ランサムウェアの身代金を支払ったこと、秘密にしてちゃダメ!? 被害者からの報告を義務化する法律が発効～豪州で世界初

　オーストラリアでは5月30日から、ランサムウェアをはじめとする「サイバー恐喝（cyber extortion）」の被害者が恐喝者に対して身代金等を支払った場合にオーストラリア信号局（Australian Signals Directorate、以降ASD）へ報告することが「サイバーセキュリティ法2024（Cyber Security Act 2024）」により義務化されました。

　ただし、報告義務の対象となるのは、重要インフラ事業者と年間売上高が300万豪ドル（本稿執筆時点の為替レートで約2億8000万円）を超える組織のみです。米セキュリティ企業Recorded Futureのニュースメディア「The Record」によれば、この売上高の基準を満たすのはオーストラリアの登録企業全体の上位6.5％にすぎないものの、それらの企業だけで同国の経済の約半分を占めると予想されています。

　同様の法律はオーストラリア以外でも検討・準備されていますが、実際に発効にまで至ったのはオーストラリアが世界初とされており、同様の動きに対する影響は少なからずあると考えられます。そこで今回は、このオーストラリアの報告義務の内容を簡単に紹介します。詳細はオーストラリア内務省（Australian Department of Home Affairs）が公開している以下のファクトシートを参照してください。

• FACTSHEET:Mandatory ransomware and cyber extortion payment reporting is active from 30 May 2025

参考：オーストラリア以外の状況

　オーストラリアではこれまでも報告は推奨されていましたが、その報告件数はわずかであり、オーストラリア犯罪研究所の調査によれば、ランサムウェアの被害者のうち、被害を報告したのは20％との結果が出ています。そこで、被害の実態を把握し、特に中小企業に対する適切なアドバイスの提供を支援するとともに、将来の法整備に役立てることを目的として、報告義務化の法案が2024年に提出され、2025年5月30日に発効しました。

　対象となる事業体は、支払いを行った場合、または第三者による支払い代行が行われたことを認識した場合、その支払いから72時間以内に報告を行なう必要があります。また、支払いは金銭に限定されず、贈り物やサービスなど、何らかの利益を与える行為も「支払い」とみなされる場合があるとしています。なお、報告はASDのサイバーセキュリティセンター（Australian Cyber Security Centre、ACSC）のウェブサイトから行ないます。

• Report a cybercrime, incident or vulnerability

　報告すべき内容は以下の通り。

• 支払いを行った事業体の詳細
• サイバーセキュリティインシデントの詳細（影響含む）
• 他の事業体（支払い代行を行った事業体等）の詳細
• 恐喝者側からの要求内容
• 支払いに関する情報（金額や方法等）
• 恐喝側とのやり取りの内容
• その他、サイバーインシデントに関する情報

　報告を怠った企業には、60ペナルティユニット（Penalty units）が科せられる可能性があると定められています。なお、1ペナルティユニットは本稿執筆時点で330豪ドルなので、60ペナルティユニットは1万9800豪ドル（本稿執筆時点の為替レートで約190万円）となりますが、1ペナルティユニットの金額は年々上昇する傾向にありますので、当然ながら罰金も上昇する可能性があります。

　今回の義務化にあたって、ASDはあくまで報告受付機関であり、規制機関として報告義務の遵守状況を監視するのは内務省（Australian Department of Home Affairs）と定められています。なお、この義務化には「猶予期間」が設けられており、2025年末までは対象事業体への教育と習熟に重点が置かれ、悪質な不遵守の場合を除き、規制措置は最小限に抑えられるとしています。

　法執行機関が恐喝行為を防ぐためには、実態に合った適切な法整備が必要であり、そのために報告を義務化すること自体は間違いではありません。おそらく報告義務化の動きは世界的にも進んでいくのでしょう。

　しかし、今回のオーストラリアのケースを見ても分かるように、対象企業の負担は小さくはなく、その負担の大きさと、違反した場合の罰金の大きさを比較すると、隠蔽するケースが増えてしまうのではないかと危惧しています。だからと言って、罰金を高くすれば良いかと言えば、そんなことはなく、隠蔽が巧妙化するだけかもしれません。

　いずれにせよ、報告が義務化されても、それだけで被害が減るわけではないので、組織としては「サイバー恐喝」の被害に遭う可能性は常にあるとの前提で備えるしかないことに変わりはありません。

　ちなみに、身代金を支払っている割合は調査によって大きく異なっており、はっきり言ってしまうと「実態は分からない」のが現実です。「支払うべきではない」のはその通りなのですが、少なくとも海外では、身代金の金額などを恐喝者と交渉するプロの「交渉人」がビジネスとしてすでに成立しており、実際、身代金を支払ってしまうケースは決して少なくないことだけは確かのようです。そういった現実も、身代金支払い報告義務化の背景にあると考えるべきでしょう。