ネット探検ラボ 独自調査・最終報
はじめに――2024年、GMOは何を失っていたのか
私たちネット探検ラボは、2026年に発生したGMOインターネットグループ関連のサイバー攻撃について、これまで3本の調査記事を公開してきました。
その調査過程で、私たちが特に注目してきたのが、2024年に海外の地下フォーラムへ掲載されていたGMO関連の3つのデータセットです。
当時の記録には、次のファイル名が残されていました。
phpmyadmin8.onamae.ne.jp.sql.rarphpmyadmin35.onamae.ne.jp.sql.raronamae.ne.jp.7z
私たちは、これらのファイル名、ホスト名、投稿記録、GMOが公開していたデータベース関連の技術資料などを照合してきました。
その結果、2024年に地下フォーラムで確認した3つのデータセットについて、実在したGMOのデータベース基盤に由来するものであることを、高い確度で確認済みです。
これは、私たちの独自調査における重要な到達点です。
ところが、GMOは、この3つのデータセットについて、2024年当時に侵害や情報漏洩が発生したことを公式には認めていません。
私たちが確認した範囲でも、当時の侵害や漏洩をGMOが認識し、社会に公表した記録は見当たりませんでした。
では、地下フォーラムに残されていた3つのデータセットは、一体何だったのか。
なぜGMOのデータベース基盤に由来する情報が、海外の地下フォーラムに現れていたのか。
そして、GMO自身は、その事実に気付いていたのか。
私たちは、GMOが当時、侵害や情報漏洩の発生を把握していなかった可能性が非常に高いと推定しています。
なお、私たちが高い確度で確認したのは、3つのデータセットの実在性と、GMOの実在するデータベース基盤との関連です。収録データの全内容や持ち出された時期、侵害範囲については、別途検証すべき事項として整理しています。
この2024年の記録を出発点として、私たちは一つの仮説を立てました。
GMOグループは、北朝鮮系サイバー攻撃者による侵害を、当時すでに受けていたのではないか。
今回の最終章では、これまで収集した資料と独自観測記録を基に、その可能性を検討します。
1．なぜ、北朝鮮系サイバー攻撃者に注目したのか
私たちが北朝鮮系サイバー攻撃者に注目した背景には、2024年以前から世界各地で確認されていた、企業の採用活動を悪用する攻撃があります。
新型コロナウイルスの感染拡大を契機として、世界中の企業でリモート勤務が急速に普及しました。それに伴い、技術者の採用活動もオンライン化も進みました。
応募者が遠隔地から面接を受け、技術試験を受験し、採用後も会社へ出勤することなく業務を行う…。
こうした働き方が一般的になった時期、北朝鮮系工作員は、外国企業の技術職に応募する活動を拡大していました。
そして、米国司法省やFBIなどは、北朝鮮系IT労働者が偽装した身元を使用して外国企業に採用され、遠隔勤務を通じて報酬を得る活動について、繰り返し警告してきました。
その活動では、他人の身元情報の利用、居住地の偽装、遠隔操作環境の利用などが確認されています。
私たちが注目したのは、こうした工作員が、企業の採用審査そのものに接近できていたという事実です。
ソフトウェア技術者の採用では、応募者の技術力を確認するため、プログラミング課題を提出させることがあります。
企業側は、提出されたソースコードを確認し、必要に応じて実際にプログラムを実行して、その動作や品質を評価します。
このような動的評価は、技術者の能力を確認するための一般的な方法です。
しかし、もし応募者自身がサイバー攻撃者であった場合はどうでしょうか。
提出されたコードの中に悪意ある処理が組み込まれていれば、採用担当者や技術評価者が、そのプログラムを実行することで侵害を受ける可能性があります。
私たちは、ここにGMO事案を考えるうえでの重要な論点を見いだしました。
北朝鮮系工作員が応募者を装ってGMOグループへ接近し、提出した技術課題をGMO側が社内で動的評価した際に、悪意あるコードが実行されたのではないか。
