もうこれから個人の秘密の情報・データ・行動は全て漏れるという前提で行動するしかない。隠れてやましい事は何もできない。秘密の趣味やら盗聴・盗撮、その他犯罪行為が全て暴露される可能性がある。 そして誰もが秘密を抱えなくなると、ハッカーは飯の種がなくなり安心安全社会が訪れてってアレレ？

ランサムウェアの身代金は、本当に「絶対に払うな」でいいのだろうか？ 私は、この常識を問い直すべきだと思う。 2024年、英国の医療検査会社Synnovisがランサムウェア攻撃を受け、ロンドンの病院では1万件以上の外来予約と1,700件以上の医療処置が延期された。 さらに2026年に発表された米国の研究では、ランサムウェア攻撃を受けた病院で、攻撃開始時にすでに入院していた患者の院内死亡率が相対的に34〜38％上昇したと報告されている。 もはや企業の金銭的損失だけではない。人命に関わる問題だ。 各国の対応もさまざまだ。 米国FBIは身代金の不払いを推奨し、英国では公共部門や重要インフラ事業者による支払いの禁止も議論されている。 一方、オーストラリアでは一定の企業に対し、身代金を支払った場合の72時間以内の報告を義務付けている。日本でも、支払いそのものを一律に禁止する法律はない。 ここで、誘拐事件を考えてみたい。 人質事件では、犯人の要求を丸のみすることと、人質を救うために交渉することは別の話だ。交渉によって情報を集め、時間を稼ぎ、要求額を引き下げることもある。 ランサムウェアでも、同じ発想が必要ではないだろうか。 もちろん、身代金を支払ってもデータが戻る保証はないし、犯罪を助長する危険もある。 それでも私は、プロの交渉人を育成し、身代金の全額または一部の支払いも、法令の範囲内で交渉の選択肢として認めるべきだと思う。 なぜなら、最初から支払いを完全に封じてしまえば、交渉人は最も重要なカードの一枚を失うからだ。 「交渉はしていい。でも金銭的な譲歩は一切認めない」 これでは、まともな交渉が難しくなる。 犯罪心理、法律、サイバー技術、危機管理に精通した専門交渉人を育て、被害を最小化するための交渉手段を持たせる。日本もそうした仕組みを整えるべきではないか。 「犯罪者には一円も払わない」という原則を守ることが目的になってはいけない。

「身代金を絶対払わないマン」と「バグ絶対出さないマン」に、自分は同じ匂いを感じる。 目の前の損失を徹底的に避けようとして、もっと大きな損失への備えまで止めてしまうところ。 たとえば、小さな不具合を恐れて、依存ライブラリの更新や認証の改善を先送りする。変更によるバグは避けられても、既知の脆弱性は残る。その先でランサムウェアの侵入を許したら、何を守っていたのか分からない。 侵害された後も、「身代金は払わなかった」で責任を果たしたことにはならない。停止が長引く損害も、利用者の救済も含めて判断する。原則を守ることと、利用者を守ることが一致するかは、最後まで考えたい。