GMOインターネット、サーバー侵害を受けハッカーの5000万ドル要求の支払いを拒否
重要ポイント
- •攻撃者はビットコインまたはイーサでの5000万ドルを要求し、さらなる不正取引、データ漏洩、ランサムウェアの使用を脅しに挙げたが、GMOはこれらの活動が挙げられた全社で確認されたわけではないとしている。
- •GMOによると、影響を受けている可能性のあるサーバー数は26,739台で、マルウェアが検出された後、同社は10月20日にサービスプランの停止を開始した。
- •同社は適格な不正取引損失の検証と補償、6カ月間の無料代替サービスの提供、根本原因に関する外部調査を実施する。
- •GMO株は約16%下落して4カ月ぶりの安値を付け、補償と見舞金が業績に与える影響はまだ定量化されていない。
- •高市早苗首相は、日本政府が翌週までに緊急サイバーセキュリティ対策パッケージを発表する計画であると述べた。
GMOインターネットは、同社のOnamae.com Desktop Cloudサービスへの侵入を図ったハッカーによる5000万ドルの身代金要求を拒否したと、熊谷正寿グループCEOが10月26日に明らかにした。10月25日に初公開され翌日に更新されたブログ記事の中で、熊谷氏は攻撃者側の要求には一切応じず、支払いも行わなかったことを確認した。
最大26,739台のサーバーがこの侵害の影響を受けている可能性があり、一部の顧客からは証券口座を通じた不正取引の目撃が報告されている。
最大26,739台のOnamae.comサーバーが影響を受ける可能性
Onamae.com Desktop Cloudは、顧客サーバー上でMetaTrader 4やMetaTrader 5などの証券取引ソフトウェアを稼働させている。GMOによると、攻撃者はセキュリティ上の欠陥を悪用し、一部の顧客環境にマルウェアを仕込み、顧客データを窃取した。
問題は10月19日、顧客からの質問によって初めて表面化した。翌日にマルウェアが検出され、GMOは10月20日の19:00 UTCから全プランの停止を開始した。
同社は、26,739台という数値は影響を受けている可能性のあるサーバーの数であり、侵害が確認されたものではないと強調している。一部の顧客は、同サービス上で稼働するツールを通じて許可なく取引が行われたと報告している。この点がインシデントの影響範囲を物語っている。GMOが取引ツールをホストしていたため、プロバイダーレベルでの侵害が顧客の証券口座に直接現れ得たのだ。
社内のホワイトハットハッカーは事前にこのサービスのセキュリティ問題を指摘していた。熊谷氏は、対応の深さと速度が不十分だったため攻撃者にすき間を突かれたことを認めた。
GMOインターネットグループの株価は月曜日に約16%下落し、4カ月ぶりの安値を付けた。同社は、見舞金の支払いと損失補償が業績に与える影響はまだ定量化できないとしている。
攻撃者は70社超の証券・FX会社の口座を脅迫
ブログ記事には、攻撃者が何を脅しに使ったかが列挙されている。そのリストは、国内外の70社超の証券・外国為替会社における顧客口座でのさらなる不正注文に始。攻撃者はまた、接続されていた顧客PCからのデータ漏洩、ランサムウェアの使用、GMOシステムの内部情報の公開をも脅しに挙げた。これらは脅しであり、70社超すべてで確認された活動ではない。
10月21日11時57分の時刻が押された身代金要求文書は、約80億円に相当する5000万ドルを要求していた。文書は当日の日本時間午後5時までにビットコインまたはイーサでの支払いを求め、GMOの暗号資産交換子会社であれば即時に支払えると記していた。
GMOは、支払ったとしても窃取されたデータが悪用されない保証はないと述べた。同社はこの件について警察など関係当局と連携している。
熊谷氏は、全顧客への一律5,000円の見舞金が問題の終息を図るものだという批判を退けた。これは第一歩だと同氏は述べた。
GMOインターネットは、この侵害に関連する不正取引の損失を検証し補償する。取引所が返金に応じない場合、適格な損失の全額を自らが支払う。
グループはさらに、6カ月間の無料代替環境の提供、システム基盤の再構築、根本原因に関する外部調査を約束した。GMO Cyber Security by IeraeとGMO Flatt Securityが、元インターポール職員を含む約200人のセキュリティ要員とともに防御およびログ分析に当たっている。GMOは攻撃者を特定するための裁判所への開示請求も開始している。
「AIサイバー飽和攻撃」
熊谷氏は今回の攻撃を「AIサイバー飽和攻撃」の象徴だと述べ、安価なAIツールが攻撃者に防御者を圧倒する力を与えているとした。GMO Cyber Security by Ieraeは、防御用に開発された自律型AIペネトレーションテストツールARTEXが、約20社の日本企業への攻撃に悪用されていたことを突き止めた。
同氏はまた、自動化された攻撃の試みが数時間で数百万件に達した最近のPHPの脆弱性についても言及した。Cryptopolitanによれば、2つのPHP2Shell脆弱性の重大度スコアは10点満点中9.2で、PHPは10月21日に修正版をリリースした。GMOは自社の侵害をPHPの脆弱性と結び付けていない。
熊谷氏は10月24日、10月1日に施行された日本の能動的サイバー防御に関する法律の適用を政府に求めた。同法の下でGMOは指定重要インフラ事業者ではなく、判断は政府にあると同氏は認めている。
高市早苗首相は月曜日の夜、政府が来週中に緊急のサイバーセキュリティ対策パッケージをまとめる計画であると述べた。
今後の動向を追う読者にとっての未解決の問いは、GMOと政府がすでに記録上明示しているものだ影響を受けている可能性のある26,739台のサーバーのうちどこまでが侵害確認済みなのか、外部の根本原因調査で何が判明するのか、不正取引の補償がどう確定するのか、そして来週予定される緊急サイバーセキュリティ対策パッケージに何が盛り込まれるのか。
