GMOへのサイバー攻撃で何が変わったのか：元警察庁サイバー捜査課長が読み解く「逆流」の弱点と脅迫メールの犯人像
日テレNEWS
GMOインターネットグループがサイバー攻撃を受け、顧客の個人情報とされるものがウェブ上に公開された。同社は翌日に記者会見を開くと発表している。番組では元警察庁サイバー捜査課長の棚瀬誠氏に、二つのテーマについて聞いた。一つは、個人情報がネット上に公開される事態が今後も続くのか。もう一つは、脅迫メールから誰が攻撃したのかを読み取れるのか、である。棚瀬氏は今回の手口を「新しいフェーズに入った」ものとみる。一方で犯人像については、予断を持たずに捜査すべきだと述べた。
漏洩の発表から公開までの経緯
番組はまず時系列を整理した。先月21日、GMOは提供するサービスがサイバー攻撃を受け、利用者の個人情報が漏洩した恐れがあると発表した。この時点では、問題は情報の漏洩にとどまっていた。
3日後の24日、GMOは攻撃者側から「身代金を支払わない場合は顧客情報を公開する」と予告されていることを明らかにした。GMOが支払いを拒否すると、27日の昼、誰でも閲覧できるウェブ上に、1人の顧客の個人情報とされるものが公開された。
公開された情報には、GMOへの登録で求められる名前やメールアドレスが含まれていた。それだけでなく、GMOには登録していないはずの、この人物のものである可能性が高い個人情報も含まれていた。GMOから漏れるはずのない情報まで出てきたのはなぜか。番組はこの点を棚瀬氏に尋ねた。
会社のサーバーから個人のパソコンへの「逆流」
棚瀬氏はこれを新しい犯行スタイルだと説明した。コロナ禍以降、自宅のパソコンから会社のサーバーシステムにアクセスしてリモートワークをする人は多い。利用者の感覚では、自分のパソコンから会社のパソコンのデータを操作しているだけで、やり取りは一方通行に見える。
棚瀬氏によれば、今回は会社側、つまりGMOのサーバーから個人のパソコンへ逆方向に入り込み、個人のパソコン内のデータを操作できてしまう弱点があったと考えられる。攻撃者が個人のパソコンからデータを盗んだため、GMOが保有する個人情報に加えて、個人のパソコン内の情報まで流出した。棚瀬氏はそのように推測している。
こうしたパターンは過去にあったのか。棚瀬氏は、自身の知る限り初めてだと答えた。GMOインターネットグループに侵入した攻撃者がこの弱点をさらに見つけ出し、攻撃を深めた。この意味で、サイバー犯罪は新しいフェーズに入ったと考えてよいと棚瀬氏は述べている。
被害者が語る金銭被害と公開への恐怖
番組は同じサービスの利用者にも取材した。この利用者は、通貨を売買するFX取引の口座情報を盗まれ、勝手に取引される被害にあったという。この口座での損失は、わずか9秒間でおよそ397万円だった。普段は取引しないメキシコペソなどの通貨が売買されていた。別の口座も被害にあい、被害総額はおよそ650万円にのぼったという。
GMOは不正取引による損失を補償するとしている。それでも利用者は、個人情報が公開される恐れが残っていることに不安を語った。自分だけならまだしも、公の場に漏れるのは非常に怖いという。さらに、自分だけでなく家族や知人・友人など周囲の人まで調べ上げられることも非常に怖いと話した。
今後も公開は続くのか
他の顧客の情報が今後公開される恐れについて、棚瀬氏は次のように答えた。1人目の情報が公開されたサイトは、現在は実質的にアクセスできない状態にある。ただし、攻撃者が新しいサイトを作ってリークを続ける可能性は排除できない。
一般の人にも同じことが起こり得るのかとの質問もあった。私たちも普段、ショッピングサイトや予約サイトにパソコンをつないでいる。棚瀬氏は、ネットショッピングのように自分のパソコンで買い物をするだけなら不安に思う必要はないと述べた。一方で、GMOと同じ仕組み、つまりリモートアクセスで向こう側のパソコンを使ってやり取りする仕掛けであれば、同じ被害が起こり得るとの見方を示した。ただし、今回の弱点はエンジニアの多くがすでに把握したはずなので、その点では安心してよいとも付け加えた。
脅迫メールの小さな記号が示すもの
二つ目のテーマは犯人像である。手がかりの一つは、攻撃者がGMOに送った脅迫メールだ。その英文の一部は、直訳すると「組織的な過失」という意味になる。セキュリティ会社セキュリアの清水社長が注目したのは、文章の中身ではなく、その単語の前後に付いていた小さな記号だった。清水氏によれば、これはAIを使ったときに出てくる記号だという。
