REvilは、RaaS（サービスとしてのランサムウェア）を行っているロシア系のハッカーグループで、世界で最も活発に活動し、利益を上げているサイバー犯罪カルテルの一つとされている。 別名「Sodinokibi」（ソディノキビ）とも呼ばれているトレンドマイクロは、「Ransom.Win32.SODINOKIBI」と名付けて分類している。。 REvilというグループ名の由来はRansom Evilの略であることがメンバーによって明かされている。日本語の読み方は「レビル」「レヴィル」「リービル」「リーヴィル」「リビール」「Rイーブル」など表記が揺れている。
概要 REvilは世界で最も活発に活動し、被害を出しているハッカー集団の一つであるとされており、日本IBMのサイバーセキュリティの動向をまとめた年次レポート「IBM X-Force脅威インテリジェンス・インデックス2021」によると、ランサムウェアの種類別ランキングで「ソディノキビ」が22％で1位だった。2位の「Nefilim（ネフィリム）」は11％で、2倍近い差をつけている。
レポートではソディノキビによって「過去1年間で1億2300万ドル（約133億円）以上」の被害があり、攻撃を受けた企業の約2/3が身代金の支払いに応じた、と分析している。グループのメンバーもインタビューで年商100億以上だと豪語している。アメリカ司法省によると被害はさらに広がり、2021年10月の時点で世界の17万5000台のコンピューターが被害を受け、2億ドル（約226億円）の身代金が支払われているという。
ランサムウェアの開発グループは10人以下。開発グループと、攻撃を仕掛けるグループはそれぞれ別の組織で、開発グループが複数の攻撃グループにランサムウェアを提供し、次々に企業のネットワークを攻撃させる。
使用するランサムウェアの特徴 REvil(Sodinokibi)は、C言語で作成されている。他のランサムウェアと比べ優れている点は、暗号化システムと言われている。ファイルの暗号化にcurve25519/Salsa20、鍵の暗号化にはcurve25519/AES-256-CTRを使用している。開発者たちは、現時点で最高の暗号化システムだと自画自賛している。
またアンチウイルスソフトやその他の手法による検知を防ぐ手段を数多く使用するため、検知するのも難しいと言われている。 多くのアンチウイルスソフトがSodinokibiの初期ペイロードを「悪意あるもの」として警告しないため、検知されずに通過され防御の第一層を簡単にバイパスしてくる。
その他の特徴として、MazeやLockbitには無い、Elliptic Curve Cryptography（楕円曲線暗号）やトリプルサーキット（ファイル・キー、システム・キー、アフィリエイト・キー）を持っている。
REvilは被害者のネットワークからデータを盗みだし、ネット上に流出させると脅す（REvilの場合はオークション形式で販売する）。REvilが情報を暴露するブログは「Happy Blog」（ハッピーブログ）と呼ばれている。
さらにファイルを暗号化し使用不可能にもする。デフォルトのWindowsバックアップメカニズム（シャドウコピー）や、NASやテープといったバックアップファイルを削除し、自力では復旧できないようになる。暗号化されたファイルを復号するツールを受け取るには身代金を支払わなければならない。この様な手法は「二重脅迫型」と呼ばれている。
REvilは攻撃する対象を決めてから狙う「標的型攻撃」を行う。2017年5月にWannaCryというランサムウェアが猛威を振い、150か国の23万台以上のコンピュータに感染した。しかしREvilは「WannaCryは非常に愚かで、かつ管理不能な実験だった」と酷評している。理由は「大きな騒ぎを起こして、利益が10万ドルにも満たないというのは滑稽である」と商業的な失敗を挙げた。ランサムウェアSodinokibiは、RCE（リモートコード実行）を使ったエクスプロイトがないため、ワームのように、外部ネットワークの他のパソコンに自動的に感染することはないが、大量に感染させても（身代金的には）旨味がなく、金銭的に余裕のある大企業のみをピンポイントで狙った方がはるかに効率的だという。
RaaS REvilはRaaS（サービスとしてのランサムウェア）と呼ばれるスキームを採用しており、被害者毎に固有のBTCウォレットを生成する、自分たちの開発したランサムウェアを配布するアフィリエイトを募集している。この取り決めの一環として、奪った身代金で得た収益をREvilとアフィリエイト利用者で分配する。
