グループには攻撃者の目を持つホワイトハッカーの会社があり、2年前にはシステムの見直しを求めていたと報じられました。それでも攻撃は防げませんでした。止めて直すか、動かしたまま直すか。11月2日の会見を前に、GMOの公表と報道から、その判断の重さを確かめます。
GMOインターネットのFX自動売買用VPS「お名前.com デスクトップクラウド」への不正アクセスで、GMOは10月28日以降の第13報から第16報で、犯人サイトのドメインが28日午前4時ごろ停止されたこと、預かった端末の解析でマルウェア感染などの痕跡が確認されていないこと、グループのホワイトハッカーチームが独自の調査で犯人の特定につながると考えられる情報を得て、警察と関係各所に提出するとしたことを公表した。懸賞金への情報提供は10月30日18時時点で累計428件となった。熊谷正寿代表はブログで、社内のホワイトハッカーが事前に課題を指摘していたが、サービスの可用性への影響や他の対処事項との優先順位を考えながら慎重に進めた結果、対応の深度とスピードが十分ではなかったと説明している。
日本経済新聞は10月31日、指摘したのはグループのGMOサイバーセキュリティ byイエラエで、2024年4月の時点でシステムの抜本的な見直しを求めていたと報じました。11月1日には共同通信が、被害者の情報共有をうたうサイトが、GMOが被害を公表した10月21日より前から準備されていた疑いを伝えています。GMOは11月2日、この問題で初めての記者会見を開きます。
この事案の経過は、innovaTopiaでも個別の記事として伝えてきました。第1報から第5報は10月24日の記事（119373）、能動的サイバー防御の位置づけは10月26日の記事（119455）、第6報から第12報までの要求・情報公開・懸賞金は10月28日の記事（119503）で扱っています。ここでは、その後の第13報から第16報と10月30日の案内、代表ブログ、10月31日からの報道をつなぎ、会見の前に確かめられることと、会見で問われることを整理します。
【参考動画】
10月31日から11月1日に公開したセキュリティの記事5本を、伊野部トピ子が約8分の動画で整理しました。
10月28日から11月1日までの経過
| 日時 | 出来事 | 出典 |
|---|---|---|
| 10月28日 午前4時ごろ | 犯人サイト（ミラーサイトを含む）のドメインが停止されたことを確認 | 第13報（11:00時点） |
| 10月28日 12:00 | 「GMOサイバー犯罪撲滅・懸賞金」の受け付けを開始 | 第12報、第14報 |
| 10月28日 18:20 | 開設から6時間で113件の情報提供。X上の投稿に累計20件の警告（いずれも18:00時点）。端末の解析でマルウェアやランサムウェアの痕跡は未確認 | 第14報 |
| 10月29日 12:40 | ホワイトハッカーチームが独自の調査で得た、犯人の特定につながると考えられる情報を、同日、警察と関係各所に提出するとした | 第15報 |
| 10月29日 20:50 | 情報提供の件数を平日18時に追記すると公表。10月30日18時時点で累計428件 | 第16報 |
| 10月30日 15:30 | 見舞金の受け取り手続きと代替サービスについて、契約者への直接の連絡を始めた | お客様へのご案内 |
| 10月31日 | 日経が、2024年4月にイエラエがシステムの抜本的な見直しを求めていたと報道。KSBも同月の指摘を、NHKは子会社による2年前の指摘を報道 | 日本経済新聞、KSB、NHK |
| 10月31日 | GMOが11月2日に記者会見を開くと発表したと報道 | 時事通信、共同通信 |
| 11月1日 0:08 | 被害者に情報共有を呼びかける不審なサイトが公開されていたことが、セキュリティー会社の調べで分かったと報道 | NHK |
| 11月1日 5:01 | 被害者の情報共有をうたうサイトが、被害の公表前から準備されていたことや、攻撃側が交渉を有利に進めようとした疑いを報道 | 共同通信 |
「改善すべき課題」は、いつ、誰が指摘したのか
熊谷代表の10月25日のブログには、「なぜ、防げなかったのか」という見出しの節があります。そこでは、本サービスのセキュリティについて、社内のホワイトハッカーから改善すべき課題が事前に現場へ指摘されていたと書いています。現場のチームはその指摘を受け止め、対策を進めていました。しかし対応の深度とスピードが十分ではなく、攻撃者にその隙を突かれたといいます。
ブログは、指摘がいつ、どのような内容だったのかを書いていません。10月28日の記事では、この節を、自社の責任で費用を引き受けるという方針とあわせて紹介しました。
