要点
- GMO インターネットの仮想デスクトップ「お名前.com デスクトップクラウド」が侵害された。GMO によると、中に保存されていた FX 口座のログイン情報などが取られ、不正に使われた可能性がある。
- 影響の可能性があるサーバーは 26,739 件で、攻撃者は約80億円を要求し、盗んだとする情報を公開した。
- 熊谷正寿代表は、社内のホワイトハッカーが前もって課題を指摘していたのに、対処が間に合わなかったと認めた。
何が起きたか
お名前.com デスクトップクラウドは、GMO インターネットが売っていた Windows の仮想デスクトップ（ネットの向こうにある、借りて使うパソコン）である。主な使い道は、MT4 や MT5 といった FX の自動売買ソフトを、止めずに動かし続けることだった。
GMO の説明では、異変に気づいたのは10月19日だ。利用者の問い合わせをきっかけに調べ、翌20日に不正なプログラムを見つけた。21日の早朝4時には、全プランのサーバーを止める作業に入った。
23日、GMO は影響の可能性があるサーバーが 26,739 件あると発表した。サーバーの中には「お取引口座のログイン情報等」が保存されていた。GMO は、調査と利用者からの報告をもとに、これらが第三者に取られて不正に使われた可能性があるとしている。実際に取られたかどうかや、その範囲は調査中だという。24日には、情報が外に持ち出されたことを確認したと発表した。原因は「本サービスのシステムにセキュリティ上の問題が存在し」たためだという。どこから入られたのかについては、23日の時点で、専門の会社と調べているとしていた。
攻撃者はお金を要求している。GMO の発表では、要求額は約80億円で、GMO は払わない。払っても持ち出された情報が消される保証はなく、犯罪の資金にもなるからだという。GMO は、攻撃者とみられる者が27日12時30分に情報を公開したことを確認した。
日本の利用者への影響
これは海外製品の弱点の話ではない。日本の会社が、日本の利用者に売っていたサービスが破られた。
被害はサーバーの中だけでは終わらないおそれがある。取られた可能性のある口座のログイン情報を使えば、ほかの誰かが口座を操作できてしまう。GMO の発表によると、攻撃者は70を超える証券会社・FX 会社などで不正な操作を続けると予告している。GMO は主要な取引所や証券会社に、このサービスからの接続を断ち、ログイン中の状態をすべて切るよう頼んだ。自分のサービスからの接続を断ってほしいと、事業者が自分から頼むのは異例だ。
日本経済新聞などの報道によると、金融庁は22日、FX 会社に不審な取引の見張りを強めるよう求めた。片山金融担当相は、26日までに5つの会社で、関係するとみられる利用者の被害が確認されたと述べた。この部分は GMO の発表ではなく、報道による。
手元の PC も安全とは言い切れない。GMO は、接続に使った PC やスマートフォンも調べるよう求めている。
今すぐやること
- 自分が対象か確かめる。 お名前.com デスクトップクラウドを契約しているか、請求やメールで確かめる。10月21日から順に止められているので、つながらないこと自体が対象のしるしかもしれない。
- 別の安全な端末から、パスワードを変える。 FX や証券の口座、メール、Google など、そのサーバーで使っていたものは、すべて漏れたものとして扱う。すべての端末からログアウトし、使えるなら多要素認証（パスワードのほかにスマホなどでも本人確認する仕組み）を有効にする。
- 取引の履歴と残高を見る。 身に覚えのない取引があれば、証券会社・FX 会社と GMO に連絡する。GMO は、不正アクセスが原因だと認めた取引の損失を補償するとしている。GMO がパスワードや認証コードを尋ねることはない。「被害金を取り戻す」などと言ってお金を求める連絡には応じない。
- 接続に使った PC やスマホを、ウイルス対策ソフトで「フルスキャン」する。 短時間で済む「クイックスキャン」では足りない。
- 公開されたとされる情報を見に行かない。 GMO は、そのサイトにアクセスした人の情報が攻撃者に取られていることを確認したとしている。もう見てしまった人も、端末をフルスキャンする。
背景
この件で重いのは、穴があることを事業者が前から知っていたと、経営者自身が認めた点だ。熊谷正寿代表は25日のブログで、「ホワイトハッカーから改善すべき課題が事前に現場へ指摘されておりました」と書いた。可用性や優先順位を考えて慎重に進めた結果、「その対応の深度とスピードが十分ではなく、攻撃者にその間隙を突かれてしまいました」とも書いている。
ブログでは、いつ何を指摘されたのかまでは触れていない。こちらの見立てでは、社内の指摘が通らない理由が技術ではなく優先順位だった、という構図はどの組織にもありうる。
GMO は、破られたシステムをそのまま再開せず、仕組みから作り直すとしている。補償は、利用者全員への一律5,000円のお見舞金、損失の補償、代わりのサービスの提供である。
熊谷代表は同じブログで、10月1日に施行された能動的サイバー防御法（国が攻撃の兆しをつかみ、先回りして防ぐための法律）に触れ、国と民間が力を合わせるよう呼びかけた。国内のクラウドが破られ、そこに置かれた口座のログイン情報が不正に使われた可能性がある。これは一つの会社の管理の話にとどまらない。国内の事業者だから安全、という前提は今回で一度崩れた、というのがこちらの見方である。
技術者向けの詳細
- 対象: お名前.com デスクトップクラウド（Windows の VDI/VPS。MT4/MT5 を常に動かしておく用途向け）
- 影響の可能性があるサーバー: 26,739 件（第3報）
- 経緯（日本時間）
- 10/19 利用者からの問い合わせで調査を開始
- 10/20 一部の利用者のサーバー環境で不正なプログラムの設置を確認。新規申込とコントロールパネルを停止
- 10/21 04:00 全プランのサーバーを順次停止
- 10/22 警察に相談
- 10/24 情報の外部持ち出しを確認（第4報）
- 10/27 12:30 攻撃者とみられる者による情報公開を確認。13:55 時点でランサムウェアの被害は未確認（第10報）
- 侵入経路: 第3報（10/23）の時点で、専門の会社と調査中。製品名・CVE・IOC（侵入された跡の一覧）・送信元の IP は、ここで参照した各報には書かれていない
- GMO の取引所・証券会社への要請（第4報）: このサービスからの接続を受け付けないこと、ログイン中のセッションをすべて切ること、不正な取引を急いで監視し止めること
- 利用者向けの点検（第6報）
- 端末: 接続に使った端末をフルスキャンする。点検が済むまでブラウザの同期は使わない
- アカウント: FX・証券・メール・Google などのパスワードを変え、多要素認証を使う。全セッションを切り、心当たりのない連携アプリ・メール転送・拡張機能・登録端末を外す
- データ: 大事なデータは、ネットから切り離した状態で、外付けハードディスクなどにバックアップ（写し）をとる
- 補償の案内予定（第4報）: お見舞金の詳細は 10/30 まで、損失補償の申請方法は 11/6 まで
- 窓口: https://help.onamae.com/contact/ 、03-5456-2560（24時間受付）
- 他社の VPS/VDI を業務で使う組織の点検の観点: その環境に認証情報を保存していないか、接続元の端末を分けているか、事業者から停止・遮断の連絡を受ける窓口があるか、ログを何日さかのぼれるか