GMOの「お名前.com デスクトップクラウド」に不正アクセスした攻撃者とみられる者が、GMOと利用者に関する情報と称するものをインターネット上に公開しました。GMOがそれを確認したのは、10月27日の12時30分です。
GMOはすぐに、公開されたとするサイトには絶対にアクセスしないでほしい、転載や拡散もしないでほしい、と繰り返し呼びかけました。この記事では、リークサイト(盗んだ情報を公開するサイト)を見に行くことがなぜ危険なのか、拡散すると何が起きうるのかを整理します。10月29日時点の情報です。
見に行った人の情報が取られる
GMOの第10報は、公開されたサイトにアクセスした人の情報は攻撃者に取得されている、と書いています。
Webサイトを開くと、こちらのIPアドレス(インターネット上の住所にあたる番号)や、使っているブラウザの種類などが、サイトを運営する側に伝わります。普通のサイトでも同じですが、相手が攻撃者となると話が違います。誰が見に来たかを記録され、次の攻撃の的にされるおそれがあります。たとえば、見に来た人を狙って、本物そっくりの詐欺メールが届くようになる、といった形です。
見ただけでウイルスを仕掛けられることもある
攻撃者が用意したサイトには、見に来た人のパソコンに悪意のあるプログラムを送り込む仕掛けが置かれていることがあります。今回のサイトにそうした仕掛けがあったとGMOが確認したわけではありませんが、GMOも第11報で、念のため、すでにアクセスしてしまった人は、ウイルス対策ソフトでフルスキャン(すべてのファイルを調べる検査)をするよう求めています。
「自分の情報が載っていないか確かめたい」という気持ちはわかります。ただ、GMOは公開された情報に含まれる利用者には個別に連絡するとしています。自分で見に行く必要はありません。見に行けば、確かめるどころか、自分の情報を新しく渡すことになります。
拡散した側の責任
もう1つの問題は、拡散です。GMOは第13報で、リンクの掲載、リポスト、引用投稿などで広めることを控えるよう求め、軽い気持ちの拡散も被害を広げると書いています。
他人の氏名や連絡先を本人の同意なく広めれば、プライバシーの侵害として損害賠償を求められることがあります。GMOは、悪質な拡散者に対して、発信者情報の開示請求(投稿した人が誰かを事業者に開示させる手続き)や刑事告訴を含めて検討するとしています。第14報によると、Xで拡散していた人には、累計20件の警告の連絡をしています。流れてきた画面のスクリーンショットを、友人とのグループに「これ見た?」と送るのも、広めることに変わりはありません。
通報のつもりでも直リンクは貼らない
「こんなサイトがある」と注意を呼びかけるつもりの投稿でも、そこにサイトへのリンクを貼れば、結果として誘導になります。GMOは、通報が目的でも、危険なサイトへの直接のリンクや、被害者の個人情報を載せないよう求めています。
見かけたときにやることは、次の3つです。
- 開かない、広めない
- 問題のある投稿は、内容、URL、日時、アカウントを控えて、Xの通報機能で知らせる
- 警察やGMOの窓口に情報を伝える
- サイバー事案に関する相談窓口(警察庁)
- お名前.comのお問い合わせ(GMO)
報道もいったん立ち止まる
GMOは報道機関にも、二次被害を招きかねない過度な報道を控えるよう求めました。私もこのメディアで一連の記事を書いていますが、公開された情報の中身や、サイトの場所には一切触れないことにしています。どんな情報が出たかを書けば、それ自体が攻撃者の宣伝になるからです。
自分の情報が含まれていたら
公開された情報に自分の情報が含まれていた利用者には、GMOから個別の連絡が来るとされています。情報の種類ごとに払う特別お見舞金も用意されています。中身は別の記事にまとめました。
その連絡を装った詐欺のメールにも注意してください。GMOは、パスワードや認証コード(ログインのときにスマートフォンに届く数字など)を聞くことはないとしています。利用者が進める手順は、こちらです。