10月31日に出た報道が、その空白の一部を埋めました。日本経済新聞はGMO幹部への取材として、指摘したのはグループのGMOサイバーセキュリティ byイエラエで、2024年4月の時点でシステムの抜本的な見直しを求めていたと報じています。イエラエは2022年にGMOインターネットグループに加わった、ホワイトハッカーを抱えるセキュリティ企業です。
KSB（テレビ朝日系）は関係者の話として、指摘の対象は通貨の自動売買に使う投資家向けのサービスで、グループの指示で対策は施されたものの、結果として甘かったと伝えました。関係者は「サービスを一時的に停止して、もっと十分な対応を取るべきだった」という趣旨の話をしたといいます。NHKも、2年前に子会社のセキュリティー企業がぜい弱性を指摘していたことを、関係者への取材で確認したと報じています。
指摘された弱点の具体的な中身は、ブログでは明らかにされていません。2024年4月から2026年10月までのあいだに何が直され、何が残ったのかは、GMOがまだ公表していない部分です。侵入経路も、11月1日朝の時点で公表されていません。
止めて直すか、動かしたまま直すか
ブログが挙げた理由は、もう一つあります。10月28日の記事では触れなかった部分です。現場は、サービスの可用性への影響や、他の対処事項との優先順位を考えながら、慎重に対応を進めていたと書いています。
お名前.com デスクトップクラウドは、FXの自動売買のツールを24時間動かし続けるための仮想サーバーです。このサーバーが止まると、そこで動かしている自動売買プログラムによる注文や決済の処理も止まります。システムを根本から作り直すには、停止や移行が要ることが多く、利用者の負担も大きくなります。ブログからは、対策を進めるときに、サービスの可用性への影響も考えに入れていたことが分かります。一方で、停止や移行が必要かどうかを、誰が、どの情報をもとに判断し、それまでどのような暫定の対策をとっていたのかは、まだ明らかではありません。
こうした判断は、GMOだけのものではありません。セキュリティの診断で見つかった課題について、運用中のサービスを持つ会社は、影響の大きさや悪用されるおそれを見積もり、いつまでに直すのか、止めたり移行したりする必要があるのか、それまでどんな暫定の対策で守るのかを決めています。止めて直すか、動かしたまま直すかは、その選択肢の両端です。今回の事案は、その見積もりと期限の重さを示しました。
結果として、GMOは10月21日午前4時以降、全プランのサーバーを順次停止しました。独立したクラウド基盤で動く代替サービスへの乗り換え後6か月間を無償とする方針を示し、10月30日には契約者への案内を始めています。代表ブログは、システム基盤の抜本的な刷新に取り組むとしています。ブログは、プロを抱えながら、その知見を組織として防御に生かしきれなかったことを深く反省すると書き、誰よりも悔しい思いをしているのは、危険に気づいて警告していた現場のホワイトハッカーたち自身だと添えました。
社内に攻撃者の目を持つ専門家がいても、その警告を、期限のある対策や止める判断に変える仕組みがなければ、守りにはなりきりません。指摘を受けたとき、どのリスクを、いつまで、どの暫定の対策のもとで抱えるのかを決めるのは誰で、その判断はどう記録され、いつ見直されるのか。会見では、技術の話と同じくらい、この判断の流れが問われるはずです。
被害者を集める「情報共有フォーラム」
11月1日未明、共同通信は、被害者同士の情報共有をうたう「情報共有フォーラム」というサイトについて報じました。共同通信がセキュリティーの専門家の協力を得て分析したところ、このサイトは、攻撃者とみられる側が犯行声明を載せたサイトと、ソースコードの一部が同じで、全体の構成もよく似ていたといいます。
共同通信が挙げた共通点は次のとおりです。
- 同じ米国のレンタルサーバー事業者を使っていた
- コードに日本語が使われていた
- 画像や文章を置くフォルダの名前が一致した
- 閲覧できるフォルダを決める設定の方法が同じだった
共同通信によると、このサイトは、GMOが被害を公表した10月21日より前から開設が準備されていたとされます。ほとんど閲覧されないまま、すでに閉鎖されています。共同通信は、攻撃側が被害者を集めてGMOに圧力をかけ、交渉を有利に進めようとした疑いがあると伝えています。NHKも、被害者に情報共有を呼びかける不審なサイトが公開されていたことが、セキュリティー会社の調べで分かったと報じました。
