二重脅迫・三重脅迫とは｜ランサムウェアによる複合的な脅迫手法

当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー

二重脅迫・三重脅迫とは、ランサムウェア攻撃において、データの暗号化だけでなく、窃取した情報の公開や第三者への圧力などを組み合わせ、被害組織に身代金の支払いを迫る手法である。

従来のランサムウェア攻撃では、暗号化したデータの復旧と引き換えに身代金を要求する手口が中心だった。しかし、二重脅迫では情報公開の脅威が加わり、三重脅迫では第三者への直接的な脅迫やDDoS攻撃など、さらに別の圧力が追加される。

これらの手法では、バックアップからデータを復元できても、脅迫そのものが解消されるとは限らない。

二重脅迫の仕組み

二重脅迫（Double Extortion）は、データの暗号化と、窃取した情報の公開を材料とする脅迫を組み合わせた手法である。

攻撃者は組織のネットワークに侵入し、機密情報や顧客情報などを外部へ持ち出したうえで、ファイルを暗号化する。その後、復号と情報の非公開を条件に身代金を要求する。

脅迫の種類	内容
暗号化による脅迫	業務データを利用できなくし、復旧と引き換えに金銭を要求する
情報公開による脅迫	窃取した情報を公開すると告げ、金銭を要求する

情報公開の脅迫には、攻撃者が運営するリークサイトなどが利用される。窃取した情報の一部を公開し、残りの情報も公開すると警告する手口もある。

この場合、データを復元して業務を再開できても、情報漏洩による被害や公開の脅威は残る。

三重脅迫（Triple Extortion）は、二重脅迫に加えて、さらに別の手段で被害組織への圧力を強める手法である。

代表的なものは、窃取した情報に関係する顧客や取引先へ直接連絡し、被害組織に身代金を支払わせるよう圧力をかける方法である。

例えば、顧客に対して情報の流出を通知したり、情報を公開されたくなければ金銭を支払うよう要求したりする。

また、DDoS攻撃によってサービスを停止させるなど、別の攻撃を追加する手口も三重脅迫として説明されることがある。

三重脅迫には厳密に統一された分類があるわけではないが、共通するのは、暗号化と情報公開に加えて別の圧力を利用する点である。

ランサムウェアに関連する恐喝では、必ずしもデータの暗号化が行われるとは限らない。

攻撃者が組織から情報を窃取し、その公開を防ぐことだけを条件に身代金を要求する手法も存在する。これは一般に、データ窃取型の恐喝（Data Extortion）などと呼ばれる。

暗号化を行わなければ、業務システムを停止させずに情報の窃取と脅迫を進められる。そのため、ファイルが正常に利用できていても、情報漏洩が発生していないとは判断できない。

この手法は二重脅迫とは異なり、暗号化と情報公開という二つの脅迫を組み合わせるものではない。ただし、窃取した情報を金銭要求の材料にする点では共通している。

バックアップは、ランサムウェアによって暗号化されたデータを復元するための重要な対策である。

しかし、二重脅迫や三重脅迫では、データの復旧だけでは対応できない問題が残る。

被害・脅迫	バックアップによる対応
データの暗号化	攻撃前の正常なデータが残っていれば復元できる
窃取した情報の公開	情報の公開や拡散を防ぐことはできない
顧客・取引先への脅迫	第三者への連絡や金銭要求を止めることはできない
窃取した情報の悪用	持ち出された情報を攻撃者から回収・消去することはできない

そのため、ランサムウェア対策では、バックアップによる復旧手段の確保に加え、不正侵入の防止、アクセス権限の制限、情報持ち出しの検知なども重要となる。

また、情報漏洩が疑われる場合には、影響範囲の調査や関係者への連絡、必要な法令上の対応など、データ復旧とは別の対応が求められる。

なお、身代金を支払っても、攻撃者が窃取した情報を削除したり、公開を取りやめたりする保証はない。二重脅迫・三重脅迫は、ランサムウェアの被害がデータの可用性だけでなく、情報の機密性や取引先との関係にも及ぶことを示す攻撃手法である。