入り口は顧客のリモートデスクトップだった

被害が出たのは、グループ会社のGMOインターネットが運営する「お名前.com デスクトップクラウド」だ。インターネット上の仮想サーバーにWindowsの作業環境を用意するサービスで、FX（外国為替証拠金取引）の自動売買ソフトを24時間動かす用途で使われていた。影響の可能性があるサーバーは2万6739件に上る。

会見での説明によると、攻撃者が最初に入り込んだのは同社の管理サーバーではなく、顧客がリモートデスクトップで使う仮想サーバーだった。8月5日にそこへ侵入し、管理者アカウントを盗み出した。

次の一手は12日後。8月17日、盗んだ管理者権限を使い、同社の管理サーバーに入り込んだ。

山下浩史副社長の説明では、9月20日から10月14日にかけて、この管理サーバーを足がかりに顧客の仮想サーバーへマルウェア（不正なプログラム）が配布されていた。顧客の環境から始まった侵入が、最大2万6739件のサーバーに影響しうる攻撃へと広がっていった流れだ。

詳しい手口について、山下副社長は同じような攻撃を招くおそれがあるとして公表を控えると説明した。同社は顧客から接続に使っていたパソコンを借り受け、解析を進めている。攻撃者に関する情報について、熊谷正寿会長兼社長はデータを解析してしかるべき機関に報告しているとしたうえで、調査中だとして詳細を明かさなかった。

発覚のきっかけは顧客からの問い合わせ

侵入から発覚までの流れを、同社の公式発表と会見での説明をもとに表にまとめた。

同社が自力で見つけたわけではなかった。公式発表によると、10月19日に顧客から問い合わせがあり、調査を始めた。翌20日に不正なプログラムが置かれていることを確かめ、新規申し込みとコントロールパネルを止めた。21日午前4時には全プランのサーバーを順次停止し、第1報を出している。

8月5日の最初の侵入から数えると、約2か月半。管理サーバーへの侵入からでも2か月余りの間、同社の監視では異変をとらえられなかったことになる。

山下副社長は、管理サーバーを通じたマルウェアの配布に10月20日まで気づけなかった点について、「サービスの監視で気付けなかったことを深く受け止めている」と述べた。

なぜ気づけなかったのかは未解明

最も大きな疑問は、侵入に長く気づけなかった理由だ。同社はこの点を含めて今後検証するとしており、会見の時点で答えは示されていない。

もうひとつの焦点が2年前の指摘だ。2024年4月、グループのGMOサイバーセキュリティ byイエラエがシステムの改善点を報告し、同社は4月26日から5月20日にかけて緊急メンテナンスを4回行った。ただ、対策は十分ではなかったと認めている。山下副社長は当時の対応について「深さと速さが不足していた」と説明した。同社は、指摘された弱点を抜本的に解決できなかったことが発覚の遅れや被害の拡大を招いたとしている。GMOインターネットの伊藤正社長は、当時の報告に個人の端末へ影響が及ぶ可能性は含まれていなかったと説明した。ただ、指摘の中身と、8月の侵入で使われた弱点が同じものなのかどうかは、明らかにしていない。

攻撃者側は10月24日の声明で、すべてのサーバーに対して管理者権限を持つアカウントがあったと主張していた。会社側は弱点の詳細を明かしておらず、この主張が事実かどうか、会見で示された管理者アカウントの窃取とどう関係するのかは分かっていない。

関連記事：GMO、攻撃者から5000万ドル（約80億円）の金銭要求と熊谷正寿代表が公表　声明文の100万ドル要求との関係は不明

公表後の動きと会見のほかの論点

公表後、事態はさらに動いた。10月21日には攻撃者から約80億円（5000万ドル）を要求され、同社は支払わない方針を示している。10月27日には攻撃者が個人情報1件を外部に公開し、同社は翌28日から懸賞金による情報提供の募集を始めた。11月2日までに約700件の情報が寄せられた。熊谷会長兼社長によると、攻撃者との接触は10月23日午後8時以降ないという。

会見では熊谷会長兼社長が謝罪し、役員報酬の減額や流出した情報、顧客への補償についても説明があった。これらの内容は別の記事で詳しくまとめている。

関連記事：GMO熊谷社長が会見で謝罪、役員4人の報酬を最大30％減額　2年前の脆弱性指摘「生かせなかった」、流出した情報と補償の中身

サービスの再開時期は決まっていない。侵入経路の詳細や、監視をすり抜けた理由がどこまで明らかになるか。利用者が安心してサービスに戻れるかどうかは、同社の検証の中身にかかっている。

[文/構成 by ライター 飯田タツヤ]