「GMOは捜査をサーカスのような見世物にしている」 元マウントゴックスCEOが指摘 想定される「犯人像」とは
熊谷正寿代表（63）らの会見が終わってもなお多くの謎が残る「GMO事件」。2014年に「ビットコイン消失事件」で世上をにぎわせた、元マウントゴックスCEOのマルク・カルプレス氏（41）が、その“ミステリー”に迫る。
＊＊＊
【写真を見る】「まるで映画の世界」 クルーザーを横付けできるGMOの迎賓館 100億円超えのプライベートジェットも
GMOを攻撃したのは中国人か、ロシア人か、はたまた日本人か。さまざまな説がささやかれていますが、犯人像を考えるには、攻撃の手口について整理する必要があります。
今回狙われたのは、GMOインターネットが「お名前.com」で提供するFX取引用クラウドサービスです。攻撃者自身の主張によれば、まず一般の利用者としてサーバーを借り、そこからGMOのサービスに入り込んだ。GMOは11月2日の会見で、犯人が8月5日に顧客のリモートデスクトップ用サーバーに侵入したと説明しています。
同会見によれば、犯人はその後管理者アカウントを盗み、8月17日にその権限を使ってGMOの管理サーバーに侵入。9月20日から10月14日にかけて、管理サーバーを通じて最大2万6739台の顧客サーバーに不正なプログラムを配りました。同社が気付いたのは、顧客からの問い合わせを受けた翌日の10月20日です。
GMOは、利用者が接続した際に手元のパソコンの中身をサーバー側から閲覧することができるよう設定していました。攻撃者は管理者になりすまして、この設定を悪用。パソコン内の情報まで持ち出した上で、10月27日、脅迫サイトで顧客のものとされる1人分の個人情報を暴露した。
――以上が、これまでに分かっている経緯です。
一連の過程では、被害者の個人情報が公開された同日、攻撃者が「DDoS攻撃（大量の通信を送りつけてサイトを止める攻撃）を受けている」と主張し、一度そのサイトが見られなくなりました。その際、全く同じ内容のサイトが、ダークウェブ上にも開設されたのです。
しかし、このダークウェブ上のサイトも数時間後には閉じてしまった。理由はいまだに分かっていません。なお、ダークウェブとは、通常の検索エンジンでは出てこない、匿名性の高いネットワークの領域を指します。
「謎の数時間」
実は、このダークウェブ上でサイトが開設されていた「謎の数時間」に、攻撃者はある“足跡”を残しています。というのも、攻撃者によるサーバーの設定方法が間違っており、このサイトはさまざまな情報が隠されないまま“むき出し”になっていたのです。
私がその情報を分析したところ、ダークウェブ上のサイトへの接続の記録が出てきました。つまり、その中には、事件に興味を持った閲覧者だけでなく、攻撃者自身の記録が含まれている可能性があるわけです。ただし、接続元は全て同じ表示になっており、誰の接続なのかを区別することはできません。また、ダークウェブ上では、接続元を表すIPアドレスまでは出てこないので、犯人にたどり着くのは難しいでしょう。
それでも、誤ったサーバー設定の仕方から、攻撃者のネット上での“癖”を見抜く余地は残されています。いずれにせよ、サイトを立ち上げる際に、攻撃者に油断があったとみられます。
[1/3ページ]
