「お名前.com デスクトップクラウド」(FXの取引ソフトを24時間動かすために借りる、インターネット上のWindowsのパソコン)への不正アクセスで、GMOは10月21日に攻撃者とみられる者から脅迫のメールを受け取りました。第7報によると、要求額は約80億円です。グループ代表のブログでは5,000万ドルと書かれています。
GMOは要求に応じないと公表しました。この記事では、ランサムウェア(会社のデータを使えなくし、元に戻す代わりにお金を要求するウイルス)の身代金を払わない判断の理由と、脅迫を受けた会社が最初の1週間でやることを整理します。10月27日時点の情報です。
GMOが払わない理由として挙げたこと
GMOの説明は短く、要求に応じても、持ち出された情報が消されることも、悪用されないことも保証されないから、というものです。
これは、身代金を払わない判断の理由として、もっともよく挙げられるものと同じです。払ったとしても、相手が約束を守る保証はありません。払った会社は「払う会社」として、別の攻撃者からも狙われやすくなるとも言われます。
警察庁は、支払うと犯罪グループの活動資金になるおそれがあり、データが元に戻る保証もないと説明したうえで、被害に遭ったら警察に通報・相談するよう呼びかけています。
払わないと決めた後に来るもの
ただ、払わないと決めれば終わり、ではありません。今回、攻撃者は「27日12時に顧客の情報を公開し、ランサムウェアで攻撃する」と予告してきました。払わない判断は、こうした次の手への備えとセットです。
GMOは予告を公表し、第8報で、利用者に手元の端末のバックアップと、予告の時刻より前の電源の遮断を求め、端末を預かって解析を始めました。
GMOの「電源を切る」は、攻撃が来る前の予防です。攻撃を受けたあとは逆で、次の章で書くように、電源は落とさずにネットワークから切り離すのが基本です。予告を隠さず、利用者が自分で身を守れる情報を先に出した点は、ほかの会社にとっても参考になると思います。
最初の24時間でやること
脅迫や不正アクセスに気づいた直後に、会社がやることは大きく3つです。
- 被害を広げない。怪しいサーバーや端末をネットワークから切り離す(LANケーブルを抜く、Wi-Fiを切るなど)。電源を切ると調べるための記録が消えることがあるので、電源は落とさず、切り方は専門家に相談する
- 証拠を残す。脅迫のメール、ログ(システムの動きの記録)、画面の写真を消さずに保存する
- 警察に相談する。各都道府県の警察のサイバー犯罪の相談窓口に連絡する
GMOも、全サーバーの停止(21日)、警察への相談(22日)の順に動いています。
1週間以内に期限が来る報告
個人情報が漏れたおそれがある場合、会社には個人情報保護委員会(個人情報の扱いを監督する国の機関)への報告の義務があります。不正アクセスによる漏えいのおそれは、人数にかかわらず報告の対象です。
期限は2段階です。気づいてからおおむね3〜5日以内に速報、30日以内(不正アクセスのように不正な目的によるものは60日以内)に確報を出します。本人への通知も必要です。
脅迫への対応に追われている最中に、この期限が来ます。誰が報告を書くのかを、最初の日に決めておく必要があります。
利用者への説明を止めない
今回のGMOは、1週間で第9報まで出しています。わかったことが少ない日でも、何がわかっていないかを書いて報を重ねていました。
私は社外の人に事故を説明する立場になったことはありませんが、取引先の小さな障害の連絡を受けた経験はあります。そのとき一番不安だったのは、悪い知らせよりも、連絡が途切れることでした。わかっていないことを「わかっていない」と書いて出すのは、勇気が要りますが、利用者が自分で動くための材料になります。
平時に決めておくこと
脅迫を受けてから考えるのでは間に合いません。平時に決めておきたいのは次の4つです。
- 身代金の要求には応じないという方針と、それを決める人
- 警察、弁護士、セキュリティ会社の連絡先
- 個人情報保護委員会への報告を書く担当
- 利用者へのお知らせを出す担当と、出す場所
サービスを止めるかどうかの判断の分かれ目は、PHP(Webサイトを動かすプログラムの言語)の脆弱性(悪用されうる欠陥)で国内のサービスが一斉に止まった日の記事でも整理しました。
GMOが国に求めた「能動的サイバー防御」については、別の記事で説明しています。
