身代金支払いの是非と
企業法務の法的論点

ランサムウェア型の要求では、暗号化に加えて、データを持ち出して公開を迫る二重恐喝、顧客・取引先・役員・従業員への直接連絡やDDoS攻撃を組み合わせる三重恐喝が問題になります。復号鍵の購入のように見えても、実質は犯罪者による恐喝への対応です。

次の一覧は、身代金支払いを原則として避ける理由を、復旧、再攻撃、犯罪資金、制裁、報告義務の五つに分けて示しています。これは初動会議で優先順位を誤らないために重要です。読者は、支払いが一つの問題を解決するどころか、同時に複数のリスクを増やす可能性がある点を確認してください。

ただし、身代金支払いの是非を単純に道徳論だけで決めると、医療、公共交通、エネルギー、水道、金融決済、海外拠点の人質事案、要配慮情報の公開リスクなどを十分に扱えません。実務では、支払いを含む選択肢を検討せざるを得ない場面を、違法性の排除と代替策の尽くし方で管理します。

この一覧は、例外的に支払い検討の議題に上がり得る状況を並べたものです。いずれも支払いを推奨する意味ではなく、生命身体や不可逆的損害を含む危機で、何を比較材料にするかを見失わないために重要です。読者は、検討対象になる場面でも、支払いは有効な解決策ではなく最後の選択肢として扱われる点を読み取ってください。

日本法上は、恐喝の被害者が金銭を交付したという一点だけで、被害企業や役職員が当然に犯罪者になるとは限りません。しかし、それは支払っても常に適法という意味ではありません。支払先、支払経路、適用法域、関与者、目的、代替手段、緊急性を具体的に検討します。

この表は、日本法上の主要論点を、攻撃者側の犯罪、被害企業側の支払い、外為法、テロ資金供与、反社会的勢力、AML/CFTに分けて示しています。論点ごとに適用される法令や確認資料が異なるため、法務・コンプライアンス・財務・ITが同じ表で確認することが重要です。読者は、支払いの是非が刑事法だけでなく、経済制裁、資金洗浄、暗号資産、契約上の反社条項まで広がる点を読み取ってください。

個人情報、証券開示、国際制裁は、支払いの有無にかかわらず残る論点です。攻撃者が削除や非公開を約束しても、個人データの持ち出し、暗号化による毀損・滅失、不正アクセス、マルウェア感染、業績影響、投資家影響は別に判断します。

次の表は、報告・通知・開示・制裁確認を、主な期限や判断の入口ごとに整理しています。期限や判断時点が違うため、一本化した工程管理がなければ抜け漏れが起きやすくなります。読者は、支払い交渉と並行して、個人情報保護委員会、本人、顧客、証券取引所、SEC、OFAC、英国・EU規制への対応を別線で動かす必要がある点を読み取ってください。

次の時系列は、個人情報と証券開示の期限感を並べて示しています。支払い交渉の期限に引っ張られて公的・契約上の期限を忘れないために重要です。読者は、初期評価、速報、確報、投資家向け開示の判断時点が重なり合うことを読み取ってください。

身代金要求を受けた直後に避けるべきことは、証拠を消すことです。感染端末の隔離、安易な電源断の回避、システム管理者・セキュリティベンダー・警察相談窓口への相談などを、証拠保全と復旧の両面から検討します。

次の一覧は、保全すべき情報を技術・交渉・復旧・意思決定の観点でまとめたものです。これらは捜査協力だけでなく、個人情報保護委員会への報告、顧客説明、損害賠償請求、保険請求、取締役会検証、訴訟、監査対応の基礎になるため重要です。読者は、初動で消してよいログや連絡記録はほとんどない点を読み取ってください。

次の比較一覧は、支払いを検討する場合でも欠かせない統制を示しています。交渉方法や暗号資産の送金手順を案内するためではなく、法令違反と二次被害を避けるための統制を確認することが重要です。読者は、接触、交渉、決裁、支払い後対応をすべて記録管理の下に置く必要がある点を読み取ってください。

身代金支払いの是非を検討する決裁メモは、結論を正当化するための後付け文書ではなく、意思決定者がどの事実とリスクを見て判断したかを残すための文書です。支払い、不払い、判断保留のいずれでも、同じ項目で比較できる形にします。

次の一覧は、取締役会又は危機対策本部向け決裁メモの項目例です。各項目は、後日の規制当局、監査人、裁判所、株主、取引先、従業員への説明材料になるため重要です。読者は、事案概要から支払い後又は不払い後の対応まで、判断前に記録の骨格を決める必要がある点を読み取ってください。

この表は、危機対応で関与する役割と主な責任を一覧化したものです。身代金支払いの是非は一部門だけでは判断できず、法務、IT、経営、監査、個人情報、財務、広報、保険、警察・当局の連携が必要になるため重要です。読者は、誰が何を担うかを事前に決めておかないと、権限不明のまま攻撃者の期限に追われる点を読み取ってください。

