ダークサイド (ハッカー集団)
5月14日、セキュリティー大手レコーテッド・フューチャー(英語版)、ファイア・アイ、Intel 471ら複数の情報としてダークサイドが活動を停止したと報じられた。ダークサイドが関係者に送ったロシア語の声明を入手し、その中で、「アメリカからの圧力により」事業を停止し、ダークウェブ上のサイトやアフィリエイトプログラムを閉鎖すると述べた。「圧力」というのが具体的に何を指すのかは明らかになっていないが、前日、ジョー・バイデン大統領は、アメリカがダークサイドに対して「彼らの活動能力を破壊する」ための行動を起こすことを示唆していた。
パートナーへのメッセージでは、ある国家の法執行機関によりダークサイドのサーバと、暗号通貨のアカウントが当局に押収されたため、身代金にアクセスできなくなったと述べている。だがこの件に関して政府は公式の見解を示していないため、本当に当局が一斉摘発に踏み切ったのか、それとも犯行集団が単に身を隠しただけなのかは分かっていない。
5月16日、レコーテッド・フューチャーは、ランサムウェア攻撃を仕掛ける別の2つのハッカー集団「AKO」と「エベレスト」のサイトがアクセス不能になったと伝えた。
ダークサイドは大きく分けると、ランサムウェアを開発するグループと、「パートナー」と呼ばれる外部の実行役ハッカー(アフィリエイト)に大別される。積極的な宣伝を通じてアフィリエイトパートナーを募り、攻撃を実行させる。
ダークサイドが開発した「DarkSide」を使用するにはアフィリエイターになる必要があり、それには審査で合格しなければならない。加入できた者はパートナーと認められ、RaaSの管理パネルへのアクセス権が与えられる。そこからランサムウェアのある程度のカスタマイズや、身代金の管理まで可能である。アフィリエイトプログラムにはソフトウェアや仕様書と、使い方の練習方法などを含む「ツールキット」が提供される。
そしてこのツールを使用し身代金を手に入れることができた場合、その一部をダークサイドに納めるというビジネスモデルである。 ダークサイドの取り分は、身代金が50万ドル未満の場合は25%、500万ドルを超える場合は10%とされている。
5月11日、在米ロシア大使館は声明を発表し、事件を巡りロシアを非難するマスコミ報道に反発。「我々は一部のジャーナリストの根拠のないでっち上げを断固として否定し、ロシアが仮想空間で『悪意ある』活動を行っていないと改めて表明する」と述べ、ロシア政府が関与しているとの憶測を否定した。
5月12日午後5時頃、コロニアルが操業を再開した。石油市場アナリストは、起点のテキサスの精製所では搬出されない石油が貯まっており、「11日までに何とかならないと、大変なことになる」と警告していた。復旧の見通しが立ったことで、一時売られていた原油先物も買い戻された。
ワシントン・ポストは12日に関係者の話として、コロニアルが身代金要求に応じず、バックアップシステムの復元によるパイプラインの再稼働をめざしていると報じていたが、翌5月13日、Bloombergは関係者の話として、コロニアルが攻撃後からわずか数時間後には身代金を支払っていたと報じた。BBCは、身代金の支払いは11日とするなど情報が錯綜している。
ホワイトハウスのサキ報道官は、身代金を払ったという情報は正式発表されたものでないためこのケースのコメントではないとしつつも「政府とFBIは、企業が身代金を支払うのは利益にならないという立場をとっている」と述べた。