ランサムウェア交渉という仕事──混乱の中で「主導権」を取り戻すために

ランサムウェアのインシデントが起きた瞬間、現場の空気ははっきりと変わります。
それまで普通に動いていたサーバーが応答しなくなり、業務システムは次々と停止する。
問い合わせの電話が鳴り続け、チャットには不安と混乱が入り混じったメッセージが並びます。

そうした中で、誰かの画面に表示されるのが、Tor 上のリンクと無機質なカウントダウンです。
「時間が過ぎれば状況が悪化する」と、視覚的に突きつけられるあの画面は、技術的な問題以上に、心理的な圧迫を与えてきます。

これまでのホワイトハッカーとしての経歴の中で、この段階で、連絡を受けることは珍しくありませんでした。
多くの場合、「もう手詰まりなのではないか」「何を優先すべきか分からない」という声から始まります。
現場の担当者も、経営層も、誰かが冷静に状況を整理してくれるのを待っている状態です。

ここで「交渉」という言葉を出すと、「負けを認めるようで抵抗がある」と感じる方がいるのも自然だと思います。
実際、私自身もこの仕事に就いた当初は、同じような感覚を持っていました。

ただ、いくつもの現場を経験する中で、考え方は変わりました。
交渉は、譲るための行為ではありません。
混乱の中で失われかけている時間、情報、判断の主導権を取り戻すための手段です。

感情に振り回されず、相手のペースに乗らず、「こちらが今、何をコントロールできているのか」を一つずつ取り戻していく。
そのために交渉という工程が存在している、というのが現場での実感です。

ランサムウェアは「マルウェア」ではなく「人間の相手」

ここで、最初にお伝えしておきたいことがあります。
少し意外に感じるかもしれませんが、実務ではとても重要な前提です。

ランサムウェア対応は、もはやソフトウェアやマルウェアだけを相手にする話ではありません。
画面の向こう側には、必ず「人」がいます。

最近のランサムウェアグループは、動き方を見る限り、ほとんど一つの組織、あるいは企業のようです。

• 交渉だけを担当する専任のオペレーターがいる
• ダークウェブ上に専用の交渉ポータルを用意している
• チケット管理のような形でやり取りが進む
• 返信期限やエスカレーションのルールが明確に決められている

実際にやり取りをすると、「場当たり的な犯行」ではないことがすぐに分かります。
彼らは手順を持ち、役割を分担し、過去の成功体験をもとに行動しています。

そして、彼らが見ているのは技術的な情報だけではありません。
むしろ注意深く観察しているのは、こちら側の反応です。

返信の速さ。
言葉遣いの変化。
説明が多くなっていないか。
曖昧な表現が増えていないか。

焦り、不安、混乱。
そうした感情が表に出た瞬間を、彼らは驚くほど正確に捉えます。
技術的な弱点以上に、人の揺れが交渉材料になることを、よく理解しているからです。

だから私は、ランサムウェア対応では
技術の話に入る前に、「相手が人である」という前提を必ず共有するようにしています。

最初の返信が、もっとも危険な瞬間

ランサムウェア対応で、私が最も注意しているのは、実は高度な解析や復旧作業よりも、最初の一言です。

インシデント発生直後は、誰もが冷静ではいられません。
社内の担当者が、何とか状況を打開しようとして、善意や恐怖から攻撃者に返信してしまう場面を何度も見てきました。

ただ、その一通の返信の中に、意図せず重要な情報が含まれてしまうことがあります。

• バックアップが存在するのかどうか
• 業務がどの程度止まっているのか
• 規制対応や監督官庁への報告を気にしている様子
• 社内が混乱しているという空気感

本人に自覚がなくても、文面の端々から伝わってしまうものです。
攻撃者は、そうした断片的な情報を拾いながら、「どこに余地がありそうか」を探っています。

だからこそ、最初の一言は軽く考えられません。
あとから振り返ると、そこで流れが決まっていた、というケースを何度も見てきました。

そのため、私たちはできるだけ早い段階で、対外的なコミュニケーションを一本化します。

感情を交えず、必要以上の情報を出さない。
落ち着いた、事務的で、手順に沿ったやり取りに切り替える。
その時点で、攻撃者の見ている相手は、混乱した組織ではなく、対応の経験がある相手に変わります。

不思議なことに、それだけで空気が変わるケースは少なくありません。
言葉の選び方一つで、相手の出方が穏やかになることもあれば、時間を稼ぐ余地が生まれることもあります。

ダークウェブの交渉ポータルは「証拠」として扱う

多くのケースで、交渉は Tor 上の専用ポータルを通じて行われます。
外から見ると、ただのチャット画面のように見えるかもしれません。

ただ、私たちはそこを会話の場とは考えていません。
どちらかというと、あとから状況を整理するための証拠が積み重なっていく場所として扱っています。

そのため、やり取りの仕方にも一貫したルールがあります。

• すべてのメッセージを時系列で記録する
• 相手の主張は、そのまま受け取らず必ず確認する
• 返信は場の流れではなく、意図を整理してから送る
• 雑談や感情的なやり取りはしない

