今回の記事の重要ポイント（三点）
・GMOインターネットがFXの自動売買向けに貸すネット上のパソコン環境に不正アクセスがあり、一部の利用者の証券・FX口座で身に覚えのない取引が起き、10月21日から全サーバーが止まっている。
・GMOは利用者の情報が外部に持ち出されたことを確認し、攻撃者とみられる者から金銭を要求され、応じなければ情報を公開すると脅されたが、要求には応じず警察に通報した。
・利用者の情報や口座を押さえたうえで会社を脅す攻撃では、お金を引き出さなくても勝手な売買だけで損害が生まれ、利用者を預かる企業の守りと説明の責任が問われる。
GMOのサービスに不正アクセス、口座で不正取引
GMOインターネットは10月19日、FXの自動売買などに使われる「お名前.com デスクトップクラウド」の利用者から問い合わせを受けて調査を始めた。20日に一部の利用者のサーバーに不正なプログラムが置かれていたことを確認し、21日未明から全サーバーを順次止めた。影響を受けた可能性があるサーバーは2万6739件で、同社は実際に侵入や情報の取得が確認された件数ではないとしている。
FX会社のアヴァトレード・ジャパンは23日、このサービスを使う一部の顧客の口座で、第三者による不正ログインと不正取引を確認したと発表した。同社のシステムから情報が漏れた事実は確認されていないとしている。
GMOは24日、利用者の情報が外部に持ち出されたことを確認したと発表した。攻撃者とみられる者から金銭を要求され、応じなければ情報を公開すると脅されたが、要求には応じず警察に通報したことも明らかにした。同じ日、不正取引で利用者に出た損失を補償する方針を示し、政府には「能動的サイバー防御」の適用を求めた。
熊谷正寿代表は26日、前日のブログに追記し、21日11時57分に届いた要求文書で5000万ドル（約80億円）を要求されたと明らかにした。要求には応じておらず、支払いも一切していないとしている。木原稔官房長官は同日の会見で、個別の事案へのコメントを控えた。
関連記事
被害が広がった仕組みと会社の対応
借りたパソコンから口座の操作へ
「お名前.com デスクトップクラウド」は、Windowsのパソコン環境をインターネット上で借りられるサービスです。FXの利用者は、自宅のパソコンをつけっぱなしにせず、ここで自動売買ソフトを24時間動かしてきました。そのため借りた環境には、証券会社やFX会社の口座のIDやパスワードが置かれていることがあります。
GMOの説明では、一部の利用者の環境に不正なプログラムが置かれ、保存されていた口座のログイン情報が第三者に取られ、使われた可能性があります。侵入の経路と犯人は調査中で、利用者の手元のパソコンへの影響も含めて調べが続いています。
口座の操作が、借りたパソコンの画面の上で行われたのか、盗んだログイン情報で別の場所から行われたのかも公表されていません。確かなのは、FX会社の側でも不正ログインと不正取引が確認されていることです。サーバーの停止で自動売買も止まり、利用者は持ち高を自分で管理する必要に迫られています。
情報を材料にした脅しと、身代金を払わない理由
GMOが公表している脅しの中身は、金銭の要求と、応じなければ情報を公開するというものです。持ち出されたのは利用者の情報で、会社は利用者を守る立場から脅しを受けたことになります。口座からお金を引き出さなくても、勝手な売買だけで利用者に損失が出る点も、会社への圧力を重くします。
利用者を巻き込んで会社に圧力をかける例は、海外にもあります。英国のネット通販大手ASOSでは10月6日、公式アプリから顧客に「やり取りに応じなければデータを流出させる」という不正な通知が届きました。
こうした脅しは、ランサムウェアの手口と重なります。ランサムウェア（身代金要求型の不正プログラム）は、データを暗号化して使えなくし、元に戻す代わりに金銭を要求するものです。警察庁によると、最近はデータを盗み出して「払わなければ公開する」と迫る二重恐喝が被害の多くを占めます。GMOで確認されているのは情報の持ち出しと公開の脅しで、データの暗号化は公表されていません。
警察庁は、支払った金銭が犯罪グループの活動資金になるおそれがあり、払ってもデータが元に戻る保証はないと被害者に説明しています。米国のFBIとCISA（サイバーセキュリティ・インフラ安全保障庁）も、払えば攻撃者がほかの組織を狙う動機になるとして、支払いを勧めていません。
英国の国家犯罪対策庁は、身代金を払った被害者のデータが犯罪集団のシステムに残っていた例を挙げ、払っても消される保証はないとしています。
