GMOの「お名前.com デスクトップクラウド」(FXの取引ソフトを24時間動かすために借りる、インターネット上のWindowsのパソコン)が不正アクセスを受けた件です。GMOが11月2日の記者会見で示した時系列では、攻撃者が利用者の借りているパソコン(サーバー)に入り込んだのは8月5日でした。8月17日にはGMOの側で全体を管理するコンピューターに入り込み、9月20日から10月14日にかけて、利用者のサーバーに不正なプログラムを配っています。GMOの発表では、利用者から問い合わせを受けて調べ始めたのは10月19日、不正なプログラムを確かめたのは10月20日でした(会見を伝えた報道では、調査の開始を10月20日としています)。きっかけは社内の監視ではなく、利用者からの問い合わせでした。
入り込まれたことに、どうすれば早く気づけるのか。大きな会社には、24時間ログ(機械が残す、いつ誰が何をしたかの記録)を見張る専門のチームがあります。それでも、今回のように気づけないことがあります。この記事では、専門のチームを持たない小さな会社が、不正アクセスに気づくために最低限できることを整理します。11月4日時点の情報です。
気づけなかったのは珍しいことではない
入り込まれてから気づくまでに何か月もかかるのは、今回に限った話ではありません。攻撃者は、気づかれないように動くのが仕事だからです。管理者のアカウントを奪えば、その人の操作は、普段の管理の作業と見分けがつきにくくなります。
だからこそ、「怪しい動きを全部見つける」ことを目指すより、「いつもと違うこと」に気づける仕組みを、小さく作るほうが現実的です。
まず見るのは、ログインの記録
小さな会社でまず見るべきは、ログインの記録です。たとえば次の点を確かめます。
- 管理者のアカウントで、覚えのない時間帯にログインしていないか
- 覚えのない場所からのログインがないか(接続元、つまりどこのネット回線から入ってきたか。国までわかることが多い)
- ログインの失敗が、短い時間にたくさん続いていないか
- 新しく作られた管理者のアカウントがないか
Microsoft 365やGoogle Workspaceのような、会社でよく使うクラウドのサービスにも、管理画面にログインの記録を見る場所があります。自社でサーバーを借りているなら、サーバーの中にもログインの記録が残っています。サービスや契約しているプランによって、記録が残る期間は違います。Microsoft 365の基本的なプランでは7日間ほどで、古い記録は自動で消えていきます。
通知を受け取れるようにする
記録は、見に行かなければ意味がありません。多くのサービスには、「いつもと違う場所からのログイン」「管理者の権限が付けられたとき」に、メールで知らせる設定があります。ただし、初めは止まっている通知や、上位のプランでしか使えない通知もあります。管理画面の通知の設定で有効になっているかを確かめ、管理者全員が受け取れるようにしておきます。
通知が多すぎると、誰も読まなくなります。最初は、管理者のアカウントに関する通知だけに絞るのがおすすめです。
Claude Codeにログを読ませて当たりをつける
サーバーのログは、1日分でも何千行になることがあります。これを人が全部読むのは無理なので、Claude Code(AIに頼んでパソコンやサーバーの作業を手伝ってもらえる道具)に読ませて、当たりをつけてもらいます。Claude Codeは、ログが置いてあるパソコンやサーバーで動かします。入れ方はインストールの記事にあります。
自前のサーバーがなく、Microsoft 365やGoogle Workspaceだけを使っている会社なら、管理画面からログインの記録をCSV(Excelで開ける表のファイル)で書き出し、そのファイルを作業用のフォルダに置いて読ませます。頼み方は、下の例の「このサーバーのログインの記録」を「このフォルダのCSV」に変えるだけです。まずは、ログを書き換えないように読むだけで頼みます。
このサーバーのログインの記録を、残っている分(最大で直近30日分)読んでください。ファイルの書き換えや設定の変更はしないでください。ログインした日時、アカウント、接続元を表にして、「深夜や休日のログイン」「初めて見る接続元」「失敗が続いたあとの成功」に印を付けてください。
Claude Codeの入力欄でShift+Tabを押してプランモードにしておくと、ファイルを書き換えずに読むだけで作業します。お願いの文と組み合わせて使ってください。サーバーによっては、ログインの記録を読むのに管理者の権限(sudo)が要ります。パスワードを求められて先に進めないときは、サーバーの管理を任せている人に頼んでください。
最後の「失敗が続いたあとの成功」は、パスワードを当てずっぽうに試されて、最後に当たってしまった形です。読むだけで点検する手順は、別の記事にまとめています。
試してわかったこと
私は、試しに動かすために借りているサーバーで、この頼み方を試しました。表にしてもらうと、知らない接続元からのログインの失敗が、1日に数百回並んでいました。ネットに出ているサーバーには、こうした当てずっぽうの試みが毎日のように来ます。成功したものは、自分の接続元だけでした。
ただ、Claude Codeが「怪しい」と印を付けたものの中に、自分が出張先から入った記録も混じっていました。いつもと違うかどうかは、普段を知っている人にしか判断できません。AIは候補を並べるところまでで、最後に見るのは自分です。
外からの知らせを、すぐ届く場所に
GMOの件で異常がわかったのは、利用者からの問い合わせでした。社内の監視で気づけなくても、外からの知らせが早く届けば、手を打つのが早くなります。
小さな会社なら、取引先やお客さまから「御社の名前で変なメールが来た」「ログインできない」といった連絡が来たとき、それを受けた人がすぐ管理者に伝える決まりを作っておきます。問い合わせの窓口で止まってしまうと、せっかくの知らせが生きません。不正アクセスに気づくきっかけは、ログの中だけにあるとは限りません。
月に1回、同じ頼み方で見る
一度見て終わりにせず、月に1回など日を決めて、同じ頼み方でログを見ます。前の月と比べることで、「いつもと違う」がわかるようになります。頼み方の文はメモに残しておくと、毎回そのまま使えます。
GMOの会見でわかったことは、別の記事で整理しました。
