メむンコンテンツぞスキップ
芋出し画像

人質は利甚者の口座、身代金は100䞇ドル　GMO恐喝事案は䜕が違うのか

    Kenichi / Foxglove Consulting

    GMOむンタヌネットのFX自動売買甚VPSが、䞍正アクセスを受けた。サヌビス名は「お名前.com デスクトップクラりド」である。攻撃者サむトの声明によれば、攻撃者は同瀟に100䞇ドルを芁求し、期限を10月27日正午ずしおいる。

    • 攻撃者は業務の停止を亀枉材料にしたのではない。利甚者が他瀟に持぀取匕口座を人質に取った

    • 損害はGMO自身にずどたらず、顧客の資産ず手元のPCにたで及んでいる

    • 芁求額は、人質にした資産の芏暡や過去の倧䌁業事案ず比べお䜎く蚭定されおいる

    暗号化ず情報挏えいを軞に語られおきた埓来の攻撃像では、この事案を読み違える。

    䜕が起きたか

    10月19日、利甚者からの問い合わせを受けおGMOが調査を始めた。翌20日に䞀郚サヌバヌで䞍正プログラムを確認し、新芏申し蟌みずコントロヌルパネルを止めた。21日午前4時からは、党プランのサヌバヌを順次停止しおいる。

    圱響の可胜性があるサヌバヌは26,739件である。同瀟は、䞍正アクセスが確認された件数ではないず説明しおいる。

    攻撃者が公開したメヌル画像によれば、攻撃者は21日の正午前、GMOの圹員や窓口に䞀斉にメヌルを送った。同日倕方には、芁求に応じなければ口座の残高を消すず譊告しおいる。

    21日以降、取匕口座で身に芚えのない操䜜があったずの報告が盞次いだ。22日には金融庁が金融先物取匕業協䌚を通じ、FX事業者に顧客の取匕状況の監芖を求めた。

    24日の第4報で、同瀟は顧客情報の倖郚ぞの持ち出しを確認した。攻撃者ずみられる者から金銭を芁求されおいるこずも公衚した。芁求には応じず、通信蚘録などの蚌拠を譊察に提出しお捜査を芁請しおいる。

    あわせお、珟圚の利甚者党員に䞀埋5,000円の芋舞金を支払うず発衚した。䞍正取匕による実珟損倱も補償する。政府には、胜動的サむバヌ防埡の枠組みによる攻撃基盀の远跡や無力化を芁請した。

    埓来のサむバヌ攻撃ず䜕が違うか

    埓来のランサムりェアは、暙的䌁業のデヌタを暗号化し、業務の停止を亀枉材料にしおきた。困るのは脅される䌁業自身で、バックアップから埩旧できれば亀枉力は䞋がる。

    本件でも、察象サヌビスは党プランが止たった。ただし攻撃者は、業務の停止を亀枉材料にしおいない。VPSに保存されおいた他瀟の取匕口座の認蚌情報を䜿い、利甚者の残高を溶かしたずみられる。

    攻撃者が公開した口座の蚘録には、残高がマむナスになったものがある。損倱の出る取匕を倧量に発泚した結果ずみられる。出金による利埗は、珟時点で報じられおいない。

    2025幎に倚発した蚌刞口座の乗っ取りずも構造が違う。あの事案では、乗っ取った口座で小型株を買い䞊げる手口ずみられおいる。先に仕蟌んだ株を売り抜けお利益を埗る構図で、取匕所取匕だから成り立぀。

    店頭FXは業者ずの盞察取匕で、被害者が負けた分は攻撃者の手元に来ない。攻撃者自身も、口座を壊しおも自分たちの利益にはならないず曞いおいる。口座の砎壊は、損害が続くずGMOに瀺す実挔だったずみられる。

    盎近のAIを䜿った攻撃ずも向きが違う。10月にはAI゚ヌゞェント基盀Cairnが悪甚され、100瀟超のサむトが䟵入を受けたず報じられた。

    埓来型、AI駆動型、本件を䞊べるず次のようになる。

    画像
    攻撃類型の比范

    顧客に盎接連絡しお圧力をかける恐喝は知られおいる。本件は、第䞉者の資産そのものを人質にした点が際立぀。譊戒すべきは、AIで倧量に䟵入した䞭から、こうしたハブを遞んで恐喝に移る組み合わせだ。

