GMOハッキング事件に脆弱化する社会を見る。

＜GMOインターネットグループ代表の熊谷正寿氏は10月25日、「お名前.com デスクトップクラウド」への不正アクセスを受け、自身のブログで利用者や関係者に謝罪した。サービスのセキュリティについて社内のホワイトハッカーが事前に改善課題を指摘していたものの、組織として十分な防御につなげられなかったと説明している。

　お名前.com デスクトップクラウドは、クラウド上のWindows環境を遠隔操作できるサービスで、FXなどの自動取引ツールにも利用されている。運営するGMOインターネットは10月24日の第4報で、システムにセキュリティ上の問題があり、不正アクセスと利用者情報の外部持ち出しを確認したと公表。一部の利用者から、取引口座で身に覚えのない取引があったとの報告も受けている。
　ホワイトハッカーは、システムの弱点を見つけて防御に役立てる専門家。熊谷氏によると、現場チームは事前の指摘を受け止め、対策を進めていた。だが、サービスを継続して利用できる状態への影響や、ほかの対処事項との優先順位を考慮して慎重に進めた結果、対応の深さと速さが十分ではなく、攻撃者に隙を突かれたという。
　なお、GMOインターネットでは契約中の利用者に一律5000円の見舞金を支払い、不正アクセスに起因すると認めた不正取引の実現損失を別途補償する方針だ。被害を受けたシステム基盤とは異なる、独立した新たな基盤上の代替サービスを用意し、移行後6ヵ月間は無償とする
＞(以上「ASCII」より引用)

「GMO熊谷代表、不正アクセスで謝罪　事前に弱点指摘も防げず」との見出しに驚く。今回のハッキング事件が発覚する前に、社内ホワイトハッカーの指摘があって脆弱性の対策を始めていたところだという。

　しかしGMOが運用していたのは「仮想サーバー」上でのセキュリティーだった。「仮想サーバー」ならPC上に幾らでも構築できる。顧客のホームページはそれぞれが「仮想サーバー」で動いているから、ハッキングするのも一つ一つだと考えていたようだ。

　しかし「仮想サーバー」を構築しているPCそのものに侵入すれば、そのプラットホーム上で動いている仮想サーバーは全て丸裸になる。今回のハッカーは元GNO社員ではないかと云われている。もしそうならGMOのPC侵入のIDと侵入口を知っていることになる。

　それならGMOが契約し管理しているすべてのホームページが一度にハッキングされる。これほどの脆弱性を事前に知らされていながら、大した対策も打てないうちに情報流出という最悪の結果になってしまった。

　ハッキングを止めるには顧客がPC電源を切って入れないことだ。万が一にもマルウェアを仕込んでいるとすれば、電源を入れた途端に顧客のPCに蓄積されている情報が全て抜き取られかねない。そしてハッキングされたPCのデータを完全に消去し、OSをクリーンインストール（初期化）することが必要だ。なぜならウイルス対策ソフトで駆除しただけでは、ハッカーが仕込んだバックドア（裏口）や悪質なプログラムを見落とすリスクが残る可能性があるからだ。

　だが全てのPCにそうした対策をするなら、全体として何台のPCが関係しているか。膨大な数のPCを起動させないとするなら、GMOと契約している企業は仕事にならないだろう。またな何のためのホームページか、という根源的な課題に突き当たる。一番手っ取り早いのは顧客の全てのPCを廃棄して、新品のPCに替えることだ。おそらく莫大な金額になるだろうが、GMOが取るべき対策として最も早く確実な復旧方法ではないか。

　確かに身代金を要求するハッカーは最低だが、仮想サーバーの危険性を十分に承知した上で危険性に対処しなかったGMOの企業体質も責められるべきではないだろうか。今後ともAIを利用したハッカーが頻繁に出現すると見るべきで、そのためのセキュリティ防衛策を日々強化して備える企業努力を怠ってはならない。

　1台の物理サーバー上で複数の仮想マシン（ゲストOS）を動かしているため、ベースとなる物理ハードウェアやハイパーバイザーに障害が発生した場合、その上で稼働しているすべての仮想サーバーが同時に停止するリスクがある。まさに今回のGMOのハッキングはそうして起きたと見るべきだ。