GMOは、攻撃者とみられる者の要求には応じないと公表しています。
事前の指摘と補償
熊谷正寿代表は25日のブログで、社内のホワイトハッカー（守る側の専門家）から改善すべき課題が事前に現場へ指摘されていたと明かし、対応の深さとスピードが足りなかったと認めました。どの課題がどう扱われたのかは公表されていません。
補償は二つに分かれています。現在の利用者全員に被害の有無にかかわらず支払う見舞金5000円と、今回の不正アクセスが原因と会社が認めた不正取引による損失や手数料の補償です。10月30日と11月6日は、それぞれの受け取り方や申請方法を案内する予定日で、申請の締め切りではありません。今のサーバーは再開せず、作り直した別のサービスへの移行を案内しています。
同じ時期に海外で起きていた攻撃
同じ時期、海外では、外部のサービスや周辺の窓口を通って被害が広がる攻撃が分析されました。そこで使われていたのが、ARTEX（アルテックス）というAIを使う侵入テストツール（システムの弱点を調べるソフトウェア）です。
米クラウドストライクによると、ARTEXは中国で開発されました。GMOのグループのセキュリティ会社も、日本企業約20社を狙った攻撃元でその悪用を確認しています。
米国では、IT管理の会社向けにソフトを売るConnectWiseのデータ保管サービスが不正に使われました。攻撃者は、そのサービスに与えられていた接続権限（利用企業の環境へのアクセスを認める許可）を悪用し、利用企業のメールや文書の環境に入ろうとしました。
米マイクロソフトは、この侵害を、中国政府と関係があると評価する攻撃集団「Storm-0940」の仕業とみており、この集団はARTEXで攻撃を広げていたと分析しています。韓国では、ARTEXに中国製のAI「DeepSeek」を組み合わせた攻撃者が、銀行のローン仲介業者向けの照会サービスのような、周辺の窓口に入り込んでいます。
GMOへの侵入がこれらと同じ犯人や同じ手口によるものだという確認はなく、GMOの侵入にAIが使われたかどうかも公表されていません。
海外の反応
ここで紹介するのは、GMOではなく、補足で触れた米ConnectWiseの侵害について、同社の説明に利用者が反応したコメントです。
二つの件は、外部のサービスを通って利用者の側に被害が及んだ点で共通しています。一方、ConnectWiseの件は利用企業のメールや文書の環境への侵入が問題になっており、マイクロソフトは攻撃集団を情報を盗む目的で活動してきた集団とみています。GMOのような口座の不正な取引や、会社への金銭の要求は公表されていません。
ConnectWiseの利用者が集まる掲示板 r/ConnectWise に、10月21日、同社がCEOの声明を投稿しました。中国政府と関係するとみられる集団が、公開されているAIのツールで攻撃を自動化し、速めたという内容です。
利用者の多くは、顧客企業のIT管理を請け負うMSP（IT管理の受託事業者）です。返信には、ConnectWiseのセキュリティ担当の幹部を名乗るアカウントも加わっています。
以下はスレッド内のユーザーコメントの抜粋・翻訳です。
反発を食らうのは覚悟のうえで言うけど、この声明は何ひとつ実態を明らかにしていない。責任を取る姿勢が見えないし、「魔法みたいなAIを使う中国人がやった」で煙に巻いているように見える。
侵入を許したConnectWiseのシステムの何が安全じゃなかったのか？
「信じてください」じゃ通用しない。
「中国の国家支援を受けた攻撃者」と「AI」を並べておけば、こっちが諦めて「防ぎようがなかった」と思うと期待しているんだろう。
みんなを道連れにしてるところも忘れずに。「落ち着けよ、どこだってハッキングされてるんだから！」みたいな。
（ConnectWiseの担当幹部を名乗るアカウント、最初のコメントへの返信）
そういう意図ではないと思う。調査はまだ続いていて、最初の根本原因は特定できていない。最後まで特定できないかもしれない。分かっているのは、侵害された認証情報が関わっていたこと、確認したアクセスは是正済みであること、そして今は復旧に集中していることだ。
大事だと思う文脈は、この攻撃が新しい性質のもので規模が大きく、ほかの被害者は公表していないということ。
最近起きている似た攻撃のひとつで、これはたまたま早く表に出ただけだ。
起きたことを軽く見せるつもりはまったくない。
（最初のコメントの投稿者による再返信）
事情は分かるし返信もありがたい。でも、事件から何日もたってCEOが新しい情報ゼロの声明を出すのは後味が悪い。