「話す」というより、「管理する」という感覚に近いかもしれません。

同時に、ポータルの外側では、ダークウェブ上の情報や過去の事例を調べています。
このグループはどこまで実行してきたのか。
約束を守る傾向があるのか。
実際にデータを公開してきた実績があるのか。

こうした背景を把握しているかどうかで、こちらの対応の取り方は大きく変わります。

執拗にブラフ（はったり）を仕掛けてくるグループもいれば、ある程度決まった型に沿って動くグループもいます。その違いを知らずに対応すると、必要以上に譲ってしまったり、逆に刺激してしまったりすることがあります。

だからこそ、交渉そのものだけでなく、相手を知るための情報収集を並行して進めることが、
結果的に判断ミスを減らすことにつながっていると感じています。

交渉の本質は「金額」ではなく「時間」

よく誤解されがちですが、交渉の目的は必ずしも「金額をいくらにするか」ではありません。

現場で向き合っている感覚としては、時間をどう確保するかが、いちばん大きなテーマになります。

ランサムウェアの対応は、交渉だけで完結するものではありません。
時間が取れれば、その裏側でさまざまな作業を同時に進めることができます。

• バックアップからの復旧がどこまで可能かを確認する
• 影響を受けたシステムを切り分け、再構築の準備を進める
• 侵害された可能性のある認証情報（パスワードや鍵）を洗い出し、すべてリセットする
• 横展開が起きていないかを確認し、封じ込める
• 法務、広報、経営層が判断するための材料を整理する

こうした作業は、一つでも欠けると後から影響が出てきます。
だからこそ、少しでも落ち着いて進められる時間が必要になります。

交渉の場では、確認や技術的な質問を一つずつ重ねながら、やり取りのペースを意図的に落としていきます。
すぐに答えを出さず、状況を整理しながら進める。

攻撃者にとって、時間の引き延ばしは好ましいものではありません。
一方で、防御側にとってその時間は、選択肢を増やし、判断を誤らないための余裕になります。

交渉を通じて時間を稼ぐことは、結果的に、復旧と意思決定の質を支える土台になっていると感じています。

「復号できる」と言われたら、必ず確認する

交渉が始まると、ほとんどの場合、「問題なく復号できる」といった説明が出てきます。

ただ、その説明を前提に話を進めることはありません。

私たちは、必ずサンプル復号を求めます。
しかも、条件は一つではありません。

• 異なるファイル形式をいくつか選ぶ
• 複数のシステムにまたがるデータを含める
• 相手任せにせず、こちらが任意に選んだファイルを指定する

こうした条件で復号を試すことで、ツールが本当に動くのか、データが元の状態に戻るのかが見えてきます。

実際に確認してみると、一部のファイルしか復号できない、サイズの大きいデータでは失敗する、復号後にファイルが破損している、といったケースは珍しくありません。

表面的には「復号できた」ように見えても、業務で使える状態かどうかは、別の話です。

この確認を省いたまま判断してしまうと、あとになって選択肢がほとんど残っていないことに気づく場合があります。
だからこそ、時間がかかっても、復号できるかどうかを事実として確認する工程は欠かせません。

交渉の中で行うこの作業は、感情ではなく、現実を材料に判断するための、大切な下準備だと考えています。

「データを盗んだ」という主張は、検証すると揺らぐ

いわゆる二重恐喝（ダブルエクストーション）のケースでは、ダークウェブ上のリークサイトへの公開を盾に、かなりの確率で「データを持ち出している」という話が出てきます。

そうした主張が出た場合でも、こちらから感情的に反応することはありません。
まずは、事実として確認できるものがあるかどうかを見ていきます。

その一環として、提示できる範囲のサンプルがあるかを確認します。

提示されたデータについては、

• いつの時点のものか
• 機密性がどの程度あるか
• 業務上、実際にどのくらい影響があるか
• すでにバックアップとして保有しているものと重なっていないか

といった点を、順番に整理していきます。

実際に確認してみると、古いデータだったり、業務上の価値がそれほど高くなかったり、量や内容が大きく誇張されているだけだった、というケースも少なくありません。

主張を一度、事実として検証してみることで、最初に感じていた不安は、そのまま判断材料にはなりにくくなります。
恐怖が消えるというよりも、冷静に整理できる情報に置き換わる、そのくらいの感覚が近いと思います。

だからこそ、この工程は、交渉の中でも欠かせない確認作業だと考えています。

嘘をつかずに、情報をコントロールする

私たちは、対応の中で嘘をつくことはしません。
相手を煽ったり、感情的に揺さぶったりすることもありません。
もちろん、法律や越えてはいけない一線を踏み越えることもありません。

