GMOインターネットグループは11月2日、「お名前.com デスクトップクラウド」(FXの取引ソフトを24時間動かすために借りる、インターネット上のWindowsのパソコン)への不正アクセスについて、初めての記者会見を開きました。質疑応答を含めて約3時間半です。
会見のあと、報道や解説が一斉に出ました。ただ、読み比べると、GMOが会見で説明したこと、記者や専門家の見立て、攻撃者がネットに書いた主張が、同じ記事の中で混ざっていることがあります。この記事では、それを3つに分けて整理します。後半では、長い会見や発表をClaude(Anthropic社のAI。チャットで質問や相談ができます)で読むときに、私がこの整理で使った頼み方を紹介します。11月4日時点の情報です。
GMOが会見で説明したこと
ITmedia ビジネスオンラインの会見のまとめによると、GMOが示した時系列は次のとおりです。
- 8月5日、攻撃者が利用者の借りているパソコン(サーバー)に入り込み、管理者のアカウントを奪った
- 8月17日、GMOの側で全体をまとめて管理するコンピューター(管理サーバー)に入り込んだ
- 9月20日から10月14日、管理するサーバーから、利用者のサーバーに不正なプログラムを配った
- 10月20日、利用者からの問い合わせをきっかけに、不正を確かめた
この日付は、報道でも分かれています。ITmediaは10月20日を調査の開始としていますが、GMOが続けて出しているお知らせの2本目(第2報)の経緯では、問い合わせを受けて調べ始めたのが10月19日、不正なプログラムを確かめたのが10月20日です。どちらにしても、元の発表まで戻らないとわからない違いです。
入り込まれてから調べ始めるまで、約2か月半、社内では気づけていませんでした。影響の可能性がある利用者のサーバーは2万6739件です。攻撃者からの約80億円の要求には応じていません。
もう1つの大きな論点が、2024年の指摘です。グループ会社のGMOサイバーセキュリティ byイエラエが、2024年にこのサービスの弱点を指摘していました。熊谷正寿代表は会見で、これを事実と認めました。GMOインターネットは同じ年の4〜5月に4回の緊急メンテナンスをしましたが、GMOインターネットの山下浩史副社長執行役員は、対応が「深さと速さの両面で不足していた」と述べています。指摘は熊谷代表には届いておらず、どんな弱点なら取締役会に上げるかの基準もなかったと説明されました。
経営の責任として、役員4人の報酬を3か月間、20〜30%減らすことも発表されています。GMOは、これを今の時点での評価とし、検証のあとで見直すとしています。
報道や専門家の見立て
ここからは、GMOの説明ではなく、記者や専門家が会見を受けて書いたことです。
ITジャーナリストの山口健太氏は、3時間半かけても、多数のサーバーが一度に破られた理由など核心の疑問は残ったと指摘しています。
また、リモートデスクトップ(手元のパソコンから、離れた場所のパソコンを画面ごと操作する仕組み)のドライブ共有(接続元のパソコンのファイルを、借りたパソコンから開けるようにする機能)が最初から有効になっていた点も、報道で取り上げられています。この共有の危うさは、別の記事で説明しました。
攻撃者の主張は、主張として扱う
侵入の手口について、攻撃者は「すべてのサーバーを管理できるサポート担当者のアカウントを、利用者の側から奪える状態にあった」といった主張をしています。攻撃者は弱点を何度も通報したとも主張していますが、GMOはそうした事実はないと否定しています。GMOは、同じ攻撃を招くおそれと捜査への影響を理由に、詳しい手口の説明を控えています。
つまり、詳しい手口については、今のところ攻撃者の言い分しかありません。犯人は脅しをかけている側なので、自分に都合のいいことを書く理由があります。報道を読むときも、「攻撃者によると」と書かれた部分は、事実と分けて読むのが安全です。
補償はどうなったか
会見の時点で示された補償は、次のとおりです。
- 不正な取引で実際に出た損失を補償する(相場の変動による損失や、得られたはずの利益は対象外。取引所から返金があればその分を差し引く)
- 利用者全員に、被害の有無にかかわらず一律5,000円のお見舞金を支払う(第4報)
- 代わりのサービスを6か月間無料で提供する
- 攻撃者によって個人の情報がネット上に公開された人には、特別お見舞金を支払う(第12報の「1公開につき上限300万円」)
お見舞金の受け取り手続きと代わりのサービスについては、10月30日に、契約している利用者へ直接の連絡が始まりました。損失の補償の申請方法は、11月6日までに知らせるとされています。特別お見舞金の仕組みは、別の記事にまとめています。
長い会見をClaudeで読むときの頼み方
この記事を書くにあたって、私は会見の報道と、GMOの第1報から第16報までの発表を、Claudeに読ませて整理しました。そのとき、最初はただ「要点をまとめて」と頼んだのですが、返ってきたまとめでは、攻撃者の主張とGMOの説明が同じ箇条書きに並んでいました。AIは、元の記事が混ぜて書いていると、そのまま混ぜて要約します。
そこで、頼み方を次のように変えました。
次の記事を読んで、書かれていることを「GMOが公式に発表・説明したこと」「記者や専門家の見立て」「攻撃者の主張」の3つに分けてください。どれに当たるか記事から判断できないものは「不明」に入れてください。日付と数字は、記事に書かれているとおりに書き写してください。
これで、どの情報がどこから来たかが見えるようになりました。それでも、数字は必ず元の記事で確かめます。今回も、ある記事の日付が文字化けしていて、Claudeがそのまま違う年を書き写していました。
AIの要約は、元の文章の混ざり方をそのまま引き継ぎます。事故のニュースのように、立場の違う人の言葉が入り混じる話ほど、分けてから読むのが近道です。
これからの予定
GMOは、事件の前の経緯と経営の責任を、引き続き検証するとしています。11月6日までに損失の補償の申請方法が案内される予定です。10月27日までの流れは、時系列の記事にまとめています。
