GMOへのサイバー攻撃、攻撃者像に迫る情報提供者と専門家の分析
日テレNEWS
GMOインターネットグループへのサイバー攻撃をめぐり、同社は有力な情報に最大でおよそ1億5000万円の懸賞金をかけている。番組は、独自に調査して情報を提供した10代の開発者2人と、攻撃者の人物像を分析する専門家2人に話を聞いた。あわせて、被害を受けた利用者の不安や、過去にランサム攻撃を受けた病院の復旧の実態も取り上げている。
情報提供サイトに428件
GMOインターネットグループは、放送週の水曜日に情報提供サイトを開設した。番組によると、これまでに428件の情報が寄せられている。
その1人が、19歳のハンクさんだ。アプリ開発などを行う会社を経営しているという。分析に使ったのは、自身で開発したウェブサイトの脆弱性を診断するAIツールである。ハンクさんは、自分が強化してきたツールなので「腕試し」としてもちょうどいいと考えたと語っている。
「2人から4人規模」という推定と、その留保
ハンクさんが分析から導いたのは、攻撃者が複数人である可能性だ。同じ日に複数の作業環境、つまり複数のデバイスが並行して動いていた形跡があり、1日のうちに日本を含む少なくとも3か所から攻撃者側のサイトにアクセスしていたことを見つけたという。
ハンクさんは、自分が観測した範囲では3つだったことから、2人から4人程度の規模だと推定する。ただし、同一人物が複数の端末を操作していた可能性も完全には否定できないと、自ら留保をつけている。
ハンクさんがこの分析結果をXに投稿すると、GMOインターネットグループの熊谷会長兼社長から協力に感謝するという反応が直接届いた。ハンクさんは「1人でも助けられればいい」と思って取り組んだと話し、一刻も早く犯人が逮捕されることを願っている。
活動時間帯から見える生活圏
取材では、情報を提供したもう1人の人物にも接触できた。都内に住む18歳の大学生で、普段からアプリ開発をしているという。この学生がAIを使って調べたのは、攻撃者がサイトを操作していた時間帯だ。
学生によると、操作の時間帯はおおむね日本時間の午前11時から午前2時ごろまでに収まっている。攻撃者が標準的な生活リズムで暮らしているなら、アジア圏の生活サイクルと一致するという。つまり、日本との時差が小さい地域で生活している可能性があるという見立てである。
攻撃者のサイトには、ほかにも多くの手がかりが残っているという。ただし学生は、それが偽装された情報である可能性を指摘する。意図的に偽の情報をばらまいて身元を隠そうとしているかもしれないため、まだ断定的なことは言えないとしている。
専門家の見方:自己顕示欲と「素人」の手口
番組は攻撃者の人物像について、2人の専門家にも話を聞いた。示されたキーワードは「強い自己顕示欲」と「サイバー犯罪の素人」である。
1人目の専門家が注目したのは、攻撃者が使っていたサイトだ。今回、攻撃者は利用者のものとされる情報を自らのサイトで公開し、今後も継続的に個人情報を公開すると主張していた。番組によると、攻撃者は通常、匿名性が高く一般的な検索では見つからない闇サイトを使うことが多い。この専門家は、攻撃者がわざわざ自前で脅迫用のウェブサイトを用意した点に、自分たちの主張を直接届けたいという意図を感じると述べる。そこから、自己顕示欲が強めの犯人ではないかと推測している。
一方、杉浦氏は攻撃者をサイバー犯罪の素人だと見る。杉浦氏によれば、ランサム攻撃を行う者は通常、身代金の交渉を人目につく場所では行わない。今回のやり方は、さまざまな痕跡を残してしまう素人の手口だという。ただし、ITにある程度詳しくなければこうしたことはできないため、杉浦氏は攻撃者を、多少ITに詳しく、ちゃんと仕事をしている人物と描写している。
被害者の不安と補償の行方
GMOによると、攻撃者のサイトは現在、実質的に閉鎖されている。
それでも、被害者の不安は消えていない。不正取引でおよそ300万円の損失が出たという被害者は、いつか自分の個人情報が公開されるのではないかと「そわそわしていた」と話す。次は誰の情報が出るのか、という気持ちだったという。GMOは不正取引による損失を補償する方針を示している。しかしこの被害者によると、具体的なことはまだ何も決まっておらず、待つしかない状況だという。
病院が受けた攻撃と、復旧にかかった時間と費用
サイバー攻撃の影響は、企業にとってもユーザーにとっても長引く。復旧にどれほどの時間と費用がかかるのかを知るため、番組は大阪の災害拠点病院に指定されている総合医療センターを取材した。この病院は4年前に攻撃を受けている。
ある日、院内のパソコン画面に「全てのファイルは暗号化された」という題の脅迫文が突然表示され、金銭を要求してきた。病院の全システムが停止し、電子カルテも使えなくなった。病院側は、入院患者の前日までの情報がすべて見えなくなったことが最も困ったと振り返る。当時は、診療をどう続けるか、何ができて何ができないかを各部署から毎日集めて確認していたという。
病院は急きょ紙のカルテで対応し、その量は外来だけで段ボール50箱分を超えた。病院は身代金の要求に応じていない。システム自体はおよそ2か月半で復旧したが、紙のカルテをすべて電子化してスキャンする作業には1年半かかり、復旧には数億円の費用がかかったという。
「支払わない」と明言することの意味
GMOも身代金の支払いを拒否し、要求には永久に応じないと表明している。専門家はこの対応について、最初からはっきりと「支払わない」と言い切ったことを高く評価する。
専門家が挙げた理由は2つある。1つは、1回目の要求に応じても再び要求が来る可能性があること。もう1つは、「日本企業は結構払う」と見なされると、攻撃者が「資金のある日本企業を狙えばいい」と考えてしまうことだ。攻撃者の正体はまだ明らかになっておらず、情報提供者たちの分析も、偽装の可能性を含めて確定には至っていない。