これが、私たちの仮説です。
前回の記事では、GMOグループに、応募者のプログラムやGitHub上のソースコードを技術者が評価する採用活動が実際に存在したことを取り上げました。
そこで今回は、この仮説を、北朝鮮系工作員の過去の活動実績と、コード実行に伴う技術的な危険性から検討します。
2．北朝鮮系工作員は、実際に企業の採用審査を突破していた
北朝鮮系工作員が外国企業の技術職に応募し、正規の従業員として採用される活動は、すでに現実の問題となっていました。
その代表的な事例が、2024年に米国のセキュリティ企業KnowBe4で発生した事件です。
2024年、KnowBe4で起きた偽装採用事件
KnowBe4は、ソフトウェア技術者を採用するため、面接や身元確認などの審査を行いました。
応募者は、そうした採用手続きを通過し、同社に採用されました。
ところが、その人物は北朝鮮系の偽装IT労働者で、採用後、会社から支給された端末で不正な活動が始まりました。その後、KnowBe4のセキュリティ監視が異常を検知し、調査によって偽装採用が判明した事件があります。
幸いにも、不正な活動は早期に発見され、社内への被害拡大は阻止されましたが…。
この事件が示したのは、北朝鮮系工作員が、セキュリティ企業の採用審査さえ通過していたという事実です。
しかも、攻撃者は企業のネットワークを外部から直接突破する必要がありませんでした。
正規の採用手続きを利用することで、企業から業務用端末を支給され、内部環境へ接近する機会を得ていたのです。
偽装応募は、単発の活動ではなかった
Palo Alto NetworksのUnit 42が2023年に報告した「Wagemole」でも、北朝鮮系IT労働者による組織的な偽装就業活動が確認されています。
そこでは、複数の偽装身元や履歴書、採用面接への対応資料などが使用されていました。
この活動は、北朝鮮系工作員が外国企業の採用審査を突破するため、計画的な準備を重ねていたことを示しています。
採用された工作員が正規の業務環境へ入り込む危険性は、米国政府などが繰り返し警告してきた問題でもあります。
私たちは、この偽装応募という手口を、GMOグループの採用活動と照らし合わせて考えています。
3．採用課題に悪意あるコードが仕込まれていた場合、何が起こるのか
ここで、私たちの仮説を技術的に検討したいと思います。
ソフトウェア技術者の採用では、応募者から提出されたプログラムを、企業側の技術者が実際に動作させて評価する場合があります。
例えば、応募者が提出したソースコードを開発環境に取り込み、必要なライブラリーを導入し、プログラムを実行するという作業です。
通常の採用審査では、プログラムが正しく動作するか、指定された機能を満たしているか、コードの品質に問題がないかなどを確認します。
しかし、提出されたコードに悪意ある処理が組み込まれていた場合、評価のための実行そのものが攻撃の入口となります。
攻撃者は、実行環境に存在する認証情報、秘密鍵、業務ファイルなどを窃取する可能性があります。
また、その端末から企業の内部システムへアクセスできる場合、侵害が拡大する危険性もあります。
こうしたコード実行の危険性は、北朝鮮系攻撃者による別の採用悪用作戦でも確認されています。
例えば「Contagious Interview」では、攻撃者が採用担当者を装い、求職者に悪意ある開発課題を実行させていました。
これは、攻撃者が応募者となる今回の仮説とは逆方向の攻撃です。
そのため、私たちは参考情報として位置付けますが、技術課題に悪意ある処理を組み込み、実行者を侵害する能力が北朝鮮系攻撃者に存在していたことは重要です。
一方、KnowBe4事件やWagemoleの活動は、北朝鮮系工作員が応募者として企業へ接近する能力を示しています。返信をポスト
私たちは、これらの実績を踏まえ、偽装応募と悪意あるコードの提出が組み合わされた可能性を検討しています。
仮想環境を使用していれば、安全だったのか
ここで重要になるのが、提出コードを実行する環境です。
