← RECON トップへ戻る ・ 記事一覧

GMOグループ連続侵害（2）——FX自動売買VPSという攻撃面

・ 最終更新:

2026年10月27日 15時更新：公式の第10報（13:55時点）・第11報（14:55時点）を反映した。「攻撃者の主張」表の12時予告の行と、「まだ分からないこと」を更新している。

お名前.com デスクトップクラウドの事案は、他の2件と性質が違う。ConoHa WINGやinfoQでは、被害の中心がサーバー上のデータや会員情報だった。こちらは侵害が利用者の取引口座の不正操作に結びついた。この回では、なぜそうなりうる構造なのかを、公式が認めた範囲から組み立てる。

サービスの構造

公式の発表は、サービスを「Windowsデスクトップ環境」と呼んでいる（第4報の代替サービスの案内）。報道の解説によると、FXの自動売買プログラム（EA）を動かすための仮想サーバーで、MT4があらかじめ入っており、利用者はリモートデスクトップで接続する。取引ツールは口座にログインしたまま動き続けるので、サーバー上には次の2つが同居しうる。

この構造の説明は報道解説による。サービスの正式な仕様は、お名前.com公式のサービス説明で照合する必要がある。

公式の依頼が守ろうとしている資産

構造を推測するより、公式が利用者に求めた操作を見るほうが確実だ。第5報と第8報の要請を、守る対象別に整理する。

公式の要請 守る対象
取引口座・取引ツールのパスワードを、FX取引に使っていない端末から変更する 窃取された認証情報の無効化。変更操作そのものを侵害されうる環境で行わない
ログイン中の全セッションを切断する パスワードを変えても残りうる、認証済みの接続
サーバー内やブラウザに保存したID・パスワード、同じパスワードを使う他サービスを変更する 認証情報の使い回しによる二次被害
取引履歴と残高を確認し、身に覚えのない取引は取引先へ連絡する すでに実行された不正取引の検知
端末のフルスキャン、バックアップ。第8報では、バックアップ後にネットワークを切断して電源を落とす 接続元PC。VPSだけでなく利用者側の端末が調査対象になっている
接続に使ったPCの提供（任意、第6報） 同上。GMOが端末を回収して解析中（第7報）。第10報では、全国の顧客から申し出があり、従業員が出向いて端末を預かっていると説明
公開された情報と称するものに、アクセスも拡散もしない（第10・11報）。すでにアクセスした場合はフルスキャン（第11報） 閲覧者自身の端末と情報。GMOは、当該サイトにアクセスした人の情報は攻撃者に取得されていると述べている

「パスワードの変更」と「セッションの切断」が別の項目として並んでいる点に注意したい。認証情報の失効だけでは、すでに確立された接続は止まらない可能性があるからだ。これは報道解説の見立てでもある。

パスワード変更の操作場所は、第2報で「サーバー以外の端末」、のちに「FX取引に使用していない端末」と表現が変わったと報道解説が指摘している（第2報は公式で確認、後者の初出は第5報で確認）。要請は第5報で利用者PCのフルスキャン、第6・7報で調査協力と端末回収へ進んだ。GMOは、利用者の端末への影響を「調査中」としている。影響があったとも、なかったとも言っていない。

公式が認めたことと、攻撃者の主張を分ける

第4報で、GMOは攻撃者の脅迫を3点公表した。国内外70社超の証券・FX会社等で、不正注文によって口座残高を減らす操作を続けること。サービスと顧客のPCに関する情報の公開、およびランサム攻撃。GMOのシステムや運用体制に関する情報の公開、だ。GMOは要求に応じない方針を示している。

この内容自体は、GMOが公表した「攻撃者とみられる者からの脅迫」だ。攻撃者の能力や実行の事実を保証するものではない。

別に、報道とSNS経由で、攻撃者側が侵入の手口を述べたとされる主張も伝わっている。ここでは検証の観点から、主張の種類ごとに「確認できること」と「確認できないこと」を分ける。

主張の種類 確認できること 確認できないこと
全VPSを侵害した 全プランを停止した（封じ込め）。影響の可能性は26,739件 侵害を確認した件数
RDPのドライブリダイレクトが既定で有効で、利用者のPCに到達できた Microsoftの公式ドキュメントでは、RDPプロパティdrivestoredirectの既定値は「Empty（ドライブをリダイレクトしない）」 GMOが利用者に配布した接続設定の実物。利用者PCが実際に侵害されたか（第9報：解析済み端末からマルウェアは確認されていない）
VPS間を横移動できる構成や、共通の管理者アカウントがあった なし 公式は侵入経路を公表していない。検証手段がない
10月27日12時に情報公開とランサム攻撃を行う 予告があったことは公式が認めている（第7〜9報）。情報の公開は12:30に確認した（第10報）。ランサムウェア攻撃は13:55時点で確認していない（第10報） 公開された内容の真偽と範囲（公式は確認中で、事実と異なる内容が含まれるおそれがあるとしている）。ランサム攻撃が今後起きるか

ドライブリダイレクトの行は、読み方に注意が要る。既定値が「しない」である以上、リダイレクトが有効だったとすれば、既定から外れた設定が接続ファイルまたはサーバー側の設定に入っていたことになる。そうだったかどうかを、公表情報から確認する方法はない。

一般論としての設計論点

以下は、本件の原因として確認された事項ではない。リモートデスクトップ型のマルチテナントVPSを運営するときに、一般に点検すべき設計上の論点だ。公表情報からは、どれが本件に当たるか判断できない。

「現行基盤を再開しない」判断の読み方

第4報で、GMOは「不正アクセスを受けた現行のシステム基盤をそのまま再開することはせず、抜本的なセキュリティアーキテクチャの刷新を行う」と述べた。Windowsデスクトップ環境が必要な契約者には、独立したクラウド基盤上の代替サービスを、乗り換え後6か月無償で案内している。

パッチや設定変更では済まないと判断した、と読むのが自然だ。ただしこれは筆者の解釈で、GMOが理由を説明したわけではない。「セキュリティ上の問題」の中身は、第11報の時点でも公表されていない。

まだ分からないこと

次回は、被害の後始末（補償、責任の線引き）と、利用者・事業者それぞれが取るべき設計上の対応を扱う。

出典