論考　サイバーと国の守りを読む　GMOの不正アクセス、何が起きたのか

GMOインターネットが運営する「お名前.com デスクトップクラウド」への不正アクセスが、連日報じられています。FX（外国為替証拠金取引）の自動売買に使われるサービスで、利用者の取引口座が勝手に動かされ、攻撃者は身代金を要求し、10月27日正午には「顧客のパソコンを攻撃する」と予告しました。GMOは政府に「能動的サイバー防御」の適用まで求めています。

この件を、元財務官僚で経済学者の高橋洋一氏が、自身のチャンネルで解説しました。高橋氏は自宅でも似た仕組みを趣味で組んでいるそうで、技術の話にまで踏み込んだ、分かりやすい解説です。ただ、話の中には、攻撃者の主張をもとにした推測も混じっています。そこでこれまでと同じく二部に分け、第一部で発表と報道で確かめられたことを、第二部で番組の主張を一つずつ表にしました。

被害を受けたのは、GMOインターネットの「お名前.com デスクトップクラウド」です。ネット上の仮想のWindowsパソコン（仮想専用サーバー、VPS）を貸すサービスで、FXの自動売買ソフト（MT4・MT5）を24時間動かすために使われてきました。

経緯は次のとおりです。10月19日、利用者からの問い合わせで調査を始め、20日、一部の利用者のサーバーに第三者が不正なプログラムを仕掛けているのを見つけました。21日未明には全プランのサーバーを順に止めています。影響を受けた可能性があるサーバーは2万6,739台で、これは被害が確定した数ではありません。24日の第4報では、顧客の情報が外に持ち出されたことを確認したと発表しました。一部の利用者のFX口座では、身に覚えのない取引も起きています。

GMOは、不正な取引による実際の損失を補償し、利用者全員に一律5,000円を支払うとしています。いまの仕組みは元に戻さず、別の基盤へ移す方針です。

番組の言うとおり、GMOのグループは「GMOサイバーセキュリティ byイエラエ」など、ホワイトハッカーを抱えるセキュリティ事業を前面に出してきました。その足元で起きた事件だという点が、驚きを大きくしています。

大筋で事実です。熊谷正寿代表は10月25日、自身のブログで、能動的サイバー防御を求めた理由を説明しました。その中で「社内のホワイトハッカーから改善すべき課題が事前に現場へ指摘されていた」「対応の深度とスピードが十分ではなく、攻撃者にその間隙を突かれてしまった」と認めています。遅れた理由は、サービスへの影響や、ほかの対応との優先順位を考えながら慎重に進めた結果だ、としています。

番組の「怠っていた」は、この告白を言い換えたものです。ただ、どんな課題が指摘され、どこまで手を打っていたのかは、まだ明らかにされていません。SNSでは「経営の判断の誤りを、国の問題にすり替えている」という批判も出ました。「ホワイトハッカーは正しく、経営が誤った」という番組の読み筋は、代表の説明と重なりますが、細部が分かるまでは見立ての一つとして読むのが妥当です。

GMOは、侵入の経路をまだ公表していません。セキュリティ会社と調べている最中です。

番組の説明は、攻撃者が自分のサイトで公開した「犯行の説明」に沿ったものです。攻撃者は、すべての仮想サーバーに使える共通の管理者アカウントがActive Directoryの中にあり、それで網全体を操れた、と主張しています。また、利用者の手助けをする担当者がつないだ際に、その管理者の情報が漏れた、とも述べています。高橋氏も「攻撃者の話が全部正しいとは思わない」と断ったうえで、話の筋が通っていると見ています。

ただし、これらはどれも攻撃者の言い分で、GMOも捜査機関も認めてはいません。また、Active Directoryは「やめた」古い仕組みではありません。マイクロソフトはいまも提供を続けており、多くの企業や役所が使っています。問題は道具そのものより、すべてに効く一つの鍵を作ってしまう使い方にあった、と読むべきでしょう。

利用者は、自宅のパソコンから「リモートデスクトップ」という仕組みで、GMOの仮想パソコンを遠隔で操作していました。攻撃者は、GMOが配った接続用の設定ファイルが、利用者の手元のパソコンのドライブを仮想パソコン側から見える状態にしていた、そこから利用者のパソコンに裏口を仕掛けた、と主張しています。

