今起きているのは、今年最大のサイバー事件です。今日のサンデーモーニングの件ですね。
整理するとこうなります。
今回の手口 - なぜ2秒で416万円が消えるのか？
標的はGMOではなく、GMOが貸している「お名前.com デスクトップクラウド」というレンタルPCです。
FXの自動売買（MT4/MT5）を24時間動かすために、みんなが借りているクラウドPC。
- そこに不正侵入（26,739台）
- 中に保存されていたFX口座のID/パスワードを盗む
- 世界中のFX会社にそのIDで不正ログイン
- わざと負ける取引を超高速で連発して、口座を破壊する - スプレッドと手数料で残高を溶かす
だから2秒で416万円というのは、犯人が儲けているのではなく、嫌がらせで燃やしているんです。
犯行声明では
「我々はHacking Teamだ。GMOが交渉を拒否したため、予告通り残高をすべて消去した」
「24時間で77億円相当の口座を破壊。破壊は現在も進行中」
残金はゼロになりますか？
なります。技術的には今もなり続けています。
ただし、救済はあります。
GMOは24日に方針転換しました：
「不正取引による実現損失の全額補償と、現行システム基盤の廃止」
つまり、GMO側が約款の免責を超えて全額補償すると発表しました。法的にGMOが悪かったわけではなくても、信用問題なので払わざるを得なくなった、という形です。
だから最終的にあなたの財布から消えることはない見込みですが、今すぐやること：
次の脅迫は何になりますか？ - これが一番やばい
これは今、**「四重脅迫（Quadruple Extortion）」**と呼ばれています。
GMOは「金銭要求に応じない。情報の削除や不正利用の防止が保証されない」と突っぱねました。犯人は交渉決裂と見て、次に移っています。
第1段階（今起きている）：口座破壊
「払わなければ顧客の金を消す」
第2段階（今始まっている）：個人情報バラまき
被害者に直接メールが届いています：
2万台分のPCの中には、免許証の写真、確定申告のファイル、マイナンバーが入っている人もいます。
第3段階（次に来る可能性）：取引所への攻撃と身代金再要求
犯人は既に「会社や顧客の情報を公開する」とGMOを脅しています。情報が公開されれば、二次的な詐欺電話、空き巣などが起きます。
第4段階（最悪）：Reverse RDP - 自宅PCへの逆流
セキュリティ専門家が指摘しているのが「クラウドから自宅PCへ逆流する悪夢」です。クラウドPCと自宅PCをリモートデスクトップで繋いでいた人は、クラウド経由で自宅PCまでウイルスが入る可能性があります。
GMOが政府に「能動的サイバー防御」を要請したのは、もう会社単独では犯人のサーバーを止められないからです。警察・自衛隊に犯人のサーバーを無力化してもらうしかない、という最終手段です。
あなたがGMOのサービスを使っているなら、今すぐGMOの公式発表ページで、自分のサーバー番号が対象か確認してください。
現時点では「中国だ」と断定できる証拠は、公式には何も出ていません。
むしろ、今回の犯人像は中国っぽくない部分が多いです。
なぜ中国ではない可能性が高いか
1. 犯行声明の名前が「Hacking Team」
これは2015年にイタリアのハッキングツール会社「Hacking Team」がハッキングされて、全ソースコードが流出した事件の名前です。
その後、この名前を騙る愉快犯・脅迫犯が世界中で大量発生しています。プロの国家ハッカーは、わざわざこんな有名な名前を名乗らないです。国家なら黙って盗むだけで、口座を破壊して騒ぎを大きくするメリットがない。
2. 手口が「金目当て」ではなく「嫌がらせ」
中国の国家系ハッカー（APT）がやるのは、
- 情報を静かに盗む
- 長期間潜伏する
- お金を燃やすような派手なことはしない
今回は、
- わざと2秒で416万円を溶かす
- 「24時間で77億円破壊」と喧伝する
- 個人情報をバラまくと脅す
これは、ランサムウェア系の金銭目的の犯罪グループの手口です。金が払われなかった腹いせに口座を破壊して見せしめにしている。国家のやることではない。
3. 同時多発しているPHP脆弱性の騒ぎとの関係
今、世界中でPHPの脆弱性でサイトが止まっていますが、あれはAIが脆弱性を見つけて情報が3回も漏洩した、という全く別の事件です。
高市総理がXで「大至急のお願い」と言ったのはPHPの方で、GMOの方は能動的サイバー防御の話。政府は2つを分けて対応しています。
