ランサムウェアを世に放つ悪党たちが下請けに外注して悪行に及んでいるという情報は、セキュリティジャーナリストのブライアン・クレブス氏が2020年10月8日、自身のセキュリティ情報ブログにてに報告したものだ。

　クレブス氏はブログで「ランサムウェアによるハッキング首謀者が下請けに発注するのは、ランサムウェアが備える特徴のためだ」と解説している。ランサムウェアはマルウェアの一種で、感染した相手のPCのファイルを暗号化したりPCそのものを起動不能にしたりして「人質」とする。「解除してほしければ金（たいていは暗号通貨）を出せ」と要求するものだ。

　ランサムウェアによる基本的な動きはほぼ同一であるものの、ランサムウェアが発動するタイミングはさまざまで、スパムメールに添付された偽のファイルを開いた瞬間だったり、先に感染したPCからネットワークを経由して複数台のPCやサーバに感染したあとだったりする。

　冒頭で触れた病院の事例のように、複数台のPCが同時に乗っ取られるのは、ネットワークを介してある程度感染が拡大した後というパターンが多い。このケースのとき、ランサムウェアの送り手は最初に感染したPCから同一ネットワーク内のPCに広くマルウェアが拡散されたり、バックアップ用のファイルサーバを掌握したりするまで待つ。

　万全の状況が整ったタイミングで、バックドアからの操作で複数台のPCを同時に「人質」とする。一気に人質とされてしまい、被害に遭った現場は手も足も出なくなるのだ。セキュリティレベルの高い現場を狙う場合、より高度なハッキング技術が必要になることもあるとクレブス氏は話す。

　「待ち」が必要だったり、高度なハッキング技術が必要だったりと、ランサムウェアを使った犯行には何かと手がかかり、かなり長期のプロジェクトとなることもあるようだ。だからこそ、ランサムウェアを扱う悪のハッカーたちは、自分たちの悪事を手助けする「下請け」にそういった煩雑な作業を発注する傾向にあるのだという。

　同氏によれば、ロシア圏に潜んでサイバー犯罪フォーラムを運営する「Dr.Samuil」というグループが、「下請け」を雇うことで有名なハッカー集団という。このグループは、自身のフォーラムで堂々と“求人”していることもある。

　こういった発注元と下請けのようなハッカー同士の関係は世界中に拡がっていて、北朝鮮が背後にいるとされているハッカー集団「Lazarus」が東欧の集団と関係していたり、Lazarusが開発した（と思われる）ランサムウェアがロシア圏で使われていたりと、かなり複雑な関係が築かれているという。

　しかもDr.Samuilに限らず、元請けのハッカー集団はターゲットにする企業や組織の正確な財務状況を把握していて、どれほどのカネを払えるかといった情報も握っているという。そのため、下請けに提示する報償もかなり正確で、下請けハッカーからは信頼された発注元として良好な関係だ。

---

上司X：　ランサムウェアを送り込んでいる悪党どもが「下請け」に仕事を発注している、という話だよ。

ブラックピット：　元請けハッカーが下請けハッカーに発注て……。

上司X：　われわれの見聞きしてきたIT業界における多重下請け構造みたいだよな。

ブラックピット：　いやあ、なかなか笑えませんて。「ITドカタ」なんて言い方もあったりするじゃないですか。ああいう地獄な現場はもうね……。

上司X：　でも、下請けハッカーと元請けハッカーは良好な関係を結んでいるようじゃないか。なんというかこの複雑な感情の発露は否めないな。

ブラックピット：　悪事を働くヤツらがデスマーチに遭遇することもなく円滑に仕事をこなしていると思うと……もうどんどん腹が立ってきますね。

上司X：　まあそう怒るな。意外に忙しくて元請けでデスマーチ連続、なんてこともあるかもしれん。だから下請けに頼ってるのかもな。

ブラックピット：　それにしても……ランサムウェアのハッキングについてはまったく許される余地はないでしょうが、仕事の進め方自体については、参考にすべきところがあるのかもしれませんね。

上司X：　おいおい、さっきまで怒ってたヤツが何を言い出すのだ。決して悪党どもを参考にする必要はないだろうよ。逆にその信頼関係を崩すことで、世界的なランサムウェアの脅威を抑え込むことができるのではないかな？