二重身代金＋AI攻撃に備える実務書：交渉戦術・保険請求・法務チェックリスト

イントロダクション：現場が直面する“二重身代金”とAI支援型攻撃

近年、攻撃者はファイルの暗号化に加え、機密データの窃取と公開を同時に脅迫する「二重身代金（double extortion）」を常套手段として用いています。本稿では、被害発生時の初動から交渉戦術、サイバー保険への請求、そして法務・通知に必要なチェックリストまで、実務で使える手順とテンプレートを整理します。

加えて、生成AI（ディープフェイク、音声合成、SNS自動化）を悪用したソーシャルエンジニアリングや恐喝手法が増加しており、攻撃のスピードや巧妙さは加速しています。本記事は組織のCISO、インシデントレスポンスチーム（CSIRT）、法務・リスク管理担当者を主な読者に想定しています。

この記事で得られること

• 交渉における実務チェックリスト（ログの保全、交渉記録、第三者の関与基準）
• サイバー保険請求に必要な証拠・ドキュメントとタイムライン
• 法務観点の通知要件・刑事対応の基本フロー
• AIを絡めた攻撃への追加対策ポイント

実務編①：交渉戦術と現場での手順

1) 初動で絶対に行うこと（最初の60〜120分）

• 被害の範囲特定（暗号化された資産、窃取されたデータの可能性、影響系統）
• ネットワーク分離（被害端末の隔離、バックアップ経路の確保）
• ログ・証拠の保全（バックアップのイメージ、プロセス一覧、通信ログ、暗号化前のスナップショット）
• 銀行口座・外部公表の準備：リスク評価とステークホルダー通知のための初期ブリーフ作成

これらはCISA等のガイダンスで推奨される初動手順と整合します。現場では「可変的優先順位」を定め、業務継続（MTPD）とフォレンジックの両立を図ってください。

2) 交渉ロールと記録

• 交渉担当者は最小化：ITリーダー、法務、CSIRT、外部交渉ブローカーの窓口を決める
• すべての通信を記録する（チャットログ、スクリーンショット、タイムスタンプ）—後の保険・法務で必須
• 支払い可否の判断はCISO単独で行わない（経営・法務・保険ブローカーを巻き込む）

交渉そのものは感情的にならず、時間を買う（情報取得）ことが優先です。交渉に応じる前に、代替復旧、復旧コスト、ブランド影響の定量化を行ってください。

3) AI/深層偽造（deepfake）が絡む場合の追加留意点

• 公開威嚇（泄露の例示）が音声や動画の合成の場合、元データの真正性検証と偽造判定ログを保持する
• 公開前に第三者（フォレンジック業者）による検証を試みる：偽造であれば拡散対策が変わる
• 被害を証明するための“オリジンデータ”を保全する（メールヘッダー、生ログ、駆動したAIリクエストのトレース）

生成AIを悪用するケースは増加しており、公開情報の真正性評価が交渉戦術の重要要素になります。

実務編②：サイバー保険請求・証拠収集の具体手順

サイバー保険に基づく支援（交渉代行、フォレンジック費用、身代金支払い補償など）を利用する場合、保険金支払いの可否は証拠の質とタイムラインに大きく依存します。保険会社の報告では、請求の頻度・件数に変動はあるものの、請求の重大性と複雑さは増していると指摘されています。

請求に必要な最小限のドキュメント

• インシデント発生日と発見日時のログ（正確なタイムスタンプ）
• 暗号化・窃取が発生した資産リスト（ファイル名、パス、サンプルハッシュ）
• フォレンジックレポート（第三者によるイメージ取得と解析結果）
• 攻撃者とのやり取り記録（スクリーンショット、チャットログ、要求内容）
• 被害により発生した直接コスト明細（復旧費用、外部委託費、法務費用）

タイムライン例（保険請求を意識した保存順序）

保険会社は第三者フォレンジックレポートや交渉記録を重視するため、初動での証拠保存が支払可否を左右します。

実務的なTips

• 保険ブローカーと事前に「どの証拠が必要か」を合意しておく（ポリシーのギャップを事前に確認）
• 外部フォレンジック業者は複数社の見積もりより、認定・実績のある業者を速やかに確保する
• 身代金支払いの手続きは支払いだけで終わらず、支払後の追加要求や公開リスクがあるため、法務・保険と並行して評価する

実務編③：法務チェックリストと復旧後の対応

通知・法的手続き（概念チェックリスト）

• 個人情報・機密情報が影響を受けた場合の通知義務の確認（該当する国・州法の条文を法務で確認）
• 刑事通報（警察・FBI 等）とその後の捜査対応窓口の設置
• 契約上の通知義務（取引先、委託先、サードパーティ）—SLAや契約条項に従って即時対応
• 内部調査レポートの作成と経営陣への報告（取締役会資料の準備）

法的観点では、公開前に被害内容を過度に修飾しないこと、かつ通知義務を怠らないことが重要です。司法当局や監督機関のガイダンスに従い、証拠の保全と透明性を担保してください。

復旧後の改善タスク（短・中期）

• 要因分析（root cause）と対策の実行：脆弱性修正、アクセス制御の見直し
• バックアップ戦略の再設計：オフサイト/オフラインバックアップの定期テスト
• 従業員向け訓練：AIを悪用したフィッシング・ディープフェイクへの即応演習
• 保険ポリシーの見直し：支払い済みケースや請求実績を踏まえた補償範囲の再検討

業界分析では、攻撃の複雑化と要求額の高騰が続いており、インシデント後の組織的改善投資は長期的にコスト削減へ寄与するとされています。

結論と推奨アクション

二重身代金＋AI攻撃は“発生確率”と“被害の深刻度”の両方が高い複合的リスクです。現場では以下を推奨します：（1）初動証拠保全の標準化、（2）保険・法務との事前合意、（3）AI偽造に対応する検証ルールの導入、（4）外部フォレンジック・交渉支援の関係構築。これらを実践することで、被害拡大の抑止と回復速度の向上を図れます。

本稿のテンプレート（交渉ログ、保険請求チェックリスト、法務通知テンプレ）は社内運用に合わせてカスタマイズしてご利用ください。