外部から提出されたプログラムを、安全に隔離された仮想マシンやサンドボックスで評価していれば、悪意あるコードが実行された場合でも、その影響を限定することが可能です。
例えば、ホストOSとのファイル共有を禁止し、業務用の認証情報を持ち込まず、社内ネットワークへの通信を制限した環境です。
このような構成であれば、悪意あるプログラムが仮想環境内で動作しても、企業の重要なシステムへ到達することは容易ではありません。
では、北朝鮮系攻撃者には、そのような隔離環境を突破する能力があるのだろうかという点にも着目してみたいと思います。
北朝鮮系の攻撃者には、Windowsの権限昇格やセキュリティ機能の回避など、高度な技術を利用した実績があります。
しかし、今回確認した採用活動を悪用する攻撃の技術報告では、厳格に隔離された仮想マシンからホストOSへ脱出し、企業の内部システムを侵害したと実証された事例は確認できていません。
したがって、私たちがGMOグループについて検討したいのは、次の点です。
応募者から提出されたコードを動的評価する際、業務環境から隔離された安全な実行環境を使用していたのか。
仮想環境を使用していた場合、その環境はホストOSや社内ネットワークから十分に分離されていたのか。
そして、もし安全な隔離が不十分だった場合、北朝鮮系工作員が提出した悪意あるコードによって、認証情報やデータベース関連情報が窃取される可能性はなかったのか。
これらの疑問は、2024年のGMO関連データセットが地下フォーラムに現れた経緯を考えるうえで、重要な検証事項です。
4．2024年の警告と、見逃されていた可能性
2026年11月2日の記者会見で、GMOインターネットグループは、2024年4月にグループ企業のGMOサイバーセキュリティ byイエラエから、システム上の問題を指摘されていたことを認めています。
当時、緊急メンテナンスなどの対応が実施されていましたが、抜本的な改善には至っていなかったと説明されています。
GMOは、リスク分析や対応の優先順位付けに問題があったことも認めています。
私たちが注目しているのは、その前月、2024年3月には、すでにGMO関連の3つのデータセットの掲載記録が海外の地下フォーラムに残されていたという事実です。
イエラエによる指摘と、地下フォーラムで確認されたデータセットとの直接的な関連は、現時点では確認されていません。
しかし、GMOが当時、この3つのデータセットの存在や流出を把握していたことを示す公表情報も見当たりません。
私たちは、2024年の時点で、GMOが認識していない情報資産の流出が発生していた可能性を重視しています。
仮にそうであれば、問題は侵入を防げなかったことだけにとどまりません。
情報資産が社外へ持ち出されたことを検知できなかった可能性にも、目を向ける必要があります。
5．3つのデータセットが突き付ける、GMOのコンプライアンス
ここで、私たちは再び2024年の3つのデータセットに立ち戻ります。
phpmyadmin8.onamae.ne.jp.sql.rar
phpmyadmin35.onamae.ne.jp.sql.rar
onamae.ne.jp.7z
私たちが高い確度で確認してきた、GMOの実在するデータベース基盤に由来する3つのデータセットです。
これらが外部へ流出したのであれば、最初に明らかにすべきことは、誰が、どのような権限を利用し、どの経路から情報を持ち出したのかという問題です。
私たちは、北朝鮮系サイバー攻撃者による侵害を合理的な仮説の一つとして評価してきました。
しかし、ここで考えなければならないのは、外部からの不正侵入だけではありません。
データベースへの正規のアクセス権限を持つ人物が情報を持ち出した可能性もあります。
権限を持たない第三者が、不正に取得した認証情報を使用した可能性もあります。
あるいは、システムの設定不備や管理上の問題を利用して、情報が取得された可能性も考えられます。
いずれの経路であったとしても、私たちが最も深刻に受け止めているのは、GMOの情報資産に由来するデータセットが地下フォーラムに現れていたにもかかわらず、GMOがその事実について一切説明していないことです。
