セキュリティ
CEOは、外国為替取引に使われていたこのサービスに脆弱性があり、同社の対応が遅れていたことを認めた
日本のISP大手GMOインターネットは、外国為替取引に最適な環境として提供してきたクラウド型デスクトップサービスが攻撃者に侵害されたと、顧客に警告しました。同社はあわせて、このサービスのセキュリティ強化が遅れていたことも認めています。
GMOが運営するのは「お名前.com デスクトップクラウド」というサービスです。同社は先週、「第三者が一部のお客様のサーバー環境に不正なプログラムを導入していた」ことを認めました。この種の報告は常に歓迎されませんが、今回は特に深刻です。該当のサーバーは、GMOが外国為替取引アプリケーションの稼働用に顧客へ推奨しているクラウド上のWindowsデスクトップをホストしているためです。
その後の続報で、同社は一部の顧客から「取引口座で不正な操作が行われた」との報告があったことを明らかにしました。また、取引サービスのパスワードが第三者に閲覧された可能性が高いとも説明しています。
翌日、同社は取引口座のパスワードをただちに変更するよう呼びかけました。変更には、取引に使用していない端末を利用するよう求めています。
その後、同社は「お名前.com デスクトップクラウド」の「システムにセキュリティ上の脆弱性があったこと、環境に不正アクセスがあったこと、そして顧客情報が社外に持ち出されたこと」を認めました。
「一部のお客様からは、取引口座に身に覚えのない取引があったとの報告も寄せられています。」
こうした取引を重く見たGMOは、主要な取引サービス各社に連絡しました。有効なセッションをすべて強制的に終了すること、不正な取引を監視すること、そして「お名前.com デスクトップクラウド」からの取引リクエストを遮断することを依頼したといいます。
身代金は支払わず、不満も述べず
GMOによると、「攻撃者とみられる人物から金銭の要求を受けました。要求に応じない場合は、当社およびお客様に関する情報を公開するなどの行動に出るとも伝えられています」。
攻撃者が要求している金額は5,000万ドルです。
しかし同社は支払わない方針です。「要求に応じても、入手された情報の削除や悪用の防止が保証されるわけではない」と判断したためです。
インシデントの調査は続いています。GMOは、攻撃によって26,739台のVDIサーバーが影響を受けた可能性があると警告しました。さらに、ユーザーの個人端末にもリスクが及ぶ恐れがあるとしています。
同社はすべてのユーザーに5,000円（32ドル）のお見舞い金を支払うほか、攻撃による取引上の損失があれば補償すると約束しました。
今回の事案は、影響が広範囲に及ぶ可能性があります。GMOが、パスワードを変更してもセッションが維持されたままになる取引アプリがあると警告しているためです。GMOは「証券会社やFX会社の案内、またはマイページをご確認のうえ、すべての有効なセッションを切断するか、各社のサポート窓口に切断を依頼してください」と呼びかけています。
対応の深さとスピードが不十分で、攻撃者に脆弱性を突かれた
5,000円では、顧客がこの問題の収拾にかける手間を到底まかなえません。
GMOの熊谷正寿CEOはこの点を認め、ブログ記事で、この支払いを「ご不便とご心配をおかけしているお客様への、誠意の第一歩」と位置づけました。
熊谷CEOはさらに次のように述べています。「グループの総力を挙げて、6か月間の無償代替環境の提供、システム基盤の抜本的な刷新、外部専門家の協力を得た原因の徹底調査と再発防止に取り組みます」
一方で、同氏はこのサービスのセキュリティに改善の余地があると、GMO側が把握していたことも認めました。
「社内のホワイトハッカーが以前から、チームに改善点を指摘していました」と同氏は記しています。「チームはこれを真摯に受け止め、対策を進めていました」
「しかし、サービスの可用性への影響を考慮して慎重に進め、ほかの課題を優先するうちに、対応の深さとスピードが不十分となり、攻撃者に脆弱性を突かれてしまいました。専門家が社内にいながら、その知見を組織として十分に実効性のある防御へ結びつけられなかったことを、深く悔いています」
CEOはまた、GMOは政府の支援なしには自社を守りきれないとも述べました。
「私はインターネット産業の黎明期から31年間、この世界に携わってきました」と同氏は書いています。「人々に笑顔をもたらすと信じて仲間とともに築いてきたサイバー空間が、いまや悪意ある者たちによって完全に破壊されかねない状況にあります」
「オープンウェイトのAIモデルは組み合わせや拡散が容易で、無数の攻撃ツールが生まれています。かつては高度なスキルを要したサイバー攻撃を、誰もが手軽に実行できる時代に変わりました」と同氏は続けました。そのうえで、GMOグループのサイバーセキュリティ部門が「日本企業約20社を狙った不正アクセス攻撃の発信元が、本来は防御目的で開発された自律型AIペネトレーションテストツール『ARTEX』の悪用だったと確認した」と主張しています。
熊谷CEOは、日本全体の情報セキュリティを向上させるには官民連携が必要だと考えています。
「昨日、政府に対して『積極的サイバー防御の適用』を求める提案書を提出しました」と同氏は書いています。
同氏は「自社の行動の責任を政府に転嫁し、救済を求めようとしているわけでは決してありません」としたうえで、日本が国家レベルの防御を実装しなければ、同様のインシデントは避けられないと主張しました。®