セキュリティ企業マカフィーがREvilのビットコインの流れを分析したところ、金額の一部がウォレットから転送されるか、取引所で購入され、アフィリエイト・ウォレットに転送される。ビットコインミキサー「Bitmix.biz」は次のトランザクションを難読化して、追跡を困難にしている。「調べると非常に興味深いパターンを発見できます。まず、指定ウォレットに犠牲者が支払っている事が確認できます。そこからアフィリエイター、またはディストリビューション・ウォレットに送られるまで、平均2〜3回のトランザクションが発生しています」。さらに「そのウォレットから分割が確認できます。60％または70％はアフィリエイトに留まり、残りの40～30％は複数回のトランザクションでSodinokibiの背後にいるアクターに送られます」とし、報酬が分配されていることが確認されている。
この分配比率に関してREvilは「主要な仕事をするのはランサムウェアを感染させる人物であり、ソフトウェア自体は単なるツールである。このような配分は妥当だと思う」と、アフィリエイターの方が多く受け取るのは当然だとしている。身代金は開発者が最初に受け取り、システムによって自動的に分配される。
アフィリエイターではなく、開発者たちが攻撃することもあるという。しかし、結果的にRaaSモデルの方が儲けを出し、最終的により多くの利益を出すことができるため外部の人材を利用している。
ただアフィリエイターになるには「選択のプロセスは非常に厳しく、疑わしい、もしくは見慣れない候補者は、我々のコミュニケーションツールに加えることすらない」と審査の厳しさを語っている。
過去にはNSAやCIAといった秘密機関がパートナーを装って接触してきた事もあったが、そのような人々は、旧ソ連諸国に共通な社会政治的な議論を通じたチェックで容易に特定できたという。中にはロシア語話者もいたが、この仕事に関する特定の側面に話が及んだ際に、回答はあてずっぽうだったため、即座に拒否したという。
REvilの拠点とロシア政府の関与 REvilの正確な所在地を特定することは困難だが、グループがロシアの組織や旧ソ連圏の組織を標的にしていないという事実から、彼らはロシアに拠点を置いていると考えられている。
グループ全員がロシアで活動しているかどうかは明らかでないが、同グループの表向きの顔であり、サイバー犯罪フォーラムXSS上で「アンノーン」と呼ばれるユーザーはロシア語だけで発信しており、やはりロシアに関係が深いと推察される。
専門家は、このハッカー集団がロシアの情報機関の庇護を受けていると分析しており、サキ大統領報道官は「責任を負う国が行動を取るべきだ。米国は幅広い対応策を検討する」とし、ロシア側にハッカー集団の取り締まりなどの対応を取るよう圧力をかけている。
ロシア政府とハッカー集団との協力関係の証拠はまだ示されていないが、プーチン大統領にとってプラス要因になっていると指摘する声もある。相次ぐロシア系ハッカーの攻撃で、ガソリン価格や食料品の価格が高騰し、米国民の不満が一層高まれば、バイデンの支持率低下や政権の弱体化に追い込むことが可能だからだという。
本人たちは「我々は政治に無関心だ。我々が必要としていたのは金銭だけであり、政治ではない。我々にとっては、誰が次期大統領になろうが関係ない」と活動に政治的思惑はないと否定している。
歴史 2019年 REvilの活動が初めに確認されたのは2019年4月とされる。 サイバーセキュリティの専門家は、REvilはハッカー集団「GandCrab」から派生したものであると考えている。GandCrabはかつては世界的な全ランサムウェア感染の40%を占めていたこともある悪名高い組織。GandCrabのオペレーターは2019年5月に「1年ちょっとで十分なお金を稼いだし悪事を働いても逃げおおせると証明できた」と引退を表明したが、その前後にREvilが活動を開始したことや、両グループのランサムウェアにかなりの類似点があることなどから関連性が疑われている。例えば、攻撃から除外するホワイトリスト、韓国のセキュリティ企業アンラボなど特定の企業をプロセスインジェクションの標的としていること、感染したマシンの情報を送信するC&CサーバーのURL生成ルーチンにおける類似性などである。GandCrabの作者の一部がREvilにブランド名を変更し、ランサムウェア開発を続けているものと考えられている。
