日本の大手企業2社が、機密情報の流出や、うち1社では不正な金融取引につながったサイバー攻撃を受け、顧客への補償を行っている。GMO Internetは確認された取引損失を補填し、カーシェアリング事業者のPark24は、別の情報漏えいへの対応に数十億円を費やす見通しだ。
補償計画の発表は、顧客データを盗んだとされる情報をめぐり、GMOがエスカレートする恐喝に直面する中で行われた。同社は攻撃者の要求を拒否し、公開された資料で情報の流出が確認された顧客には追加の支払いを行うと発表した。
GMO、不正取引損失の補填と追加支払いを提供
攻撃の標的となったのは、GMO Internetが運営するリモートデスクトップサービス「Onamae.com Desktop Cloud」だった。一部の顧客はこのサービスを使って金融取引プラットフォームにアクセスしている。
GMOは10月24日の発表で、不正アクセス、顧客情報の窃取、顧客が身に覚えのない取引に関する報告を確認した。
当初の補償内容は次の通り。
- 現在サービスを利用している顧客1人につき5,000円（金銭的損失の有無を問わず）。
- 確認された不正取引による損失の補償。GMOの調査で攻撃との関連が認められた場合、確定した損失と関連手数料を含む。
- 代替クラウドサービスへの6カ月間のアクセスを影響を受けた顧客に提供する。
補填の対象は、通常の市場変動による損失、投資機会の逸失、その他の間接的な損害には及ばない。
GMOは顧客からの問い合わせを受け、10月19日に調査を開始した。翌日には悪意あるソフトウェアを検知し、10月21日には事案の封じ込めに向けてサービスサーバーの停止を始めた。
その後、攻撃者は約80億円、約5,000万ドル相当を要求し、盗み出した情報を公開すると脅迫した。
10月27日、GMOは、責任を負うとみられる者が同社と顧客のものだと主張する情報を公開したことを確認した。同社はなお内容の検証を進めていた。
GMOはその後、公開された情報について流出が確認された顧客への補償計画を拡大した。
- ¥10,000氏名や連絡先などの基本情報について。
- ¥15,000取引口座の認証情報を含む、金融情報または認証情報について。
- ¥25,000極めて機微性の高い個人情報について。
支払い額は確認された情報のカテゴリーごとに算定され、当初の5,000円の支払いおよび不正取引損失の補填とは別に行われる。GMOはまた、実行犯の特定や事案の解明につながる情報に対し、総額100万ドルの報奨金を用意すると発表した。
GMOは10月28日の更新情報で、攻撃者が公開資料を置いていたドメインが停止されたと述べた。ミラーサイトが現れる可能性があると警告し、顧客に対して盗まれた情報にアクセスしたり共有したりしないよう呼びかけた。
重要なのは、GMOがランサムウェアの展開を確認していないと、10月27日午後1時55分（日本時間）時点で述べていることだ。データ窃取、恐喝、不正取引を、ランサムウェアが実行された証拠と表現してはならない。
Times Carの情報漏えいを受け、Park24が55億円を引き当て
Times Mobilityを子会社としてカーシェアリングサービス「Times Car」を運営するPark24は、異なる補償方針を発表した。
同社によると、攻撃者はウェブシステムの脆弱性を悪用し、約662万件のアカウントに関連する個人情報を流出させた。
そのうち約146万件のアカウントでは、運転免許証など本人確認書類の画像が暗号化された状態で保存されていたが、アクセスと外部送信の痕跡が確認された。
Park24は対象となる顧客に現金またはギフトカードで3,000円を提供する。
同社は補償やその他のインシデント対応費用として、55億円の特別損失を計上する見通しだと、10月23日の決算開示で明らかにした。
この金額は事案に関連して見込まれる費用の総額であり、顧客への支払いだけに割り当てられる額ではない。
Park24はまた、本人確認の完了後は本人確認書類の画像を保存しない方針だ。これにより、将来の攻撃に備えて保有する機密情報の量を減らす。
