GMOはなぜ「手元のPCの電源を切って」と頼んだのかリモートデスクトップで手元まで届く経路

「お名前.com デスクトップクラウド」への不正アクセスで、多くの人が引っかかったのは、10月27日朝のGMOの依頼だったと思います。12時より前に、手元のパソコンのネットワークを切り、電源を落とし、PCにつながっているコードを抜いてください、というものです。

攻撃されたのはGMOのクラウドの側です。それなのに、なぜ利用者の手元のパソコンまで心配するのか。この記事では、リモートデスクトップの危険性を、手元まで届きうる経路から説明します。

先に断っておくと、GMOは10月27日時点で、侵入の経路を公表していません。手元のパソコンについては、第9報で、解析を終えた端末からは不正なプログラムは見つかっていないが解析は続いている、とされています。ここで書くのは、リモートデスクトップという仕組みが一般に持っている経路の話です。デスクトップクラウドのような、インターネット上に借りるパソコン(VPSとも呼ばれます)を、この記事では「離れたパソコン」と書きます。

「お名前.com デスクトップクラウド」への不正アクセスに関する現在の対応について(第8報・GMO)

group.gmo

リモートデスクトップは画面だけをつないでいるのではない

リモートデスクトップは、離れた場所にあるパソコンの画面を、手元のパソコンに映して操作する仕組みです。Windowsに入っている「リモートデスクトップ接続」や、Mac向けのアプリがよく使われます。

画面を映すだけなら、離れたパソコンで何が起きても、手元には影響しないように思えます。ところが実際には、便利にするために、いくつかのものを手元とつないでいます。代表的なのが次の3つです。

クリップボード(コピーした文字やファイルを一時的に置く場所)の共有
手元のドライブ(パソコンのフォルダやUSBメモリ)の共有
プリンターなどの機器の共有

Microsoftの説明でも、こうした機器や資源をリモート側に渡す仕組み(リダイレクト)は、接続の設定で一つずつ有効にしたり無効にしたりできるものとして扱われています。

リモートデスクトップの周辺機器・リソースのリダイレクト(Microsoft・英語、Microsoftのクラウドサービス向けの説明)

learn.microsoft.com

経路1 共有したドライブ

手元のドライブを共有していると、離れたパソコンの側から、手元のフォルダが普通のドライブのように見えます。ファイルを手元に持ち帰るのに便利な機能です。

裏返すと、離れたパソコンを乗っ取った人は、共有されている間、手元のフォルダを読んだり、ファイルを置いたりできる可能性があります。置かれたファイルを、利用者が手元で開いてしまえば、そこから手元のパソコンに入り込まれます。

経路2 クリップボード

クリップボードを共有していると、手元でコピーしたものが、離れたパソコンでも貼り付けられます。取引口座のパスワードを手元のメモからコピーして、離れたパソコンの取引ソフトに貼り付ける、という使い方をしていた人もいると思います。

離れたパソコンに入り込んだ人からは、コピーされたものが見えてしまうおそれがあります。

経路3 接続するアプリの欠陥

もう1つは、リモートデスクトップのアプリそのものの欠陥です。2019年に、セキュリティ企業のCheck Pointが、悪意のあるサーバーに接続したときに、接続した側のパソコンが攻撃されうる欠陥を複数のアプリで報告しました。Windows標準のアプリで見つかったのは、クリップボードを通じて手元の好きな場所にファイルを置かれうる欠陥で、Microsoftは当初は修正を見送ったものの、のちに修正を出しました。接続する側のアプリを最新にしておくことが、この経路への備えになります。

Reverse RDP Attack(Check Point Research・英語)

research.checkpoint.com

GMOが手元の電源を切るよう求めたのは、こうした経路のどれかで手元に何かが置かれていた場合に、予告の時刻に動き出すことを止める、という予防の意味合いだったと読めます。

今日からできる設定

リモートデスクトップを使い続けるなら、次の設定を見直す価値があります。Windowsの「リモートデスクトップ接続」では、接続前の画面の「オプションの表示」から「ローカルリソース」のタブで変えられます。ドライブは、同じタブの「詳細」の中にあります。

ドライブの共有を切る。ファイルの受け渡しが必要なときだけ、一時的にオンにする
クリップボードの共有を切る。パスワードはコピーで渡さず、その場で手で打ち込む
接続するアプリを最新に保つ

私も離れたパソコン(VPS)にリモートデスクトップでつないでいた時期がありました。この記事を書くにあたって設定を見返したら、以前ファイルを受け渡すときにオンにしたまま、ドライブの共有が「すべて」になっていました。初期設定でもクリップボードの共有はオンです。一度オンにした設定や初期設定ほど、何をつないでいるかを確かめておくべきだと感じます。在宅勤務で会社のパソコンにリモートデスクトップでつなぐ場合も、同じ設定が当てはまります。