📡 Signal｜GMO、正午の情報公開予告を前に利用者へ PC の電源断を要請

GMO インターネットグループは10月26日深夜、不正アクセスを受けたサービス「お名前.com デスクトップクラウド」をめぐり、攻撃者とみられる者から、27日正午に顧客の情報を公開し、ランサムウェアによる攻撃を行うと予告されていると公表した。27日朝には利用者に、正午までにバックアップを取り、パソコンのネットワークを切って電源を落とすよう求めた。

GMO インターネットグループ「お名前.com デスクトップクラウド」への不正アクセスに関する現在の対応について (第9報・10月27日11時59分時点) — 解析の途中経過、新しいパソコンの提供、21日からの経緯を確認【重要】「お名前.com デスクトップクラウド」への不正アクセスに関する現在の対応について（第9報）（【続報】12時に予告されている攻撃に備えた、お客様へのあら

正午を過ぎた13時台、共同通信は、顧客の個人情報の一部を掲載したとする攻撃者とみられる声明が出たと報じ、GMO は声明の真偽について「個々の事象についてはコメントを差し控える」と答えた。企業が攻撃者の期限に合わせて、利用者の端末を止めるよう呼びかける段階まで来た。

第一報は27日の 速報 で伝えた。本稿は GMO が公表した第7報から第9報で、予告の前後に何をしたかを拾う。

正午の予告に向けた 3 つのお知らせ

GMO の公式のお知らせは、26日夜から27日昼までに 3 本出た。

• 第7報 (26日23時10分時点) — 27日正午の情報公開とランサムウェア攻撃の予告を受けていると公表。全国の利用者から端末を預かり、グループのホワイトハッカーのチームが、マルウェアが仕掛けられているかを含めて解析していると説明した
• 第8報 (27日9時58分時点) — トレンドマイクロなどのセキュリティ企業や AI 企業から協力の申し出があり、内容を調整していると公表。正午になる前にバックアップを取ったうえで、ネットワークを切り、電源を落とし、パソコンにつながるコードを抜くよう求めた
• 第9報 (27日11時59分時点) — 解析を終えた端末からはランサムウェアを含むマルウェアは見つかっていないと公表。ただし解析は続いており、すべての端末の安全を確認したわけではないとした。ランサムウェアの被害に遭った利用者には、同等の性能の新しいパソコンを提供する

対応方針はどの報でも同じで、攻撃者の要求には応じない。要求に応じても、取られた情報の削除や不正利用の防止が保証されないためだ。

21日から 1 週間の経緯

GMO が第9報に載せた経緯によると、10月21日にサービスを止め、第1報を出した。同じ日に約 80 億円を求める脅迫のメールを受け取った。22日に警察に相談し、24日には利用者へのお見舞金の支払いと不正な取引による損失の補償、代替サービスの提供を決め、能動的サイバー防御の適用を政府の関係機関に求めた (10月24日の記事)。25日に端末の調査への協力を呼びかけ、26日から預かった端末の解析を始めている。

共同通信は、このサービスを外国為替証拠金取引 (FX) 向けと伝えている。侵入を受けたのはサーバー側のサービスだが、GMO の対応は利用者の手元の端末の安全の確認にまで広がった。

期限のあとに残る、2 つの確認

正午を過ぎても、GMO の公式のお知らせは掲載の真偽に触れていない。共同通信によると、セキュリティの関係者は、攻撃者のものとみられるウェブサイトを閲覧しないよう呼びかけている。個人情報を集められたり、閲覧した端末が不正アクセスを受けたりするおそれがあるためだ。

利用者にとっての確認は 2 つに分かれる。一つは、自分の情報が掲載されたかどうか。もう一つは、自分のパソコンにマルウェアが仕掛けられていないか。GMO は後者について解析の途中経過を出し始めたが、前者はまだ公式の説明がない。

政府は26日にサイバーセキュリティの関係閣僚会議を開き、来週中をめどに緊急対策パッケージをまとめる方針を示した (10月27日の記事)。個別の企業の事案と、国の対策の両方が同じ週に動いている。

次に見るもの

確認先は、GMO の「重要なお知らせ」のページ (group.gmo/info/alert) に出る第10報だ。掲載されたとする情報の範囲を GMO が認めるか、端末の解析の結果がどこまで進んだかが、利用者の取るべき対策を決める。政府の緊急対策パッケージがまとまる来週中に、被害企業への支援がどう具体化するかも見る。

ことば

• ランサムウェア — パソコンやサーバーのデータを暗号化して使えなくし、元に戻すことと引き換えに金銭を求める不正なプログラム。データを盗んで「公開する」と脅す二重の手口も使われる。
• 能動的サイバー防御 — 10月1日に施行された関連法にもとづき、攻撃に使われているサーバーに政府が入り込み、無害化することなどを可能にする仕組み。GMO は10月24日にその適用を政府に求めた。
• デスクトップクラウド — パソコンの作業環境をデータセンターのサーバー上に置き、利用者がネット経由で操作するサービス。取引ツールを 24 時間動かし続ける用途などに使われる。

🔗 一次ソース

• GMO インターネットグループ「お名前.com デスクトップクラウド」への不正アクセスに関する現在の対応について (第9報・10月27日11時59分時点) — 解析の途中経過、新しいパソコンの提供、21日からの経緯を確認【重要】「お名前.com デスクトップクラウド」への不正アクセスに関する現在の対応について（第9報）（【続報】12時に予告されている攻撃に備えた、お客様へのあら
• 同 第8報 (10月27日9時58分時点) — トレンドマイクロなどの協力の申し出、正午前の電源断の要請【重要】「お名前.com デスクトップクラウド」への不正アクセスに関する現在の対応について（第8報）（【続報】お客様をお守りするために現在私たちが行っていること
• 同 第7報 (10月26日23時10分時点) — 正午の情報公開とランサムウェア攻撃の予告、端末の預かりと解析【重要】「お名前.com デスクトップクラウド」への不正アクセスに関する現在の対応について（第7報）（お客様をお守りするために現在私たちが行っていること） |
• 共同通信 (47NEWS)「顧客情報掲載でGMO『コメント控える』」(10月27日13時17分)47NEWS
• 共同通信 (47NEWS)「閲覧しないよう注意と関係者」(10月27日13時30分)47NEWS
• 共同通信 (47NEWS)「GMOに顧客情報公開予告 27日正午、追加攻撃も」(10月27日)47NEWS