと進言したとしても経営層が公開しないと判断すればその情報は、日の目を見ることはありません。それにこの2つの組織は、調査が完了する前、もっと言うとインシデントが発生した直後から迅速に情報を公開し、何が起きているのかということを伝えようと、頻繁に情報を更新しています。被害組織や世間がこうした動きを行うことを良しとする文化が醸成されつつあるのかもしれません。もしくは、情報公開することが自組織を守ることに繋がるという理解をしているのかもしれません。もちろん、その両方とも考えられます。いずれにせよ良い傾向であると思います。

昨今のランサムによる被害は被害組織による公表だけではなく、攻撃者側のリークにより発覚するケースやVirusTotalなどにアップロードされた検体を解析することでランサムノート(いわゆる脅迫状のようなもの)に記載されている組織名から発覚するケースなどがあります。中には、そのランサムノートに記載されている被害者毎に用意されたコンタクトページにアクセスし、そのチャット内容を報道され発覚するといったものもあります。いずれにしても被害組織がコントロールできないところで状況証拠だけが独り歩きする状況ができあがります。日本国内でも、そのような報道や各所の言及が行われることもあり例外ではありません。これは被害組織からすると、ある種の脅威であることは、忘れてはいけないでしょう。

極端な可能性の物語を見てみましょう。

ある組織の名前が記載されたランサムノートを含むランサムウェアの検体がVirusTotalにアップロードされていました。第三者がそれを解析し、ランサムノートを取り出すことに成功。結果として、その組織を名指しし、これらの情報の発信、報道が行われました。これにより名指しされた組織は、多くのメディアからの問い合わせに対応し、利害関係者にも説明をすることとなりました。そして、株価にも影響を及ぼすこととなりました。

しかし、そのランサムウェアの検体は実際には攻撃には利用されたものではなく、被害組織と思われていた組織では事故は起きていませんでした。

非常に極端な例ですが可能性はゼロではないと思います。被害組織が何も公表しておらず、状況証拠しかない段階で名指しをするということは、こうした可能性があることを覚悟する必要があるのでしょう。

被害を受ける可能性は、どの組織にも平等に存在しています。自組織のインシデントがどのようなものであったとしても、それを自分たちでコントロールするという強い意志が必要なのだと思います。それを実現するための1つのカードが「透明性」であると私は思います。

■しかく更新履歴

・2021年05月24日 初版公開