最近、ある会社のIT管理の状況を詳しく聞く機会があり、その内容を聞いて目の前が真っ暗になる気持ちになりました。
I recently had a chance to hear the details of an IT management environment at a particular company, and the content made me feel as if my vision went completely dark.
なぜ目が眩んだかというと、そのITシステムの運用実体を聞いて
The reason I felt so overwhelmed was that, upon hearing how their IT systems were actually being operated,
―― これが、日本の社会の平均的なIT運用管理であるなら、私(江端)くらいの力量でも、サイバー攻撃が可能
“If this represents the average level of IT operations in Japan, even someone with my (Ebata’s) skill set could launch a cyberattack,”
と実感したからです。
This is the stark conclusion I reached.
-----
現在、ランサムウェアによるサイバー攻撃で、日本の著名な会社がシステム障害に陥っているのは、ご存知の通りです。
As you know, several well-known Japanese companies have recently suffered major system failures due to ransomware attacks.
それらの会社が、特別にITシステムが懦弱であったとは思っていません。
I do not believe those companies had unusually weak IT systems.
そこそこ著名で大きな会社です ―― セキュリティ対策がザルであったとは思えません。
They are reasonably large and reputable firms — it is hard to imagine their security measures were completely careless.
でも、とんでもない被害にあっているのは事実です。
Yet it is a fact that they have suffered devastating damage.
上記の2つの件から推測するに、『ランサムウェアによるサイバー攻撃によって、すでに、身代金を支払った会社』は、相当数あるのだろう、と考えています。
From these two observations, I cannot help but assume that there must already be a considerable number of companies that have paid ransom to ransomware attackers.
身代金の方が安い ーー と考える会社が いたとして、不思議ではありませんし、すくなくとも私はそれを責めることもできません。
It would not be surprising if some companies decided that paying ransom was cheaper, and I am in no position to criticize them for it.
会社という組織は「儲けてナンボ」であり、「社会正義」は、その次か、その次の次の次くらいに、顧客向けに挙げられる項目になるでしょう。
A company exists to make profit first; “social justice” comes second—or third or fourth—as a slogan presented to customers.
-----
ある企業では、経営会議でこんな話がされていると思います。
I imagine the following kind of discussion taking place in some executive meetings:
「バックアップを強化して、攻撃を受けても復旧できる体制を作るべきでは？」
“Shouldn’t we strengthen our backups and build a system that can recover even after an attack?”
「いや、それには一年かかるし予算も億単位だ」
“No, that would take a year and cost hundreds of millions of yen.”
「身代金は？」
“What about the ransom?”
「500万円です」
“Five million yen.”
「……払った方が安いな」
“…Paying is cheaper.”
こうして企業は静かに“経済合理性”を学習することになります。
And this is how companies quietly learn “economic rationality.”
コンプライアンスより、倫理より、セキュリティより、コスト計算が優先されるからです。
Because cost calculations take priority over compliance, ethics, and even security.
-----
『「ランサムウェアの攻撃に対して身代金を払う」が普通になる日』という仮想の世界を考えてみました。
I tried imagining a world where “paying ransom in response to ransomware attacks” becomes normal.
その世界では何がおこるか。
What would happen in such a world?
企業は、「セキュリティ投資」ではなく「ランサムウェア支払い積立金」を予算化するようになる。
Companies would budget not for “security investment” but for a “ransom payment reserve fund.”
経理部の仕分け項目には、
In the accounting department’s expense categories,
・通信費、消耗品費、公租公課
“Communication fees, consumables, taxes, and dues,”
に加えて
would be joined by
・ランサム費
“Ransom expenses.”
が入る。
As a standard entry.
もちろん理想を言えば、世界中の企業が支払いを拒否し、犯罪の成立条件を消し去るべきであることは分かっています。
Ideally, all companies worldwide should refuse to pay, eliminating the very conditions that allow these crimes to succeed.
しかし、現実は残酷なほどシンプルです。
But reality is brutally simple.
- システムを止めたら死ぬほど損する
- If the system stops, the losses are enormous.
- バックアップはなぜか壊れている
- Backups are somehow broken.
- 経営陣は早く復旧させたい
- Executives want a fast recovery.
- 株主は怒っている
- Shareholders are furious.
- 顧客も待っている
- Customers are waiting.
- そして身代金は比較的“安い”
- And the ransom is relatively “cheap.”
社員が人質になっている訳でもなく、ましてや殺害された訳でもない。本社や工場をミサイル攻撃受けるわけでもない。
No employees are being held hostage or killed. Headquarters and factories are not being bombed.
もちろん、支払うことで“次のサイバー攻撃”の可能性を含めたとしても、『これは勉強代だ』という玉虫色のセリフを使って、企業がどのような選択をするのかは、火を見るより明かでしょう。
And even considering that paying may invite “the next attack,” it is painfully clear what choice a company will make once the vague excuse of “a learning expense” becomes available.
-----
正直に言いますが、私は、かなり悔しい思いをしながらこのコラムを書いています。
To be honest, I am writing this column with a strong feeling of frustration.
生成AI（ChatGPT）にも、ランサムウェア攻撃に対する“合理的な反撃方法”を考えさせてみましたが、返ってきたのは――
I even asked a generative AI (ChatGPT) to propose rational countermeasures against ransomware, but what came back were—
「社会正義が損なわれる」
“Social justice will be undermined.”
「不安定な社会を招く」
“It will lead to an unstable society.”
「市民生活への脅威である」
“It threatens civic life.”
といった、耳障りは良いが、正論としてはあまりにも予定調和すぎる言葉ばかりでした。
smooth-sounding yet overly predictable statements that anyone could have written.
言ってしまえば、そんなものは私でも書けるし、読んでも腹の虫は収まりません。
Frankly, I could have written those myself, and reading them does nothing to ease my anger.
私がランサムウェア攻撃に対してどうにも怒りが湧き上がるのは、憎むべき相手がどこにも見えず、殴るべき対象に手が届かないという点にあります。
What fuels my anger against ransomware is that the enemy is invisible, and I cannot reach the target I want to hit.
被害は現実なのに、加害者は霧の向こうに消えたまま。
The damage is real, yet the perpetrators disappear into the fog.
誰に怒りを向ければ良いのか分からない。この“ぶつけ先のない怒り”こそが、ランサムウェアの陰湿さであり、やるせなさです。
Not knowing whom to direct anger toward—this “anger without a destination” is the true insidiousness and frustration of ransomware.
-----
そう考えると、喧嘩する相手が「実体を持った何者か」であるという状況が、どれだけ“幸せな喧嘩”だったのかを思い知らされます。
When I think about it, having a tangible opponent to fight was, in its own way, a “fortunate kind of conflict.”
少なくとも、相手の顔が見えれば怒りは向かう場所を得るし、対処の方法だって選べる。
At the very least, if the opponent has a face, anger has somewhere to go, and we can choose how to respond.
最近の日中関係のゴタゴタを眺めながら、私はその奇妙な事実に気づき、なんとも言えない気分になるのです。
Watching the recent turmoil in Japan–China relations, I became aware of this strange truth, leaving me with a complicated feeling.
―― 可視化された相手と 殴り合える 状態は、まだ “幸せ” と言えるのかもしれない
— Being able to “fight an opponent you can actually see” may still be considered a kind of “happiness.”
見えない相手に、組織（会社や政府）のITシステムの根幹を握られる今の状況を思えば、そう結論せざるを得ません。
Considering how invisible adversaries now control the core of organizational IT systems—whether in companies or governments—I cannot reach any other conclusion.