一方で、あえて伝えないことについては、かなり意識的に管理します。

• 復旧作業がどこまで進んでいるのか
• 社内にどの程度の焦りがあるのか
• 経営層がどの段階で判断しようとしているのか
• 法務や規制対応をどう考えているのか

こうした情報は、交渉の場では基本的に出しません。

攻撃者は、こちらの反応そのものを材料に状況を読み取ろうとします。
返信までの間隔、言葉の選び方、トーンのわずかな変化。
そうした要素から、内部の状況を推測してきます。

だからこそ、沈黙や間を置いた対応、一定の書きぶりには意味があります。
状況が見えにくくなることで、相手は判断を急ぎにくくなります。

結果として、こちらが過度に追い込まれずに済む余地が生まれる。
情報を出さないという選択も、交渉を進めるうえでの、ひとつの技術だと感じています。

支払っても、漏洩リスクはゼロにならない

これは、どの現場でも必ずお伝えしていることです。

身代金を支払ったとしても、データが外に出ないと断言できる状況にはなりません。
そこは、期待しすぎない方がいい部分だと思っています。

交渉は、すべてを解決する手段ではありません。
できるのは、あくまでリスクを下げることです。

ただ、それでも交渉を進める意味はあります。
やり取りを続ける中で、次のような準備を並行して進めることができます。

• 公表や説明が必要になった場合に備えた整理
• 影響がどこまで及んでいるのかの把握
• 法務や規制対応とのすり合わせ
• 復旧作業を止めずに進めるための時間確保

こうした動きができているかどうかで、その後の立て直しには大きな差が出ます。

どの選択をするにしても、状況を整理しながら判断できていれば、復旧は比較的早く、混乱も抑えられることが多い。
現場で見てきた限りでは、そう感じています。

交渉は結果を保証するものではありませんが、立て直すための余地を残す行為ではあります。
その点は、誤解なく伝えておきたいところです。

ランサムウェア対応を「一人」で行わない理由

これまでいくつもの対応に立ち会ってきて、「これは後から効いてくるな」と感じるポイントには、ある程度共通点があります。

• つい状況を説明しすぎてしまう
• 焦っていることが文面や対応に出てしまう
• 緊急性をそのまま相手に伝えてしまう
• 社内で決めていた対応方針と食い違う動きをしてしまう

どれも、その場では自然な行動に見えます。
早く解決したい、何とか事態を収めたい、という気持ちがあるからです。
ただ、振り返ってみると、その一つひとつが、相手に判断材料を与えてしまっているケースも少なくありません。

ランサムウェアの交渉は、技術的な対応だけで完結するものではありません。
インシデント対応の全体像、法務の判断、経営としての意思決定と、常に足並みをそろえて進める必要があります。

誰か一人の判断で進めるものでもなければ、交渉だけを切り離して考えられるものでもありません。
全体の対応計画の中に、交渉という工程がきちんと組み込まれていること。
それが、結果として状況を悪化させないための前提条件だと感じています。

現場に立つ立場として、最後に一つだけ——

ランサムウェアの交渉は、何かを差し出すための行為ではありません。
避けられない状況の中で、少しずつ主導権を取り戻していくための対応だと考えています。

落ち着いて進めることができれば、

• 判断に必要な時間を確保し
• 相手の主張を事実として切り分け
• 被害の広がりを抑え
• 復旧までの道筋を早め
• 現場や経営層が冷静に判断できる状態を保つ

といった点につながっていきます。

ランサムウェアのインシデントでは、技術的な優劣以上に、どちらが会話の流れを握っているかが、結果に影響します。

何も起きていない今であれば、「もし起きたとき、誰が前に出て、どう判断するのか」一度だけ、頭の中で整理しておくことができます。

それだけでも、いざという場面での動きは、少し変わってくるはずです。

CyberCrewで安全を確保しましょう

CyberCrewのダークウェブモニタリングは、これらの脅威にリアルタイムで対応し、不正アクセスの試みが本格的な侵害にエスカレートする前に防止することができます。

投稿者プロフィール

イシャン ニム

Offensive Security Engineer
15年以上の実績を持つ国際的なホワイトハッカーで、日本を拠点に活動しています。「レッドチーム」分野に精通し、脆弱性診断や模擬攻撃の設計を多数手がけてきました。現在はCyberCrewの主要メンバーとして、サイバー攻撃の対応やセキュリティ教育を通じ、企業の安全なIT環境構築を支援しています。
主な保有資格：
● Certified Red Team Specialist（CyberWarFare Labs / EC-Council）
● CEH Master（EC-Council）
● OffSec Penetration Tester（Offensive Security）

最新の投稿

• Black Hat2026.01.23ランサムウェア交渉という仕事──混乱の中で「主導権」を取り戻すために
• Black Hat2026.01.22北朝鮮IT人材は、どのようにしてリモート採用市場に入り込んでいるのか
• リスクマネジメント2026.01.21エシカルハッキングサービスとは何をしているのか
• Black Hat2026.01.20ディープウェブとダークネットを正しく理解する――安全に向き合うための現場感覚