9 min read3,723 characters
GMO不正アクセス 第1回：GMOは2年前に脆弱性を指摘されていた
GMOインターネットグループは2024年4月、グループのセキュリティ会社から自社サービスの脆弱性を指摘されていた。攻撃者は2026年8月に侵入し、顧客のマシン最大2万6739台に手が届く状態で76日間動き続けた。GMOは気づかなかった。
2024年4月24日、GMOインターネットグループのセキュリティ子会社が、「お名前.com デスクトップクラウド」の脆弱性を指摘した。[1] 2026年10月20日、顧客からの問い合わせを受けたGMOの調査で、攻撃者が76日前から同サービスに侵入していたと分かった。[1]
デスクトップクラウドは、GMOのサーバー上で動く仮想のWindowsマシンを貸し出すサービスだ。利用者の多くは、自分のパソコンの電源を切っている間もFX（外国為替証拠金取引）の自動売買ソフトを動かし続けるために契約していた。[3] そうしたマシンには、取引口座のログイン情報が保存されていた。[2] GMOの集計では、影響を受けた可能性のあるマシンは最大2万6739台にのぼる。[1] GMOは、ログイン情報が盗まれて不正に使われた可能性があると認め、本人の意図しない注文による損失は補償する方針だ。[2] 攻撃者は当初5000万ドル、[3] のちに100万ドルを要求したが、[14] GMOは応じなかった。10月27日、攻撃者は顧客1人の個人情報を公開した。[15]
時系列と、防げたはずの手立て#
下の表の左2列は、GMOが事件後初めて開いた11月2日の記者会見で示した時系列だ。[1] 右の列には、何をしていれば事件を防げたかを書き加えた。
| 時期 | 何が起きたか | 欠けていたもの |
|---|---|---|
| 2024年4月24日 | GMOグループのセキュリティ会社であるイエラエが、デスクトップクラウドの脆弱性を指摘する。指摘は事業、サービス、システムの各責任者に届く。[1] | （なし） |
| 2024年4月26日〜5月20日 | 緊急メンテナンスを4回実施。修正が効いたかを確かめる再診断は依頼されなかった。2年半後、GMO自身がこの対応を「深さと速さの両面で不足していた」と認めている。[4] | 指摘した側による再診断と、この種の指摘を取締役会に上げるルール。[4] |
| 2026年8月5日 | 攻撃者が、顧客に貸し出されていたマシン1台に侵入する。 | 顧客のマシンが乗っ取られたことに気づく監視。 |
| 8月17日 | 管理者アカウントを手に入れ、全顧客のマシンを一括管理するGMOのサーバー（管理サーバー）に入り込む。 | 管理サーバーに管理者としてログインがあったことを知らせる通知。 |
| 9月20日〜10月14日 | その管理サーバーを経由して、顧客のマシンにマルウェア（不正なプログラム）が配布される。 | 管理サーバーから顧客のマシンへ何が配られているかの監視。 |
| 10月20日 | 顧客からの問い合わせを受けて調査し、マルウェアを確認する。 | |
| 10月21日 | 全サーバーを停止し、事案を公表する。[5] |
侵入から発覚までの76日のうち64日間、攻撃者は管理サーバーの管理者権限を握っていた。GMOは、そのどの段階でも気づかなかった。
なぜ指摘はトップに届かなかったのか#
2024年の指摘は、創業者でグループ代表の熊谷正寿氏には届かなかった。熊谷氏は会見で、指摘を知ったのは不正アクセスの発覚後だったと述べ、[1]「2年前の指摘、私が介在すべきだった」と語った。[6] 別の場面では「この指摘をサービスの運営において生かすことができませんでした」とも述べている。[7]
指摘がそこで止まった理由を会見で説明したのは、熊谷氏ではなくグループの法務責任者だった。どの脆弱性を取締役会に報告するか、明確な基準がなかったのだという。[4] イエラエはグループ内の別会社で、診断したサービスの運営には口を出せない。[1]
手元のパソコンまで見えた初期設定#
デスクトップクラウドの利用者は、手元のパソコンから借りたマシンの画面を呼び出して操作する（リモートデスクトップ）。この方式には、借りたマシンの側から手元のパソコンの中身（ドライブ）を読めるようにする「ドライブ共有」という機能があり、GMOはこれを使いやすさのために初期状態で有効にしていた。[1] 自動売買ソフトには要らない機能だが、GMOによれば攻撃者はこれを悪用し、そのため脅迫は利用者の自宅のパソコンにまで及んだ。[7] 攻撃者が期限とした10月27日を前に、GMOが利用者にデータの控えを取ってパソコンの電源を切るよう呼びかけたのも、同じ理由による。[3]
