ダークウェブ上にサイトが開設された「謎の数時間」
GMOを攻撃したのは中国人か、ロシア人か、はたまた日本人か。様々な説が囁かれていますが、犯人像を考えるには、攻撃の手口について整理する必要があります。
今回狙われたのは、GMOインターネットが「お名前.com」で提供するFX取引用クラウドサービスです。攻撃者自身の主張によれば、まず一般の利用者としてサーバーを借り、そこからＧＭＯのサービスに入り込んだ。GMOは11月2日の会見で、犯人が8月5日に顧客のリモートデスクトップ用サーバーに侵入したと説明しています。
同会見によれば、犯人はその後管理者アカウントを盗み、8月17日にその権限を使ってGMOの管理サーバーに侵入。9月20日から10月14日にかけて、管理サーバーを通じて最大2万6739台の顧客サーバーに不正なプログラムを配りました。同社が気づいたのは、顧客からの問い合わせを受けた翌日の10月20日です。
GMOは、利用者が接続した際に手元のパソコンの中身をサーバー側から閲覧することができるよう設定していました。攻撃者は管理者になりすまして、この設定を悪用。パソコン内の情報まで持ち出した上で、10月27日、脅迫サイトで顧客のものとされる一人分の個人情報を暴露した。
――以上が、これまでに分かっている経緯です。
一連の過程では、被害者の個人情報が公開された同日、攻撃者が「DDoS攻撃（大量の通信を送りつけてサイトを止める攻撃）を受けている」と主張し、一度そのサイトが見られなくなりました。その際、全く同じ内容のサイトが、ダークウェブ上にも開設されたのです。
しかし、このダークウェブ上のサイトも数時間後には閉じてしまった。理由は未だに分かっていません。なお、ダークウェブとは、通常の検索エンジンでは出てこない、匿名性の高いネットワークの領域を指します。
実は、このダークウェブ上でサイトが開設されていた「謎の数時間」に、攻撃者はある“足跡”を残しています。というのも、攻撃者によるサーバーの設定方法が間違っており、このサイトは様々な情報が隠されないまま剝き出し“になっていたのです。