これも、確かめられていない主張です。手元のドライブを見せる設定があったとしても、実際に裏口が仕掛けられたかどうかは別の問題です。GMOは10月25日から、社員が全国の利用者を訪ねてパソコンを預かり、26日からグループのホワイトハッカーが、本当に不正なプログラムが入っているかを解析しています。結果は、対策が分かればメールとサイトで知らせるとしています。

攻撃者は、身代金を払わなければ、27日正午に顧客情報を公開し、顧客のパソコンにランサムウェア（データを暗号化して使えなくする攻撃）を仕掛けると予告しました。要求額は、報道によって100万ドル（約1億6,000万円）とも約80億円とも伝えられています。GMOは支払わない方針です。GMOは予告を受けて、利用者に、27日正午までにデータを控えてからパソコンの電源を切り、つながっているコードも抜くよう呼びかけました。

27日正午、攻撃者は自分のサイトに「被害者第1号」として一人分の個人情報を載せたと主張し、今後も毎日正午に公開すると予告しています。載せた情報が本物か、GMOの顧客のものかは確かめられていません。手元のパソコンが実際に暗号化されたという報道も、この記事を書いている時点では見当たりません。「お客のパソコンは全部捨てることになる」というのは、最悪の場合を想定した番組の推測です。

GMOは10月24日、政府に、10月1日に始まったばかりの能動的サイバー防御の適用を緊急に求め、本件を「発動第1号事案」と位置づけました。国が攻撃の基盤を追い、遮断し、無力化してほしい、という要請です。GMOはまた、サイバー犯罪の撲滅に向けて、総額100万ドルの懸賞金を設けるとも発表しました。

ただ、この制度で助けられるかには疑問も出ています。政府の関係者は、個別の企業の求めに応じて発動する制度ではないとの見方を示しています。制度はもともと被害を未然に防ぐためのもので、被害が起きたあとに使うのは難しい、という指摘もあります。GMOは、この制度で守りを固める基幹インフラの事業者にも入っていません。前稿で触れた能動的サイバー防御が、早くも民間の被害で試されている形です。

被害額について、GMOは「業績への影響はまだ見積もれない」としています。番組の「1,000億円を超える」は、高橋氏の見立てです。

番組の最後で高橋氏は、「金融がやられると深刻だ」と語っています。そのとおりだと思います。お金の出入りに直結する仕組みは、攻撃者にとって最も割のよい的です。そして今回の事件は、守りの専門家を抱える会社でさえ、指摘を受けてから手を打つまでの「間」を突かれることを示しました。

私たち一人ひとりにできることは、限られていますが、無いわけではありません。お金にかかわるサービスほど、パスワードを使い回さず、二段階の認証を設定すること。遠隔で別のパソコンにつなぐときは、手元のパソコンのドライブや貼り付けの機能を、必要がなければ切っておくこと。そして、取引に使うパソコンと、ふだん使いのパソコンとを分けられるなら分けておくこと。10月23日の記事「相次ぐ情報漏洩、その裏で何が起きているのか」で書いた、漏れたあとの二次被害を防ぐ備えは、ここでもそのまま役に立ちます。

番組で語られた主な主張を、報道や公式の発表と照らして五つに分けました。これは真偽の最終的な判定ではなく、「いま手に入る資料で、どこまで確かめられるか」を示すものです。調査が進むなど新しい資料が出れば、見直します。

高橋氏の解説は、仮想サーバーやリモートデスクトップといった、ふだん目にしない仕組みを身近な例で説明してくれる点で、とても役に立ちます。GMO自身が「事前に指摘されていた」と認めたことも、番組の読みを裏づけました。

一方で、侵入の手口や、お客のパソコンの乗っ取りについての話は、いまのところ攻撃者の言い分に頼っています。攻撃者は、自分を大きく見せ、相手を追い込むために話を盛ることがあります。その主張が「筋が通って見える」こと自体が、攻撃の一部であることもあります。

GMOの調べと、預かったパソコンの解析の結果が出れば、どこまでが本当だったのかが分かってくるはずです。それまでは、確かな発表と、攻撃者の主張と、専門家の見立てを、分けて手元に置いておきたいと思います。この表が、その仕分けの助けになれば幸いです。