    損害は自瀟を越えお顧客に及ぶ

    脅される䌁業ず、損害を受ける者が分かれおいる。ここが本件の栞心である。

    利甚者からは、玄2秒で400䞇円超を倱った事䟋が報じられおいる。430䞇円䜙りの資金がほが底を぀いた事䟋もある。

    GMOの第4報によれば、攻撃者は脅迫の材料ずしお口座ぞの䞍正操䜜の継続を挙げた。察象は、囜内倖70を超える蚌刞䌚瀟・FX䌚瀟の口座である。

    被害は口座にずどたらない。攻撃者は、RDP接続でドラむブ共有が既定で有効だった点を突いたず䞻匵しおいる。利甚者の手元のPCからもデヌタを抜いたずいう。

    攻撃者が公開したログでは、抜出は10台のVPSで䞀斉に実行されおいた。時期は、GMOが䞍正プログラムを確認する6日前である。

    払わなければ利甚者PCにランサムりェア攻撃を仕掛けるず、攻撃者は予告しおいる。閲芧履歎などを家族や取匕先に送るずも曞いた。

    GMOは、䞍正取匕による実珟損倱を補償するず発衚した。垂堎倉動による損倱や間接的な損害は察象倖である。手元のPCから流出した情報による二次被害は、補償の察象ずしお瀺されおいない。

    攻撃者は利甚者に、配垃されたRDP接続ファむルを集団蚎蚟の蚌拠ずしお保管するよう呌びかけた。顧客を巻き蟌み、払わなかった堎合の損倱を、身代金から信甚ず法的責任にたで広げお芋せおいる。

    暗号化だけの攻撃なら、被害䌁業が埩旧すれば業務の損害は止たった。本件では、盗たれた認蚌情報ずログむン䞭のセッションが他瀟の偎に残る。GMOが第3報で、パスワヌド倉曎に加えお党セッションの切断を求めたのはそのためだ。

    自瀟が無事でも、顧客を通じお損害が広がる。他瀟の資産ぞの経路を預かる事業者は、業界を問わず同じ立堎にある。

    攻撃者が䞻匵する䟵入経路

    攻撃者の䞻匵では、VPS矀はActive Directoryで構成されおいた。党台に管理者暩限を持぀共通アカりントもあったずいう。1台を足がかりに党台ぞ到達できたこずになる。

    解玄枈みのサヌバヌが、次の泚文が入るたで数か月皌働し続けおいたずも䞻匵しおいる。事実なら、すでに解玄した利甚者も危険にさらされおいた。

    GMOは脆匱性の詳现を公衚しおおらず、䞻匵は怜蚌されおいない。ただしグルヌプ代衚は、瀟内のホワむトハッカヌが事前に課題を指摘しおいたず明らかにした。察応の深さず速さが足りなかったこずも認めおいる。

    䞻匵が事実なら、いずれも未知の脆匱性ではない。マルチテナントの蚭蚈ず運甚の基本にかかわる問題である。

    身代金はなぜ安いのか

    ここからは公開情報に基づく筆者の掚枬である。

    100䞇ドルは、1ドル157円10月23日時点で換算するず玄1億5,700䞇円にあたる。䞊堎䌁業グルヌプぞの芁求ずしおは小さい。

    2024幎のKADOKAWAぞの攻撃では、圓初825䞇ドルが芁求されたず共同通信が報じた。最終的な支払額は298䞇ドルずされる。KADOKAWAは支払いを公衚しおいない。

    Covewareによれば、2026幎第2四半期の支払額の䞭倮倀は15䞇ドルだった。ただし察象案件の玄76%は䞭堅䌁業で、倧䌁業の氎準を衚す数字ではない。

    攻撃者は、利甚者口座の党残高を2.8億ドル盞圓ず䞻匵しおいた。100䞇ドルはその玄0.36%にあたる。攻撃者自身が「顧客の総資産額から芋ればごくわずかな金額」ず曞いた氎準ず合う。

    筆者は、倀付けの基準が䌁業の芏暡ではなく、人質にした資産の総額だったずみる。口座操䜜で皌げない以䞊、収益は恐喝だけになる。早く確実に払わせるため、即決できる額に抑えたず考える。

    GMOが払わない堎合の負担ず比べおも、この額は小さく芋える。仮に芋舞金5,000円を圱響可胜性のあるサヌバヌ数に掛けるず、玄1.3億円になる。

    サヌバヌ数は契玄者数ず䞀臎しないため目安にすぎないが、芁求額ず同じ桁だ。そこに実損の補償、代替基盀の構築、信甚の毀損が加わる。払ったほうが安いず思わせる蚭蚈だったずみる。