この記号があることから、清水氏は犯人がAIで翻訳した可能性を指摘する。一方、脅迫メールの日本語の文章にはAIの痕跡が見られなかった。そのため清水氏は、英語のネイティブではなく、日本語を使い慣れた人物の可能性があるとみている。
ホワイトハッカーとして活動する日本ハッカー協会の杉浦氏は、別の点に注目する。今回、犯人は誰でも見られるサイトで身代金の要求などをしていた。こうしたサイトでは、誰がどこから利用しているかがすぐに分かってしまう。そのため犯罪のプロは通常使わず、犯人はサイバー犯罪の素人ではないかと杉浦氏はみている。
棚瀬氏の見方：素人説に同意しつつ、プロの偽装も排除しない
二人の見解について、棚瀬氏も素人である感触があると述べた。高性能なAIを悪用できる時代になり、素人でも攻撃できる環境になっているというのが理由だ。さらに、プロであれば犯行メールに組織名を書くことが多いのに、今回はそれがないという事情も挙げた。
一方で棚瀬氏は、別の可能性にも言及した。生成AIを悪用すれば素人でも犯行ができてしまう。だからこそ、プロが素人を装って新しい犯行スタイルを試している可能性も排除しない方がよいという。犯罪捜査は予断を持って進めるわけにいかない。犯人が素人でもプロでも、インターネット上でその足跡を追う必要は変わらない。棚瀬氏はそう述べ、予断を持たずに捜査を進めることが重要だと強調した。犯人像については、まだすべての可能性が残っている。
GMOインターネットグループがサイバー攻撃を受け、客の個人情報と称するものがWebに公開された問題について、明日記者会見を開くと発表しました。ここからは元警察庁捜査課長の棚瀬誠さんに詳しく伺います。お願いします。
よろしくお願いいたします。
今日伺いたいテーマは2つです。まず、この個人情報がインターネット上に公開されてしまうような事態は今後も続くのか。そして、そもそも一体誰がこんなことをしているのかを脅迫メールから分析します。
まず、この個人情報がWeb上に公開されてしまう事態ですけども、改めて今回、時系列で振り返りましょう。先月の21日、GMOは提供するサービスがサイバー攻撃を受け、利用者の個人情報が漏洩した恐れがあると発表しました。この時点では情報の漏洩でした。ところが3日後の24日、攻撃者側から身代金を支払わない場合は顧客情報の公開を行うと予告を受けていることを発表します。そしてGMOが身代金の支払いを拒否すると、27日の昼、一般公開されていたWeb上に1人の客の個人情報と称されるものが公開されてしまいました。
中にはGMOに登録が求められる名前やメールアドレスだけではなく、GMOに登録していないはずの、この人物のものだとする機密性の高い個人情報も含まれていました。棚瀬さん、この登録していないはず、つまりGMOから漏洩してはいないはずの情報まで公開されたというのは、どういう原理なんでしょうか？
新しい犯行のスタイルですけども、次のスライドでご説明をさせていただこうと思います。コロナ禍以降、自宅のパソコンから会社の、いわばサーバーシステムにアクセスをしてリモートワークをされると思います。
はい、やります。
個人のパソコンからGMOのサーバー、ここが会社だと思うとですね、リモートアクセスというのは会社にあるパソコンで会社の仕事をするということなわけなんですけれども、個人からすると自分のパソコンから会社のパソコンのデータをいじっているだけ。これ、一方通行に見えたわけなんですが、実は今回の弱点は会社のパソコン、すなわちGMOのサーバーから個人のパソコンの方にも逆流できてしまって、個人のパソコンの中のデータがいじられてしまうと、こういう弱点があったと考えられます。
そうすると今回、個人のパソコンの中のデータが攻撃者に盗まれたがゆえに、GMOが持っている個人情報だけではなくて、個人のパソコンの情報がリークされると、こういう事態に陥ったと考えられると思います。
これ、私たち、こっちからこっちをいじってると思ってましたけど、逆もあるということだったんですね。こういうパターンってこれまであったんでしょうか？
はい、私の知る限り初めてです。ここの弱点が突かれたというのも、たまたま今回はGMOインターネットグループに入った攻撃者がこういう弱点をさらに見つけて、攻撃をさらに深めたという意味では、新しいフェーズに入ったと考えてもいいと思います。
この登録した情報のみならず、個人のパソコンの中の情報までが公開されうるという状況を受けて、同じサービスの利用者がどのように感じているのか、話を伺いました。
