以前からうすうす感じてはいたが、国連の安全保障理事会専門家パネルが発表した「報告書」に記載されている内容を知れば納得する。「北朝鮮は外貨収入の約50%をサイバー攻撃によって得ている」という事実だ。続いて「大量破壊兵器の開発費用の約40%がサイバー攻撃から得た資金である」と指摘する。

どういう攻撃で資金を得ていたか。ランサムウエア攻撃が有力である。サイバー攻撃によって団体や企業の情報ファイルを勝手に暗号化して利用できないようにし、暗号化をほどくにはビットコインなど暗号資産（仮想通貨）で支払いをしなければならない。緊急を要する場合には、秘密裏に処理をし、要求通りに支払いを行う。「当たり障りなく」事件を処理しようとする日本企業はこういう行動でとりあえず暗号を解こうとするのが普通かもしれない。

極端なケースでは、医療機関などで今日、これから手術しなければいけない患者のデータが分からなくなる、というような緊急事態に陥る。とりあえず指示に従って、要求された暗号資産を送金する。患者の命とは引き換えにできない。そういう被害には専門機関に連絡して対応措置を相談するルールもあるが、手術を即座に行わなければならない当事者はそんな相談の余裕はないのが現実だ。要求された金額を支払う方が直近の正解の行動である。同様の事情がランサムウエアの多数の被害企業で起きている。被害企業からすれば被害を収めるための当然の措置である。

しかし、これは犯罪実行者にお金を送り、トラブルを収めるということだ。もちろん、これで事件解決、とはいかない。勝手に暗号化された情報ファイルの内容は攻撃者にコピーされている可能性が高い。コピーされたこの情報はその後、あちこちに拡散されるかもしれない。さらに悪用されて被害を広げる可能性もある。お金を送って暗号化された情報を復元した、というだけで事件は落着したわけではない。

いろいろの問題がある。ここで重要な指摘を一つすれば、国連報告書によれば、サイバー攻撃によって得た資金で、北朝鮮が大量破壊兵器を開発していると思われることだ。
短絡的に言えば、ランサム攻撃を受けて、その対処策として慌てて送金すれば、それが核ミサイル開発を推進する行動になる。

似たようなロジックを最近聞いた気がする。
大リーグ、大谷翔平選手が通訳だった水原一平氏に巨額の資金を詐取されたという問題だ。第一報があった時、巨額の違法賭博の損失を親友の大谷翔平選手が支払い代行をしてくれた、と水原元通訳が説明した。日本の感想としては一見美談のように聞こえる。しかし、それは虚偽だった。大谷選手に「この虚偽のシナリオに口裏を合わせてくれ」と元通訳者が懇請したのを大谷選手は断固拒否していたことも分かった。もし、友情の証として大谷選手が肩代わりしたとしたら、実は米国ではとんでもないことになっていた、と言われている。

この一連の過程で日米の常識の違いが分かった。際立ったのは日本の常識の甘さだ。日本では「友情の証」という温かい人情話に思ってしまいがちだが、米国の常識は全く異なる。もし、大谷選手が支払いを代行していれば、米国では違法賭博を助ける者として刑事責任を問われる危険があるらしい。違法賭博者（組織）に資金を提供するのは違法賭博者の違法を支援するという解釈である。もしかすると「共犯者」として追及されるかもしれない。見方を変えれば確かにそう見える。

国連報告書を読んだ後では、ランサム攻撃を受けて攻撃者に資金を送るのは、北朝鮮の核ミサイル開発を支援する行為になるように見える。その危険を避けるにはどうすれば良いのか。方法は唯一、情報ファイルを暗号化され、人質にとられるような隙を作ってはならないのである。自分の企業、病院、団体などが金を脅し取られる被害だけでは済まない。その資金が北朝鮮の核ミサイルの資金になって「核ミサイル」開発の共犯者のポジションになるかもしれない。

そのことが分かった以上はランサム攻撃で犯人に資金を支払うことは犯罪である。核ミサイル開発に手を貸すという意味では人類に対する重大犯罪である。ランサム攻撃から情報ファイルを守らなければ、北朝鮮の核ミサイル開発の支援者になるかもしれない。
これがサイバーセキュリティの新しい常識である。核ミサイル開発の共犯者になってはならない。ランサム攻撃からファイルを守らなければならない。

中島洋の「セキュリティの新常識」コラムは、こちら