（中略）
ConnectWiseの場合、各社はサービスを使うために、自社のMicrosoft 365の環境へのほぼ全権限を預けている。なのに、この対応。
それに、自分たちが最初に知ったのはRedditで先に書き込んだ一般ユーザーからで、次がHuntress（米国のセキュリティ企業）、次がCIPP（Microsoft 365の管理ツール）、ConnectWiseが触れたのはその後。完全に後手だった。
CEOが何か書く必要があると思ったなら、書くに値する内容にすべきだったと言いたい。
なんでこれ、遠回しにMSPのせいにしてるんだ？
そうだよ。侵害されたのは向こうのソフトであって、MSPのじゃない。
これ、何が書いてあるんだ？ 読み取れたのは「誰かがうちのシステムに入り込んだ。AIを使っていた。どうやったかは分からないが、皆さんも同じものから身を守るように。しっかりやって。こちらは災害復旧計画を続けます。また明日、同じことを言います。マニー（CEO）」ってことだけだ。
同じ掲示板では、侵害が分かった直後の10月17日にも、同社の担当幹部を名乗るアカウントが「サービスの中断」として状況を知らせる投稿をしていました。AIや中国の名前が出る前から、利用者は会社の情報の出し方に不満を向けています。
以下はスレッド内のユーザーコメントの抜粋・翻訳です。
次の更新はいつになる？
（中略）
被害を受けた環境のログで、持ち出しが成功した場合にどう見えるのかを早急に示してほしい。侵害された認証情報で、その環境のバックアップにアクセスできるのかどうかも確認したい。
一部のMSPとその顧客にとっては事業が終わりかねない事態だ。それなのに、Huntressやほかのベンダーの方が多くの知見と対応を出してくれているなんて、話にならない。
（投稿主。ConnectWiseの担当幹部を名乗るアカウントの返信）
パートナーとその顧客への影響を考えれば、懸念と切迫感はよく分かる。
ConnectWiseの公式情報ページで、大きな変化がなくても少なくとも24時間ごとに更新を出している。
（中略）
認証情報がどうやって取られたかは、まだ調査中だ。確認できていない情報を推測で出したくはない。
「少なくとも24時間ごとに1回」？ すごいね……。
何でも軽く見せたがるんだよ……。何度もひどい目に遭わされてきたConnectWiseの顧客として、使っている人にはすぐにでも乗り換えるよう勧める。
GMOの件で問われていること
預かる側に重さが集まる
デスクトップクラウドの利用者は、口座に入るための情報を、GMOが用意した環境に置いていました。一社の守りが破られると、その上で動く多くの利用者の口座にまで被害が及びます。
ConnectWiseの件で、利用者が「ほぼ全権限を預けている」と不満を向けたのも同じ構図です。便利なサービスほど、利用者はログイン情報や操作の権限を事業者に預けます。預かる側は、自社のシステムだけでなく、利用者の財産や情報につながる認証情報も守る立場にあります。
指摘から対応までの時間
GMOは、事前に指摘されていた課題への対応が間に合わなかったと認めています。指摘を受けてから直すまでの時間が、今回の被害の分かれ目になりました。
攻撃する側では、作業の自動化が進んでいます。ConnectWiseは攻撃集団がAIのツールで作業を自動化し速めたと説明し、マイクロソフトは、狙い始めてから3時間かからずに強い権限を手にした例もあったとしています。その一方で、狙った先の大半では失敗しています。
試行が自動で続く相手には、守りの甘いところから順に見つかっていきます。そうした相手を前にすると、指摘された課題を後回しにできる時間は短くなります。
攻撃者の強さと説明の責任
熊谷代表はブログで、AIの悪用で攻撃が容易になっていると訴え、官民の連携を求めました。一方、ネット上では、自社の不備から国への要請に話をずらしているという批判も出ています。
反応欄のConnectWiseの利用者も、「AIと中国の名前を出せば防ぎようがなかったと思わせられる」と反発していました。攻撃者が強いことは事実でも、利用者が知りたいのは、どこが破られ、何が持ち出され、どう直すのかです。
GMOは、侵入の経路や影響の範囲をまだ調査中としています。指摘された課題が何で、どう扱われたのかも含め、調査の結果をどこまで示すかが、利用者の信頼を取り戻す手がかりになります。
国はどこまで支えるか
10月1日に始まった能動的サイバー防御は、報道によると、国や基幹インフラへの攻撃があった場合に、警察や自衛隊が攻撃元のサーバーを使えなくする措置を取れる仕組みです。GMOは、自社が法律上の対象事業者ではないことを認めたうえで、被害が国民の資産に及ぶとして適用を求めています。
