ベルリン州政府、Bitcoin(BTC)30枚の身代金を拒否し5.8TBのファイル流出

ハッカーが5.8TBの盗難ファイルを公開

ベルリン市当局が30 Bitcoin (BTC)の身代金支払いを拒否した直後、同州の行政ネットワークから奪われた約144万ファイル・5.8テラバイト分の情報がオンライン上に公開された。要求額は設定時点のビットコインの価格で約200万ユーロに相当する。ハッカー側は8月末に漏えいサイトへベルリンを掲載し、支払い期限を9月4日と指定していた。この日にち着が過ぎても送金がなかったため盗難データは公開され、翌夜にはさらに約55万ファイルが追加された。流出物には契約書、人事や給与の記録、公務員と市民の個人電話番号や自宅住所が含まれ、市の水道インフラに関する脆弱性分析まで入っていた。ドイツ連邦情報セキュリティ庁(BSI)は、盗まれたファイルに含まれる実在の案件番号を引用したフィッシングメールがすでに出回っていると警告する。本物の識別子を載せたメッセージは、典型的な詐欺メールよりはるかに信じやすい。ベルリンは専用の連絡用メールと情報ページを設け、数百人から問い合わせが寄せられた。一方、この恐喝に結び付くオンチェーン上の着金記録は現時点で確認されていない。事案は、Bitcoin建てで機関を狙う恐喝というより広いパターンに位置する。問題の核心は決済手段ではなく、攻撃者が手元に残したコピーの消去を確認できない点だ。支払う政府は削除を検証できない。ベルリンは支払いを拒む道を選び、今は一つずつファイル単位で後始末を進めている。

偽の画面から全面侵入へ

侵入の起点はソフトウェアの欠陥ではなく、ソーシャルエンジニアリングだった。8月7日、ベルリン交通部局の職員が偽のセキュリティ認証画面を表示され、「人間である証明」としてWindowsターミナルにコマンドを貼り付けるよう指示される。この指示に従ったことが攻撃者への足掛かりとなった。パスワードが暗号化されないまま通常の業務文書に保存されていたため、ネットワーク内の移動は容易だった。攻撃は都市開発・建築・住宅部局と、交通・気候・環境部局の二つに広がった。管理者は8月14日に侵入を検知し、両部局を行政ネットワークから切り離した。この措置でメール、共有文書、住宅給付の審査に支障が出た。恐喝の段階は常套どおりで、攻撃者は期限を示して待つだけだった。カイ・ウェグナー市長は公の場で「ベルリンは脅迫には屈しない」と述べた。支払いを拒む論理は二本ある。複製されたデータは削除の約束にかかわらず売却できること、そして公金が犯罪者に流れれば次の攻撃の資金になリかねないことだ。ビットコイン (BTC)の設計はこの両方を際立たせる。プルーフオブワーク方式のネットワークとして、取引は仲介者なしで決済され、一度承認されると取り消せない。約束が破られても支払い側に救済手段は残らない。ベルリンは小規模ながら同様の経験がある。2019年には上級裁判所がマルウェアの被害を受け、ネットワークから分離され、判事150人と職員370人が数か月間、電話とファクス、郵便だけで業務を続けた。当局は当時、セキュリティが求められる水準に満たなかったことを認めている。部局ごとのセキュリティ管理を持つ共有ネットワーク構造が、両事件に共通する構造的弱点のままだ。

30 BTCはそもそも本質ではなかった

COINOTAGの読みでは、ベルリンの拒否は経済的に合理的で、他の行政も踏襲できる前例を作った。当時の約200万ユーロに相当する30 BTCという要求額は、暗号資産のクジラのウォレットと比べれば誤差のような金額だ。本当のコストは金額ではなく、支払いという前例の確立にあった。短期的な打撃がより大きいのは住民側で、実在の案件番号を利用したフィッシングに直面する。政府がビットコインに関わる経路は通常、戦略的ビットコイン準備として保有するか、まったく関わらないかのどちらかであり、恐喝要求は望まれない第三の経路だ。現物市場は過去24時間で3.4%下落したが、これはより広い資金フローによるもので、ベルリンの事案とは無関係である。冒頭の数字は今も変わらない。5.8テラバイトの公的記録は公開されたまま残り、分割された公開の進め方は、今後さらに続きが出る可能性を示している。