ランサムウェア攻撃の深刻さを暴露した男性を市が提訴、市長が「データは犯罪者には利用できない」と述べたのに対し研究者がそうではないことを証明したのが原因

ランサムウェア集団「Rhysida」によって流出した市のデータを違法に入手・配布したとして、オハイオ州コロンバス市がセキュリティ研究者のデヴィッド・リロイ・ロス氏(通称コナー・グッドウルフ)を提訴しました。ロス氏は流出したデータの機密性を訴えていましたが、市によって否定されたため、データの一部をメディアに公開していました。

Complaint-240829 - DocumentCloud
https://www.documentcloud.org/documents/25082253-complaint-240829

City of Columbus sues man after he discloses severity of ransomware attack | Ars Technica
https://arstechnica.com/security/2024/08/city-of-columbus-sues-man-after-he-discloses-severity-of-ransomware-attack/

Researcher sued for sharing data stolen by ransomware with media
https://www.bleepingcomputer.com/news/security/researcher-sued-for-sharing-data-stolen-by-ransomware-with-media/

214万人の人口を抱えるオハイオ州の州都、コロンバス市は、2024年7月18日にランサムウェア攻撃を受けてさまざまなサービスが停止し、電子メールや公共機関等のITシステムが利用できなくなっていました。7月末、コロンバス市は「ランサムウェアによって暗号化されてしまったシステムはなかったが、機密データが盗まれた可能性を調査中」との声明を発表しました。

この声明が発表されたのと同日に、Rhysidaというランサムウェア集団が犯行声明を出し、従業員のログイン認証情報や、サーバーのデータ、市のビデオカメラの映像、その他の機密情報を含む6.5TBのデータを盗んだと主張しました。市が身代金の支払い要求に応じなかったため、Rhysidaは3.1TBからなる26万ものファイルを公開して挑発しました。

後に提出されたコロンバス市の訴状によると、暴露されたファイルには少なくとも2015年までさかのぼる内容のデータがあり、地元の検察と警察が収集した大量のデータや、覆面捜査官の個人情報などが含まれていたとのことです。しかし、データが流出した当日、コロンバス市長は「開示された情報は貴重なものでも使えるものでもなく、攻撃は首尾よく阻止された」との声明を出し、挑発をかわしていました。

この点に疑問を抱いたロス氏はダークウェブからデータを入手し、データを精査して「機密」と見なされる情報が存在することを確認します。そして、何が含まれていたのかをメディアに伝え、機密データや貴重なデータは流出しなかったという市長の主張に異議を唱えました。

これに対し、市長は「流出したデータは暗号化されているか破損しているため使用不可能であり、一般市民が心配する必要はない」と指摘。

しかし、ロス氏はこの主張にも反論し、データのサンプルをメディアに公開して、暗号化されていないコロンバス市民のデータが含まれていることを証明しました。ロス氏から情報の共有を受けたNBC4は「情報の中には家庭内暴力事件の関係者名や、警察官や犯罪被害者の社会保障番号などが含まれていました。データは市の職員だけでなく、数年分にのぼる住民や訪問者の個人情報も明らかにしました」と報じました。

こうしたロス氏の行為を問題視し、コロンバス市はロス氏を提訴しました。コロンバス市が提出した訴状では、ロス氏がアクセス制限のあるプラットフォームでデータを公開していて、誰もがデータにアクセスできる状態にしたわけではないことを認めつつ、盗まれたデータを広めたロス氏の行為は過失であり違法であるとしています。

また、「市民が自分のデータが流出したかどうかを確認できるウェブサイトを作成する計画がある」とロス氏が発言していることもコロンバス市は懸念しており、警察の捜査を妨害するものであると指摘しました。

ソーシャルサイトのHacker Newsでは、「ロス氏がどのようなデータを共有したのかによって状況が変わります」「ロス氏がデータそのものを公開したのか、データの存在だけを公開したのかは定かではありません。この不透明さこそが、市が訴訟に踏み切った原因ではないでしょうか」などのコメントが寄せられています。

コロンバス市は盗まれたデータのさらなる拡散を防ぐためにロス氏に対する差し止め命令を提出していましたが、後に裁判所判事が一時差し止め命令を認め、ロス氏に対してデータへのアクセス、ダウンロード、配布を禁止しました。

差し止め命令について、市長は「言論の自由を抑圧するものではなく、ロス氏は引き続き今回の事件について自由に語ることができる。どのようなデータがあるのかを説明することもできるが、データの配布は許可されない」と指摘しました。

コロンバス市はロス氏に対して2万5000ドル(約370万円)を超える損害賠償を求めています。

なお、ダークウェブには依然として流出したデータが公開されており、知識のある人ならば誰でもアクセスできる状態にあるとのことです。