ダークサイド (ハッカー集団)
ダークサイドが最初に注目されたのは2020年8月のことだった。セキュリティ情報サイトのKrebs on Securityによると、ロシア語のハッキングフォーラムで活動が確認され、2020年11月には「exploit.in」や「XSS」でRaaSの宣伝していたという、ハッカー集団としては新興勢力である。
「DarkSide」は、ロシアの別のハッカー集団であるREvilが使用している ランサムウェアに類似している。REvilのコードは公開されておらず、これはダークサイドがREvilから派生したグループ、またはREvilとパートナー関係であることを示唆している。
ダークサイドは通常のブラウザではアクセスができない、いわゆるダークウェブ上に自分たちのサイトを置き、これまでのハッキングや盗み出した情報などの「業績」を並べている。 このほか、ヘルプや広報、被害者向けの電話窓口、ほかにプレスセンターも有しており、一見するとオンラインサービスのプロバイダーのようにも見える。さらにジャーナリストや複合化会社と提携を試みていることから、カスペルスキーはこのグループを「企業」と表現した。ダークサイドは、ログイン情報を盗み取る「アクセス・ブローカー」とも取引しているとされている。
5月19日、同社のジョゼフ・ブラウント最高経営責任者が身代金75BTC(5月8日時点のレートで約5億円)を支払っていたことを正式に認めた。CEOは「非常に物議を醸す決断」だった。ハッカーのような犯罪者に金が渡るのを見るのは気持ちの良いことではなかったが、「国にとって正しい行いだった」と説明した。油送管の停止が長引くことで、市民生活に広がる打撃を避けるためだったと自社の判断を擁護した。
同社はビットコインで支払いし、見返りに暗号化されたシステムを解除するための復号ツールを受け取ったという。 それでも復旧に時間がかかったのは、復号に非常に時間がかかるツールだったため、コロニアルは独自のバックアップでシステムの復元をする必要があったと情報筋の1人は語っている。
今回の事件の対応をコロニアルから依頼されていたMandiant(英語版)は「クライアントに代わって、直接支払いをすることはない」としているが、被害者が「身代金を支払う」選択肢を選ぶこともできると認めている。 一方アメリカ政府は、標的にされた企業が要求に応じてしまえば、金銭を要求する手口のサイバー攻撃を一層助長する恐れがあるとして、支払いに応じないよう求めている。
ロイター通信によると、コロニアルは「サイバー保険」に加入していたという。身代金の支払いなどに充てられる補償額は最低1500万ドル(約16億4千万円)に達するといい、今回の支払額を十分にカバーできる内容だった。
同日、バイデン大統領はサイバーセキュリティ対策の強化を目指す大統領令に署名した。ダークサイドはロシア語のフォーラムを利用しており、今回の犯行声明においても英語のスペル間違いなどが確認されたことから、ロシア系のグループとされている。バイデンは「今回の攻撃はロシア政府の指示によるものではないが、ロシア政府には本件に対処する責任がある」という声明を発表した。
5月14日、ダークサイドは東芝グループのフランスの拠点から、製品や人事などの情報など740ギガバイト以上の機密情報を盗んだと宣言。身代金を要求した。
同日、東芝は深夜にフランスやベルギーなど4か国のグループの欧州子会社東芝テックがサイバー攻撃を受け情報が流出したことを認めた。同社は被害の拡大を抑えるため、日本と欧州間、欧州域内子会社間のネットワークやシステムを停止したため、失われた情報は最小限に留まると説明した。またダークサイドを名乗るハッカー集団からメールで身代金の要求があったが「要求には返答せず、応じる考えもない」としている。
5月10日、ダークサイドは「我々は非政治的であり、地政学には関与していない。我々の目的は金儲けであり、社会に問題を起こさないことだ」と声明を掲載した。コロニアル・パイプラインを標的にしたのは、アフィリエイト利用者だったとし、「今後はわれわれが開発したツールを使用してサイバー攻撃を仕掛けるクライアントが標的とする企業がどんな企業かを事前に確認することにする」と釈明したものの、アメリカの大手メディアは、市民生活に影響の出るライフライン企業を攻撃したことで、「一線を越えた」とダークサイドを非難した。
5月10日、FBI(アメリカ連邦捜査局)はダークサイドによる犯行と断定した。サイバーセキュリティー担当の国家安全保障副補佐官は、政府がコロニアルに対し身代金の支払いに応じるよう助言しているかと質問に対し「これは民間が決定することであり、政権は現時点でいかなる助言も行っていない」と述べた。
同日、FBIとCybersecurity and Infrastructure Security Agencyは、重要インフラの所有者および運営者に対し、ランサムウェアに対する脆弱性を軽減するための措置を講じるよう、共同で警告を発した。