GMOインターネットグループは11月2日午後、「お名前.com デスクトップクラウド」への不正アクセス問題で、熊谷正寿グループ代表らが出席する記者会見を開いた。弁護士ドットコムニュースやケータイ Watchの報道によると、熊谷氏は「お客様をお守りすることができず、誠に申し訳ございませんでした」と謝罪している。なぜ発覚まで時間がかかったのか、利用者への補償はどうなるのか。会見の内容を、報じられた範囲で整理する。
会見で明らかになった経緯と被害の規模
弁護士ドットコムニュースによると、攻撃者が顧客名義の仮想専用サーバー(VPS)に入り込み、管理者権限を奪ったのは8月20日。GMO側が気づいたのは10月20日で、約2カ月(61日間)にわたり把握できていなかったと説明されたという。影響を受けた仮想マシンは2万6,739台にのぼる。翌21日には攻撃者から80億円の身代金を要求されたが、同社は支払いを拒否した。同じ日には顧客のFX口座が不正に操作され、意図的に損失が出る取引が行われたとされる。
なぜ防げなかったのか、2024年の指摘とは
会見で注目を集めたのは、事前の指摘があったという点だ。熊谷氏は2024年にグループ内のセキュリティ専門家から問題を指摘されていたことを認め、「サービスの運営に活かすことができなかった」と述べた。ケータイ Watchによれば、指摘したのはグループ会社のGMOサイバーセキュリティ by イエラエの専門家で、熊谷氏は「システムにセキュリティ上の問題があったことは事実」とも話した。ただ、指摘がなぜ対策に結びつかなかったのか、その社内事情の詳細は、確認できた報道では明らかになっていない。
補償と見舞金はどうなる?
補償について、FX取引で生じた損失は全額を補償する方針が示された。情報の流出が確認された顧客には、内容に応じて最大300万円の見舞金を支払うという。一方、流出の対象となった人数や件数については、今回確認した記事には数字が出ていない。自分が対象かどうかは、GMOからの個別の連絡や公式サイトの告知を待つ必要がありそうだ。
株価の下落とSNS対応への謝罪
市場の反応は早かった。共同通信によると、10月26日の東京株式市場でGMOインターネットグループの株価は前週末比で15%超下落し、終値は590円安の3179円となった。熊谷氏は25日夜にブログで謝罪し、26日深夜にはランサムウエア攻撃の予告を受けたと発表。身代金の要求には応じない姿勢を示した。27日には攻撃者側とみられる声明がネット上に出て、顧客のものとする個人情報の一部が掲載されたとされるが、真偽は慎重な判断が必要と伝えられている。片山さつき金融担当相も同日、被害拡大の防止など適切な対応を金融機関に求めた。
会見では、被害者に関わる事柄に触れたSNS投稿や、事案のさなかに笑顔の写真を投稿したことにも言及があり、熊谷氏は「被害に遭われた方のお気持ちへの配慮が欠けていた」と陳謝した。
今後の注目点と利用者が気をつけること
今後の焦点は、流出規模の公表、再発防止策、そして補償や見舞金の具体的な手続きだ。利用者としては、不審なメールやSMSのリンクを開かない、FX口座の取引履歴を確認する、といった基本的な備えが欠かせない。続報が出るたびに内容が更新される可能性があるため、GMOの公式発表を確認してほしい。
利用者が確認しておきたいこと
自分の利用状況に心当たりがある人は、まず契約中のサービスの管理画面で、見覚えのない操作や設定変更がないかを確認したい。パスワードの使い回しをしている場合は変更しておくと安心だ。また、今回のような事案では、事件に便乗した不審なメールやSMSが届くことがある。公式を名乗る連絡でも、本文のリンクは開かず、公式サイトから確認する習慣をつけたい。
まとめ
侵入から発覚まで61日、影響を受けた仮想マシンは2万6,739台、身代金の要求は80億円。損失は全額補償、見舞金は最大300万円。会見で示された数字は大きいが、流出人数など未公表の部分も残る。確定した事実と、まだ調査中の事柄を分けて見ていきたい。
あわせて読みたい
IDCFクラウドのランサムウェア被害はなぜ起きた?495社に影響、原因と今後の対策
ドン・キホーテで顧客情報漏えいの恐れ、なぜ時計修理の委託先から?対象者と対策
コメント