GMOへのサイバー攻撃です。有力情報にかけられた懸賞金は最大およそ1億5000万円。こちらは独自に調査し、情報提供した19歳です。どのような情報を掴んだのか、事件を解明しようとする動きを追いました。
こんにちは。よろしくお願いします。
私たちが話を聞いたのは19歳のハンクさん。
自分でアプリとか開発したり、そうですね、ネットサーフィンするためのパソコンみたいな感じですね。
すごい派手な機械がありますね。
いやいや、とんでもないです。
アプリの開発などを行う会社を経営しているという。
今週水曜日に開設されたGMOインターネットグループの情報提供サイト。これまでに428件の情報が寄せられているという。ハンクさんも情報提供した1人だ。
どんな分析をしたのか、お見せいただいてもいいですか？
分かりました。
分析に使ったのは、自ら開発したサイトの脆弱性を診断するAIツール。
発見した。
ちゃんと自分が強化してきた脆弱性診断のツールなんで、その腕試し的にもいいんじゃないかなと思って。
分析を進めて見えてきたのは、複数犯の可能性だ。
同じ日に複数の作業環境、デバイスが並行に稼働しましたよっていう。
1日の間に、日本を含めて少なくとも3か所からサイトにアクセスした形跡を見つけたという。
僕が観測した範囲では3つだったので、2人から4名の規模が推定されますっていう感じですね。
ここまで分かるんですね。
そうですね。でも、やっぱり同一人物が複数の端末で操作していたっていう可能性も完全には排除できない感じになります。
ハンクさんは分析結果をXに投稿すると。
ハンクさん、ご協力、心から感謝しますっていう。
直接、熊谷さんから。
GMOインターネットグループ会長兼社長の熊谷氏から反応が。
少しでも助けになればいいなと思った感じですね。一刻も早く加害者が逮捕されればいいなとは思ってます。
取材を進めると、もう1人、情報を提供した人物に接触することができた。都内に住む18歳の大学生。普段からアプリの開発をしているという。
AIを使って調べたのは、攻撃者が活動している時間帯。
大体、日本時間の午前11時から朝の2時くらいまでに収まっていて、もし標準的な生活リズムであれば、アジア圏の生活サイクルに一致するな。
日本との時差が小さい地域で生活している可能性があるという。攻撃者のサイトには、他にも多くの手がかりが残っているというが。
それが偽装の情報ではないか。意図的に偽の情報をばらまいて身分を隠そうとしている可能性もあるので、まだ断定的なことは言えないです。
攻撃者は何者なのか。その人物像に迫った人たちっていうのは。
攻撃者の人物像とは。2人の専門家に聞いた。指摘したのは強い自己顕示欲、そしてサイバー犯罪の素人。どういうことなのか。
マ氏が注目したのは、攻撃者が使っていたサイトだ。今回、攻撃者側は利用者のものとされる情報を自らのサイトで公開。継続的に個人情報を公開すると主張していた。
通常、攻撃者は匿名性が高く、一般的な検索では出てこない闇サイトを使うことが多いというが。
攻撃者自身が脅迫状のウェブサイトを用意していると。自分たちの主張をダイレクトに届けたいという意図があるのかなというところは感じられるなと。自己顕示欲という部分が強めの犯人なのかな。
一方、杉浦氏は攻撃者について、サイバー犯罪の素人だと指摘する。
普通、こういうサイバー犯罪を使ってランサムする人たちっていうのは、身代金を直接見えるところで交渉しません。完全にいろんなものを残してしまう素人のやり方。ただ、ITには多少詳しくないとこういうこともできませんので、多少詳しくて、ちゃんと仕事をする人。
GMOによると、現在サイトは実質閉鎖。しかし、不正取引され、およそ300万円の損失が出たという被害者は、いつか自分の個人情報が公開されるのではと不安を感じていた。
そわそわはしてましたね。もう次は誰が来るんだろうなって。
GMOは不正取引による損失を補償する方針を示しているが。
実際、まだ具体的なあれ、まだ何も決まってないんで、待つしかないですね。
企業にとってもユーザーにとっても影響が長引くサイバー攻撃。復旧にはどれほどの時間と費用がかかるのか。
私たちが取材したのは、大阪の災害拠点病院に指定されている総合医療センター。4年前、攻撃を受けたという。
これが実際の画面になります。
病院内のパソコン画面に突然表示されたという脅迫。『全てのファイルは暗号化された』というタイトルで、金銭を要求する内容が。病院では全てのシステムが停止。電子カルテも使えなくなった。
入院している患者さんの昨日までの情報が全部見えないっていうことですね。
なるほど。それが一番困りますね。
まず診療をどう継続するか、何をして何をできないかっていうことを、各部署からっていうのを毎日やってました。
急遽、紙のカルテで対応。その数は外来だけでも段ボール50箱分を超えた。身代金の要求には応じなかったこの病院。システム自体はおよそ2か月半で復旧したというが。
全部、電子化してスキャンするだけで1年半かかった。
そうですね。だいぶ。
復旧には数億円かかったという。今回被害に遭ったGMOも身代金の支払いを拒否。要求には永久に応じないと表明している。
この対応について専門家は。
最初からはっきりと身代金を支払わないってきっぱり言われたことって、すごく高いことだと思うんですよ。結局、もし1回目の支払いを払ったとしても、また再び要求が来る可能性もあるし、日本企業って結構払うんだみたいになると、日本企業でお金あるところ狙えばいいじゃんって攻撃者も思っちゃうので。
記事公開 · 更新