GMOは、11月1日朝までの公表で、このサイトに触れていません。ただ、第13報には、利用者が覚えておくべき注意がすでにあります。犯人サイトへの誘導や拡散は、「情報共有のつもり」であっても被害を広げ、攻撃に加担する結果になりかねないというものです。被害の防止や通報が目的でも、危険なサイトへの直接のリンクや被害者の個人情報を公開せず、警察などの窓口に情報を寄せるよう求めています。
被害者を名乗る集まりは、同じ立場の人には頼もしく見えます。しかし、そこに自分の取引口座や被害の状況を書き込めば、その情報は誰の手に渡るか分かりません。被害者向けをうたうサイトやグループに、取引口座の情報や個人情報を書き込まないこと。サービスや手続きの相談はGMOの公式の窓口へ。不審な取引や進行中の被害があれば、取引先の金融機関にすぐ連絡し、警察にも相談・通報してください。
10月28日以降、GMOが示したこと
犯人サイトのドメイン停止
第13報によると、顧客の情報とされるものを載せていた犯人サイトは、ミラーサイトも含めて、10月28日午前4時ごろにドメインが停止されました。GMOは、関係事業者などと連携して対応を進めた結果だとしています。新しい同様のサイトが立ち上がれば、確認しだいテイクダウンに向けて対応するとし、悪質な投稿や転載には、刑事告訴を含む法的措置をとるとしました。
端末の解析と、PCを再び使うとき
10月27日正午の予告に備え、GMOは利用者にPCの電源を落とすよう求めていました。第14報は、預かった端末の解析では、マルウェアの感染やランサムウェア攻撃の痕跡は確認されていないと伝えています。詳しい調査は続けています。PCを再び使う前には、セキュリティスキャンとバックアップをとるよう求めています。
懸賞金と、ホワイトハッカーの独自調査
総額100万米ドルを上限とする「GMOサイバー犯罪撲滅・懸賞金」には、受け付けの開始から6時間で113件、10月29日18時時点で累計321件、10月30日18時時点で累計428件の情報が寄せられました。件数は平日の18時に更新され、犯人の逮捕か国際指名手配まで続くとしています。
第15報は、懸賞金に寄せられた情報とは別に、グループのホワイトハッカーチームが独自に調べ、犯人の特定につながると考えられる情報を得たと伝えました。早期の解決につなげるため、10月29日に警察と関係各所へ提出するとしています。代表ブログによると、GMOサイバーセキュリティ byイエラエやGMO Flatt Securityなどの200名規模のセキュリティ人材が、ICPO（国際刑事警察機構）出身者を含めて解析にあたり、裁判所を通じた開示請求の手続きにも着手しています。
2024年4月に見直しを求めたと報じられたイエラエも、いま、グループの調査と対応に加わっています。
見舞金と代替サービスの連絡
10月30日の案内で、GMOは、第4報で示した見舞金の受け取り手続きと代替サービスについて、契約者に直接の連絡を始めたと知らせました。不正取引による損失の補償の申請方法は、11月6日までに公式サイトと登録メールアドレス宛てに案内される予定です。
手続きの開始に便乗して、見舞金や補償を装う連絡が届くおそれがあります。GMOは、メールやSMSのリンクを開かず、公式サイトのお知らせで内容を確かめるよう求めてきました。不審な連絡に、取引用のパスワードや認証コードを伝えたり、手数料を払ったりしないでください。なお第4報は、損失の補償を確かめる正規の手順で、取引履歴を見るための閲覧専用パスワードの提示を求める場合があるとしています。案内が本物かどうかは、公式の窓口で確かめてください。
11月2日の会見で確かめたいこと
時事通信によると、GMOインターネットグループは10月31日、11月2日に東京都内で記者会見を開くと発表しました。熊谷代表らが出席し、これまでの経緯、顧客への対応、今後の取り組みを説明する見通しです。一連の問題での会見は初めてと報じられています。熊谷代表はこれまで、ブログやSNSで方針を伝えてきました。
会見で、公表されている情報の空白がどこまで埋まるのか。ここまでの公表と報道から、確かめたい点を挙げます。
- 2024年4月の指摘の中身と、その後の対策。何が直され、何が残ったのか。停止や移行を含む選択肢を誰が検討し、どのリスクを、どの期限と暫定の対策のもとで管理していたのか
- 侵入経路。11月1日朝の時点で、GMOは公表していません
- 公開された「情報」の中身。顧客の情報が含まれていたのか。含まれていたなら、特別見舞金の対象になる人に、いつ連絡するのか
- 警察などへ提出するとした情報の扱い。提出を終えたのか、その後の進展をどこまで説明できるのか。捜査に関わる部分は話せないことも多いはずです
- 損失の補償の手続き。11月6日までの案内の前に、受け付けの期間や支払いの時期が示されるのか
- 「情報共有フォーラム」。GMOとして把握していたのか、利用者にどう注意を呼びかけるのか
