【独自分析】「マルク・カルプレス」が読み解くGMO事件――「ダークウェブ」に残された“謎の数時間”の足跡
熊谷正寿社長らの会見が終わってもなお多くの謎が残る「GMO事件」。攻撃者はなぜ、わずか数時間でダークウェブのサイトを閉じたのか。2014年の「ビットコイン消失事件」で知られる元マウントゴックスCEO、マルク・カルプレス氏（41）が、攻撃者が残した“足跡”の意味を独自に分析した。
速報「みんなで俺を騙して、まるで『集団結婚詐欺』」 糸山英太郎元代議士（84）が明かす2人の女性とのトラブル
速報「ヘリの爆音で妻がノイローゼに」 GMO熊谷代表の「迷惑行為」を近隣住民が明かす モデルを集めて「シャンパンパーティー」に「もう勘弁してほしい」
管理者になりすまし、顧客のパソコン内の情報まで持ち出した攻撃者
GMOを攻撃したのは中国人か、ロシア人か、はたまた日本人か。様々な説が囁かれていますが、犯人像を考えるには、攻撃の手口について整理する必要があります。
今回狙われたのは、GMOインターネットが「お名前.com」で提供するFX取引用クラウドサービスです。攻撃者自身の主張によれば、まず一般の利用者としてサーバーを借り、そこからGMOのサービスに入り込んだといいます。
GMOは11月2日の会見で、犯人が8月5日に顧客のリモートデスクトップ用サーバーに侵入したと説明しています。同会見によれば、犯人はその後管理者アカウントを盗み、8月17日にその権限を使ってGMOの管理サーバーに侵入しました。そして9月20日から10月14日にかけて、管理サーバーを通じて最大2万6739台の顧客サーバーに不正なプログラムを配ったのです。同社が気づいたのは、顧客からの問い合わせを受けた翌日の10月20日でした。
GMOは、利用者が接続した際に、利用者の手元のパソコンの中身をサーバー側から閲覧できるよう設定していました。攻撃者は管理者になりすましてこの設定を悪用し、パソコン内の情報まで持ち出した上で、10月27日、脅迫サイトで顧客のものとされる一人分の個人情報を暴露しました。
全く同じ内容のサイトがダークウェブ上にも開設
個人情報が公開された同日、攻撃者は「DDoS攻撃（大量の通信を送りつけてサイトを止める攻撃）を受けている」と主張し、一度そのサイトが見られなくなりました。その際、全く同じ内容のサイトが、ダークウェブ上にも開設されたのです。ダークウェブとは、通常の検索エンジンでは出てこない、匿名性の高いネットワークの領域を指します。しかしこのサイトも、数時間後には閉じてしまいました。理由は未だに分かっていません。
実は、この「謎の数時間」に、攻撃者はある“足跡”を残しています。サーバーの設定方法が間違っており、サイトの様々な情報が隠されないまま剥き出しになっていたのです。
私がその情報を分析したところ、サイトへの接続記録が出てきました。つまり、その中には、事件に興味を持った閲覧者だけでなく、攻撃者自身の記録が含まれている可能性があるわけです。ただし、接続元はすべて同じ表示になっており、誰の接続なのかを区別することはできません。IPアドレスも出てこないので、犯人に辿り着くのは難しいでしょう。
それでも、誤ったサーバー設定の仕方から、攻撃者のネット上での“癖”を見抜く余地は残されています。いずれにせよ、サイトを立ち上げる際に、攻撃者に油断があったと見られます。
「分かりやすすぎる証拠」の怪しさ
脅迫サイトの日本語には流暢なところがある半面、不自然な箇所もあります。攻撃者がサイト上に残したExcel形式のファイルは中国製ソフトで作成されており、脅迫メールにはロシアで一般的な名前が使われていました。こうした点から、日本人説、中国人説、ロシア人説が入り乱れています。
一見、これらの情報は、犯人に迫る手掛かりのように映るかもしれません。しかし他方で、いずれの情報も偽装することができます。
＊＊＊
新潮QUEで配信中の有料記事【元マウントゴックスCEO「マルク・カルプレス」が語るGMO事件の“犯人像”】では、カルプレス氏が、熊谷正寿社長がSNSで発信した「犯人の特定につながる有力な情報」が意味するものや、会見を見て抱いた“疑念”について、詳しく語っている。