マカフィーによれば、SodinokibiとGandCrabの2つの間に全体で40％のコードのオーバーラップがあり、「構造と偶然の観点から見れば、GandCrabコードの開発者がそれを新しいファミリーを作成するためのベースとして使用したか、もしくは別の仮説としては、リークされたGandCrabソースコードを入手した者が新しいRaaS Sodinokibiを立ち上げたと考えられます」と推察している。
REvil自身はインタビューで「以前、我々はadvertsに似たようなランサムウェアを使っていたが、同ソフトウェアはなくなってしまった。我々はそのコードを購入し、我々の目的のために独自の製品を作り出した」と創設の経緯について語っている。
2020年 4月、ソディノキビはハッカーフォーラムへの投稿で、身代金として要求する仮想通貨をビットコインから特定がより困難なMoneroへと移行すると通知した。 ユーロポール（欧州刑事警察機構）のジャクベックは2月のセミナーで、「容疑者がTORとプライバシーコインを組み合わせて利用していたので、我々はIPアドレスを追跡できなかった。つまり行き詰った。ビットコインのブロックチェーン上では何が起ころうとも可視化できるので、さらなる捜査が可能だった。しかし、モネロのブロックチェーンは、そこが捜査の終了地点となった」と語り、Moneroがビットコインやイーサリアムより匿名性が高く、犯罪者らが資金を移動させる可能性があると説明している。身代金はビットコインでの支払いも受け付けているが、その場合はモネロより10%金額が上乗せされる。
8月に活動が確認されたダークサイドは、REvil が使用しているランサムウェアコードとの類似性が指摘されており、REvilから派生したグループまたはパートナー関係にあると見られているDavid E. Sanger & Nicole Perlroth, F.B.I. Identifies Group Behind Pipeline Hack, New York Times (May 10, 2021).Charlie Osborne, Researchers track down five affiliates of DarkSide ransomware service, ZDNet (May 12, 2021).。
2021年 5月14日、アメリカの大手石油パイプライン「コロニアル・パイプライン」を操業停止に追い込んだダークサイドが活動を停止した。5月17日、米政府の圧力が強まる中、ハッカー集団AvaddonとREvilは、政府機関、非営利団体、医療機関への攻撃を中止する方針を示した。 しかしサイバーセキュリティ会社レコーテッド・フューチャーは「新型コロナウイルスの流行初期にも、ランサムウエア攻撃を仕掛ける一部のハッカー集団が、特定の機関を攻撃対象外とすると宣言したが、長続きはしなかった」と語るなど、信憑性には疑問が持たれている。
6月7日、FBIおよび司法省は、ダークサイドに支払われた身代金75BTCのうち、約85％にあたる63.7BTCを回収したと発表した。
7月2日、REvilはKaseyaを攻撃。数日後に犯行声明を出すも、13日には同グループのサイトは全てがダウンして繋がらない状態となっている。。
9月、再びHappy Blogが復活した。当初は、REvilが自らオンラインにしたのではなく法執行機関が何らかの理由で復活させたのでは、との見方もあったが、その後REvilによるランサムウェア攻撃を再開し完全に復活した。活動再開に貢献したのは、リーダー格である「0_neday」とされる。
10月21日、民間企業VMware、連邦政府機関と協力しREvilが使用していた「Happy Blog」を停止に追い込んだと発表した。VMwareのセキュリティ戦略責任者は「米連邦捜査局とその他の連邦政府機関、そして志を同じくする国々が、このグループによってさらなる企業に被害が拡大することを防いだ」と述べた。実際にREvilに対しハッキングを実行したのは、アメリカの同盟国のパートナーだったという。さらに別の関係者によると、REvilに関する作戦は依然として進行中であるとも述べている。 「0_neday」はダークウェブ上のハッカーフォーラムで、REvilの元メンバーだった「announ(unknown)」のキーを使ったアクセスによってサーバーが侵害されたとコメントしている。
