GMOインターネットグループが攻撃された「衝撃」は思った以上だった！
筆者：
本日は当エッセイをご覧いただきありがとうございます。
GMOインターネットグループは10月21日にFXの自動売買などで広く使われていた「お名前.com デスクトップクラウド」が不正アクセスを受け、約2万6,739台のサーバーに影響が出た可能性があるとしています。
一部利用者の端末や口座における金銭被害も報告もあり、GMOが10月27日には「PCの電源を切って」と警告するほど大混乱が一時巻き起こりました。
今回はこの一件に関係することの衝撃度合いについて個人的に語っていこうと思います。
質問者：
そんなに衝撃的な話なんですか？
筆者：
そもそもGMOインターネットグループというのは２２年にサイバーセキュリティ会社「イエラエセキュリティ」を買収し、自社専門の２００人以上のいわゆる「ホワイトハッカー」というのが存在していたんです。
https://www.yomiuri.co.jp/economy/20261028-GYT1T00030/
そのために日本屈指のサイバー防御能力があるのではないか？ と言われていたんです。しかし、それにもかかわらずやられてしまったんです。
更に今回の一件と共にGMOリサーチ＆AIにおいても９５万人分の会員情報も１０月上旬には漏れたんです。
https://gmo-research.ai/pressroom/notice/notice-20261005
質問者：
なるほど、日本トップクラスのサイバー防御力かと思いきや全然そうでもなかったという事ですか……。
筆者：
更に震撼させたのが、FXのツールを勝手に利用されて見覚えのない取引をされて損害を出させたことです。
https://www.asahi.com/articles/ASVBW0BFYVBWULFA003M.html
つまり、株式投資家たちにとっても「投資して大丈夫なのか？」と不安が巻き起こったのです。
GMOインターネットグループは今回のことを受けて損害が出ていない人に対しても１人当たり５０００円の見舞金、損害が出た方に対しては３００万円まで補填すると声明を出しているようです。
https://www.fnn.jp/articles/-/1141589
質問者：
確かに、せっかく積み立てたのに損害が出たのでは洒落にならないですよね……。
でも、大抵は証券口座と銀行口座が紐づけてあると思うんですけど、銀行口座をジャックしたわけでは無いみたいですから、低く売られて当事者が損を出しただけですよね？
そんなことをして犯罪者側にメリットってあったんでしょうか？
筆者：
確かに、売却額自体は手に入りませんが、大量に複数のアカウントが売ると、その分価格が下がりますよね？ その瞬間に乗じて購入すれば本来の評価値より安く犯罪者側が買えるわけです。
そして本来の評価額まで高まった瞬間に売れば利益が出るわけですから、直接銀行口座を手にしなくても利益を犯罪者側は不正に得ることは出来るんです。
質問者：
なんと、そんなことがあるんですね……。
筆者：
また今回の犯人は「劇場型」と「身代金」を目的にしたものであるとも言われています。１億５千万と微妙な金額ではありますが、存在感を出すことが目的なら達したと言えるでしょう。
その上で今回驚きを持って受け止められているのは「素人」であるということが指摘されています。
これまでは北朝鮮などの「ならず者国家」や犯罪者集団が「戦争」のように仕掛けてきたことが多かったわけなのですが、
今回の一件は全く様相が違うようです、今回の犯人はこの記事の中にあるように
https://www.ktv.jp/news/feature/261028-gmo/
当初提示した身代金を減額したり、脅迫の仕方が丁寧であることに「違和感」を覚えている方もいるようです。
つまり、これまでの犯罪者集団と違ってＡＩなどを活用すれば、やる気と悪意があると誰でもサイバー攻撃ができてしまうという事を意味します。
質問者：
比較的気軽に誰でもやろうと思えばできてしまう――そんな世の中になってしまったんですね。
※いわゆるコモディティ化といわれていることです。
GMOインターネットグループさんは「身代金」と言うのは支払わなくて大丈夫だったんでしょうか？
筆者：
基本的には身代金は支払わない方が良いと思います。公開された１件のプライバシー情報と言うのもデタラメだったと言われていますし、本当に確かな情報を抜き取ったのかは謎です。
支払ってもツケあがってエスカレーションするだけだと思います。
実際に情報を抜き取られていたとしても、支払って全てを削除してくれるとは限りませんしね。
これまでのサイバー攻撃の中では支払ってしまった企業もあるかもしれませんが、
「ブラックリスト入り」しただけであり、また攻撃を受けてまた身代金を請求されるループに入るだけだと思いますね。
◇「能動的サイバー防御」には「該当せず」
質問者：
とにかく、ＡＩで犯罪の障壁も下がっているという事ですか……。
今回の一件は１０月２７日の正午ごろの攻撃は起きなかったようですが、「能動的サイバー防御」というのが行われたんでしょうか？
筆者：
攻撃がどうして行われなかったのか？ と言いますと、アメリカのプロバイダー側が不適切と見てサイトを停止させたみたいなんです。
https://newsdig.tbs.co.jp/articles/withbloomberg/3045683?display=1
これが中国など協力が期待が薄い国から経由したプロバイダー攻撃だと、やってくれる可能性は低いです。
そうなると、「能動的サイバー防御をするかどうか」という事は今後議論されていくべきことだと思います。
質問者：
今回発動してくれたわけじゃなかったんですね……。
ついこの間、能動的サイバー防御が可能になる法律（サイバー対処能力強化法 正式名称：重要電子計算機に対する不正な行為による被害の防止に関する法律）が出来たんですけど、これについては発動する要件は満たされていたんですか？
筆者：
僕もそれについて注目していたんですけど、GMOインターネットグループというのはサイバー防御を必要としている１５分野のうちの「金融」だと思うんですけど、特定社会基盤事業者として指定されている２５８社に該当していなかったみたいなんです。
※下URLの６３、６４枚目
https://www.cao.go.jp/keizai_anzen_hosho/suishinhou/infra/doc/infra_setsumeikai.pdf
そのために要請をしてもそのまま通らなかった可能性が高いと思います。
そもそも、海外のサーバーに攻撃して国際問題に発展しないのか？ と言った論点は残ると思うので、実際に実行されるかどうかは謎だと思います。
◇Claude Mythosはどの程度力を発揮するのか？
質問者：
今回の一件でClaude Mythosを導入することを検討する会社というのも増えるかもしれませんね。
筆者：
もっともアンソロピック社がアクセスを許可してくれるかは分かりませんし、そもそもClaude Mythosがどの程度効果があるかも分かりませんけどね。
日本では現状、トレンドマイクロ社と三菱UFJ、三井住友、みずほの３銀行ぐらいしか入っていないようなので、ここから導入する企業が増えるのか？ Claude Mythosを入れて本当に防御できるのか？ が注目ですね。
◇個人でできること
質問者：
しかし、サイバー攻撃のハードルが下がったことから大変な世の中になってしまった感じがしますね……。
筆者：
ここで詳しく書きましたけど、
https://ncode.syosetu.com/n0568my/
パスワードの使いまわしをやめてこまめに変更、物理キーの導入、信用情報機関への本人申告などの方法を取る必要があると思います。
あと、銀行もいつ攻撃されるか分からないので大手３銀行を中心に預金を分散した方が良いと思いますね。
ということで、今後もこのように社会に起きていることを個人的に解説していきますのでよろしければご覧ください。
