GMOインターネットグループは10月27日、「お名前.com デスクトップクラウド」への不正アクセスについて、犯人につながる情報に懸賞金をかけると発表しました。名前は「GMOサイバー犯罪撲滅・懸賞金」で、総額の上限は100万米ドルで、GMOの参考値では1ドル150円の換算で約1億5,000万円です。
受付は10月28日の正午に始まり、第14報によると、6時間で113件の情報が寄せられました。この記事では、GMOの懸賞金の中身と、企業がサイバー犯罪に懸賞金をかけることの意味を整理します。10月29日時点の情報です。
何に払うのか
対象は、検証できる情報です。第12報が挙げているのは、次のような情報です。
- 実行した人、共犯者、指示した人など、関わった人の特定につながる情報
- 攻撃や脅迫に使われたコンピューター(サーバー)や、サイトの住所(ドメイン、IPアドレス)などの攻撃の基盤
- 暗号資産の送り先(銀行の口座番号にあたる文字列)や送金の記録など、お金の流れ
- 攻撃の指示や役割分担など、犯行の経緯や指示系統
推測や、すでに公開されている情報の転載は対象外です。総額100万ドルは制度全体の上限で、1件や1人あたりの額ではありません。受付は犯人が逮捕されるまで続けるとしています。
誰がもらえないのか
対象外の人も決められています。犯行に関わった人、違法な手段で情報を得た人、うその情報を出した人、GMOや関係会社の役職員、捜査機関の職員などです。多くの人は、対象になる情報を持っていないはずです。心当たりがなければ、何もしなくてかまいません。
応募する側がやってはいけないこと
ここがいちばん大事な点です。GMOは、懸賞金ほしさに危ないことをしないよう、はっきり禁じています。
- 自分で相手のシステムに侵入して調べる
- 犯人と独自に交渉したり、お金を払ったりする
- 攻撃や報復をする
- 盗まれた情報を買う
自分で侵入して調べれば、それ自体が不正アクセス禁止法の違反になりえます。善意のつもりでも、犯罪の側に回ってしまいます。機微な資料を持っている場合も、いきなり送らずに、まず概要を伝えるよう案内されています。応募の方法や受付の窓口は、GMOの第12報と、そこから案内されている受付ページで確かめてください。
バグバウンティとの違い
IT業界には、バグバウンティ(脆弱性報奨金制度。脆弱性はセキュリティ上の穴のこと)という仕組みが以前からあります。自社のサービスの欠陥を見つけて知らせてくれた人に、会社がお金を払うものです。
バグバウンティは、守るための欠陥探しにお金を払います。今回の懸賞金は、すでに起きた犯罪の犯人探しにお金を払います。対象がまったく違います。
懸賞金は珍しいのか
犯人につながる情報への懸賞金は、国がかける例のほうがよく知られています。米国の国務省は、ランサムウェア(データを使えなくして身代金を求めるウイルス)の攻撃集団に関わる人物の情報に、最大1,000万ドルの報奨金をかけてきました。
一方、被害を受けた民間企業が自分で、総額1億円を超える懸賞金をかける例は、私の知る限り、国内ではほとんど聞きません。異例の対応だと思います。
懸賞金に意味はあるのか
効果は、まだわかりません。ただ、6時間で113件という数は、攻撃者の側から見れば、自分の痕跡を知っている人が大勢いる、という圧力になります。仲間や取引相手の誰かが、お金目当てに情報を出すかもしれないと疑い続けることになるからです。仲間割れや密告を誘う効果もありうると思います。
私は、この発表を読んで最初に、応募の中に冷やかしや、偽の情報が大量に混ざるのではないかと心配しました。GMOは件数を平日の18時に公表するとしていて、件数より中身の確かさが問われるはずです。
GMOが国に求めた能動的サイバー防御(国が攻撃者のサーバーなどに対処して攻撃を止める仕組み)は、別の記事で説明しています。
ここまでの経緯は、続報の記事にまとめました。