11月8日、欧州刑事警察機構は数千件のランサムウェア攻撃を行ったとする7人の犯罪者を逮捕したと発表した。これは17カ国が参加する「GoldDust作戦」によって行われ、ルーマニア当局はが4日にSodinokibi／REvilに関わる2人を逮捕、同日クウェート当局が「GandGrab」関係者を逮捕、また2月と4月に韓国当局もREvil関係者3人を逮捕していたという。今回のGoldDust作戦は、 Bitdefender、KPN、マカフィーなどのセキュリティ企業も協力し、Bitdefenderは暗号化されたファイルを復号するツールを提供。これにより1400以上の企業が復号に成功し身代金を払わずに済んだという。
同日、アメリカ司法省がウクライナ国籍とロシア国籍の2人を起訴した。ウクライナ国籍の被告は7月にREvilを使用しKaseyaを攻撃、1500人に身代金を要求した疑いが持たれている。手に入れた身代金は開発グループと被告らで分け合っていたが、当局は支払われた身代金600万ドル（約6億9千万円）を押収した。またアメリカ財務省は、ランサムウエア攻撃に加担したとして暗号資産取引所「Chatex」に制裁を科すと発表した。
2022年 1月14日、ロシア連邦保安庁(FSB)がREvilのメンバー14名を拘束したと発表した。これはアメリカ当局の要請を受けたもので、FSBは25カ所の関係先を捜索し、4.2億ルーブル（約6.3億円）相当の暗号資産やコンピューター、高級車などを差し押さえた。メンバーの1人は、2021年5月のコロニアル・パイプラインの事件にも関わっていたとされる。
REvilが関与したとされる犯行の一覧
テキサス州内の地方自治体 2019年8月、テキサス州内の約20の地方自治体への一斉攻撃に関与したとみられている。原因の1つとして利用していたマネージドサービスプロバイダ(MSP)の侵害が推測されている。
The Digital Dental Record 2019年8月29日、クラウドサービスを行うIT企業のThe Digital Dental Recordは、8月26日8時にランサムウェアの攻撃を受けたことを公表した。同社はPerCSoftと共同で「DDS Safe」という歯科医向けのクラウドサービスを展開しており、これを経由して医療データのバックアップに使用しているリモート管理ソフトウェアが攻撃を受けた。利用しているアメリカの歯科診療所約400カ所がシステムが使用できなくなるなど被害を受けた。皮肉なことに、DDS Safeは「ランサムウェアから医療データを守る」と宣伝されていたクラウドサービスだった。
REvilからは、身代金として1万ドル(約106万円)を支払うよう指示するメッセージと、遅れると48時間ごとに身代金が2倍になるとの脅迫が添えられており、PerCSoftが既に身代金を支払ったという。送られてきた暗号化解除キーで100カ所の歯科診療所が一部のファイルを復元することに成功したが、ファイルを復元できなかった例も多数あるという。
オールバニー国際空港 2019年12月25日、ニューヨーク州のは、ランサムウェア攻撃を受けたとの声明を発表。後にSodinokibiの亜種であることが確認された。幸いにも個人データと財務データは難を免れ、空港のオペレーションにも大きな混乱を引き起こすことはなかった。
ハッカーは空港が利用するMSPである「Logical Net」のネットワークへ侵入し、そこからランサムウェアが一気に空港のネットワークおよびバックアップサーバへと広がった。事件から5日後、空港の保険会社は身代金を支払ったが、当局によれば、その金額は6桁未満であったとされている。
トラベレックス 2019年12月、イギリスを本拠地とする外国為替会社トラベレックスは、ランサムウェア被害に遭い業務を中断させられた。Sodinokibiは6か月前からトラベレックスのネットワークにアクセスしていたと主張しており、その間に顧客のクレジットカードの情報、国民保険番号、生年月日を含む5GBの機密データを盗み出した。最初の身代金額は300万ドルだったが、支払われなかったためその2日後には600万ドルに倍増した。
セキュリティ研究者によると、従業員が中央コンピュータシステムにリモート接続するために使用したPulse Secure仮想プライベートネットワーク（VPN）サーバーで見つかったセキュリティ問題の脆弱性を悪用し侵入した可能性があるという。
REvilは後にインタビューで見習うべきではない例としてトラベレックス社を挙げてる。「自分が記憶している限りでは、同社は我々から攻撃を受けた後に株価が急降下した結果、破産した（2020年7月、同社は債務の再構築を発表）」。
