指摘は、誰に届いていましたか。― GMO会見から見る、セキュリティ課題を「解消まで追う」力

今回の3行まとめ

• 1「お名前.com デスクトップクラウド」の全プランで、影響の可能性があるサーバーは26,739件。取引口座での不正な操作の報告があり、サーバーの停止が続いています。
• 2会見では、侵入は8月5日、発覚は10月20日で、約2か月半気づけなかったと説明されました。発覚のきっかけは、顧客からの問い合わせでした。
• 32024年にグループ会社が課題を指摘していたこと、その情報が経営トップに届いていなかったことも会見で説明されています。

何が起きたのか

時系列で見る：侵入から会見まで

• 8月5日
  攻撃者が顧客環境（リモートデスクトップのVPS）に侵入。会見で説明
• 8月17日
  侵入先から管理者アカウントを奪われ、GMOの管理サーバーに侵入される。会見で説明
• 9/20〜10/14
  管理サーバー経由で、最大26,739台の顧客サーバーにマルウェアが配布される。会見で説明
• 10月19日
  お客様からの問い合わせを受け、調査を開始。
• 10月20日
  不正なプログラムの設置を確認。新規申込みとコントロールパネルを停止。
• 10月21日
  全プランのサーバーを順次停止（4:00〜）し、第1報を掲載。ITmediaは、同日に80億円の身代金要求が届いたと報じています。
• 10月22日
  警察に相談。続報で、取引口座での不正な操作の報告を受けていることを公表。
• 10月27日
  盗まれたデータのうち1件が、犯人サイトに掲載されたとITmediaが報じています。
• 11月2日
  熊谷正寿氏（グループ代表）らが、初めて記者会見。

8月から9月の日付は、11月2日の会見で初めて説明された内容です。10月21日の第1報の時点では、侵入時期は示されていませんでした。

初報と続報で、説明が変わった

調査の途中で公表内容が更新されることは珍しくありません。初報の「確認されていない」は「ない」という意味ではなく、その時点で確認できていないという意味です。続報まで確認する習慣が大切です。

会見で明らかになったこと

2024年の指摘と、その後の対応

ローカルPCのファイルが取得された要因

ITmedia エンタープライズは、リモートデスクトップの「ドライブ共有機能」が初期設定で有効だったことを、会見での説明として報じています。山下氏は、当初は利便性を考えて有効にしていたが、昨今のリスクを踏まえて無効に変更できなかった点にリスク分析の甘さがあった、と述べたとされています。

まだ明らかになっていない点

ITmedia エンタープライズは、初期侵入の具体的な経路や脆弱性の詳細、再発防止策、攻撃者に関する情報について、踏み込んだ発表はなかったと伝えています。本記事でも、これらについて推測は記載しません。最新情報はGMOの公式発表をご確認ください。

発表された補償・対応方針

• 1FXの不正取引による直接の損失：全額補償。11月6日から順次ヒアリングと確定作業を実施。
• 2一律のお見舞い金：被害の有無にかかわらず、全対象のお客様に5,000円。
• 3代替環境：復旧までの間、6か月間無償で提供。
• 4情報流出への特別お見舞い金：流出が確認された場合、内容に応じて最大300万円。

身代金については、GMOは当初から支払わない方針と説明しています。

同じGMOグループの別事案：GMOトラスト・ログイン

これは別のサービス・別の会社の事案です。「お名前.com デスクトップクラウド」の件との関連は、参照した資料では示されていません。

自社に置き換えて確認したい4つのこと

以下は、公表された事実をもとにした一般的な確認項目です。GMOの対応の是非を評価するものではありません。

1. 外部からの指摘を、完了まで追跡する

   診断会社や開発会社、研究者から指摘された課題を一覧にし、「対応済み」の根拠と再診断の有無を確認します。メンテナンスを実施したことと、課題が解消したことは別です。
2. 経営層へ上げる基準を決めておく

   どの程度の指摘や脆弱性を、経営層・取締役会に報告するかを文書で定めます。基準がない場合、個別の判断に任されます。
3. 初期設定のまま使っていないか見直す

   リモートデスクトップのドライブ共有など、利便性のために有効にした機能が残っていないかを確認します。
4. 異常に気づく仕組みと、利用中サービスの把握

   管理者権限の利用や管理サーバーへのアクセスに対する監視状況を確認します。あわせて、自社や取引先が利用するクラウド・VPS・リモートデスクトップを洗い出し、認証情報の保管場所を把握します。

「お名前.com デスクトップクラウド」を利用している場合は、GMOの案内に従って、取引ツールと取引口座のパスワード変更、取引履歴と残高の確認、二段階認証の設定を行ってください。GMOは、本件に便乗したフィッシングメールや不審な連絡にも注意するよう呼びかけています。

「解消」の次は「回復」：止まったとき、戻せるか

ここまでは、課題を解消し、異常に気づくための話でした。もう一つ大切なのが、被害を受けたあとに事業を続け、元の状態へ戻す「回復」です。サイバーレジリエンスとは、攻撃を防ぐ力に加えて、攻撃を受けても事業を続け、回復する力のことです。

今回の発表に見られる「回復」に関わる事実

サービスが止まった間、利用者は取引を続ける手段を失います。また、パスワード等が閲覧された可能性がある場合、利用者側でも認証情報を洗い出して変更する作業が必要になります。サービスの提供側と利用側のどちらにも、回復の備えが求められます。

平時に確認しておきたい「回復」の4点

以下は、公表された事実をもとにした一般的な確認項目です。

1. 止まったときの代替手段

   利用中のクラウド・VPS・リモートデスクトップなどが停止した場合に、業務を続ける手段や、縮小して運用する手順があるかを確認します。
2. バックアップを実際に戻せるか

   バックアップを取得していることと、復元できることは別です。復元の手順と所要時間を、実際に試して確認します。
3. 認証情報の洗い出しと変更の手順

   どのサーバー・端末・ツールにIDやパスワードを保管しているかを把握し、漏えいの可能性が出たときに、優先順位をつけて変更できる手順を用意します。
4. 判断者と連絡の流れ

   誰が停止や再開を判断し、顧客・取引先・関係機関へ誰が連絡するかを、あらかじめ決めておきます。