GMO不正アクセス、攻撃側に北朝鮮系ハッカー集団の関与か　犯人像の根拠と、日本を狙ってきた北朝鮮系の手口

時間がない人向けの30秒で理解ゾーン

GMOインターネットグループが受けた一連の不正アクセスで、同社が攻撃側に北朝鮮系のハッカー集団がいる可能性が高いと分析していると、1日に報じられた。マルウエア（悪意あるソフト）の特徴など、攻撃者が残した複数の痕跡から判断したとみられる。この記事では、北朝鮮系を疑う根拠として報じられた中身と、北朝鮮系のハッカーが日本で起こしてきた事件の手口をまとめる。1日夜の時点で、GMOや警察・政府の公式発表はなく、関与は確定していない。

犯人は北朝鮮系ハッカーか　GMOが分析した根拠

報道によると、GMOは攻撃者が使ったマルウエアの特徴をはじめ、複数の痕跡を調べたうえで、北朝鮮系のハッカー集団が関わっている可能性が高いと判断したとみられる。攻撃を受けたサービスの通信記録（ログ）の特徴も確かめたという。GMOはこの分析を政府側に報告したもようだと伝えられた。

痕跡の中には、複数の国をまたぐものもあった。調査をかく乱しようとした可能性を、専門家が指摘している。

別の解析結果もある。報道機関がセキュリティー関係者の協力を得て、攻撃者の犯行声明サイトが公開された直後に接続していたIPアドレス（ネット上の住所にあたる番号）を調べたところ、5つが過去に北朝鮮のハッカー集団が使っていたものと一致したと報じられた。声明サイトには、米国や日本など複数の国に関係する痕跡も残っていたという。

ただし、GMOがどの痕跡をどの程度重く見たのか、具体的な中身は明らかになっていない。どの集団を指すのかも報じられていない段階だ。

マルウエアをめぐっては、GMOが10月28日の第14報で、利用者から預かった端末を解析した結果、マルウエアの感染やランサムウエア（身代金要求型ウイルス）攻撃の痕跡は確認されていないと説明していた。この説明は利用者の端末についてのものだ。今回報じられた「マルウエアの特徴」がどこで見つかったものなのかは、1日夜の時点で分かっていない。

不正アクセスの発覚から北朝鮮系の報道まで

被害を受けたのは、GMOインターネットが運営する「お名前.com デスクトップクラウド」だ。FX（外国為替証拠金取引）の自動売買向けに貸し出していた仮想サーバーで、GMOは10月21日にサービスを止め、不正アクセスを公表した。サーバー内に保存されていた取引口座のログイン情報などが取得され、不正に使われた可能性があるとしている。

攻撃者からの金銭要求については、熊谷正寿代表が5000万ドルを求められたと明かしている。

日付	主な動き
10月21日	GMOがサービスを停止し、不正アクセスを公表。脅迫メールを受信
10月22日	警察に相談
10月24日	政府に「能動的サイバー防御」の適用を緊急要請
10月27日	攻撃者が利用者とみられる情報を公開。GMOが懸賞金（総額上限100万米ドル）の創設を発表。警視庁が捜査
10月28日	脅迫サイトの停止を確認。情報提供サイトを開設
10月29日	犯人の特定につながると考えられる情報を警察などに提出
10月30日	懸賞金への情報提供が18時時点で累計428件に
10月31日	2日に記者会見を開くと発表
11月1日	北朝鮮系ハッカー集団の関与を分析していると報じられる

1日には、被害者どうしの情報共有をうたうサイトを攻撃側が開設していた疑いも報じられた。開設はGMOの公表前から準備されていたという。犯行声明サイトとソースコードやサイトの構成などに共通点があり、どちらも同じ米国のレンタルサーバー事業者を使っていたという。

30日には、攻撃側が脅迫サイトの訪問記録を誤って公開していた可能性を、ホワイトハッカーが指摘している。

北朝鮮系ハッカー集団とは　日本を狙ってきた手口

北朝鮮系のハッカーによる被害は、日本でもすでに公的に認定されている。警察庁は2024年12月24日、米連邦捜査局（FBI）や米国防総省サイバー犯罪センター（DC3）と連名で、北朝鮮を背景とする攻撃グループ「TraderTraitor（トレイダートレイター）」が、暗号資産交換業者のDMM Bitcoinから約482億円相当の暗号資産を盗んだと特定し、公表した。被害は同年5月に起きている。