Q1. 身代金を支払うことは日本で違法になりますか。

一般的には、恐喝の被害者が支払ったという一点だけで直ちに犯罪になるとは限らないとされています。ただし、支払先が制裁対象者、テロ関係者、反社会的勢力、資産凍結対象者である場合や、外為法、外国制裁法、AML/CFT、反社規制に抵触する場合は、結論が変わる可能性があります。具体的な対応は、支払先・支払経路・適用法域を整理したうえで弁護士等の専門家へ相談する必要があります。

Q2. 支払えば個人情報保護委員会への報告は不要になりますか。

一般的には、支払いは漏えい等又はそのおそれを消滅させるものではないとされています。攻撃者が削除したと述べても、複製・転売・再公開の可能性は残ります。具体的には、個人データの持ち出し、暗号化による毀損・滅失、不正アクセス、マルウェア感染の事実に基づいて、専門家と報告・本人通知の要否を確認する必要があります。

Q3. 支払えばデータは戻りますか。

一般的には、復号鍵の提供やデータ回復は保証されないとされています。復号鍵が提供されない、一部しか機能しない、復号に長時間を要する、復号中にデータが破損する、バックドアが残る、別グループが再攻撃する可能性があります。具体的な復旧見込みは、バックアップ状況や技術調査を踏まえて専門家に確認する必要があります。

Q4. 攻撃者と会話してよいですか。

一般的には、接触自体が常に違法とは限らないとされています。ただし、法務、警察、保険会社、フォレンジック専門家への相談前に約束をしたり、証拠を消したりすることは大きなリスクになります。接触する場合は、権限者、記録方法、禁止事項、法的留保を定めたうえで、専門家の管理下で行う必要があります。

Q5. 取締役会決議は必要になりますか。

一般的には、会社の規模、支払額、被害規模、業務停止、開示影響、保険、制裁リスク、社内規程によって判断が変わります。重要な支払い、重大な事業影響、上場会社の開示事項、社会的影響がある場合は、取締役会又は権限者による明示的な決裁が必要になる可能性があります。具体的には、社内規程と事案の重要性を確認する必要があります。

Q6. サイバー保険があれば支払ってよいですか。

一般的には、保険は適法性を保証するものではないとされています。保険会社が費用を補償する場合でも、制裁法、テロ資金供与、個人情報保護法、会社法上の取締役責任、適時開示義務、反社対応義務は別問題です。具体的には、保険会社への通知と事前承認に加え、法的確認を行う必要があります。

Q7. 攻撃者が警察へ言わないよう求めています。

一般的には、攻撃者の指示は法令・契約上の義務を変更しないとされています。警察、監督官庁、個人情報保護委員会、証券取引所、保険会社、顧客への報告要否は、被害状況と法令・契約に基づいて判断します。具体的な報告方針は、証拠と被害範囲を整理したうえで専門家に相談する必要があります。

Q8. 攻撃者の削除証明は信用できますか。

一般的には、攻撃者による削除証明の信頼性は低いとされています。一部データを削除したとしても、複製、共有、転売、バックアップ、スクリーンショット、別グループへの提供を排除できません。具体的には、削除証明だけで報告義務や本人通知義務が消えるとは考えず、技術調査と法的判断を分けて確認する必要があります。

Q9. サプライヤーの感染で自社データが巻き込まれた場合はどう考えますか。

一般的には、まず委託先・サプライヤーの契約上の責任、事故対応能力、保険、復旧策、データ範囲、再委託先を確認するとされています。自社が直接支払う場合は、支払先の法令適合性や保険・会計処理がさらに複雑になります。具体的には、顧客・本人・監督官庁への報告義務を自社でも検討する必要があります。

Q10. 支払った事実は公表されますか。

一般的には、支払額や支払いの有無を常に公表する義務があるとは限らないとされています。ただし、上場会社の適時開示、投資家説明、監督官庁報告、保険、会計、顧客説明、訴訟では、支払いが重要事実になる可能性があります。具体的には、虚偽説明や矛盾した説明を避けるため、開示範囲と時点を専門家と確認する必要があります。

身代金支払いの是非と法的論点を一文でまとめると、企業は身代金支払いを原則として回避しつつ、生命・身体・重要業務・第三者被害に関わる極限状況では、違法性を排除し、代替策を検討し、専門家・当局・保険会社と協議し、取締役会レベルで記録化したうえで、最後の選択肢として検討することがあります。

この強調枠は、支払い判断で最後に残すべき実務姿勢をまとめています。結論の強さだけを競うと、技術、法令、ガバナンス、説明責任のいずれかが欠けるため重要です。読者は、支払いを拒否するにも、支払いを検討するにも、同じだけの準備と記録が必要である点を読み取ってください。

支払いを拒否するためには、拒否できるだけのバックアップ、復旧計画、危機対応体制が必要です。支払いを検討するためには、制裁、テロ資金供与、反社、AML/CFT、個人情報、開示、保険、取締役責任を横断的に確認する統制が必要です。これが、ランサムウェア時代の企業法務における危機管理の中心になります。