GMOが代わりに語ったこと#
3時間半に及んだ会見の後半は、AIを使った攻撃の脅威についてのスライド説明に充てられた。[8] GMOは2024年の指摘よりも、北朝鮮、AI、利用者の自衛策の3つについて、はるかに多くを語ってきた。
北朝鮮については、共同通信の取材で、攻撃者の犯行声明サイトに開設直後にアクセスした5つのIPアドレス（接続元を示す番号）が、過去に北朝鮮のハッカー集団が使ったものと一致したことが分かった。[9] GMO自身も北朝鮮の関与を疑っているが、その根拠は主にマルウェアの特徴だ。[9] 犯行声明サイトには米国や日本など複数の国につながる痕跡もあり、専門家は調査をかく乱するために混ぜ込まれた可能性を指摘している。[19] GMOはこの見方を政府に伝えたが、政府は裏付けていない。[9]
AIについては、熊谷氏はAIを使った自動攻撃が急増していると長々と語った。今回の攻撃にAIが使われたかと直接問われると、「AIが使われた証拠はございません」と答えた。会見の前半と後半は分けて評価してほしいとも求めた。[6] 一般論としての懸念には根拠もあり、10月19日、GMOのセキュリティ子会社は、日本企業約20社を狙った攻撃について、攻撃側のサーバーの中からAIが自動で侵入を試みるツールを見つけたと発表した。熊谷氏自身が認めたとおり、今回の事案とは別の件だ。[10]
利用者の自衛については、GMOはパスワードの変更、ログイン状態の解除、手元のパソコンの安全確認を呼びかけた。[5] 助言としては妥当だが、マルウェアはGMOの管理サーバーから配られていて、そこは顧客にはどうにもできない場所だ。
補償と処分#
GMOが約束したのは次のとおりだ。
- 全利用者に、被害の有無を問わず見舞金として一律5000円。[11]
- 攻撃者に情報を公開された利用者には、氏名や連絡先などの基本情報で1万円、取引口座のIDやパスワードなどで1万5000円、病歴など特に慎重な扱いが必要な情報で2万5000円を支払う。複数の区分に当たれば合算する。上限は公開1件につき300万円。[12]
- 不正取引による損失の全額補償。手続きは11月6日から。[1]
- 代替サービスを6か月間無償で提供。従来のシステムは再開しない。[1]
経営陣の処分は次のとおり。
最初の顧客マシンへの侵入経路、脆弱性の内容、2024年の指摘の詳細、再発防止策の中身は、いずれも公表されていない。[1]
被害がはるかに大きかったBinanceはどう公表したか#
Binanceで何が起きたか#
6月、Binanceのウォレット部門のエンジニアが、開発ツールの改ざん版をインストールした。セキュリティチームはこれに気づいて端末を取り替え、パスワードなどのログイン情報も変えたが、そのエンジニアの仕事内容と、ウォレットを担当する同僚が誰なのかは、すでに攻撃者に知られていた。9月には別のエンジニアが求人サイトで接触を受け、人事担当者と、実在しない会社のCEOを名乗る2人と面接したあと、「課題」を業務用パソコンにダウンロードするよう指示された。課題にはマルウェアが仕込まれていた。10月20日、攻撃者はそのパソコンを足場に、社内で使われていたAIツールの助けも借りて、ウォレットを担当するエンジニア2人の端末を乗っ取り、うち1台から、Binanceのシステムにソフトウェアを送り込む権限を持つ鍵（トークン）を見つけた。[17]
10月29日、GMOがマルウェアを見つけた9日後に、攻撃者はこの鍵を使い、ネットにつないだまま資産を置く保管口座（ホットウォレット）から約63億6000万米ドル相当を盗んだ。その大半は、最初の送金から約20分のうちに送り出された。[16] 送金がまだ続いているうちに、Binanceの監視システムが社内に警報を出した。[17] 最初の送金から2時間半以内に、Binanceの創業者はX（旧Twitter）に、一連の送金はハッキングによるものとみられると投稿し、サービス内の出金を停止した。[18]
GMOとの対応の違い#
