新たな規則

ランサムウェア被害に遭い身代金を要求された場合。その身代金はATMからどこかの銀行に振り込むわけでも、アタッシェケースに詰めた現金を橋の下にいる犯人に投げ渡すわけでもない。ビットコインなどの「暗号通貨」と呼ばれる比較的匿名性のある決済手段を用いて、身代金を支払うこととなる。

ところが、暗号通貨の匿名性を規制することで犯罪による収益を取り締まる規則を、EU（欧州連合）の行政機関であるEC（欧州委員会）は7月20日に議会へ提案した*3。

既に匿名の銀行口座はEUのマネーロンダリング防止およびテロ対策資金調達（AML / CFT）規則によって禁止されているが、今回はその規則を暗号通貨セクター全体へと拡張しようとするものである。暗号通貨の取引を処理する企業に対して、送信者と受信者のさまざまな個人データ収集を義務付けており、暗号通貨の転送に対して完全なトレーサビリティを確保することを求めている。具体的には、顧客の名前、住所、生年月日、口座番号、受信者の名前を記録する必要があるとしている。

これにより、マネーロンダリングやテロ資金供与の可能性を防止および検出したり、サイバー犯罪やテロリストグループを取り締まったりできることを当局では期待している*4。実際、UNODC（国連薬物犯罪事務所）によると世界の国内総生産（GDP）の2〜5％相当が毎年マネーロンダリングされているともいわれており、Europolによると、EUにおける経済活動の1.3％は疑わしい取引に関係していると推計している*5。これらのことからもマネーロンダリングはEU内での主要な問題の一つとなっており、今後ECは新たな監督当局の設置も検討している。

今回の提案については、遅延や追加の修正を除いて今年後半に欧州議会で審議されることが予定されている。

進化と深化

EUのマネーロンダリング防止規則により、ランサムウェア攻撃を行う犯行グループが一時的に思い止まることはあるかもしれない。しかし、ランサムウェア攻撃によるサイバーリスクを完全に排除することは困難だろう。なぜなら、ランサムウェア攻撃は30年以上前から存在する古典的な攻撃手法であり、その時々で新しい技術や手法、法規制の抜け穴などをつきながら進化してきたからだ。

ここでサイバー攻撃の被害に遭った企業に、もう一度目を向けてみたい。サイバー攻撃の被害に遭った場合その影響は、身代金の支払いや事業中断に伴う逸失利益による被害、GDPRなどの法規制に伴う制裁だけではない。

2018年にサイバー攻撃によって個人データを漏洩（ろうえい）したブリティッシュエアウェイズに対して2,000万ポンドの制裁金が科されたことは、各種報道からもご存じの方は多いことだろう*6。40万人超の顧客に関連したログイン情報やカード情報、連絡先の情報などが漏洩した事件だ。

この事件で個人データが漏洩した本人（データ主体）による集団訴訟が、7月6日に和解となった。その詳細は開示されていないため和解金額などの条件は開示されていないが、この集団訴訟は英国における個人データに関する集団訴訟としては最大のものとなり1万6000人を超えるデータ主体からの申し立てがあった。平均で2,000ポンドと試算する意見もあるが、膨大な金額であることには間違いない。

冒頭に述べたフロリダでのサイバー攻撃がスウェーデンのレジを止めたように、サイバーリスクはITでつながっている現代社会をまたたく間に拡がる。さらに、その影響は直接的な被害だけでなく、法規制に伴う制裁や、影響を受けた個人による集団訴訟など深く爪痕を残す。そして、その手法や用いられる技術などは日々進化し、より強力なものとなって襲いかかる。

残念ながら、サイバーリスクの進化と深化は止まりそうにない。

出典
*1 https://www.europol.europa.eu/newsroom/news/unhacked-121-tools-against-
ransomware-single-website
*2 https://www.kaseya.com/potential-attack-on-kaseya-vsa/
*3 http://ec.europa.eu/finance/docs/law/210720-proposal-funds-transfers_en.pdf
*4 https://ec.europa.eu/commission/presscorner/detail/en/QANDA_21_3689
*5 https://www.europol.europa.eu/crime-areas-and-trends/crime-areas/economic-
crime/money-laundering
*6 https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2020/10/ico-fines-
british-airways-20m-for-data-breach-affecting-more-than-400-000-customers/

本連載執筆担当：ウイリス・タワーズワトソン Cyber Security Advisor, Corporate Risk and Broking 足立 照嘉