グラブマン・シャイア・メイゼラス＆サックス 2020年5月11日、ニューヨークを拠点とするメディア・エンターテイメント専門弁護士事務所グラブマン・シャイア・メイゼラス＆サックスに攻撃を仕掛け、契約書や機密合意書、電話番号、Eメールアドレス、裁判所記録、私的なメールといった社外秘の情報約1テラバイトの情報を盗んだ。 公開されたくなければ身代金を支払うよう要求したことでグループ名が知られるようになった。
被害に遭ったのは同社と契約しているアメリカの有名人たちで、レディー・ガガやマドンナやニッキー・ミナージュ、ブルース・スプリングスティーン、HBO番組「ラスト・ウィーク・トゥナイト・ウィズ・ジョン・オリバー」やフェイスブックも含まれているという。
ニューヨーク・ポストによると、REvilは2100万ドル（約22億4300万円）を要求しているが、同弁護士事務所はハッカー集団との交渉を拒否しているとも、36.5万ドル（約4000万円）なら支払うと交渉していたとも報道されている。だがあまりの安さに怒ったのか倍の4200万ドル（約45億円）に増額。結局交渉は合意に至らず、REvilは「時間切れ」としてじょじょにデータを公開し始めた。
歌手のレディー・ガガの場合は関連する合計2.4GBの法的文書が盗まれており、ドナルド・トランプに言及したり、「trump」という単語を含む「無害」な電子メール169通が公開された。彼らは、マドンナの情報をオークションで1億円から販売するつもりでいたが、結局それは断念した。
ドナルド・トランプ 2020年5月、REvilはグラブマンから盗んだデータを調べているうちにドナルド・トランプ大統領に関する重大な秘密を得たと発表。犯行声明では「次に公開しようと考えているのはドナルド・トランプだ。選挙戦の最中に公表されると恥ずかしいだろうと思われる大量の情報を発見した。大統領の座に居座りたいなら、マシな対応をしなければ、お前の野心は永遠に失われることになるだろう。そして有権者の諸君は、もしこの情報を見れば彼に大統領で居続けてほしいとは思わなくなるだろう。まあ細かいことは省くとして、期限は一週間だ」とし、4,200万ドルを要求した。REvilは、同社がデータを保護するために使用していた楕円曲線暗号を解読してこれを行ったと主張した。メンバーとされる人物のインタビューによると、トランプの情報の買い手が見つかったとのことで、データの公開は行わなかった。
後のインタビューで、身代金を要求していたのはトランプ大統領ではなくグラブマンに対してで、データの内容はトランプ大統領の子会社による税金回避の様々なスキームに関するものだったという。
Banco del Estado de Chile 2020年9月、チリの大手銀行BancoEstado銀行で従業員が不審なファイルを開けたことがきっかけでマルウェアが仕込まれ、全ての支店を閉鎖することを余儀なくされた。銀行側は沈黙を貫いたが、REvilが「我々がその攻撃を仕掛けた。企業が攻撃元について口を閉ざすことはよくある。企業にとって評判は重要だ。特に、それは株価の値下がりに影響を与え得る」と犯行を名乗り出ている。
Acer 2021年3月18日、REvilの関連グループが、多国籍ハードウェア・エレクトロニクス企業であるAcerの顧客データベースに侵入し、口座番号や与信限度額データを盗みだし、さらにランサムウェアを仕込んだとダークウェブ上にの自分たちのリークサイトで主張した。暴露されたデータには取引先とみられる多数の日本企業名も記載されていた。
サイバーセキュリティ企業であるAdvanced Intel社は、2021年3月5日からAcerのサーバーが狙われている最初の兆候が見つけた。犯行の手口はマイクロソフトのメールサーバー「Exchange Server」の脆弱性を利用したとされる。も参照。
システムを暗号化され、復号と盗んだファイルを削除するには5000万ドルを支払えと要求した。Acerの幹部と犯行グループの間の交渉チャット履歴では、Acerが3月24日までに支払いを行う場合、20％の値引きに応じるとREvilらが持ちかけたことが記載されている。しかし、8日間が経過した後も支払われない場合は、金額を1億ドル（約109億円）に増額すると記載されている。 5000万ドルおよび1億ドルという身代金額は（当時の）過去最高額とされている。
エイサーはマスコミの取材に対し「異常を検知し、対策を講じた。身代金を支払う予定はなく、捜査機関に状況を報告している」と説明。要求には応じないとしている。
ハリス・フェデレーション 2021年3月27日、REvilはを攻撃し、同組織の複数の財務書類をブログに公開した。その結果、ITシステムが数週間にわたって停止し、最大で3万7千人の学生が影響を受けた。