    䜎額であるこずは、払えば止たるこずを意味しない。取埗したデヌタの削陀は確かめようがなく、GMOも同じ理由で芁求に応じない方針を瀺しおいる。

    攻撃者のプロファむル

    この章は、攻撃者の公開資料ず個人研究者の解析に基づく。埌半は筆者の掚枬を含む。

    ドメむンは攻撃の玄7週間前、8月31日に登録された。蚌明曞の発行ず亀枉甚サむトの蚭眮も、同じ日に枈たせおいる。

    利甚者PCからの抜出は、10月14日倜に10台のVPSで䞀斉に実行された。20分あたりで終わっおいる。

    被害口座の取匕履歎には、損倱を出すための売買プログラムの名前が残っおいた。研究者は自䜜ずみおいる。

    身元を隠す手間もかけおいる。ドメむンは登録者を非公開にし、玄7,000件が同居する共有サヌバヌに眮いた。連絡には匿名メッセンゞャヌずGmailを䜿った。

    䞀方で、亀枉サむトのパスワヌドを英文偎だけ黒塗りし忘れおいる。公開したファむルには、䜜成環境を瀺す情報も残っおいた。

    その衚蚈算ファむルは䞭囜補の゜フトで䜜られ、蚀語蚭定は簡䜓字䞭囜語だった。サむトのコヌドには自然な日本語のコメントがある。脅迫文は機械翻蚳調の日本語で、差出人はロシア颚の停名だった。

    メヌルの送信時刻は、日本や䞭囜の時間に盎すず昌から倜に収たる。英文の最終通告には、AIの出力をそのたた貌ったような曞匏蚘号が残っおいた。

    公衚した砎壊額は、党残高に割合を掛けた数字ずみられ、公開した口座䞀芧の合蚈ず合わない。䞀芧には、緎習甚のデモ口座も件数で玄5%含たれおいた。

    名乗りは「ハッカヌ」から「Hacking Team」に倉わった。2015幎に内郚情報が流出したむタリアの監芖゜フト䌁業ず同名だが、関係を瀺す材料はない。

    亀枉は皚拙だった。初回の連絡では金額を瀺さず、期限は玄2時間だった。金額ず期限を明瀺したのは4日目で、最埌の猶予は玄63時間である。

    攻撃者は2通目の譊告で「ただ静かに事態を進めたかっただけだ」ず曞き、GMOに顧客ぞの連絡を犁じた。だがGMOは、初回連絡の玄8時間前にサヌバヌの停止を始めおいた。

    ここからは筆者の掚枬である。筆者は、組織化されたランサムりェア集団の犯行ではないずみる。

    倧手の集団は、匿名ネットワヌク䞊のリヌクサむトで被害䌁業名を公開し、定型の手順で亀枉を進める。本件の亀枉窓口は自前の通垞ドメむンで、リヌクサむトぞの掲茉も確認されおいない。既知の集団名やドメむンずの䞀臎も、公開情報では報告されおいない。

    7週間の準備、10台同時の抜出、自䜜の売買プログラムは、䞀定の組織性も瀺す。それでも手口は既知のランサムりェア集団ず䞀臎しない。筆者は、䟵入の技術を持ちながら恐喝の経隓が浅い独自の犯行ずみる。

    蚀語の痕跡の混圚は、意図的な撹乱か、耇数人による分業の跡ずみる。リヌクサむトぞの掲茉や既知集団の犯行声明が出れば、この芋方は改める。

    自瀟に眮き換えお点怜するこず

    顧客の認蚌情報や接続先を預かるサヌビスは、どの業界の委蚗先にもある。

    • テナントをたたぐ共通の特暩アカりントがないか

    • サポヌト担圓の接続時に、特暩の認蚌情報が利甚者偎に残らないか

    • リモヌト接続蚭定で、利甚者端末のドラむブ共有が既定で有効になっおいないか

    • 解玄埌のサヌバヌずデヌタが、定めた期間内に消去されおいるか

    グルヌプ代衚は、事前に指摘された課題ぞの察応が遅れたず認めおいる。問われおいるのは新しい防埡技術よりも、初期蚭定ず運甚の芏埋である可胜性が高い。

    技術面に加えお、事故時の責任分界も確かめおおきたい。顧客の他瀟資産に損害が出た堎合、どこたでを補償し、どの事業者ずどう連携しお止めるのか。契玄ず手順の䞡方に曞かれおいるかを芋る。

    筆者は、委蚗先評䟡のチェックリストにこの4点を加える。期限埌の攻撃者の動きも匕き続き远う。

    出兞

     
     

    Kenichi / Foxglove Consulting

     
     
    サむバヌセキュリティ専門のコンサルタントずしお2024幎に起業したした。 ナチュラルワむン、珟代アヌトに埐々に軞足を移し぀぀ありたす。

    あなたぞのおすすめ