攻撃されたランサムウェアの内容と被害
〔1〕身代金を要求したメッセージ
図1は、攻撃者の脅迫文（メッセージ）である。ノルスク・ハイドロのシステムに大きな欠陥があったことを指摘し、「それを利用したのが詐欺集団ではなく、まじめな我々であったことに感謝すべきだ」とある（図1①）。さらに、「軍レベルの最強のアルゴリズムでデータを暗号化した」（図1②）「大人しく身代金を払って復号鍵を入手してデータを回復すべきだ」（図1③）という内容が書かれている。主な攻撃手法は、表2のような内容である。同社のサイバー攻撃直後の1週間の損失は、38～45億円と発表されている注5。
図1 身代金を求める攻撃者からのメッセージ
出所 Halvor Molland, “The cyber attack on Hydro”,「 第5回 重要インフラサイバーセキュリティコンファレンス」（2021年2月10日）より
表2 ノルスク・ハイドロの主なサイバー攻撃内容
Cobalt Strike：標的型攻撃を模倣することができる商用ソフトウェア。インシデント対応演習などで利用されるが、攻撃者に悪用されるケースもある。JPCERT/CCは、2017年7月頃から国内の組織に対してCobalt Strikeを悪用した攻撃が行われているとして注意喚起している。
LockerGoga：2019年1月～3月に欧州の生産工場に拡がった新種のランサムウェア。攻撃対象者のファイルを暗号化し身代金を要求するという従来の方法に、新しい機能を追加した。
出所 独立行政法人 情報処理推進機構 セキュリティセンター、「制御システムのセキュリティリスク分析ガイド補足資料、制御システム関連のサイバーインシデント事例5 ～2019年ランサムウェアによる操業停止～」（2020年3月）を一部加筆・修正して作成
ノルスク・ハイドロは広報戦略の決定に加え、「身代金を払わずにバックアップシステムを使って復旧すること」を決めた。
〔2〕ほとんどの生産拠点のPCとサーバが感染
被害は、ノルスク・ハイドロの2万3,000台のPCのうち1万1,000台が感染し、そのうち2,700台が暗号化され、サーバについても同様な比率で、1,100台が感染し、500台が暗号化されたことが判明した。
「当社のクライシスコミュニケーション戦略では、Webページ「Hydro.com」を中核拠点としてすべての広報活動を行うことでしたが、今回の攻撃で、Webサイト用サーバも暗号化され使用できなくなり、すぐに他の通信手段に切り替えました」（モランド氏、図2）。
図2 社内外の連絡用に利用した代替手段としてのツール
WhatsAppや右側の張り紙は社内への連絡代替手段として、TwitterやFacebookは社外への連絡の代替手段として活用した。このWhatsAppの画面は、サイバーインシデントが発生したことを幹部に伝えた実際のやりとり。連絡手段を1つに頼るのでなく、攻撃を受けた際にSNSや紙などの物理的な手段も含め、普段から複数の手段を想定しておくことが大事であることがわかる。
出所 Halvor Molland, “The cyber attack on Hydro”, 「第5回 重要インフラサイバーセキュリティコンファレンス」（2021年2月10日）より
複数回に渡った、オープンで頻繁、透明性の高い情報発信
ノルスク・ハイドロは、100カ国以上、3万人以上の顧客に材料や商品を提供し、多くの顧客は同社の納入品に依存している。そのため、同社の厳しい状況は当然顧客の問題にもなると考えた。そこで、顧客やサプライヤーとの対話の基礎となるよう、情報を一元化した発信を広報戦略とした。
「インシデント後の関係もお客様とは続くわけですから、お客様にも最新の情報を伝えることが広報戦略上、重要となります。このため、社員を仲立ちとしてお客様に対して適切な広報活動を行いました」（モランド氏）。
頻繁でオープンで透明性の高い広報原則に基づき、最初の記者発表は攻撃の発覚の数時間後の3月19日8時31分、そして3月19日15時にはライブストリーミングで、最初の記者会見を行っている（表3）。サイバー攻撃後、1日目にして全世界から状況をフォローできるようにしたのだ。
表3 頻繁にアップデートして行った社内外の広報戦略（概要）
本社では毎朝、全社員参加のミーティング（タウンホールミーティング）を行い、それをビデオカメラで録画し、その動画を同社の世界拠点に配信した。それに加えて、社員がAndroidやiPhoneなどのデバイスにダウンロードできる社内用アプリもコミュニケーションツールとして駆使した。
※1 1ノルウェー・クローネ＝約13円換算。
出所 Halvor Molland, “The cyber attack on Hydro”, 「第5回 重要インフラサイバーセキュリティコンファレンス」（2021年2月10日）、および www.hydro.com を参考にして作成