情報資産の持ち出しを、誰が監視していたのか
企業の情報資産を保護するためには、不正アクセスを防止するだけでは十分ではありません。
誰が重要なデータベースへアクセスできるのか。
その権限は業務上必要な範囲に限定されているのか。
大量のデータが取得された場合、それを検知できるのか。
取得された情報が社外へ持ち出されようとした場合、異常な通信や操作として把握できるのか。
そして、問題が発生した場合、その事実を調査し、影響を受ける利用者や社会へ適切に説明できるのか。
これらは、企業の情報セキュリティとコンプライアンスを考えるうえで、基本となる問題です。
特にGMOのように、多数の顧客の情報やインターネットサービスの基盤を管理する企業では、情報資産へのアクセス権限と、その利用状況を監視する仕組みが極めて重要です。
権限のある者による持ち出しも、権限のない者による侵害も
私たちは、情報流出の経路について、特定の可能性だけに限定して考えているわけではありません。
仮に正規の権限を持つ人物が持ち出したのであれば、内部統制やアクセス監視の実効性が問われます。
権限を持たない第三者が持ち出したのであれば、認証管理やアクセス制御、不正操作の検知体制が問われます。
北朝鮮系サイバー工作員が関与していたのであれば、外部からの侵害だけでなく、偽装採用や内部への接近を含む防御体制についても検証する必要があります。
いずれの場合でも、重要なのは、情報資産が管理者の意図しない形で社外へ持ち出されることを防ぎ、発生した場合には速やかに把握できる体制が存在していたかという点です。
私たちは、2024年の3つのデータセットをめぐる状況から、GMOグループの情報資産管理において、実効性のある監視や検知が十分に機能していなかった可能性を危惧しています。
最大の疑念は、漏洩について何も語られていないこと
ここで、もう一度問いかけたいと思います。
2024年、GMOのデータベース基盤に由来する3つのデータセットが、なぜ地下フォーラムに存在していたのか。
GMOは、その事実を把握していたのか。
把握していなかったのであれば、なぜ気付くことができなかったのか。
把握していたのであれば、どのような調査が行われ、どのような判断によって社会への説明がなされなかったのか。
私たちが最大の疑念を抱いているのは、まさにこの部分です。
情報漏洩の経路を究明することはもちろん重要です。
しかし、それと同じくらい重要なのは、企業が自らの情報資産について、どこまで把握し、管理し、責任を持っているのかという問題です。
サイバー攻撃を完全に防ぐことが困難な時代だからこそ、侵害を早期に検知し、被害の拡大を防止し、事実を明らかにする体制が求められます。
私たちは、GMOが2024年の3つのデータセットについて、現在に至るまで公式な説明を行っていないことを、重大な問題として受け止めています。
3つのデータセットが突き付けているのは、単なる侵害経路の問題ではありません。GMOが自社の情報資産をどこまで把握し、その保護と管理に責任を果たしていたのかという、企業のコンプライアンスそのものに関わる問題だと考えます。
最後に――犯人を追うこと、そして次の被害を防ぐこと
今回のサイバー攻撃事案について、警視庁が捜査本部を設置し、約70人態勢で捜査に臨んでいると一部で報じられています。
社会的にも広く知られる事件となり、その関心は、外部から攻撃を仕掛けた犯人の行方へ向けられています。
私も、当初はその基本的な認識に立って調査を進めてきました。
しかし、複数回にわたり第三者の立場から考察を重ねるうちに、一つの疑問を強く抱くようになりました。
それは、犯人を追い詰めることに重点を置く対応が、果たして将来の被害を防ぐことにつながるのだろうかという問題です。
GMOは事件発生当初から、犯人の特定や検挙につながる情報に対する懸賞金を大々的に打ち出していました。
懸賞金制度には、犯罪の解決や抑止に役立つ側面があります。
私などは、懸賞金と聞くと、米国の西部開拓時代を描いた西部劇の世界を思い浮かべてしまいます。日本社会では、必ずしも身近な制度とは感じられません。