熊谷代表はブログで、今回の痛みを日本のサイバー環境が強くなるための糧にし、官民が連携して対処する実効的なモデルケースを築くと書きました。2年前の指摘から攻撃までに何があったのかを、会社が自らの言葉で示せば、ほかの会社にとっても、止めるか続けるかを判断するときの手がかりになります。会見は、その最初の機会です。
（この記事は11月2日の会見の前に書いています。会見の内容は、確認しだいこの記事に追記します。）
【関連記事】
【解説】お名前.com デスクトップクラウド、攻撃者が情報公開 GMOは要求を拒み懸賞金100万ドル
【解説】GMOが能動的サイバー防御の適用を要請 発動を決めるのは誰か、盗まれた情報は戻るのか
【解説】お名前.com デスクトップクラウド、顧客情報の持ち出しを確認 不正取引の損失を補償へ
【編集部後記】
熊谷代表のブログには、誰よりも悔しい思いをしているのは、危険に気づいて警告していた現場のホワイトハッカーたちだという一文があります。
警告を発した専門家を抱えるグループが、いまは犯人の手がかりを追っています。指摘が正しかったと分かるのは、事故のあとになってからのことが多いものです。あなたの職場で「止めるべきだ」という声が上がったとき、その声はどこまで届き、誰が「今は止めない」と決め、その判断はどこに書き残されるでしょうか。
【用語解説】
VPS（仮想専用サーバー）
事業者のデータセンターにある物理サーバーを仮想的に分け、利用者ごとに専用のOSを動かせるようにしたサービス。FXでは、自動売買の取引ツールを24時間動かし続けるために使われる。
可用性
システムやサービスを、必要なときに止まらずに使える状態に保つこと。機密性・完全性と並ぶ情報セキュリティの3要素の一つで、安全のために止めることとのあいだで判断が分かれやすい。
テイクダウン
不正なサイトを、ドメインの登録事業者やサーバー事業者などを通じて閲覧できない状態にすること。サイトの元のデータが消えたり、運営者が特定されたりすることまでは意味しない。
ミラーサイト
同じ内容を別のドメインやサーバーに複製したサイト。1つを止めても、ほかの複製から同じ内容が見られるため、不正な公開では止める対象が複数になる。
ホワイトハッカー
攻撃者と同じ知識や技術を、システムの弱点を見つけて守るために使う専門家。企業の依頼で侵入を試す診断や、攻撃の痕跡の解析にあたる。
ICPO（国際刑事警察機構）
各国の警察が国境を越える犯罪の情報を共有し、捜査で協力するための国際機関。インターポールとも呼ばれ、本部はフランスのリヨンにある。
【参考リンク】
GMOインターネットグループ 重要なお知らせ（外部）
お名前.com デスクトップクラウドへの不正アクセスについて、第2報以降の公表と10月30日の案内が新しい順に並ぶ一覧。
GMO 第13報（犯人サイトのドメイン停止）（外部）
ミラーサイトを含む犯人サイトのドメインが10月28日午前4時ごろ停止されたと確認し、悪質な拡散や誘導には法的措置をとると警告した。
GMO 第15報（犯人の特定につながる情報）（外部）
グループのホワイトハッカーチームが独自の調査で犯人の特定につながると考えられる情報を得て、同日中に警察などへ提出するとした。
GMO 第16報（懸賞金への情報提供件数）（外部）
GMOサイバー犯罪撲滅・懸賞金に寄せられた情報の件数を、平日18時にこのページへ追記して公表し、10月30日18時時点で累計428件とした。
熊谷正寿 代表ブログ「今こそ官民連携で日本を守ろう」（外部）
GMOインターネットグループ代表のブログ。社内からの事前の指摘と、可用性や優先順位を考えながら進めた対応が不十分だったことを認めた。
【参考記事】
攻撃者、被害サイト開設か ＧＭＯ公表前に開設準備（東京新聞デジタル・共同通信）（外部）
被害者の情報共有をうたうサイトと犯行声明サイトのソースコードの共通点を分析し、GMOの公表前から準備されていた疑いを伝えた。
GMO不正侵入、システム脆弱性を2年前に把握 子会社指摘も対策後手（日本経済新聞）（外部）
GMOサイバーセキュリティ byイエラエが2024年4月にシステムの抜本的な見直しを求めていたと、GMO幹部の話として報じた。
2年前に脆弱性指摘 GMO社長2日に会見へ 幹部「もっと十分な対応取るべきだった」（KSB瀬戸内海放送）（外部）
2024年4月の指摘の対象と、グループの指示で施した対策が結果として甘かったとする関係者の話、11月2日の会見の予定を伝えた。
GMO、2日に会見 熊谷社長ら出席、不正アクセスで（時事通信）（外部）
GMOが10月31日、11月2日に東京都内で一連の問題で初めての会見を開くと発表し、経緯や顧客への対応を説明する見通しと伝えた。
