DarkSideはフランチャイズのようにランサムウェアを運営していた — 段階的な取り分、アフィリエイト、ヘルプデスク（インタビュー）

2021年6月、NPRの『Fresh Air』で、ニューヨーク・タイムズの調査報道記者マイケル・シュヴィルツは、Colonial Pipelineを攻撃し、2020年8月の開始からおよそ最初の1年間で9,000万ドル以上を稼ぎ出したロシア語話者のランサムウェア組織DarkSideの内部通信で見つけたものを語った。被害者が目にした身代金要求の文面は「Welcome to DarkSide」で始まった——形式的でビジネスライクであり、自分のシステムをいじらないよう暗に脅すものだった。ファイルを暗号化するだけでなく、この集団は企業の専有データを窃取し、それを公開したり、競合や他のハッカーに売ったりすると脅した。

DarkSideはフランチャイズのように構成されていた。ランサムウェアを書いたが、実際の侵入はアフィリエイトに外注した——身代金の額に連動した変動制の手数料を払ってマルウェアの使用契約を結んだ他のハッカーたちである。50万ドル未満の身代金ではDarkSideの取り分は約25%、500万ドルを超える身代金ではその取り分は約10%まで下がり、この配分はかなり太っ腹だと評された。Colonial Pipelineの450万ドルの支払いでは、約10%がDarkSideに、残りはシステムに侵入したアフィリエイトに渡った。この集団はダークウェブのフォーラムで勧誘し、有能なアフィリエイトを奪い合う数十のグループの一つだった。

被害者の体験すら製品化されていた。ほとんどの被害者はビットコインの使い方を知らなかったため、DarkSideはヘルプデスクを運営した——インターネットプロバイダーのサポート窓口のようなチャット付きで——支払い方法を案内した。シュヴィルツによれば、その狙いは、被害者がデータを取り戻すために戦うのではなく、支払って問題を片付けて先に進めるよう、支払いをできるだけ簡単にすることだった。DarkSideがColonial Pipelineへの攻撃者と特定されると、姿を消した。

恐喝の産業化：ランサムウェアを変動制の手数料でアフィリエイトにライセンスし、被害者にヘルプデスクを提供することで、支払いが通常のサポートのように感じられるようにした。

役割を分割することで、専門家が専門分野に集中できた。マルウェアの作者は一つの製品を数十のアフィリエイトに拡大し、アフィリエイトは24時間体制で被害者を探した。

逆進的な手数料——大きな身代金ほど取り分が小さい——は、最も有能なハッカーを引きつけ、つなぎとめるために設計されていた。

支払いを容易にするヘルプデスクは摩擦を取り除く。戸惑う被害者は未払いの身代金である。

暗号化だけでなくデータも窃取することで、アクセス喪失とは別の、公開という第二の圧力経路が加わった。

犯罪市場は、合法なソフトウェアと同じように産業化する——フランチャイズ化、段階的なSaaS価格設定、サポートデスク——そしてその構造を把握することが、調査当局が脅威を理解する方法である。

米国のガスの流れを混乱させた攻撃であるColonial Pipelineへの攻撃者として名指しされると、DarkSideは姿を消した。シュヴィルツはまた、食肉加工業者JBSへの攻撃の背後にあるグループREvilについても報じており、これは企業、病院、警察、都市を襲ったランサムウェアの同じ波の一部だった。