毎日正午に、少しずつ。

GMOインターネットグループのサービスに不正アクセスした攻撃者が、10月27日の昼すぎ、利用者とされる1人の個人情報を、自分たちのサイトに晒しました。

しかも新しい声明では、これから毎日正午に、分析が終わったものから順に公開していくと書いているそうです。

一度に全部ではなく、少しずつ。

そのぶん、まだ名前の出ていない利用者は、毎日の正午を待たされます。

 

名前を出された1人の方はもちろん、自分の情報も入っているかもしれないと身構えている利用者の方の不安は、とても大きいはずです。

そして、ニュースを見て「どうして小出しなのか」「そのページを見たらどうなるのか」と気になって検索した人もいるでしょう。

今回は、GMOの個人情報公開で攻撃者が毎日正午の小出しを選んだ理由と、利用者がいま確かめたいことについて、わかりやすく解説していきたいと思います。

100万ドルの期限が過ぎた正午

今回、不正アクセスを受けたのは「お名前.com デスクトップクラウド」というサービスです。

手元のパソコンから、ネットの向こうにあるWindowsの画面へつないで使う仕組みで、FXの自動売買などに使われてきました。

GMOが一部の利用者のサーバーに不正なプログラムが置かれているのを確認したのは、10月20日のこと。

翌21日の未明には、全プランのサーバーを止めています。

22日には、影響の可能性があるサーバーが2万6739件にのぼり、中に保存されていた取引口座のログイン情報などが取られて、不正に使われた可能性があると発表しました。

実際に、口座が第三者に勝手に操作されたという報告も届いているとのこと。

 

そこへ重なったのが、お金の要求。

GMOの説明では、サービスを止めた21日に、約80億円を求める脅迫メールがもう届いていたそうです。

その後、攻撃者は求める額を100万ドル（約1億6000万円）まで大きく下げ、27日の正午までに払わなければ、利用者の情報を公開してランサムウェアで攻撃すると予告していました。

ランサムウェアというのは、パソコンの中身を勝手に暗号化して開けなくし、元に戻すのと引き換えにお金を求めるウイルスのこと。

GMOの答えは、はっきりしていました。

「当社は、攻撃者からの要求には応じません」

理由として挙げているのは2つで、払っても取られた情報が消される保証はないこと、そして払えば犯罪の資金になって次の攻撃を助けてしまうこと。

攻撃の矛先として名指しされたのは、デスクトップクラウドにつないでいた利用者の手元のパソコンです。

そのためGMOは期限の朝、利用者に向けて、正午までにバックアップを取ったうえでネットワークを切り、電源を落として、パソコンにつながるコードを抜いてほしいと呼びかけています。

利用者に電源を切らせる前に、という気持ちになるのも無理はありません。

それでもGMOは、サーバーだけでなく、利用者の手元まで守りにいかなければならないところまで来ていたということ。

 

そして正午を過ぎて、攻撃者は「GMOが交渉に応じなかった」として、1人分の個人情報を出しました。

公開された情報が本物かどうかは、まだ確かめられていません。

GMOも、その中には事実と異なる内容が含まれるおそれがある、としています。

同じ正午に予告されていたランサムウェアの攻撃は、27日午後のGMOの発表の時点で、まだ確認されていません。

また、GMOが利用者から預かったパソコンを調べた結果でも、解析を終えた端末からはランサムウェアを含む不正なプログラムは見つかっていないとのこと。

ただし、すべての利用者のパソコンが安全だと確かめられたわけではない、とも添えられています。

一度に出さずに小出しにする理由

ネットには、こんな疑問も出ていました。

「一件漏れたら何万件漏れるのと一緒じゃない？自ら交渉材料失ってどうすんの」

1人分でも外に出してしまえば、残りの情報で脅す力はそのぶん弱まるのでは、という疑問です。

ところが攻撃者が初日に出したのは、1人分だけでした。

冒頭の投稿にもあったように、一度に全部を出してしまえば、恐怖はそこで終わってしまうでしょう。

少しずつなら、まだ名前の出ていない人は、全部が出るまで次の正午におびえ続け、そのたびにまた話題にのぼる形。

日本ハッカー協会の杉浦隆幸代表理事も、TBSの取材に「GMOに圧力をかける狙いがある」と話しています。

犯人のやり方を、こう読んだ人もいました。

最初に約80億円を求め、そこから大きく下げてみせたのは、払わないGMOが悪いという空気を作るためではないか、という見方です。

この見方が当たっているかは分かりませんが、そう感じてしまうのも無理はないと思います。

 

盗んだ情報をたてに「払わなければ公開する」と迫るやり方そのものは、前からある手口です。

警察の注意喚起でも、データを盗んだうえで「対価を支払わなければデータを公開する」と金銭を求める、二重恐喝（ダブルエクストーション）という手口として説明されてきました。

