知っておきたいランサムウェア｢身代金｣の法規制
ランサムウェア攻撃の被害に遭う企業が続出している（写真：タカス / PIXTA）
最近、多数の企業が被害を受けているランサムウェア攻撃は、サイバーセキュリティの最も深刻な脅威の1つであり、その影響は企業、政府機関、そして個々のユーザーにまで広く及ぶ。
サイバー攻撃やセキュリティーの最新動向など、その他の関連記事はこちら
攻撃者は、企業の保有するデータを窃取したうえで暗号化し、暗号化を解除するための復号鍵がほしければ、あるいはデータを公開されたくなければ「身代金を支払え」と二重の脅迫をする。
被害を受けた企業としては、データが暗号化されたままでは事業継続が困難になり、窃取されたデータが公開されれば、多くの顧客や取引先などから信用を失う。
そのため、被害企業は、身代金としての暗号資産（仮想通貨）の支払いを検討し、数は少ないが実際に身代金を支払った企業も存在する。この身代金の支払いは、法的な観点から見ればどのように評価されるだろうか。
身代金支払い自体を禁止する法規制はない
日本では、ランサムウェアの身代金の支払い自体を禁ずる法規制はない。しかし、支払先によって規制対象となる場合があり、さまざまな問題がある。
まず、日本の法律である外為法、テロ資金提供処罰法が適用される可能性がある。
外為法は制裁対象者への無許可の支払いを禁じているが、少数のランサムウェアグループしか対象とされておらず、ランサムウェアグループは多数存在するうえに次々と新たに登場しているため、ほとんど制裁対象者に該当しない。
テロ資金提供処罰法は、身代金の支払先が特定の活動を行うテロ集団であることが前提となるが、ランサムウェアグループが当該テロ集団であることを特定できる可能性も極めて低い。
さらに、特段の不利益があるわけではないが、身代金の支払いが犯罪収益移転防止法の疑わしい取引の届出対象となり、事情を確認される可能性がある。疑わしい取引の届出は、マネーロンダリングを防止するために、金融機関などが情報を集約して捜査に役立てることを目的とする制度であり、身代金の支払いが捜査対象になりうる。
一方、海外の法規制にはさまざまなものがあり、とくにアメリカのOFAC規制には注意すべきである。OFAC規制は、日本の外為法と同様、アメリカの外交政策・安全保障上の目的から特定の国・地域および制裁対象者（SDN）リストに掲載された個人・団体等を対象として取引制限や資産凍結等の措置を講じるものである。
近年、ランサムウェアグループの首謀者などが制裁対象者リストとして多数追加されているため、これらの者への支払いはOFAC規制に違反するおそれがある。OFAC規制違反になれば刑事罰や制裁金の対象となり、アメリカの外国為替市場の取引制限や物品取引の禁止措置等もありうる。
反社会的勢力への利益供与に該当しないか
身代金の支払いが反社会的勢力への利益供与に該当しないかも問題になる。多くの企業は反社会的勢力との関係遮断を基本方針としており、各種の契約書には反社条項を規定していると思われる。身代金の支払いがこのような方針または契約条項に反しないか。
反社会的勢力は、一般的に暴力団等の犯罪組織を指すが、日本政府は2019年12月10日の参議院答弁書にて、「反社会的勢力」は「その形態が多様であり、また、その時々の社会情勢に応じて変化し得るものであることから、あらかじめ限定的、かつ、統一的に定義することは困難である」と述べており、反社会的勢力の範囲が明確ではない。
そのため、ランサムウェアグループも反社会的勢力に該当するとの解釈もありえ、前述の方針や契約条項に反しうることも否定できない。該当する可能性が低いとはいえ、場合によっては反社条項違反により、相手方から直ちに契約が解除され、損害賠償責任を負うこともゼロではないであろう。
身代金支払いを選択する場合
身代金を支払うことで、暗号化されたデータが元に戻ることも、窃取されたデータが公開されないことも保証されるわけではない。