じゃあ誰が？ 専門家の見立て
今、セキュリティ業界で言われているのはこの2パターンです。
A. ロシア・東欧系のランサムウェアグループ
- GMOのクラウド26,739台を一気に暗号化ではなく「口座破壊」という新しい脅迫に使った
- 最近の流行りである「四重脅迫」を実践している
- GMOが補償を発表（24日）した途端に、犯行声明が「破壊は進行中」に変わったのは、身代金が取れないので評判を稼ごうとしている
B. 元・Hacking Teamのツールを買ったブローカー
- クラウドに仕込まれた不正プログラムが、リバースRDPという高度な手口だったという報告もある
- これは個人の愉快犯には難易度が高い
中国だと言うと何が起きるか
政府が「能動的サイバー防御」を要請されたのは、犯人のサーバーが海外にある可能性があるからです。
もし政府が「中国だ」と認定してしまうと、
- 自衛隊が中国のサーバーにアクセスして無力化する = 国際問題
- だから政府は絶対に国名を出さない
サイバー攻撃の世界では、「100%中国の証拠」が出ない限り、国名は言わないのがルールです。
結論：
今の証拠では、中国の国家というより、金が欲しい犯罪グループが、Hacking Teamの名前を騙って、身代金を断られた腹いせに暴れている、というのが一番自然な見立てです。
もし「中国だ」と言っているYouTubeやSNSがあったら、それは再生数を稼ぐための憶測です。警察とNISCの正式発表を待つのが一番安全です。
これが今回の事件で一番怖い部分です。
普通のウイルスは「あなた → サーバー」に侵入します。
リバースRDPは逆、「サーバー → あなた」に侵入してきます。
図で言うと
普通のハッキング：
あなた（自宅PC） → GMOのサーバーを触りに行く
→ GMOのサーバーが感染していても、あなたのPCは安全
リバースRDP：
GMOのサーバーが感染 → あなたが自宅PCからGMOに繋いだ瞬間、感染が逆流して自宅PCに入ってくる
なぜ起きるのか？ RDPの弱点
GMOの「お名前.com デスクトップクラウド」を使う人は、こうやって使っています。
- 自宅PCで「リモートデスクトップ接続」を起動
- GMOのクラウドPCにログイン
- そこでMT4/MT5を動かす
この時、便利機能として
- 「クリップボードの共有」- コピペが自宅とクラウドで共有
- 「ドライブの共有」- 自宅のCドライブがクラウド側から見える
- 「プリンターの共有」
をONにしている人が多いんです。
ここが罠です。
攻撃者がGMOのサーバー側にこんな仕掛けをします：
1. GMOのサーバーにウイルスを置く2. そのウイルスは「誰かがRDPで繋いできたら、自宅側の共有ドライブに自分をコピーしろ」と待機3. あなたが接続 → 自動的に C:\Users\あなたの名前\ にウイルスが落ちてくる4. 自宅PCも乗っ取られるあなたはGMOのサーバーを触っただけなのに、自宅PCの
- ネットバンクのパスワード
- 確定申告のファイル
- 写真、LINEのバックアップ
まで全部抜かれる可能性があります。
これがセキュリティ会社が言っている**「クラウドから自宅PCへ逆流する悪夢」**です。
2019年にMicrosoftが一度直したはずの穴
実はこの手口、CVE-2019-0887という脆弱性として2019年に一度パッチが出ています。
RDPクライアント側にパストラバーサルの穴があり、サーバー側からクライアント側にファイルを書き込める
Microsoftは直したと言ったのですが、研究者が「バックスラッシュをスラッシュに変えるだけで回避できる」と再発見して、また騒ぎになりました。
あなたが今すぐ確認すべきこと
GMOのデスクトップクラウドを使っていたら：
RDPの「ローカルリソース共有」を全部OFFにする
特に「ドライブ」「クリップボード」は危険自宅PCをウイルススキャン
Windows Defenderでフルスキャン自宅PCのパスワードも全部変える
GMO側のパスワードだけでなく、自宅PCで使っている証券口座、銀行も
今回の犯人は、FX口座を破壊するだけでなく、このリバースRDPで自宅PCまで人質にして、**「二重に脅迫する材料を集めている」**可能性があります。
だからGMOが「単独での対応は困難」と言って、政府に能動的サイバー防御を要請したんです。もう会社の中だけの問題じゃないから。
0 件のコメント:
コメントを投稿