80億円!!!!
国内最高峰のセキュリティーを標榜するインターネット企業が、1通の脅迫メールで突きつけられた金額だ。
払わなければ、客の個人情報を毎日正午にさらす。そんな映画みたいな話がいま日本で本当に起きている。
GMOインターネットグループのサービスが不正アクセスを受けた事件。ニュースを追うほどある疑問が頭から離れなくなった。
いちばん悪いのは、いったい誰なんだろう？
FX用サーバーから始まった前代未聞の事件
狙われたのは「お名前.com デスクトップクラウド」。
FX（外国為替証拠金取引）の自動売買などに使われる、ネット上のWindows環境を貸すサービスだ。
GMOの発表によると、10月19日に利用者からの問い合わせを受けて調査を始めた。20日に一部のサーバーで不正なプログラムが見つかり、21日午前4時から全プランのサーバーを順に止めている。
影響の可能性があるサーバーは2万6739件。あくまで「可能性がある数」で、すべてで被害が確認されたわけではない。
厄介なのはここから。サーバー内に保存された取引口座のログイン情報などが盗まれ、口座で身に覚えのない取引が起きたと報告されている。
24日には、利用者の情報が外部に持ち出されたことも確認したと発表した。
知らないうちに自分の口座で勝手に売買される。想像しただけで胃がキュッとなりますよね。
80億円の脅迫と5000円の見舞金
犯行グループの要求はとにかく強烈だ。GMOインターネットグループの熊谷正寿代表のブログによると、21日に届いた脅迫は5000万ドル、約80億円の要求だった。
27日正午を期限に、約1億5000万円を求めている可能性も報じられている。
GMOが「要求には応じない」と突っぱねると、27日正午すぎに攻撃者は利用者とされる1人分の個人情報を公開。
今後も毎日正午に公開すると予告したと報じられた。
おいおい、と言いたくなる。関係のない個人を人質にして、企業を揺さぶる。許せないよねこういうやり方。
じゃあ、GMOに落ち度はなかったのか。ここは素直にうなずけない。
熊谷代表は25日のブログで、社内のホワイトハッカー（守る側のセキュリティ専門家）から、事前に「改善すべき課題」を指摘されていたと明かした。
サービスへの影響や、ほかの作業との優先順位を考えるうちに対応の深さとスピードが足りなかったという。
正直に話したのは立派だと思う。でも、国内トップクラスのセキュリティ部隊をグループに抱えてこの結果はさすがに肩すかし。グループでは10月上旬にも、別会社のアンケートサイト「infoQ」で約89万件の個人情報の持ち出しが確認されている。
顧客対応には評価できる点もある。利用者全員に一律5000円の見舞金を払い、不正アクセスが原因と認めた取引で確定した損失は補償する。代わりのサービスも6か月無料だ。
ただし、相場の変動による損や、得られたはずの利益は補償の対象外になる。
GMOが求めた能動的サイバー防御って何？
GMOは24日、政府に「能動的サイバー防御」の適用を緊急要請した。英語ではActive Cyber Defense、略してACD。
ざっくり言うと攻撃に使われているサーバーに警察や自衛隊がアクセスし、不正プログラムを止めたり消したりする「無害化」ができる仕組みだ。
土台になる法律は2025年5月に成立し、無害化の規定は2026年10月1日に動き出したばかり。
GMOはこれを「発動第1号」と位置づけた。ただ、企業が頼めば動く制度ではない。判断するのは政府で、原則として独立機関の事前承認も必要になる。
木原稔官房長官は26日の会見で個別の事案へのコメントは「攻撃者に知らせることにもつながる」として控えた。
27日には情報の公開を「卑劣な行為、断じて許されるものではない」と非難している。
26日の関係閣僚会議では、高市総理が来週をめどに緊急対策パッケージをまとめるよう指示したという。
手の内を明かさない政府の慎重さにも、一理あるとわたしは思う。
自社の不備を棚に上げて国頼みかと感じる人もいるかもしれない。それでも国境を越える犯罪に民間1社で立ち向かうのはやっぱり無理がある。
国民のお金が狙われているいま、施行したての法律が飾りで終わらないかそこは見ておきたいところだ。
自分の財布を守るためにきょうからできること
では、わたしたちは何をすればいいのか。GMOが利用者に呼びかけた対策はふだんの暮らしにもそのまま役立つ。
まずはパスワード。同じものを使い回さない。証券口座やメールなど大事なアカウントは、多要素認証（パスワードにスマホでの確認などを組み合わせる仕組み）をオンにしておく。
ブラウザにパスワードを保存しっぱなし。わたしも、これにはドキッとした。今回はサーバー内に保存されていたログイン情報が盗まれたとみられているから、他人事じゃないんですよ。
次に便乗詐欺への備え。補償や返金をよそおうメールやSMSが届いてもリンクは開かない。GMOも、パスワードや認証コードを尋ねることはないとしている。
もう1つ。公開されたという情報をのぞきに行かないこと。GMOによると、そのサイトにアクセスした人の情報は攻撃者に取られているという。
好奇心で開いたら、自分が次の被害者になりかねない。
いちばん悪いのは人のお金と暮らしを人質に取る犯罪者だ。そこは揺るがない。
ただ、警告を生かせなかった企業の責任も、5000円で帳消しになるとは思えない。
鍵が甘いと言われていた家に空き巣が入ったら泥棒だけを責めて終われるだろうか。
ネットにお金を預けるのが当たり前のいま、その問いは自分のスマホにも向いている気がする。