今回の声明で目を引くのは、公開の時刻を「毎日正午」と決めて予告していること。

時刻が決まっていれば、報道も、気になっている人も、その時刻になるとまた同じ場所に目を向けます。

攻撃者は声明で、GMOが要求を受け入れるなら「直ちに活動を停止する」とも書いているそうです。

けれど、払ったあとで本当に止まるのか、取った情報を別のところへ売らないのかを確かめる手立ては、どこにもありません。

ネットでも「犯人側の要求を飲めば更に悪化する」「データを売らない保証もどこにも無い」という声が上がっていました。

払っても消える保証がないことは、GMO自身が支払わない理由の1つ目として書いていることでもあります。

のぞいた人の情報まで取られる

気になるのは、そのページに何が書かれているのか、ですよね。

とくに利用者の方なら、自分の名前が出ていないか、ひと目だけでも確かめたくなるのは当然のことだと思います。

けれど、GMOが27日の午後に出したお知らせには、こんな一文が入っていました。

「当該サイトにアクセスした方の情報は、攻撃者に取得されていることを確認しています」

取られるおそれがある、ではなく、取られていることを確認している、という書き方。

どんな情報が取られたのかまでは、書かれていません。

しかも、のぞいた先に並んでいるのは、GMO自身が事実と違う内容が混ざっているおそれがあると言っている情報です。

本当かどうかも分からないものを見るために、自分の情報を差し出す形になってしまうんですよね。

 

テレビ朝日も、専門家が攻撃者のものとみられるサイトを閲覧しないよう注意を呼びかけたと伝えました。

GMOは、そのサイトを見たことで起きた被害には責任を負えないとしたうえで、すでに開いてしまった人には、ウイルス対策ソフトでのフルスキャンを頼んでいます。

この投稿は報道の側に向けたものですが、「誰も見ないなら掲載されてないのと同じ」という一言は、見る側にもそのまま当てはまるのではないでしょうか。

見に行かずにいることは、自分の端末を守ることでもあり、名前を出された人を、それ以上知らない人の目にさらさないことでもあるんです。

悪質な拡散には法的措置の準備

GMOがこの日に出したお知らせは、もう1本あります。

同じ日の午後の第11報で、見かけた情報の転載や、SNSでの再投稿、情報へ誘導するリンクの共有まで、行為をひとつずつ挙げて控えるよう求めました。

そうした行為は、利用者のプライバシーを侵害して、不正利用や詐欺といった二次被害を広げるおそれがある、というのが理由です。

さらに、悪質性の高い拡散者に対しては、証拠を保全したうえで、開示請求や刑事告訴・刑事告発などの法的措置を準備している、と書いています。

開示請求というのは、ネットに書き込んだ人が誰なのかを、プロバイダや裁判所の手続きを通じて明らかにさせる仕組みのこと。

 

GMOはあわせて、関係する人への誹謗中傷や脅迫、嫌がらせにつながる行為もやめてほしいと書き添えています。

法的にどうなるかは個々の事情しだいですが、書かれた本人の側から見れば、転載されるたびに、自分の暮らしが知らない人のもとへ届いてしまうんですよね。

そして、お願いの宛先には、報道関係者も入っていました。

利用者に二次被害をもたらしうる過度な報道は控えてほしい、という頼みです。

攻撃者のサイトそのものは、GMOにも利用者にも止められません。

それでも、そこから先へ広がるかどうかは、外にいる人の手にかかっているということ。

名前が出たかを確かめる先はGMO

では、デスクトップクラウドを使っていた人が、自分の情報が出ていないか知りたいときは、どうすればいいのでしょうか。

答えはひとつで、確かめる先はGMOだけ。

確かめるつもりでページを開くと、それ自体が新しい被害の入口になってしまうんですよね。

GMOは、公開された情報に利用者の情報が含まれていると確認した場合は、その人に個別に連絡するとしています。

自分の情報が含まれていると確認された人には、10月24日に利用者へ支払うと決めた一律5000円の見舞金とは別の対応を、緊急会議で検討し始めたとのこと。

ランサムウェアの被害に遭った人には、被害を受けたパソコンと同じくらいの性能の新しいパソコンを用意する、という案内も出ています。

 

この連絡を待つあいだに気をつけたいのが、騒ぎに便乗した偽の連絡です。

GMOは、パスワードや認証コードをこちらに尋ねることはない、と書いています。

「被害金を取り戻す」などと費用を求める連絡にも、応じないでほしいと念を押していました。

メールやSMSに書かれたリンクやファイルは開かず、GMOの公式サイトのお知らせで確かめるのが、いちばん確実な道です。

デスクトップクラウドにつないでいたパソコンやスマホは、ウイルス対策ソフトですみずみまでスキャンし、大事なデータはネットにつながっていない外付けの機器へバックアップしておくこと。

パスワードの変更やログアウトは、別の安全な端末から各サービスの公式サイトに入って行い、多要素認証（パスワードのほかにもう1つ確認を足す仕組み）も設定しておくよう、GMOは案内しています。

名前を出された人の身を案じて「警察が保護しないとまずいのでは？」と心配する声もありましたが、GMOは警察などの関係機関に相談し、連携して対応しているそうです。

問い合わせ窓口は、お名前.comのお問い合わせフォームと、電話（03-5456-2560）で、土日祝日も含めて24時間受け付けています。

名前を出された1人の方も、まだ連絡を待っている利用者の方も、自分では何も選べないまま、次の正午を迎えなければなりません。

ページを開かず、回ってきたものを広げないことが、外にいる人にできるいちばん近い手助けなのかもしれませんね。