GMO不正アクセス、攻撃側に重大なミスか　脅迫サイトの訪問記録に残った手がかりと犯人特定の現状

時間がない人向けの30秒で理解ゾーン

GMOインターネットの「お名前.com デスクトップクラウド」が不正アクセスを受けた事件で、攻撃者が脅迫サイトの訪問記録を誤って公開していた可能性を、ホワイトハッカー2人が指摘した。GMOは29日、犯人の特定につながると考えられる情報を入手し、警察などに提出した。この記事では、専門家が挙げた攻撃側の「ミス」の中身と、犯人特定に向けた動きの現状をまとめる。30日夜の時点で、犯人の特定や逮捕は発表されておらず、分析はあくまで専門家の見方だ。

脅迫サイトの訪問記録に残った手がかり

攻撃側の「ミス」を指摘したのは、アンノウン・テクノロジーズの切敷裕大氏だ。テレビ局の取材に対し、攻撃者は意図しないまま、脅迫サイトを訪れた人たちの記録を公開していたと説明した。

ここで言う訪問記録は、一般に「アクセスログ」と呼ばれるものだ。ウェブサイトを見に来た端末の住所にあたるIPアドレスや、訪れた日時がサーバーに残る。サイトの運営者が自分で確認するための記録で、本来は外から見えない。

切敷氏によると、脅迫サイトのファイルが編集され、内容が反映された直後に訪問してくる、特徴的な動きのIPアドレスが複数見つかった。そのうちのIPアドレスについて、使っている端末が80ほどと多いという情報があるという。80世帯ほどが住む集合住宅のような場所からのアクセスだった可能性があるとされる。

攻撃者はふだん、仮想サーバーを経由して足跡を消していたとされる。それが1度だけ、集合住宅のような場所からアクセスしていた可能性があるという。切敷氏は、絞り込みが進めば、範囲は「どこどこマンション」の単位になるとの見方を示した。

なお、記録に残ったIPアドレスや具体的な場所は公表されていない。

杉浦氏「ミスが1個でもあれば追跡は可能」

別の手法で分析を進めたのが、日本ハッカー協会の杉浦隆幸代表理事だ。テレビ局の取材に、攻撃者が残した記録の中に、ハッカーの可能性がある人物の連絡先や住所、氏名にあたる情報が入っていたと明かし、その内容をGMOに提供したという。

杉浦氏は「そういうところ（ミス）が1個でもあれば、捜査機関であれば追跡は可能」と話し、攻撃者が捕まる可能性は高いのではないかとの見方を示した。

2人の分析が、GMOが入手した情報とどう関係するのかは明らかになっていない。どちらも民間の専門家による見方で、警察やGMOが内容を認めたわけではない。

GMO、ホワイトハッカーチームが情報を警察へ

GMO側も犯人特定に向けて動いた。29日の公式発表（第15報）で、グループのホワイトハッカーチームが独自に調査し、犯人の特定につながると考えられる情報を入手したと公表。同日中に警察や関係各所へ提出するとし、その後、提出を済ませた。

熊谷正寿代表も同日、自身のXで、社内のホワイトハッカーチームが犯人の特定につながる有力な情報を入手し、警察などに提出すると投稿した。ホワイトハッカーは、サイバー攻撃の知識を守る側に生かす技術者を指す。グループ内でそうした人材を集めたチームが調べを進めていた。

情報の中身や、攻撃者の身元について、GMOは明らかにしていない。

懸賞金への情報提供は428件に

GMOは27日、関与者の特定や事件の解明につながる情報を募る「GMOサイバー犯罪撲滅・懸賞金」を設けると発表した。報奨金の総額上限は100万米ドル（約1億5000万円）で、28日正午に情報提供サイトを開設している。制度の条件や、個人情報を公開された人への特別お見舞金は、以下の記事で詳しく扱った。

寄せられた情報は、開設から6時間の28日18時時点で113件。29日11時30分には270件、同日18時時点で321件となり、30日18時時点では累計428件まで増えた。開設6時間の時点のおよそ4倍に積み上がった計算だ。GMOは届いた情報を確認・精査しているとしている。件数は平日の18時に公式発表へ追記して公表するとしている。

日時	主な動き
10月21日	GMOがサービスを停止し、不正アクセスを公表。脅迫メールを受信
10月22日	警察に相談
10月27日	懸賞金の創設を発表。警視庁が捜査を始める
10月28日	脅迫サイトの停止を確認。正午に情報提供サイトを開設、18時時点で113件
10月29日	犯人特定につながると考えられる情報の入手を発表し、警察などに提出。18時時点で321件
10月30日	専門家が攻撃側の「ミス」を分析した内容が報じられる。18時時点で累計428件

攻撃者からの金銭要求については、熊谷代表が5000万ドルを求められたと明かしている。

犯人の特定・逮捕は発表されず、警視庁が捜査

30日夜の時点で、攻撃者の特定や逮捕は発表されていない。警視庁サイバー犯罪対策課は27日から、不正アクセス禁止法違反の疑いなどで捜査している。

脅迫サイトは28日未明までに停止し、閲覧できなくなった。GMOは同じようなサイトが新たに開かれた場合も、停止に向けて対応するとしている。利用者に向けては、不審なサイトにアクセスしないこと、URLや掲載内容をSNSなどで転載・拡散しないことを呼びかけてきた。GMOは27日の発表で、脅迫サイトにアクセスした人の情報が犯人に取得されていることを確認したとも説明している。

懸賞金の情報を寄せる際も、自分で犯人を特定しようとしたり接触したりしないよう求めた。確証のない情報を投稿しないことも注意点に挙げている。

攻撃側に「重大なミス」があったのかどうか。答えを出すのは専門家の分析ではなく、警察の捜査だ。GMOが提出した情報と、428件を超えて集まる情報提供が、捜査をどこまで前に進めるかが次の焦点になる。

[文/構成 by ライター飯田タツヤ]