しかし、社会に深刻な被害を与える犯罪集団が継続的に活動している場合、多くの人々から情報を集め、次の犯罪を防ぐための手段として、懸賞金制度には十分な価値があると考えています。
その一方で、今回のようにサイバー攻撃を受けた私企業が、自ら懸賞金を掲げて犯人の追跡を呼びかけることについては、慎重な検討が必要ではないでかと思うのです。
GMOがサイバー攻撃の被害者であることは間違いありません。その被害には同情すべきものがあります。更には、GMOの向こう側には、実被害を被った利用者がいます。
また、犯罪者の検挙を求めることも当然の権利です。
ただ、私が危惧しているのは、こうした対応が新たな報復攻撃を誘発し、結果として被害の連鎖を生む可能性です。
近年、生成AIの急速な発展によって、サイバー攻撃を実行するために必要な技術的負担は、徐々に低下しつつあります。
従来は専門的な知識や組織的な支援を必要とした作業の一部を、AIが補助できるようになっています。
私は、今後、特定の犯罪組織に属さないローンウルフ型のサイバー攻撃者であっても、従来より大きな攻撃能力を持つ時代が訪れることを危惧しています。
そのような時代に、私企業が高額な懸賞金を掲げ、犯人の追跡を大々的に宣伝した場合、一部の攻撃者がそれを挑発や敵対行為として受け止める可能性が無いとは言い切れないと思います。
2024年の春。
ロシア系ランサムギャングとして猛威を振るっていたLockBitグループが日本の警察庁を含む米英が中心となった摘発作戦により、壊滅的打撃を受けたと言われた時期でした。
それ以降も、いつものようにDarkWebに潜って観測を実施していた私は、ある日、衝撃的な発言に目が止まりました。それは、「自身らのブランドの復活と、米国とその周辺に対する徹底的な報復を行うという報復宣言」でした。
犯罪を犯す者を取り締まることは重要なことです。大変結構なことだと思います。そして、犯罪に用いられたシステムをはじめ、道具類を押収するのは当然のことです。
但し、それらをあたかも見せしめのように改ざんし、晒し、嘲笑するような行為を捜査当局が行うことに何の意味が見いだせるのか？当時は非常に疑問を感じていていました。
あの「報復宣言」を目にしたとき、私は、報復の連鎖を危惧していました。
ギャングに対して同じギャング目線で分析し研究する事は価値が有る行為だと評価します。但し、ギャングと同じ手法で挑発・報復するが如くの行為は、決して価値有るものと評価はできません。
私の悪い癖で横道にそれてしまいましたが…
報復の標的となるのは、懸賞金を掲げた企業だけとは限りません。
関連企業や取引先、さらには何の関係もないサービス利用者が巻き込まれる危険性も考えられます。
私は、サイバー犯罪への対処が、犯罪者と被害企業との対立を激化させる方向へ進むことを危惧しています。
もちろん、懸賞金制度が必ず報復を生むと考えているわけではありません。
問題は、犯人の検挙を目指す施策について、その効果だけでなく、新たな被害を誘発する危険性まで十分に検討されているかということです。
そして、今回のGMO事案について、私たちがもう一つ強調したいことがあります。
犯人を捕まえるための努力と同じくらい、自社の情報資産がどのように管理され、なぜ侵害を許し、何が外部へ持ち出されたのかを明らかにする努力が重要だということです。
2024年の3つのデータセットについて、私たちはGMOからの説明を確認できていません。
その問題を残したまま、社会の関心が犯人追跡だけに集中してしまうことを、私たちは危惧しています。
犯罪者の責任を追及することは必要です。
同時に、企業には、自らの管理体制を検証し、顧客や社会に対して説明を尽くす責任があります。
犯人を捕まえること。そして、次の被害者を生まないこと。
私は、この二つをともに見据える姿勢こそ、AI時代のサイバー犯罪に向き合う社会に求められていると考えています。
ネット探検ラボは、今後も第三者の立場から、確認できた事実と独自の考察を積み重ね、サイバー犯罪の実態を追い続けて行きたいと思います。
コメント