要点
お名前.com デスクトップクラウドは、FX などの取引ツールを止めずに動かすために使われ、ツールには取引口座のログイン情報が保存される。GMO インターネットは、サービスの環境への不正アクセスと顧客の情報の持ち出しを確認し、10 月 21 日以降、顧客から身に覚えのない取引の報告を受けている。攻撃者とみられる者は、不正な注文で口座の残高を減らし続けると脅している。ログイン情報が正しいだけで注文が通るなら、それを保存した環境に入られたとき、本人の注文と区別できない。
実行の前の照合＝注文や出金を実行する前に、本人が決めた範囲の内か、本人が承認したかを照合し、記録に残すこと。検知＝侵入が起きた後に気づくこと。
区別できたかは分からない
通った操作
- 通った操作
- 一部の顧客の取引口座での、身に覚えのない取引（10 月 21 日以降の顧客からの報告）。件数・金額・時期は公表されていない。同社の補償の対象は、取引の差損と手数料等である（第 4 報）。
- 受け付けた側に届くもの
- 一般に、取引ツールは保存された口座のログイン情報で証券・FX 会社に接続し、その注文は正しいログイン情報による操作として届く。同社は、保存されたログイン情報が取得され、不正に利用された可能性があるとしている（第 2 報）。
- 公表されていないこと
- 侵入経路、身に覚えのない取引がどの経路で行われたか、証券・FX 会社の側の認証の仕組み。
実行前の照合
経路を問わず区別できる条件は、注文を受け付ける側が、ログイン情報とは別に、本人が決めた範囲や本人の承認を、実行の前に照合することである。
ログイン情報が正しいことは、本人が操作したことの証明にならない。
- 誰が範囲と承認を出すか
- 口座の本人。取引ツールの環境の外にある端末（手元のスマートフォンなど）の鍵で、ツールに任せる範囲（銘柄・量・1 日の上限・期限、出金はしない）を決め、範囲を超える注文や、出金・出金先の変更は、その都度承認する。取引ツールが自動で売買する場合は、注文ごとの承認は求めず、範囲の内の注文は通る。
- どこで照合するか
- 証券・FX 会社の、注文や出金を実行するサーバー。範囲や承認と一致しない操作は、実行せずに保留する。
- 何が残るか
- どの取引が、どの範囲とどの承認で実行されたかの記録。侵入された環境の外に残り、不正取引の認定や補償の突き合わせに使える。
全サーバーの停止と、証券・FX 会社への遮断の要請は、気づいた後の手当てである。気づく前の注文を、受け付ける側で区別できたかは、公表からは分からない。正しい認証情報が悪用されうる点は、Klue（失効していないテスト用の認証情報を起点に、Salesforce の情報が抜き出された）の件とも共通する論点である。
Lemma でできること
Lemma は、実行前の照合を、注文や出金を実行する側に組み込む仕組みである。侵入を見つけるのではなく、届いた操作が本人の決めた範囲の内か、本人が承認したものかを確かめる。
注意したい業界・業務
- 業界金融
- 取引ツールや API から注文を受ける証券・FX・暗号資産の事業者。ツールが正しいログイン情報で現れれば、本人の操作と同じに見える。
- 業界IT サービス（提供者の側）
- FX 向けの VPS やデスクトップクラウドなど、顧客の取引ツールを預かって動かす事業者。多くの顧客の取引口座のログイン情報が、自社の環境に集まる。
- 利用者取引ツールを外部の環境で動かす企業・個人
- 借りたサーバーやクラウドの環境の中に、口座のログイン情報が保存されている。
- 業務アカウント・権限の管理
- 取引口座のログイン情報、セッション、出金先や二段階認証の設定の管理。
いまの対策と Lemma の違い
公表されているのは取引口座での身に覚えのない取引で、出金や出金先の変更は公表に出ていない。今回の経路がどの列に当たるかも公表されていないため、表は 3 列とも一般的な比較として並べる。
| 対策 | 出金・出金先の変更 | 範囲を超える注文 | 範囲の内の注文 |
|---|---|---|---|
| 強いパスワード・定期的な変更 | 効かない | 効かない | 効かない |
| 二段階認証 | 一部 | 効かない | 効かない |
| 証券・FX 会社による遮断と監視 | 一部 | 一部 | 一部 |
| 損失の補償 | 関係しない | 関係しない | 関係しない |
| Lemma（実行の前の照合） | 効く | 効く | 効かない |
ログイン情報を盗まれたときを比べた。パスワードは盗まれた時点で通り、二段階認証はログインの時だけを、遮断と監視はいつもと違う動きを見る。Lemma は、ログインではなく操作そのものを照合する。
注：Lemma の照合が働くのは、証券・FX 会社が注文や出金の実行の前に照合を組み込み、本人の鍵が取引ツールの環境の外にある場合に限る。自動売買の範囲の内の注文は通り、承認する端末ごと乗っ取られた場合も通る。表は何を照合しているかの比較で、今回の事案で止まったかどうかを示すものではない。Lemma は、侵入や情報の持ち出しを検出・防止するものではない。
