お名前.com デスクトップクラウドに不正アクセス、最大2万6,739台のサーバーから情報が持ち出し、FX口座の不正取引も — クラウドに認証情報を置く中小企業が見直すこと
GMOインターネットが提供する仮想デスクトップ「お名前.com デスクトップクラウド」で、利用者のサーバーに第三者の不正なプログラムが設置され、サーバー内に保存されていた情報が外部に持ち出された。影響の可能性があるサーバーは26,739件で、全プランが10月21日から停止している。主な利用者はFXの自動売買ツールを24時間動かす個人や事業者で、一部の利用者からは取引口座で身に覚えのない取引があったと報告されている。10月24日の第4報では、攻撃者から金銭を要求されていること、全利用者に一律5,000円の見舞金を払い、不正取引による損失を補償することも公表された。クラウド上のWindowsに業務システムのIDとパスワードを保存して使う中小企業にとって、自社のサーバーに落ち度がなくても認証情報がまとめて抜かれうることを示した事案である。
背景
GMOインターネットグループの発表（第3報・第4報・第5報）によると、経緯は次のとおりである。
- 10月19日：利用者からの問い合わせを受けて調査を開始
- 10月20日：一部の利用者のサーバーに不正なプログラムが設置されているのを確認し、新規申し込みとコントロールパネルを停止
- 10月21日 4時：全プランのサーバーを順次停止。以降、利用者から取引口座での身に覚えのない操作の報告を受け付け
- 10月22日：警察に相談
- 10月24日（第4報）：サービスのシステムにセキュリティ上の問題があり、利用者の情報が外部に持ち出されたことを確認したと公表
影響の可能性がある情報は、利用者がサーバー内に保存していた情報すべてである。運営会社は、取引ツール（MT4・MT5など）に保存された取引口座のログイン情報を例に挙げている。クレジットカードなどの決済情報は、運営会社がこのサーバー上に持っていない。
第4報では、攻撃者とみられる者から金銭の要求を受け、応じなければ70を超える証券会社・FX会社の口座への不正操作を続ける、利用者のPCに関する情報を公開しランサムウェア攻撃を行う、と脅されていることも明らかにした。運営会社は要求に応じない方針で、証券会社やFX会社にこのサービスからの接続の遮断と、全セッションの強制切断を要請している。現行のシステムはそのまま再開せず、別のクラウド基盤の代替サービスへの乗り換えを6か月無償で案内する。見舞金と代替サービスの案内は10月30日までに、損失補償の申請方法は11月6日までにメールで届く予定である。
リスクの全体像
この事案の特徴は、侵入されたのが利用者の端末ではなく、事業者が管理するサービスの基盤だった点にある。利用者がどれだけ自分のパスワードを複雑にしていても、そのパスワードを保存したサーバーごと抜かれれば守れない。
中小企業でも、クラウド上のWindowsデスクトップやVPS（月額で借りる仮想サーバー）に、会計ソフト、受発注システム、ネットバンキング、取引先のポータルなどのIDとパスワードを保存して使うことは珍しくない。社外から同じ環境に入れて便利な一方、ブラウザに保存したパスワードや、ツールの設定ファイルに書いたログイン情報は、サーバーに侵入した者から見ればまとめて取り出せる場所にある。
もう1つの特徴は、パスワードを変えた後も被害が続きうる点である。運営会社は、証券会社やFX会社によっては、パスワード変更後も既存のログイン状態（セッション）がしばらく残り、第三者が取引を続けられる場合があると注意している。業務システムでも、ログイン状態を長く保つ設定のものは同じことが起こる。
さらに、攻撃者が情報公開をちらつかせて脅迫している以上、持ち出された情報が今後別の攻撃に使われる前提で動く必要がある。運営会社や補償の窓口を名乗るフィッシングメールも想定される。
チェックリスト
お名前.com デスクトップクラウドを使っている企業はもちろん、クラウドのデスクトップやVPSを業務に使う企業は、次の点を確かめる。
- クラウド上のサーバーのブラウザや業務ツールに、どのサービスのIDとパスワードを保存しているか、一覧にできるか
- 保存しているパスワードを、社内の他のシステムやメールでも使い回していないか
- 取引先のポータル、ネットバンキング、管理画面などで二段階認証を設定しているか
- パスワードを変えた後に、ログイン中の全セッションを切る方法を知っているか（サービスの画面にあるか、事業者に依頼が必要か）
- クラウドのサーバーが止まったとき、業務をどの端末で続けるか、データのバックアップはどこにあるか
打ち手
このサービスの利用者は、運営会社の案内どおり、取引口座と取引ツールのパスワードを、取引に使っていない端末から変える。変えた後は全セッションの切断を各社の画面か窓口で行い、取引履歴と残高を確かめる。身に覚えのない取引があれば、まず取引先の証券会社やFX会社に連絡し、運営会社の補償申請の案内（11月6日まで）を待つ。補償の手続きで運営会社がパスワードを尋ねることはないとされているので、パスワードを求める連絡は無視する。
このサービスを使っていない企業も、自社のクラウドのデスクトップやVPSに何の認証情報を置いているかを棚卸しする。業務で使うパスワードは、サーバーのブラウザに保存せず、パスワード管理ツールで管理し、重要なサービスには二段階認証を設定する。取引や送金に使うアカウントは、クラウドのサーバーからではなく、担当者の手元の端末からだけログインする運用に分けると、サーバーが侵入されたときの被害を小さくできる。
あわせて、クラウドのサーバーが長期間止まった場合の代わりの作業場所と、データのバックアップを確保しておく。今回は全プランが停止し、再開ではなく別サービスへの乗り換えになった。借りているサーバーがそのまま戻らない場合もあると考えておきたい。
あわせて読みたい
- IDCFクラウドにランサムウェア攻撃、495の企業・自治体が影響 — 仮想サーバーのデータは復元困難、クラウド利用企業が確認すべき自社バックアップ
- ソースネクストの会員情報2,251万件が流出、パスワードも対象 — 会員情報を返すAPIが4日間悪用、社員のパスワード使い回しから社内システムを守る3つの確認
- パスキーとFIDO2 完全ガイド ― パスワードを卒業する認証が、AI時代のフィッシングをどう無力化するか
- 【はじめてのセキュリティ 第2回】パスワードと認証 ― 一番身近で一番大事な守り
Omamori AI の結論
- 事実: お名前.com デスクトップクラウドの基盤に侵入され、最大26,739件のサーバー内の情報が持ち出された。取引口座の不正操作が報告され、攻撃者は運営会社を脅迫している。
- 判断軸: 自社のパスワードの強さではなく、どこに保存しているかが被害の大きさを決める。サーバーに置いた認証情報は、事業者側が破られればまとめて抜かれる。
- 打ち手: クラウドのサーバーに保存した認証情報を棚卸しし、パスワード変更と全セッションの切断、二段階認証の設定を行う。送金や取引のアカウントは、サーバーから切り離す。
経営者視点で考えるべきこと
クラウドのデスクトップは「どこからでも同じ環境で働ける」ため、担当者が判断して契約し、そのまま業務の中心になっていることが多い。しかし、その中には会社のお金や取引先の情報に触れるIDとパスワードが集まっている。経営者は、自社がどのクラウドのサーバーを借り、そこに何のアカウントを保存しているかを一度確認させたい。今回の運営会社は見舞金と損失補償を表明したが、補償の対象は運営会社が不正と認めた取引の実損に限られ、取引先への説明や業務停止の損失までは戻らない。送金や取引の権限を持つアカウントを「どの端末からだけ使うか」を決めておくことは、費用をかけずにできる備えである。
