GMOの攻撃者が情報を公開、「見るな・電源を切れ」の呼びかけと中小企業の備え

1. 10月27日に何が起きたか

GMOインターネットグループは、「お名前.com デスクトップクラウド」への不正アクセスについて、攻撃者とみられる者から10月27日12時に顧客情報の公開とランサムウェア攻撃を行うとの予告を受けていたと公表しました。これに備え、同日9時58分時点の第8報で、利用者にバックアップを取ったうえでネットワークを切断し、PCの電源を落とすよう求めました（GMO第8報）。10月21日の第1報では約80億円の要求を含む脅迫メールを受け取ったとしており、同社は要求には応じない方針です（GMO第10報）。

12時の時点では、解析を終えた利用者端末からマルウェアは確認されていません。ただしGMOは、すべての端末の安全を確認したものではないとしています。ランサムウェアの被害に遭った利用者には、同等性能の新しいPCを提供するとしています（GMO第9報）。一方、攻撃者とみられる者が情報を公開したことは12時30分に確認され、公開内容は検証中で、事実と異なる内容が含まれるおそれもあるとしています。13時55分時点で、ランサムウェア攻撃は確認されていません（GMO第10報）。

2. 「見てはいけない」公開サイトと、GMOの対応

GMOは、攻撃者が公開したサイトに、アクセスしたり情報を拡散したりしないよう求めています。サイトにアクセスした人の情報は攻撃者に取得されていることを確認したとして、すでにアクセスした人にはウイルス対策ソフトでのフルスキャンを促し、アクセスに起因する被害には責任を負えないとしています。転載、SNSでの再投稿、リンクの共有も控えるよう要請し、悪質な拡散者には開示請求や刑事告訴などの法的措置を準備しているとしました（GMO第11報、ITmedia NEWS）。GIGAZINEは、この声明文を読めるようにした第三者のまとめサイトの作者が、攻撃者側のサイトには閲覧者のIPや環境を記録する仕掛けがあるとして、直接のアクセスを避けるよう警告していると伝えています（GIGAZINE）。

同日19時10分の第12報で、GMOは、情報が公開された利用者に、公開1件につき上限300万円の特別お見舞金を支払うと発表しました。また、事件の解明につながる情報に総額100万ドル（約1億5000万円）を支払う懸賞金制度を創設し、10月28日12時から受け付けるとしています。金額は制度全体の上限で、1人への支払額ではありません（GMO第12報、ITmedia NEWS）。GMOは、犯人の要求には永久に応じないと明言しています。

当社の見方　今回目立つのは、被害者に「見るな、広げるな、電源を切れ」と呼びかけざるを得なくなった点です。攻撃者の公開サイトを好奇心で開けば、自社のPCや業務環境の情報まで取られる可能性があります。取引先や同業者で話題になったとき、社内で確認のためにリンクを開く担当者が1人でもいれば、そこが新たな入口になります。しかも、不審なメールやSMSの便乗詐欺は、公開された情報があるほど本物らしくなります。「話題の件を確認するためにリンクを開く」ことを社内でやめるかどうかで、二次被害を受けるかどうかが変わると当社は考えます。

3. AIが攻撃に使われている兆し

TechCrunchによると、GMOのセキュリティ部門は約1週間前、中国製のAI搭載ペネトレーションテストツール「Artex」が日本企業への攻撃に使われた証拠を見つけたと発表しています。ただしGMOは、Artexとお名前.comへの侵入との関連は公式には確認していません。同記事は、Artexが9月に韓国の金融機関への攻撃にも使われたこと、その攻撃は多要素認証がないといった基本的な防御の弱さを突いたものだったことも伝えています。また、金融庁は5月に、脆弱性の増加に備えるよう金融機関に求める指針を出したと同誌に説明しています（TechCrunch）。

当社の見方　GMOとArtexの関係は未確認ですが、AIを使った侵入ツールが日本企業に向けて動いているという報告自体が、中小企業にとっての警告だと当社は見ています。人手では手間のかかった「弱い設定を片端から探す」作業が自動化されれば、狙われるかどうかは会社の規模ではなく、多要素認証の有無やパスワードの使い回しといった基本の抜けで決まります。この抜けを放置すると、攻撃が来てから数時間で口座や顧客情報を失うことになります。対策に必要なのは高価な製品ではなく、全アカウントに多要素認証をかけたかどうかの確認だと当社は考えます。

4. 中小企業がいま確認すること

お名前.com デスクトップクラウドを使っている場合は、GMOの最新のお知らせ（第12報以降）を本ページで確認し、メールやSMSのリンクは開かない。GMOはパスワードや認証コードを尋ねないとしています
攻撃者の公開サイトや、その内容をまとめたサイトを、社内の誰も「確認のため」に開かないよう、今日のうちに周知する。開いてしまった人は、ウイルス対策ソフトでフルスキャンを行う
取引口座、クラウド、メールのパスワードを、VPSや共有PCの中に保存していないかを調べ、ある場合は変更する
全アカウントで多要素認証が有効かを一覧にし、無いものから順に有効にする
自社の顧客や取引先から「今回の件は大丈夫か」と聞かれたとき、誰がどの資料で答えるかを決めておく

当社の展望

今回のように、被害を受けた会社が利用者に「見るな、電源を切れ」と呼びかけ、懸賞金を出して犯人を探す展開は、今後6か月から2年で珍しくなくなると当社は見ています。AIが侵入の下調べを速めるほど、預け先のサービスで起きた事故が、そのまま自社の顧客への被害になる場面も増えます。取引先は、どこに何を預けているか、事故のときに誰がどう動くかを、中小企業にも文書で尋ねるようになるでしょう。同じ時期に、AIが取引先を探して比べる使い方も広がるため、安全性を示せない会社は比較の段階で外されます。預け先の一覧、全アカウントの多要素認証、事故時の連絡手順を先に整えた会社が、顧客からもAIからも選ばれ続けます。いまが布石を打つ時期です。

この記事に関するよくあるご質問

GMOの攻撃者が公開したサイトを、確認のために見てもよいですか

見ないでください。GMOは、公開サイトにアクセスした人の情報が攻撃者に取得されていることを確認したとして、アクセスも転載もSNSでの再投稿も控えるよう求めています。すでに開いた場合は、ウイルス対策ソフトでPCのフルスキャンを行ってください。

お名前.com デスクトップクラウドの被害に便乗した詐欺メールにはどう対応すべきですか

メールやSMSのリンクと添付ファイルは開かず、GMOの公式ページで内容を確認してください。GMOはパスワードや認証コードを尋ねることはなく、「被害金を取り戻す」などとして費用を求める連絡にも応じないよう呼びかけています。

自社が同じような被害に遭わないために、まず何をすべきですか

取引口座やクラウドのパスワードをサーバーやPCに保存していないかを調べ、すべてのアカウントで多要素認証を有効にしてください。報道では、AI搭載の侵入ツールが多要素認証の欠如などの基本的な弱さを突いた例が伝えられています。

参考

自社の業務で試したい場合

記事で取り上げた内容を自社の業務に当てはめた場合の進め方と費用は、お問い合わせフォームからご相談いただけます。

お問い合わせ記事一覧へ