Binanceは盗難から5日後の11月3日に初期報告書を公表した。報告書は「This should not have happened（起きてはならないことだった）」で始まり、攻撃の経緯を最初から記し、作り直したシステムと無効にしたログイン情報を列挙して、独立した第三者による検証を約束している。6月の侵入には気づいたが、攻撃者がその時点で何を知り得たかまでは考えが及ばなかったと、自社の失敗も認めている。ほかの攻撃者に利用されないよう、一部の技術的な詳細は伏せた。[17]
GMOも、マルウェアの発見から13日後の記者会見で、同種の攻撃を招くおそれを理由に手口の説明を控えた。ただしBinanceと違い、最初の顧客マシンにどう侵入されたのかすら明らかにしていない。[8] Binanceもエンジニアの端末が乗っ取られたことには気づかなかったが、盗難は監視システムがその最中に検知した。GMOでは、攻撃者が管理サーバーの管理者アカウントを64日間握っていても、警報はひとつも鳴らなかった。
出典#
- ＠IT、「ネットのセキュリティもGMO」の実態 イエラエの事前指摘はなぜ放置されたか：GMO記者会見を読む、2026年11月3日。
- ScanNetSecurity、「お名前.com デスクトップクラウド」に不正アクセス、取引口座のログイン情報等が取得され不正利用された可能性、2026年10月26日。
- Innovatopia、【解説】お名前.com デスクトップクラウド、攻撃者が情報公開 GMOは要求を拒み懸賞金100万ドル、2026年10月28日。
- ITmedia ビジネスオンライン（Yahoo!ニュース配信）、「31年間『もうける』と言ったことはない」GMO熊谷代表、不正アクセスで謝罪も露呈した“組織の壁”、2026年11月2日。
- GMOインターネットグループ、【重要】「お名前.com デスクトップクラウド」への不正アクセスに関する現在の対応について（第9報）、2026年10月27日。
- 日本経済新聞、GMO熊谷正寿社長「2年前の指摘、私が介在すべきだった」 会見の一問一答、2026年11月2日。
- Innovatopia、サイバーイージス構想と全額補償｜GMO会見で出た答えと残った問い、2026年11月2日。
- 山口健太（Yahoo!ニュース エキスパート）、GMO不正アクセス 「3時間半」の記者会見でも解決しなかった疑問とは、2026年11月3日。
- South China Morning Post、North Korean hackers behind Japan's massive GMO data leak, investigation finds、2026年11月2日。
- ScanNetSecurity、GMOサイバーセキュリティ byイエラエ、不正アクセス攻撃元にAI自律型ペンテストシステム「ARTEX」を確認、2026年10月21日。
- ScanNetSecurity、「お名前.com デスクトップクラウド」に不正アクセス、見舞金として一律 5,000円を支払い、2026年10月27日。
- Impress Watch、GMO、情報を公開された利用者に区分別の特別お見舞金（第12報）、2026年10月27日。
- セキュリティ対策Lab（Rocket Boys）、GMO、サイバー攻撃で熊谷正寿氏ら役員4人が報酬減額、2026年11月2日。
- 共同通信（OANDA配信）、GMO、身代金1・5億円を拒否、2026年10月27日。
- ITmedia NEWS、GMO、ランサム被害にあった顧客に新しいPC提供へ 犯行グループは1人の顧客情報公開か、2026年10月27日。
- TRM Labs、North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History、2026年10月29日。
- Binance、29 October Binance Security Incident: Initial Findings and Response Update、2026年11月3日。
- TechCrunch、Binance pauses withdrawals as hackers suspected of stealing billions in crypto、2026年10月29日。
- 共同通信（OANDA配信）、【独自】GMO攻撃、北朝鮮ハッカーか、2026年11月1日。