GMO不正アクセス、脅迫サイトの記録から攻撃者を絞り込み　犯人特定はまだ

この記事は「GMOへの身代金要求　80億円と1.6億円、食い違う金額と「人質」の実態」の続報です。

何がわかったのか

GMOインターネットのFX向けクラウドサービス「お名前.com デスクトップクラウド」への不正アクセスで、攻撃者は利用者の情報を毎日正午に公開すると予告する「脅迫サイト」を開いていました。サイトは28日朝にドメインが停止され、見られなくなっています。

TBSは30日、このサイトにサイトを訪れた人の記録が、公開された状態で残っていたと報じました。セキュリティー企業アンノウン・テクノロジーズの切敷裕大さんによると、攻撃者が意図せず公開していたものです。

サイトのファイルが書き換えられた直後に、特徴的な動きをするIPアドレス（ネット上の住所にあたる番号）が何度も訪れていました。切敷さんは、攻撃者本人がサイトを見に来て「足跡」を残したと分析し、3つのIPアドレスは攻撃者に使われた可能性が「強く推認される」としています。

「犯人の可能性がある人」の情報はGMOへ

GMOに協力している日本ハッカー協会の杉浦隆幸代表理事は、記録を別の方法で解析し、「犯人の可能性がある人」の情報をすでにGMOに送ったと話しています。その中には連絡先・住所・氏名が入っているといいます。

GMOは29日、グループのホワイトハッカーチームが犯人の特定につながると考えられる情報を入手し、警察などに提出すると発表しました。ただ、杉浦さんたちの分析と、GMOが警察に出した情報が同じものかどうかは明らかにされていません。

まだわかっていないこと

• 身元は公表されていません。 記録されたIPアドレスや場所、名前は公表されていません。
• IPアドレスだけで本人とは限りません。 海外のサーバーなどを経由すると、別の場所のIPアドレスが記録されます。切敷さんも、攻撃者は普段は仮想サーバーを経由していたとみています。
• 警察は特定を発表していません。 警視庁は不正アクセス禁止法違反の疑いなどで捜査していますが、31日夜の時点で、攻撃者の特定や逮捕は発表されていません。

「TBSの報道で攻撃者のアカウントが露呈した」という受け止めもあります。夕刊フジ（zakⅡ）によると、TBSが30日夕方に放送したニュースでは、訪問者のIPアドレスにはモザイクがかかっていた一方、すぐ下にあったXアカウントの名前は隠されていませんでした。番組は、攻撃者が自分の回線からサイトの動きを確かめた数分後に、このアカウントがサイトのURLを広めていたと伝えています。31日の放送とネット配信の動画では、この部分にもモザイクが追加されています。

ただ、このアカウントの持ち主が攻撃者本人かどうかは確認されていません。もともと使われていなかったアカウントが10月上旬から急に動き出しているため、乗っ取られた可能性も指摘されています。GMOも、自分で犯人を特定しようとしたり、確証のない情報を投稿したりすることは控えるよう求めています。

11月2日に熊谷会長が会見

GMOインターネットグループは31日、熊谷正寿会長兼社長が11月2日に記者会見を開くと発表しました。GMOインターネットの伊藤正社長も出席し、不正アクセスの経緯、顧客への対応、今後の取り組みを説明する予定です。

日本経済新聞はGMO幹部への取材をもとに、GMO子会社のセキュリティー企業が2024年4月の時点でシステムの脆弱性を指摘していたものの、十分な対応がとられていなかったと報じています。