広達電脳（クアンタ・コンピュータ） 2021年4月、REvilはノートパソコンMacBookを生産するアップル主要サプライヤーの1社である台湾の広達電脳（クアンタ・コンピュータ）から、Appleの次期製品の設計図を盗み出した。この設計図には、発表されたばかりのiMac (24-inch, M1, 2021) やMacBook Air (M1, 2020) の筐体設計図に加え、まだ発表されていない次期MacBook Proの筐体設計図なども含まれている。他にも、新しいApple Watch、新しいLenovo ThinkPadの設計図が含まれているとされる。REvilは、5,000万ドルを支払わないと、データを公開すると脅迫した。
犯行声明では、「これから始まるAppleの新製品発表会が待ち遠しいか？ 我々、REvilは本日、多くの人々に愛されてきた企業の、将来のリリースにかかわるデータの公開に踏み切っていくつもりだ。ティム・クックは、Quantaに礼を述べるべきだね。これまで多大の時間を費やし、問題解決に努めてやったが、Quantaは、顧客や従業員のデータのことなど、まったく気にしていないという態度を明らかにしてきた。それで、我々が手にしたデータの販売と公開へと進まざるを得ない」と述べた。
広達電脳は攻撃を受けたことを認めたが、詳しい説明やどの程度のデータが盗まれたかについては言及を避けた。社内の情報セキュリティチームが外部のIT専門家と共に対応しており、「関連する法執行・データ保護当局に報告し、意思疎通を常時行っている」とコメントした。アップルの広報担当者は情報漏洩に関する質問に対しコメントを避けた。
セキュリティ企業Emsisoftのギャロウは「往々にして、ハッカーというのは、盗み出した情報の重要性を大げさに伝え、脅し取ろうとするものだ」と語り、流出した情報が大した物ではないと語った。過去の実績を誇示しつつ、それほど重要な情報でなくても、なんとか多額の身代金をせしめようとするハッカーの手口だとした。
メトロポリタン・トランスポーテーション・オーソリティ 2021年4月20日、ニューヨークの地下鉄やバスを運営するメトロポリタン・トランスポーテーション・オーソリティ(MTA)はサイバー攻撃を受けていたことを6月に入ってから公表した。同社の技術部門は、運行システムに支障が出たり、利用者・従業員の情報にアクセスされたりした形跡は見つからず、影響は軽微で利用者に危険は及ばなかったと説明している。 この事件は中国政府の支援を受けているハッカー集団によるものとする報道もあるが、中国外務省は「根拠なく推測すべきでない」と関与を否定している。
鹿島建設 2021年4月28日、REvilは日本の大手ゼネコン鹿島建設から盗んだ機密情報の一部を公開した。内容は契約書などで「5月1日までにデータを買い戻すことを勧める」と脅迫した。鹿島は取材に「3月に海外のグループ会社が不正アクセスを受けたことは事実。捜査機関に相談している」と被害を認めた。
キーエンス 2021年5月6日、センサー機器大手のキーエンスがサイバー攻撃を受け、パスポート情報などの個人情報が流出した可能性があると報じられた。キーエンスは取材に対し、「5月に入り、欧州支店がもつ個人情報の流出を確認した。現地の捜査当局に被害の相談をしている」と話している。情報セキュリティ会社S＆Jによると、REvilのサイトでキーエンスの海外支店の関係者のものとみられるパスポート画像などが公開され、情報を買い取るよう要求しているという。
JBS S.A. 2021年5月30日、ブラジルの食肉加工大手JBSの自社ネットワークがランサムウェアの攻撃を受け、オーストラリア、カナダ、アメリカの工場が停止した。米国内のすべての牛肉工場の操業停止を余儀なくされ、鶏肉および豚肉工場の操業を中断させられた。 6月2日、連邦捜査局(FBI)は「JBSへの攻撃はREvil別名ソディノキビによるものと判断し、脅威を与える当事者を裁くため懸命に取り組んでいる」との声明を発表した。
6月9日、ウォールストリート・ジャーナルはJBSが1100万ドル（約12億円）の身代金を支払ったと報じた。JBS米国法人の首脳が同紙に、暗号資産（仮想通貨）のビットコインで送金したと話した。理由については「攻撃にともなう混乱が長引けば飲食店や畜産業者ら取引先への影響が広がる恐れがあった」として、「正しいことをした」と述べて同社の判断を擁護した。攻撃発覚後、FBIに通報する一方、バックアップから情報システムの復元を進めたと説明。大半の工場が再稼働した後に「保険」として身代金を払ったとも明かした。
スチームシップ・オーソリティ