GMOの不正アクセスを時系列で整理お名前.com デスクトップクラウドの10月19日から27日正午の予告まで

GMOインターネットのクラウドサービス「お名前.com デスクトップクラウド」への不正アクセスは、発覚から1週間で、国内のクラウドサービスの事故としては異例の展開になりました。

取引口座の不正な操作、顧客情報の持ち出し、約80億円の金銭の要求、そして利用者の手元のパソコンへの攻撃の予告です。この記事では、GMOの公式発表(第1報から第9報)と報道をもとに、何がいつ起きたかを時系列で整理します。10月27日時点の情報で、状況は今も動いています。

重要なお知らせ一覧(GMOインターネットグループ)

group.gmo

どんなサービスだったのか

お名前.com デスクトップクラウドは、FX(外国為替証拠金取引)の自動売買のためのクラウドサービスです。インターネットの向こうにあるWindowsのパソコンを月額で借りて、MT4やMT5(FXの取引ソフト)を24時間動かしておく使い方が中心でした。利用者は自分のパソコンやスマートフォンから、リモートデスクトップ(離れたパソコンの画面を手元で操作する仕組み)で接続します。

つまり、借りたパソコンの中には、FX会社の取引口座にログインした状態の取引ソフトが動いていました。ここが今回の被害の大きさにつながります。

FX自動売買専用VPS(お名前.com デスクトップクラウド)

onamae-desktop.com

発覚から全面停止まで(10月19日〜21日)

10月19日 利用者からの問い合わせを受けて、GMOが調査を始める
10月20日 一部の利用者のサーバー環境(利用者が借りていたWindowsのパソコン)に、不正なプログラムが置かれていたことを確認。新規の申し込みと管理画面を止める
10月21日 4時 全プランのサーバーを順に停止し、第1報を出す
10月21日 攻撃者とみられる者から脅迫のメールが届く。第7報によると、要求額は約80億円(グループ代表のブログでは5,000万ドル)

同じころ、利用者から「身に覚えのない取引がある」という報告が寄せられ始めました。報道では、短時間で大きな損失が出た利用者の例も伝えられています。

取引口座の被害と金融庁の動き(10月22日〜23日)

10月22日 13時 GMOが警察に相談
10月22日 16時59分 第2報。取引ソフトや取引口座のログイン情報が第三者に見られた可能性があるとして、パスワードの変更とログイン中の接続の切断を呼びかける
10月22日 金融庁が、金融先物取引業協会を通じてFX会社に注意を促したと報じられる
10月23日 第3報。ログイン中の全接続の切断を改めて依頼

FX会社の側でも、OANDA証券や、同じグループのGMOクリック証券など複数の会社が、不正なログインや取引への注意を相次いで告知しました。

持ち出しの確認と補償の決定(10月24日〜25日)

10月24日 11時50分 第4報。顧客の情報が外部に持ち出された事実を確認したと公表。不正な取引で出た損失の補償、利用者全員への見舞金5,000円、別の設備で動かす代わりのサービスの6か月無償提供を決める
10月24日 政府の関係機関に、能動的サイバー防御(国が攻撃元のサーバーに対処する仕組み)の適用を要請
10月24日 15時 第5報。利用者に、手元の端末のウイルス検査とバックアップを求める
10月25日 利用者に、端末の調査への協力を依頼
10月25日 グループ代表の熊谷正寿氏がブログを公開。社内のホワイトハッカー(守る側の技術者)から事前に課題を指摘されていたが、対応が十分でなかったと説明

今の設備はそのままでは再開せず、セキュリティの仕組みを根本から作り直すとしています。

予告と端末の回収(10月26日〜27日)

10月26日 21時 第6報。利用者への依頼を改めて掲載
10月26日 23時10分 第7報。攻撃者から「10月27日12時に顧客の情報を公開し、ランサムウェア(データを使えなくして身代金を要求するプログラム)で攻撃する」と予告されたと公表。預かった端末の解析を始めたと報告
10月27日 9時58分 第8報。12時より前に、バックアップを取ったうえでネットワークを切り、電源を落とし、PCにつながっているコードを抜くよう依頼。トレンドマイクロなどから協力の申し出があったと公表
10月27日 第9報(11時59分時点)。解析を終えた端末からは、ランサムウェアを含む不正なプログラムは確認されていないと報告。ただし、すべての利用者の端末の安全を確かめたわけではないとしている

報道によると、攻撃者を名乗る者は27日正午に個人情報の公開を始めたと宣言しています。ただ、公開された情報が本物かどうかは確かめられていません。

GMO デスクトップクラウドへのサイバー攻撃でハッカーが個人情報の公開開始を宣言(セキュリティ対策Lab)