GMOインターネット：「お名前.com デスクトップクラウド」に不正アクセス

GMOインターネットは10月20日、Windowsのリモートデスクトップ環境を提供する「お名前.com デスクトップクラウド」で、一部顧客のサーバーに第三者が不正なプログラムを置いたことを確認した。影響の可能性があるサーバーは26,739件で、21日4時から全プランのサーバーを順次止めた。サーバーに保存されていたFXなどの取引ツールのログイン情報が使われ、顧客の取引口座で身に覚えのない取引が報告されている。24日の第4報で、サービスのシステムにセキュリティ上の問題があり顧客情報が外部に持ち出されたと認め、全利用者への一律5,000円の見舞金、不正取引による実現損失の補償、代替サービスの6か月無償提供を決めた。警察に相談し、政府に能動的サイバー防御による対処も求めた。25日にはグループの熊谷正寿会長兼社長がブログで謝罪し、社内の技術者からセキュリティの課題を指摘されていたが対応が十分でなかったと認めた。被害は利用者自身のPCに及んでいる恐れもある。GMOの利用ガイドによると、同社が配布していた接続用のRDPファイルは利用者のPCとのファイル共有が最初から有効になる設定で、サーバー側から手元のPCのドライブが見える。GMOは25日から全国の利用者のPCを預かって調べており、27日11時59分の第9報では、解析を終えた端末からマルウェアは見つかっていないとした。GMOの経緯説明によると、21日に約80億円を求める脅迫メールが届いた。熊谷氏は26日のブログで、暗号資産で5,000万ドルを求められたと明らかにした（産経新聞）。その後、攻撃者とみられる者は27日正午を期限に100万ドルを求め、払われなければ利用者の情報を公開し、ランサムウェア攻撃を行うと予告した（ITmedia NEWS）。テレビ朝日は、攻撃側が利用者のPCに認証なしで入り込める「バックドア」を仕掛けたと主張していると報じたが、確認されていない攻撃側の主張で、GMOは利用者のPCへの侵入を認めていない。GMOは要求に応じない方針で、27日の第8報では正午までにバックアップを取ったうえでPCをネットワークから切り離し、電源を切るよう求め、ランサムウェアの被害に遭った利用者には同等の新しいPCを提供するとした。27日の第10報によると、GMOは12時30分、攻撃者とみられる者が当社と顧客に関するものとする情報を公開したことを確認した。内容は確認中で、事実と違う内容が含まれる恐れがあるとして、アクセスや拡散をしないよう求め、悪質な拡散者には法的措置を準備している。情報が含まれていた顧客には個別に連絡し、見舞金とは別の対応を検討している。13時55分の時点でランサムウェア攻撃は確認されていない。14時55分の第11報では、攻撃者のサイトにアクセスした人の情報は攻撃者に取得されていることを確認したとして、アクセスしないよう重ねて求め、アクセスした人にはウイルス対策ソフトでの全体スキャンを勧めた。片山金融相は27日、GMO関連とみられる顧客被害を報告したFX会社として、ゴールデンウェイ・ジャパン、OANDA証券、アヴァトレード・ジャパン、外為ファイネスト、デューカスコピー・ジャパンの5社を挙げた。サーバーに保存されていた取引口座のログイン情報が取られ、不正な取引に使われたとみられる。各社は対象の客の取引を一時止め、不正な注文を遮断した。被害額は公表されていない。ゴールデンウェイ・ジャパンの件は別の事案として扱っている。