手口は、人の心理の隙を突くものだった。公表された内容によると、攻撃者は求人サイトのLinkedInで採用担当者を装い、暗号資産の保管システムを手がける企業「Ginco」の従業員に近づいた。採用前の試験と称して悪意あるプログラムを実行させてパソコンを感染させ、そこから盗んだ情報でGincoのシステムに入り込む。最後は、DMM Bitcoinの従業員による正規の取引依頼を改ざんし、暗号資産を送り出させた。

狙いは外貨だとされる。日本や米国、韓国など11か国でつくる「多国間制裁監視チーム（MSMT）」は2025年10月の報告書で、北朝鮮が2024年1月から2025年9月までに、少なくとも28億ドル相当の暗号資産を盗んだと指摘した。

最近では、米FBIが10月31日、暗号資産交換所大手バイナンスの大規模なハッキングに北朝鮮が関与したと発表した。DMM Bitcoinの件と同じTraderTraitorによるものだとしている。

ここまでは、公的機関が北朝鮮系と認定した過去の事件や、報告書が示した全体の傾向だ。GMOの件の攻撃者が、TraderTraitorなど特定の集団と同じだとする情報は、1日夜の時点で報じられていない。DMM Bitcoinの件では暗号資産そのものが盗まれたが、GMOの件で表に出ているのは、FX口座のログイン情報が取得された可能性と、攻撃者による金銭要求だ。

楽天証券・NTTデータの不正アクセスとの関係は

同じ時期に、証券会社の顧客情報をめぐる不正アクセスも発表された。両者の関係を気にする人もいるが、別の事案だ。

NTTデータは10月31日、社債の購入者向けの特典サービスで使われる委託先のシステムが、不正アクセスを受けたと発表した。発生は30日。楽天証券は同日、この委託先が提供する「デジタル証券プラットフォーム」から、デジタル特典付き社債を買った顧客の情報が持ち出された可能性があるとして、延べ362件が対象になると公表した。

対象は、カゴメ、西日本旅客鉄道（JR西日本）、近鉄グループホールディングスの3社の社債を買った顧客の一部だ。楽天証券によると、ログインIDやパスワード、取引に必要な情報は含まれておらず、楽天証券自身のシステムへの不正アクセスもない。近鉄グループホールディングスは、7月に出した社債を100万円以上買った2678人分の氏名や購入金額が漏れた可能性があると発表している。

原因や影響の範囲は調査中だ。GMOの件との関係や、北朝鮮との関連は、1日夜の時点で報じられていない。

2日の会見で注目される点

GMOは2日午後、東京都内で記者会見を開く。問題の発生後、会見は初めてで、熊谷代表らが出席し、これまでの経緯や顧客への対応を説明する見通しだ。

まず問われるのは、北朝鮮系との分析をGMOとしてどう説明するかだ。1日夜の時点で、GMOの公式サイトのお知らせは30日付が最新で、この分析には触れていない。政府への報告や、警視庁の捜査との関わりをどこまで語るのかが焦点になる。

攻撃者がどこから入り込んだのか、侵入経路も明らかになっていない。熊谷代表は10月25日のブログで、社内のホワイトハッカーから改善すべき課題が事前に現場へ指摘されていたと明かし、対応の深さと速さが足りなかったと謝罪した。10月31日には、グループのセキュリティー会社が2024年4月の時点で、このサービスのぜい弱性を指摘していたとも報じられている。指摘を受けてどんな対策を取ったのか、取得された顧客情報の範囲が会見で示されるかどうかも、利用者が知りたい点だ。

懸賞金への情報提供は増え続け、GMOは29日に犯人の特定につながると考えられる情報を警察に渡した。そこへ北朝鮮系の関与という新しい見立てが加わる。真相を確かめるのは、GMO自身の説明と警察の捜査だ。

[文/構成 by ライター飯田タツヤ]