GMOとは異なり、Park24は今回の事案に関連する不正な金融取引を報告していない。同社の補償は主に、個人情報の流出に対応するものだ。
セキュリティ専門家、金融詐欺と恐喝に警鐘
GMOの事案は、攻撃者がリモートサービスへのアクセスを得た後、どこまで侵入を進められるのか、特に顧客がそのサービスを機微な金融活動に利用している場合に、疑問を投げかけている。
Suzu Labsのチーフ・セキュリティ・エバンジェリストであるPhillip Wylie氏は、次のように評価した。
「GMO Internetの事案で際立っているのは、攻撃者が顧客情報を盗むだけにとどまらず、取引口座にもアクセスし、不正な金融取引を可能にしたと報じられている点だ。これは、リモートアクセスサービスの脆弱性が、侵害されたシステムをはるかに超える影響をもたらし得ることを示している。
「攻撃者は、大きな被害を与えるために必ずしもランサムウェアを展開する必要はない。機密情報を盗み、アカウントを侵害し、データを公に公開すると脅迫できれば、組織に圧力をかける手段をすでに複数手にしている。
「報じられた5,000万ドルの身代金要求は、恐喝の手口が進化し続けていることも浮き彫りにする。組織は、ファイルを暗号化する従来型のランサムウェア攻撃だけでなく、より広範な事態に備える必要がある。データ窃取、金融詐欺、公表の脅迫も、同じように大きな混乱を招き得る。
「攻撃者の視点からシステムをテストすることが重要なのは、攻撃的セキュリティの観点から見ればこのためだ。組織は脆弱性が存在するかどうかだけでなく、それを悪用した攻撃者が何を実行できるのかも理解する必要がある。リモートアクセスサービスは、機密システムや顧客環境への経路を提供し得るため、特に魅力的な標的となる。
「組織は、リモートアクセス基盤の保護、多要素認証の導入、不審なアカウント活動の監視、想定される攻撃経路を評価する侵入テストの定期的な実施を優先すべきだ。
「最大の教訓は、最初の侵害を防ぐことが重要である一方、攻撃者が侵入した後に何をできるかを制限することも同じくらい重要だということだ。
「重要な区別が1つある。GMOの10月27日の更新情報では、10月27日午後1時55分（日本時間）時点でランサムウェアの展開は確認されていない。報じられたデータ公開と不正取引は深刻な進展だが、ランサムウェアが実行されたことの確認として示すべきではない」
データ窃取とランサムウェアの区別は、最近発生した他の事案にも関係する。日本では、Burger Kingが情報漏えいを公表し、約1,118万件の顧客記録に影響が及んだ一方、Good Smile Companyは顧客情報と購入情報への不正アクセスを報告した。
金銭的な影響は、直接的な窃取にとどまらない場合もある。攻撃者は電話を使った詐欺で金融機関を標的にし、アカウントの侵害や盗み出した情報と恐喝を組み合わせている。
日本、サイバー攻撃の封じ込めに向けた圧力が強まる
GMOの対応には、日本の能動的サイバー防御の枠組みに基づく政府支援の要請が含まれているほか、独自の調査や警察との協力も進めている。
同社は顧客に対し、端末をスキャンし、データをバックアップし、公式のセキュリティ指示に従うよう求めている。最新の通知では、フィッシングメッセージや、盗まれた資金を取り戻すと持ちかける詐欺的な勧誘に注意するよう警告している。
2つの補償計画は、異なる種類の情報流出を反映している。GMOは顧客データの窃取と報告された不正取引に直面しているのに対し、Park24は本人確認書類などの個人情報の流出に対応している。
影響を受けた顧客にとって、次に問題となるのは、自分の情報が流出したと確認されたか、どの補償の対象となるか、そしてさらなる悪用が発生するかどうかだ。
両社にとっては、被害の全容と、事案後に導入したセキュリティ対策で再度の侵害を防ぐのに十分かどうかを、なお調査で明らかにしなければならない。
関連記事：日本政府のネットワーク侵害により、攻撃者が脆弱なネットワーク機器を悪用した後、約24万6,000人の職員に関連する情報が危険にさらされた。