身代金の額よりも、その仕組みの方が重要だ。詐欺師たちはShinyHuntersによって流出したメールアドレスを抽出し、約2,000ドルのBitcoinを要求する性的脅迫メールを大量送信している。低レベルのスパムに見えるものは、実際には成熟しつつある犯罪サプライチェーンの下流段階である。一つのグループが企業を侵害して恐喝し、そのデータを転売または流出させ、二次的な日和見主義者たちが同じ被害者を大規模に収益化する。侵害データには長い尾がある――単一の情報窃取イベントが、今や数か月にわたる二次的詐欺の燃料となっているのだ。

グローバル企業の経営幹部にとって、これは侵害の真のコストを再定義するものだ。企業のリスクモデルは通常、規制罰金、修復、直接的な恐喝を中心にインシデントの価格を算定する。しかし、流出したアイデンティティは見出しが消えた後も長期にわたって被害を生み続け、その責任はデータを失った企業ブランドにますます付随するようになっている。EUと米国の原告弁護士や規制当局は、下流の性的脅迫や詐欺は不適切なデータ保護の予見可能な結果であると主張し、GDPR、州プライバシー法、新たな注意義務基準の下での責任を拡大することが予想される。

経済性は攻撃者に有利だ。性的脅迫の実行コストはほぼゼロである――自動化されたメール、使い回しのスクリプト、暗号通貨インフラ――一方で、数百万の流出アドレスに対してわずか数パーセントの転換率があれば利益を得られる。これはransomware-as-a-serviceで見られたのと同じ産業化パターンだ。専門化、転売市場、反復可能なプレイブック。ShinyHuntersが原材料を供給し、汎用的な犯罪集団が配布を担当する。

推奨される対策:CISOは侵害の封じ込めだけでは不十分と認識し、侵害後の被害者保護に投資すべきだ――積極的な認証情報リセット、ダークウェブ監視、後続の詐欺に対してユーザーを免疫化する顧客コミュニケーション。取締役会はサイバー保険が第一者の復旧だけでなく、下流の第三者への損害をカバーするかどうかをストレステストすべきだ。決済プロバイダーと取引所は、小規模で反復的なBitcoin身代金フローの監視を強化すべきだ。これは検出可能な特徴だ。そしてProofpoint、Abnormal Security、Microsoftのようなベンダーには、AI駆動の恐喝メールフィルタリングを独自カテゴリーとして販売する機会がある。

戦略的要点:データ侵害はもはや個別の事象ではなく、持続的で収益化可能な負債である。開示時の被害範囲だけを測定している企業は、何年も複利的に増大するリスクを過小評価している。