日本テレビの記者です。すいません。よろしくお願いいたします。
お願いします。
こちらの利用者は、通貨を売買するFX取引の口座情報を盗まれ、勝手に取引をされる被害に遭ったと言います。
397万ですね。
この口座での損失は、たった9秒間でおよそ397万円。普段は取引をしないメキシコペソなどの通貨が売買されていたと言います。さらに別の口座も被害に遭い、被害総額はおよそ650万円に上ったということです。
そうです。GMOは不正取引で生じた損失は補償するとしていますが、まだ個人情報が公開される恐れが残っていることについて、利用者は。
ダークウェブだけやったらまだいいんですけど、パブリックなところに漏れるのは非常に怖いなと思いました。僕だけじゃなくて、僕の周りの家族であったり、知人、友人とか、自分のことや自分の周りを晒されるのは非常に怖いなと思うし。
この金銭的な被害だけではなく、今後GMOの他の顧客の方の情報が公開されてしまうような恐れというのは、棚瀬さん、あるんでしょうか？
はい。1人目の方の情報が公開されたサイトが実質的にアクセスできない状態なわけですけれども、攻撃者側が新しいサイトを作って、さらにリークを進めていくという可能性は排除できないと。
排除できない。GMOの場合はこのように企業のサーバーから個人のパソコンに侵入されたということだったんですけども、私たちも普段、いろんなショッピングサイトとか予約サイトとパソコンを繋げてるといえば繋げてると思うんですね。ということは、同じことが我々の個人でも起こりうるということですか？
はい。インターネットショッピングのようなものは、まさに自分のパソコンで買うだけですから、ここは不安に思っていただく必要はありませんが、GMOインターネットグループと同じような仕組み、すなわちリモートアクセスをして、ここにあるパソコンを使ってやり取りをする、同じような仕掛けだとすると、同じ被害が発生しうるという状況だと思います。ただですね、今回の弱点というのは、およそエンジニアは把握したはずですから。
心ということになります。
なるほど。
では続いて、この犯行、そもそも誰がやったのか。手がかりの1つというのがこちら。これはGMOに送られた脅迫メールの一部なんですが、専門家が注目したのは、この小さな記号なんです。この記号から犯人像が見えてくるというんですが、一体どういうことなんでしょうか。この後さらに詳しく解説していきます。
引き続き棚瀬さんに伺います。2つ目のテーマ、脅迫メールから犯人像が分析できるということなんですが、改めてこちら、攻撃者側がGMOに送った脅迫メールの一部です。これ、文章自体は直訳すると「組織的な過失」と書いてあるんですが、セキュリティ会社セキュリアの清水社長が注目したのは、その単語の前後にあるこの小さな記号だったんです。実はこれ、AIを使った時に出てくる記号だというんです。
この記号があることから、清水さんは犯人はAIで翻訳をした可能性があると指摘します。一方で、日本語の文章にはこのAIの痕跡がなかったということで、清水さんは英語がネイティブではない、日本語を使い慣れている人物の可能性があると見ています。
さらに、自身がホワイトハッカーとして活動する日本ハッカー協会の杉浦さんによりますと、今回、誰でも見られるサイトで身代金の要求などをしたことから、犯人はサイバー犯罪の素人なのではないかと見ています。一般公開のサイトを使うと、誰がどこから利用しているかがすぐに分かってしまうため、通常、犯罪のプロは使わないということなんですね。この2つの見解、棚瀬さんはどう見ていますか？
はい。お2人の指摘の通り、私も素人感があるなというふうに感じています。とりわけ高性能AIが悪用できる時代になってしまったので、素人でも攻撃できる環境なわけです。例えばプロであれば犯行メールに組織の名前を書いたりするわけですけれども、そういったこともないという事情も考えられます。
一方で、高性能AIを悪用した素人の犯行ができてしまうがゆえに、プロが素人を装って新しい犯行スタイルを試しているという可能性を排除しない方が、私はいいと思っています。とりわけ犯罪捜査は予断を持って捜査をするわけにいきませんので、いずれの犯人であれ、犯人の足跡をインターネット上で追いかけていく必要は変わりませんから、予断を持たずに捜査を進めていくということが重要だと思っています。
まだ全ての可能性がある。
記事公開 · 更新