日本の大手インターネット企業、GMOインターネットグループをめぐるサイバー攻撃が深刻な事態になっている。
顧客が利用するクラウド環境への不正アクセス、金融取引に関する不審な操作の報告、そして攻撃者からの約80億円もの金銭要求。さらに、顧客情報の公開と追加のランサムウェア攻撃まで予告され、10月27日には攻撃者とみられる者による情報の公開をGMOが確認した（公開された内容は確認中）。
だが、この事件には別の重大な論点もある。社内のホワイトハッカーが、事件以前からセキュリティ上の課題を指摘していたというのだ。
何が起きたのか。犯人は追えるのか。そして、同じことを繰り返さないために何が必要なのか。確認できた事実から整理してみよう。
何が起きた？ 被害を受けたのはFX取引にも使われるクラウド
攻撃を受けたのは、GMOインターネット株式会社が提供する「お名前.com デスクトップクラウド」。インターネット越しにWindowsのデスクトップ環境を使えるサービスで、FXの自動売買などにも利用されていた。
GMOの発表によれば、10月19日に顧客からの問い合わせを受けて調査を開始。20日には一部の顧客サーバーに不正なプログラムが設置されていたことを確認し、21日から全プランのサーバーを順次停止した。[1]
影響を受けた可能性があるサーバーは26,739件。これは「26,739件の情報流出が確認された」という意味ではない。GMOは影響し得るサーバー数として発表している。[1]
一方で、システムのセキュリティ上の問題、不正アクセス、顧客の情報が外部に持ち出された事実はGMOが確認している。また一部の顧客から、証券・FXなどの取引口座で身に覚えのない操作や取引が行われたとの報告も寄せられた。[2]
クラウド上のログイン情報が悪用されれば、問題は「情報を盗まれる」だけでは済まない。財産への影響まで生じ得ることが、この事件の怖さだ。
攻撃者は誰？ 80億円の脅迫と追跡の難しさ
GMOグループの熊谷正寿代表は、攻撃者から5,000万ドル（約80億円）を支払うよう要求されていたことを公表した。報道によれば要求の期限は10月21日午後5時。GMOは支払いに応じていない。[3][4]
その後、攻撃者側が要求を100万ドル（約1億6,000万円）に変え、27日正午までに支払わなければ顧客情報の公開やランサムウェア攻撃を行うと予告したとも報じられた。ただし、GMOの公式発表に記されている要求額は「約80億円」だけで、2つの要求が同一人物・同一組織による交渉条件の変更なのかは確認されていない。[4][5]
攻撃者が用いたとされるメールやWebサイトなどは手掛かりになる。しかし、表示名や自称するグループ名だけで本人を特定することはできない。捜査にはメールの通信記録、サーバーの契約情報、アクセスログなど、複数の証拠を照合する必要がある。
GMOは全証拠を警察当局へ提出し、刑事事件としての捜査を要請している。[2] 犯人の身元・国籍・組織名は、現時点で公的に確定していない。
10月27日正午の予告はどうなった？
GMOは10月26日夜の第7報で、攻撃者とみられる者から「27日12時に顧客情報を公開し、ランサムウェア攻撃を行う」と予告されたと明らかにした。27日朝の第8報では、預かった顧客の端末の解析を続けていることや、セキュリティ企業・AI企業から協力の申し出があったことを伝え、正午を前に利用者へ端末のネットワーク切断と電源断を呼びかけた。[6][7]
そして27日午後の第10報で、攻撃者とみられる者が情報を公開したことを12時30分に確認したと発表した。ただし、公開された内容は確認中で、事実と異なる内容が含まれるおそれがあるとしている。予告されていたランサムウェア攻撃は、13時55分の時点で確認されていない。[8]
重要なのは、「情報が持ち出されたこと」「情報を公開すると脅迫したこと」「実際に外部へ公開されたこと」「公開されたものが本物の顧客情報かどうか」は、それぞれ別の事実だという点だ。
報道では、犯行側が顧客1人の個人情報だとする内容を公開したとも伝えられている。[9] しかしGMOは内容を確認中としており、この記事の作成時点で、本件の真正な顧客情報だと公式に確認されたわけではない。GMOは、公開された情報に本人の情報が含まれると確認された顧客への追加の対応を検討しているという。[8]
GMOは、公開先のサイトにアクセスした人の情報は攻撃者に取得されているとして、公開された情報と称するものにアクセスしたり拡散したりしないよう呼びかけている。[8][10] 未確認の個人情報を探したり転載したりすることは避けたい。
ホワイトハッカーの警告はなぜ活かされなかったのか
今回、もっとも考えさせられるのはGMO側の説明だ。
熊谷代表は10月25日のブログで、社内のホワイトハッカーが改善すべき課題を事前に現場へ指摘していたことを認めた。サービスの安定稼働への影響や、他の対応事項との優先順位を考えながら対処した結果、十分な深さと速度で対応できなかったという。[3][11]
稼働中のサービスに修正を入れるには、停止や不具合のリスクがある。だからといって、深刻なセキュリティリスクを放置してよいわけではない。
ただし、事前に指摘された課題と、今回実際に悪用された侵入経路との一致は公表されていない。「警告を無視したことが侵入の直接原因だった」と断定するのは早い。
問題は現場の技術だけではない。発見したリスクを、いつまでに、誰が、どの予算と権限で修正するのか。セキュリティは経営判断でもあるのだ。