犯罪者への資金提供・利益供与となり、さらなる犯罪を生み出す契機にもなりかねない。身代金の支払いが明るみになれば、そのような判断をした、あるいは犯罪者らと取引をした企業の信頼は地に落ちる。
政府としても、経済産業省が2020年に公表した「最近のサイバー攻撃の状況を踏まえた経営者への注意喚起」において、身代金の支払いは、これまで記載したような問題があることから、「こうしたランサムウェア攻撃を助長しないようにするためにも、金銭の支払いは厳に慎むべきものである」としている。
また、警察庁、外務省及び内閣サイバーセキュリティセンターは2023年に47カ国と共にランサムウェア不払声明を表明しており、身代金の支払いには極めて否定的である。法的観点からすれば、身代金の支払いはまったく推奨されるものではない。
そうであっても、企業は暗号化されたデータを元に戻したいがために、身代金の支払いを選択するかもしれず、とくに当該データが事業継続に不可欠な場合や人命に関わる場合には、理解できる選択であろう。
一方、窃取データの公開を止めるための身代金の支払いはランサムウェアグループが約束を守る保証もなく支払うべきではないと考える。ランサムウェアグループもビジネスでやっているから約束を守ってくれると助言する専門家も存在するが、そもそもこのような犯罪者らとビジネスをすべきではなく約束などは信頼に値しない。
また、身代金を支払って暗号化されたデータが復旧できた、または窃取されたデータが公開されなくなったといっても、個人データが含まれていた場合には個人情報保護委員会をはじめとする当局への報告義務等や、取引先等の秘密情報が含まれていた場合は各種の契約に基づく通知義務等が免除されるわけではないことを忘れてはならない。
身代金を払うかどうか判断する前にやるべきこと
身代金を支払った場合、暗号化されたデータが復旧できれば身代金相当額の損失が、復旧できなければ、復旧できないデータの損失に加え身代金相当額の損失が発生する。
このような場合、支払いを決定した取締役等の経営者らに対して株主代表訴訟が提起され、善管注意義務違反に基づく損害賠償請求をされる可能性がある。
身代金を支払うかどうかは、多数の観点を考慮して判断することになるが、これらの観点に対する明確な判断基準があるわけではない。
身代金の支払いが規制対象ではない場合、一般的には、経営者らに裁量が与えられていることから、判断の前提となる事実を認識した過程の不合理性と、事実の認識に基づく意思決定の過程または決定した内容に著しく不合理な点がない限り善管注意義務違反を問わないとする経営判断原則が採用される。
一方、取締役が、反社会的勢力である株主の地位を濫用した不当な要求に応じて利益供与を行った事案において、取締役には「暴力団関係者など会社にとって好ましくないと判断される者が株式を取得して株主となることを阻止できず、そのような株主から株主の地位を濫用した不当な要求がされた場合には、法令に従った適切な対応をすべき義務を有する」とした判例も存在する。
これらのことからすれば、身代金を支払うかどうかは、警察や専門家の意見を聴取するなどの適切な情報収集を行い、代替策を検討し、社内手続きに従って、その是非を慎重に判断することが求められる。安易な身代金の支払いは善管注意義務違反を構成しうることに留意すべきである。
最近は、データ復旧事業者が、被害企業の了承を得ずに勝手にランサムウェアグループに身代金を支払って復旧できたと騙す手口が確認されている。騙されないためにも、当該事業者の復旧方法を十分に確認する必要がある。
何より、ランサムウェア攻撃から企業を守る最善の方法は事前対策である。強固なセキュリティ対策を講じ、通常システムから隔離された環境にも定期的なバックアップを行い、役職員の教育を徹底することで、攻撃のリスクを大幅に減らすことができる。これらの対策は、一朝一夕で準備できるものではなく、長い年月をかけて成熟させていく必要がある。
経営者らは想定外の事態をなくし、可能な限りのセキュリティ対策を整備することに力を注ぎ、企業と従業員、株主、顧客らの利益を保護することが課せられた使命である。
（北條 孝佳 ： 弁護士）