国が前に出るべきだという考え方には、民間の一社では攻撃元に手が届かないという理由があります。利用者の資産が実際に操作され、会社が脅しを受けている以上、捜査や攻撃元への対処には国の力が要ります。
木原官房長官は、措置を取るかは要請の有無にかかわらず法律の要件に照らして判断されると述べ、個別の事案へのコメントは控えました。政府の対応を攻撃者に知らせないためにも、判断は表に出にくい仕組みです。
一方で、対象を広げれば、国が民間のネットに踏み込む場面が増えます。まず企業自身が守りを固めるべきだという声もあります。事前の指摘に対応が遅れた企業の要請を、どこまで国の仕事として引き受けるかは、制度が始まったばかりの今、答えが出ていない問いです。
預かったものを守る責任
利用者の被害を脅しに使わせないために
GMOの件では、ネット上で借りたパソコンへの侵入が、利用者の口座の不正な取引にまで及びました。そのうえで会社は、持ち出された利用者の情報を材料に脅されています。
FXを使わない人にとっても、無関係な話ではありません。買い物アプリや業務のサービスでも、利用者はログイン情報や個人情報を事業者に預けています。預かる側が破られれば、利用者の被害が会社を脅す材料にされるおそれがあります。
GMOに問われているのは、指摘されていた課題になぜ間に合わなかったのか、利用者の損失をどこまで埋め、何を説明するのかです。攻撃の自動化が進むなか、預かったものを守る責任の重さは、すべての事業者に共通しています。
それではまた、次回の記事でお会いしましょう。
YouTubeでも配信中
せかはんでは、記事の内容をまとめた解説動画とショート動画を配信しています。動画で振り返りたい方はこちらからどうぞ。
▼記事が面白かったら応援クリックお願いします！▼
▲更新の励みになります！▲
関連書籍紹介
『「サイバーセキュリティ、マジわからん」と思ったときに読む本』
大久保隆夫（オーム社／2023年10月刊）
スマートフォンやパソコンを日常的に使う人に向けた、サイバーセキュリティの入門書です。前半で預金の不正送金やランサムウェア、個人情報の流出といった身近な被害と対策を、後半で認証、最小特権、多層防御といった守りの考え方を、専門用語を説明しながらたどっています。
今回の記事で扱った、クラウドサービスへの不正アクセスが利用者の口座の不正取引にまで及び、会社が金銭を要求された問題を、基本の言葉から理解したい読者に向いています。預けた認証情報や権限をどう守るかという論点の土台になります。
『情報セキュリティの敗北史 脆弱性はどこから来たのか』
アンドリュー・スチュワート著、小林啓倫訳（白揚社／2022年10月刊）
大規模な個人情報の漏えいやランサムウェアの被害が増え続けるのはなぜかを、コンピュータ黎明期から国家が関わるハッキングまで、半世紀以上の攻防をたどって問う通史です。脆弱性の開示、使いやすさと安全性の衝突、経済学や心理学の視点から、失敗が技術より設計や組織の側にあったことを示します。
今回の記事で扱った、社内の専門家が事前に課題を指摘しながら対応が間に合わなかったという点を、企業と業界が繰り返してきた歴史の中で考えたい読者に向いています。
参考リンク
- 「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第3報）｜お名前.com
- お名前.com デスクトップクラウドサービスに対するサイバー攻撃について（第4報）｜GMOインターネットグループ
- 今こそ官民連携で日本を守ろう 「能動的サイバー防御」を具申した理由｜熊谷正寿ブログ
- 「お名前.com デスクトップクラウド」への不正アクセスに関する注意喚起およびパスワード変更のお願い｜アヴァトレード・ジャパン
- 木原官房長官「コメント控える」 GMOが能動的サイバー防御要請｜KSB（ANN）
- Latest ASOS Security Incident Update｜ASOS
- AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise｜Microsoft Security Blog
- Unknown Threat Actor Uses AI-Driven ARTEX to Target South Korean Finance｜CrowdStrike
- Trust Center Advisories｜ConnectWise