取引ツールを預かる事業者と、取引口座を受け付ける証券・FX 会社で確認する 3 項目
- 出金先や認証の設定が変わったとき、取引ツールの環境とは別の連絡先にも知らせが届くか。
- 取引ツールを置いた外部の環境が侵害されたとき、その環境からのログインとセッションをすぐに止められるか。
- 不正取引の申告があったとき、取引ごとの接続元と承認の記録を、補償の確認に出せるか。
事実と時系列
- サービス
- お名前.com デスクトップクラウド（GMO インターネット）。事業者の設備にある Windows のデスクトップを借りるサービス。
- 確認されたこと
- 同社が確認したのは、サービスのシステムのセキュリティ上の問題と、サービスの環境への不正アクセス、顧客の情報の持ち出しである（第 4 報）。不正プログラムは、一部の顧客のサーバー環境に置かれていた。顧客から預かった端末の解析では、現時点でマルウェア感染やランサムウェア攻撃の痕跡は確認されていない（第 14 報）。
- 利用された可能性のある情報
- 取引ツールに保存された、取引口座のログイン情報を含む、サーバー内の情報。クレジットカードなどの決済情報は、このサーバーに置いていないとしている。
- 影響の可能性があるサーバー
- 26,739 件（全プラン・第 2 報）。
- 脅迫
- 10 月 21 日のメールで約 80 億円を要求された。国内外の 70 を超える証券会社・FX 会社等の顧客の口座への不正操作（不正な注文による残高の毀損）の継続が、脅迫の中身に含まれる。数は攻撃者とみられる者の主張である。
時系列
- 顧客の問い合わせを受け、調査を始める。
- 一部の顧客のサーバー環境に不正プログラムを確認。新規申し込みとコントロールパネルを止める。
- 4 時から全プランのサーバーを止め、第 1 報。同日、脅迫メールを受け取る。この日以降、顧客から身に覚えのない取引の報告を受け付ける。
- 警察に相談。影響の可能性があるサーバーを 26,739 件と公表。
- 第 4 報で、システムのセキュリティ上の問題と情報の持ち出しを確認していると公表。お見舞金と、不正取引による損失の補償を決める。
- 攻撃者とみられる者が、同社と顧客の情報と称するものを公開したことを確認。懸賞金（上限 100 万米ドル）を設けると第 12 報（19 時 10 分時点）で公表（受付は 28 日 12 時から）。
- 12 時に懸賞金の専用サイトを開設（第 14 報・第 15 報）。同日の適時開示でも、懸賞金の創設を公表。
- 第 16 報。懸賞金への情報提供の件数を、平日 18 時に追記して公表し始める（30 日 18 時時点で累計 428 件）。
- お見舞金と代替サービスの案内を、契約者に送り始める。
事実は GMO インターネットと GMO インターネットグループの公式発表（第 16 報と 10 月 30 日の顧客への案内まで）に拠る。公表されていないことは、対策が無かったことを意味しない。11 月 2 日時点で、侵入経路を示す続報は出ていない。
公表後の対応
- 証券・FX 会社への要請: 主要な取引所・証券会社に、このサービス経由のアクセスの遮断、全セッションの切断、不正取引の監視を要請した。
- 補償: 現在サービスを利用しているすべての顧客に、金銭的被害の有無にかかわらず一律 5,000 円。公開された情報に自分の情報が含まれると同社が確認した顧客には、区分ごとに 1 万〜2.5 万円を追加する（1 公開につき上限 300 万円）。不正取引と同社が認めた実現損失は補償する。代替サービスは 6 か月無償。現行のシステムはそのままでは再開しない。
Sources
- 一次・企業公式GMO インターネット「【重要】お名前.com デスクトップクラウドサービスに対するサイバー攻撃について（第4報）」
- 一次・企業公式GMO インターネット「お名前.com デスクトップクラウド」への不正アクセスに関する現在の対応について
- 一次・企業公式GMO インターネット 同
- 一次・企業公式GMO インターネット「お名前.com デスクトップクラウド」への不正アクセスに関するお客様へのご案内
- 一次・企業公式GMO インターネットグループ「【重要】「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第2報）」
- 一次・適時開示GMO インターネットグループ「連結子会社の提供サービスへの不正アクセスに関するお知らせ」
- 一次・適時開示GMO インターネット お見舞金の支払いと不正取引による損失の補償に関するお知らせ
- 一次・適時開示GMO インターネット「当社が提供するサービスにおける不正アクセスへの対応方針に関するお知らせ」
報道・解析 1 件
- 報道MLex “Japan’s GMO Internet offers compensation after cyberattack”