身代金支払いの是非と「ランサムウェア・レスポンス」の法務・実務
背景と概要
万が一、自社がランサムウェア攻撃を受け、システムが暗号化され、さらに「機密データをダークウェブに公開する」と身代金（Ransom）を要求された場合、企業は極めて難しい意思決定を迫られます。
「事業停止による損失を避けるために身代金を支払うべきか」「社会的正義や法規制に従って不支払いを貫くべきか」という問いは、単なるIT部門の技術問題を超えて、経営陣、法務部門、広報部門を巻き込んだ重大な経営判断（クライシスマネジメント）となります。
身代金支払いにおける法的・倫理的・実務的リスク
各国の政府機関や警察は一貫して「身代金の支払いに反対」の立場をとっています。その背景には明確な理由が存在します。
- 制裁対象（テロ組織・制裁国）への資金提供リスク
攻撃者グループがOFAC（米国外国資産管理房）などの制裁リストに掲載されているテロ組織やサイバー犯罪集団であった場合、身代金を支払うこと自体が自国の法律や国際反資金洗浄（AML）法に違反し、巨額の制裁金や処罰の対象となるリスクがあります。
- 復旧の不確実性と「再度の標的化」
身代金を支払っても、提供された復旧鍵がバグで動作しなかったり、データ復旧に莫大な時間がかかるケースは珍しくありません。さらに、「金を支払う企業」というラベルがダークウェブ上で共有され、数ヶ月後に別のグループから再攻撃を受ける事例も多数報告されています。
- サイバー犯罪エコシステムへの資金供給
支払われた身代金は、より高度なマルウェアの開発や新たな脆弱性の買い付けに利用され、次の被害者を生む悪循環（エコシステム）を補強してしまいます。
インシデント発生時の実務的対応フロー（レスポンス）
パニックを防ぎ、客観的な事実に基づいて被害を最小限に抑えるための体制構築が必要です。
- 初期対応（初動隔離と状況把握）
異常検知直後に被害端末やサーバーを物理的・論理的にネットワークから切り離します。この際、証拠保全（フォレンジック）のため、端末の電源を無理に落とさず（メモリ上のデータを保持）、専門家の指示を仰ぐことが推奨されます。
- 専門機関（フォレンジック・弁護士・広報）との連携
自社だけで対処せず、サイバーインシデント専門のフォレンジック業者、サイバー法務に詳しい弁護士、警察（サイバー犯罪対策課）、個人情報保護委員会への速やかな連絡・報告を行います。
- 対外発表とステークホルダー対応
「何が起きたか」「影響範囲はどこか」「現在の対応状況」を客観的かつ正確にプレスリリースや顧客向け案内にまとめます。事実の隠蔽や遅れは、後からの社会的信頼失墜を増幅させます。
平常時における「非支払い」前提の事前準備
身代金を支払わずに事業を再開・継続できる環境を整えることが唯一の根本対策です。
- イミュータブル（不変）バックアップからの復旧訓練
管理者権限でも消去・改ざんできないバックアップストレージを整備し、実際のデータからシステム全体を書き戻す「復旧演習」を定期的に実施します。
- サイバー保険の加入と適用範囲の確認
インシデント発生時の調査費用、弁護士費用、システム復旧費用などをカバーするサイバー保険の契約内容を事前に見直し、有事の連絡体制を組み込んでおきます。