日本の大手IT企業GMOインターネットは、同社の仮想インフラで深刻なセキュリティ侵害が発生したことを確認しました。「お名前.comデスクトップクラウド」への不正アクセスにより、サイバー犯罪者に顧客の機密データを窃取されたということです。侵入後には、複数の顧客から、証券口座や外国為替（FX）口座で身に覚えのない取引が行われたとの報告が寄せられました。これを受けて同社経営陣は重大な脆弱性があったことを認め、すべてのホスティングプランでサービスを停止しました。
マルウェアの発見とインフラの停止
発端は10月19日です。注意深い顧客が、アカウントの挙動がおかしいとサポート担当者に連絡しました。その後、10月20日にセキュリティ担当のエンジニアが、複数のサーバー環境で稼働中のマルウェアを発見しました。影響が及ぶ可能性があったのは、金融取引用の2万6,739台のクラウドサーバーです。被害の拡大を防ぐため、管理者は10月21日から、全プランのクラウドインスタンスを停止しました。
MetaTraderの端末が侵害され、認証情報が流出
契約者が日常的にMetaTrader 4とMetaTrader 5という取引プラットフォームを使っていたことから、この侵入は特に深刻な懸念を呼びました。これらの自動売買端末には、口座の認証情報やブローカーとの接続設定、アルゴリズム取引の設定が保存されていることが多いためです。GMOインターネットは、攻撃者がこれらの保存された認証情報を窃取したことを確認しました。不正取引に関するGMOのインシデント報告によると、侵入者は外部の証券会社を通じて不正な取引を実行しました。
さらに、脅迫者は70社を超える証券会社にまたがる顧客のポートフォリオを操作すると脅しました。盗んだ個人データを流出させ、破壊的なランサムウェアを展開するとも警告しています。ただし、フォレンジック調査担当者は、こうした脅迫の内容があったとしても、接続先のすべての企業が完全に侵害されたことを意味するわけではないと強調しています。
顧客への補償とプラットフォーム移行
広範囲に混乱が広がったことを受け、GMOインターネットは10月24日に包括的な補償方針を発表しました。直接的な金銭的損害の有無にかかわらず、利用中のすべての契約者に5,000円を支給します。加えて、確認された取引損失と、それに伴う手数料は全額補償すると約束しました。ただし、得られたはずの逸失利益や、通常の相場変動による損失は補償の対象外です。
注目すべきは、経営陣が、侵害されたホスティング環境を元の状態に復旧しない方針を決めたことです。代わりにGMOは、再設計したWindowsクラウドのプラットフォームへ移行すると、インフラ移行に関する公式案内で発表しました。影響を受けた顧客は、移行すると6か月間無料で利用できます。同社は10月30日までに移行ガイドラインを確定し、11月6日に正式な補償申請の受け付けを始める予定です。
トレーダーに必須の防御策
一方、サイバーセキュリティの専門家は、口座保有者に対し、クリーンな別の端末を使ってすべての証券口座のパスワードを変更するよう呼びかけています。ブローカー側のネットワークが常時接続のソケットを維持している場合、既存のセッションで認証情報を更新するだけでは不十分な恐れがあります。そのため、トレーダーは各ブローカーのポータルで、有効なウェブセッションをすべて明示的に終了させる必要があります。あわせて、多要素認証を有効にし、過去の取引履歴を確認し、オフラインでデータのバックアップを取っておくことも欠かせません。
日本の当局は現在、主要な攻撃経路を特定するため、フォレンジック調査担当者と連携しています。並行して、法執行機関はIDCFクラウドで発生した別のクラウド障害の捜査も続けています。この件では495の組織が影響を受けました。捜査当局は両者に直接の関連はないとみていますが、企業向けクラウド事業者には、ゼロトラスト型のセキュリティを徹底するよう求める圧力が強まっています。
翻訳元: https://meterpreter.org/onamae-desktop-cloud-breach/
