ランサムウェアの身代金は、本当に「絶対に払うな」でいいのだろうか？ 私は、この常識を問い直すべきだと思う。 2024年、英国の医療検査会社Synnovisがランサムウェア攻撃を受け、ロンドンの病院では1万件以上の外来予約と1,700件以上の医療処置が延期された。 さらに2026年に発表された米国の研究では、ランサムウェア攻撃を受けた病院で、攻撃開始時にすでに入院していた患者の院内死亡率が相対的に34〜38％上昇したと報告されている。 もはや企業の金銭的損失だけではない。人命に関わる問題だ。 各国の対応もさまざまだ。 米国FBIは身代金の不払いを推奨し、英国では公共部門や重要インフラ事業者による支払いの禁止も議論されている。 一方、オーストラリアでは一定の企業に対し、身代金を支払った場合の72時間以内の報告を義務付けている。日本でも、支払いそのものを一律に禁止する法律はない。 ここで、誘拐事件を考えてみたい。 人質事件では、犯人の要求を丸のみすることと、人質を救うために交渉することは別の話だ。交渉によって情報を集め、時間を稼ぎ、要求額を引き下げることもある。 ランサムウェアでも、同じ発想が必要ではないだろうか。 もちろん、身代金を支払ってもデータが戻る保証はないし、犯罪を助長する危険もある。 それでも私は、プロの交渉人を育成し、身代金の全額または一部の支払いも、法令の範囲内で交渉の選択肢として認めるべきだと思う。 なぜなら、最初から支払いを完全に封じてしまえば、交渉人は最も重要なカードの一枚を失うからだ。 「交渉はしていい。でも金銭的な譲歩は一切認めない」 これでは、まともな交渉が難しくなる。 犯罪心理、法律、サイバー技術、危機管理に精通した専門交渉人を育て、被害を最小化するための交渉手段を持たせる。日本もそうした仕組みを整えるべきではないか。 「犯罪者には一円も払わない」という原則を守ることが目的になってはいけない。