GMOクラウド不正アクセス、情報と称する資料の公開を確認、端末調査継続

会社が認めた安全上の問題と、まだ公表されていない技術的な侵入経路を分けます。GMOは24日の第4報で、サービスのシステムにセキュリティ上の問題があり、不正アクセスと顧客情報の外部への持ち出しを確認したと説明しました。単なる障害や疑いの段階から進んだ確認です。第4報

25日には、グループ代表の熊谷正寿氏が、安全上の弱点を見つけて伝える社内の専門家から、改善すべき課題が事前に指摘されていたと説明しました。サービスを止める影響や他の課題との優先順位を考慮する中で、対応の深さと速さが十分ではなかったという経営側の説明です。どの製品の欠陥がどの順番で悪用されたかを示す技術調査報告書まで公表されたわけではありません。代表の10月25日の説明

確認した第12報までは、この空欄を埋める技術的経路は公表されていません。特定の遠隔接続ソフトの欠陥や、最近のPHPの脆弱性が原因だと結び付ける根拠も、これらの原文からは確認できません。代表のAI攻撃に関する説明も、今回の侵入に特定のAIツールが使われたという分析結果とは分けて読む必要があります。

このサービスはFX、つまり外国為替取引のソフトを動かし続けるために使う仮想サーバー（VPS）を提供します。自分のコンピューターを動かし続ける代わりに、提供元の設備上の実行環境を借りる仕組みです。利用者は自分のPCなどから遠隔接続します。証券・FX会社の取引口座は、遠隔サーバーを借りる契約とは別に存在します。公式サービス説明と現在の停止案内

遠隔サーバーには、取引を続けるためのログイン情報が保存されている場合があります。第3報はその情報が取得・不正利用された可能性を説明し、個別の取得・不正利用の有無と範囲は調査中としています。第4報では覚えのない取引の報告も受けたと説明しました。金融会社そのもののシステムが侵入されたという発表とは区別します。第3報

例えば、自宅のPCから遠隔サーバーへ接続し、取引ソフトの自動ログインを設定した利用者を考えます。仕組みを説明する架空の例です。遠隔サーバーにあった口座情報が悪用されれば、自宅PCにマルウェアがなくても、別の接続から口座へアクセスされる危険があります。覚えのない注文は意図しない取引や損失につながるため、残高だけでなく注文・約定の履歴も金融会社で確認します。約定は注文が成立したことです。

セッションは、ログイン後もサーバーが維持する接続状態です。会場への入場に例えると、パスワード変更は今後の入場に使う鍵を変えること、全セッション終了はすでに入場済みの接続も外へ出すことに当たります。実際の効果は取引会社の仕組みによります。第3報は、変更後も一定期間既存の接続が維持されて取引できる場合があるとして、変更済みの人にも全セッションの切断を求めました。

%% パスワード変更だけで終わらせない理由・GMO第3報の利用者向け案内
flowchart TD
  A["別の安全な端末から<br/>取引会社の公式窓口へ"] --> B["パスワード変更<br/>今後のログインを保護"]
  B --> C["全セッション終了を依頼<br/>取引会社の機能・窓口を利用"]
  C --> D["接続一覧・取引会社の回答で<br/>終了の完了を確認"]
  D --> E["注文・約定・残高を確認<br/>不明な取引を連絡"]

遠隔サーバーと自宅PCは別のコンピューターです。遠隔画面を見たことだけで、自宅PCへマルウェアが複製されたとは結論できません。第3報は、顧客端末への影響も調査中であり、フルスキャンとバックアップは二次被害を防ぐ予防的な対応だと明記しています。

一方、遠隔サーバーだけを調べても個人端末まで安全とは言えません。新しいパスワードを入力する端末自体と、アカウントに不明なアクセス経路が残っていないかを別に確かめます。グループの26日の案内は、フルスキャンに加え、連携アプリ、メール転送設定、ブラウザー拡張、登録端末、同期も点検対象にしています。次の表は点検の目的を説明したもので、今回それぞれの問題が顧客PCで見つかったという一覧ではありません。利用者保護案内

例えば覚えのないメール転送ルールは、PC検査とは別にアカウント設定で確認する必要があります。点検の目的を示す架空の例であり、今回見つかった設定という意味ではありません。PC検査、アカウント設定の点検、金融会社の取引確認は調べる場所が違うため、互いを代用できません。

ランサムウェアはファイルを暗号化したり利用を妨げたりして金銭を要求する悪性プログラムです。情報公開の脅迫と、PCでそのプログラムが実際に動いたかは、別々に調べる事実です。

第9報の対象は、協力した顧客から提供された端末のうち解析が終わった一部です。結果を全顧客PCへ広げることはできません。第9報

GMOはサービスに接続した顧客端末のフルスキャンを求めています。アカウント保護は、別の安全な端末から公式サイトへ直接アクセスして行うよう案内しました。グループの利用者保護案内

パスワード変更は取引会社だけでなく、遠隔サーバーに情報を保存したサービスや、同じパスワードを使い回した先も対象にします。メールは他サービスの通知やアカウント復旧の連絡を受ける場所なので、併せて保護します。多要素認証はパスワード以外に追加確認を求める機能で、提供されるサービスで設定します。

端末の検査には電源が必要ですが、第10報にはバックアップ、ネットワーク切断、電源終了の依頼もあります。不審な端末を繰り返し起動したり、新しいパスワードを入力して試したりせず、別の安全な端末から公式窓口に現在の状態に合った点検順序を確認します。バックアップのファイルも、確認前に他の端末で不用意に実行しないよう注意が必要です。

第10報には、バックアップ後、対象顧客のPCをネットワークから切り離し、電源を切るという依頼も残っています。この事件の対象利用者に示した予防措置です。別のGMOサービスの利用だけを理由に、あらゆるPCへ同じ操作を求める案内ではなく、まず自分のサービスと端末が対象か最新の公式案内で確かめます。

第12報の特別お見舞金は、公開資料に顧客本人の情報が含まれるとGMOが確認した場合の制度です。従来の一律お見舞金、不正取引による損失補償とは別で、区分ごとの条件は公式案内を読む必要があります。発表は個別の支払い完了を意味しません。

同社は関与者の特定・検挙や事件解明に貢献する検証可能な情報を募る懸賞金も発表しました。100万米ドルは制度全体の総上限で、1人当たりの額ではありません。受付開始は28日12:00日本時間の予定で、本記事の確認時点では開始前です。同社は適法に取得した情報を対象とし、独自の侵入調査や犯人との接触を求める制度ではないと説明しています。

能動的サイバー防御に関しては、第4報で会社が政府関係機関への要請方針を示しています。会社の要請を政府の発動決定や実施と同じ事実には置き換えられません。第4報