【第7報】お名前.comデスクトップクラウド、攻撃者が10月27日正午に情報公開とランサムウェア攻撃を予告｜利用者端末を回収し解析

GMOインターネットグループとGMOインターネットは10月26日夜、「お名前.com デスクトップクラウド」への不正アクセスについて第7報を出しました。攻撃者とみられる者から、10月27日（火）12時に「顧客の情報の公開」と「ランサムウェア攻撃」を行うという予告を受けていることを明らかにしています。

GMOは利用者の端末を全国で預かって解析を始めており、対策が分かりしだい個別にメールで知らせるとしています。同じ日の21時には第6報で、利用者へのお願い4点を改めて示しました。この記事では、第6報と第7報で新たに分かったことを整理します。これまでの経緯は第5報の記事をご覧ください。

第6報・第7報で新たに分かったこと
10月27日12時の予告について
第6報：利用者へのお願い4点
これまでの経緯
問い合わせ先
公表内容から読み取れること（考察）
関連記事
まとめ
出典

第6報・第7報で新たに分かったこと

項目	内容	出典
攻撃者の予告	10月27日（火）12時に、顧客の情報の公開とランサムウェア攻撃を行うと予告	第7報
端末の解析	調査への協力を申し出た利用者の端末を、GMOの担当者が全国で預かり、グループのホワイトハッカーチームが解析中。マルウェア（ランサムウェアを含む）が仕掛けられているかも確認	第7報
今後の連絡	利用者がやるべき対策が分かった場合、利用者へ個別にメールで連絡し、お知らせのページでも公表	第7報
対応方針	攻撃者の要求には応じない。応じても情報の削除や不正利用の防止は保証されないため。警察などと連携して対応	第7報
利用者へのお願い	端末のフルスキャン、バックアップ、アカウントの保護、調査への協力（任意）の4点	第6報

第7報は10月26日23時10分時点の内容です。調査への協力を依頼した日付は、当初「10月23日」と書かれていましたが、10月27日0時20分に「10月25日」へ訂正されています。

10月27日12時の予告について

第7報によると、予告の内容は「お客様の情報の公開」と「ランサムウェア攻撃」です。GMOは、利用者を少しでも守るために、現在の取り組みを公表したと説明しています。どの情報が公開の対象なのか、ランサムウェア攻撃が誰に向けられたものなのかは、発表には書かれていません。

GMOは、要求に応じない方針をあらためて示しました。10月21日に受け取った脅迫メールでは、約80億円が要求されています。

第6報：利用者へのお願い4点

第6報は、二次被害と被害の拡大を防ぐためのお願いを4点にまとめたものです。

1. 端末のフルスキャン

お名前.com デスクトップクラウドに接続したパソコンやスマートフォンを、ウイルス対策ソフトで「フルスキャン（完全スキャン）」してください。クイックスキャンではなく、フルスキャンを求めています。

2. データのバックアップ

写真や文書などの大事なデータを、ネットワークから切り離した状態で、外付けハードディスクなどにバックアップしてください。

3. アカウントの保護

以下の操作は、別の安全な端末から、公式サイトで行うよう求めています。メールやSMSのリンクは使わないでください。

すべての端末・セッションからログアウトする（取引先のマイページや窓口で切断）
FX・証券・メール・Googleなどのパスワードを変更する
多要素認証を有効にする
心当たりのない連携アプリ、転送設定、拡張機能、登録端末を削除する
点検が終わるまで、ブラウザの同期をオンにしない

4. 調査への協力（任意）

不正な操作があった可能性のある利用者のうち、協力できる人からパソコンを借りて調査します。調査するのは本件に関係する記録だけで、貸し出しの前に、調査の範囲やデータの扱い、返却方法を書いた確認書が案内されます。

GMOは、パスワードや認証コードを尋ねることはないとしています。「被害金を取り戻す」などと費用を求める連絡にも応じないよう注意を呼びかけています。

これまでの経緯

日付	内容
10月21日（水）	サービスを停止。不正アクセスの第1報。脅迫メールを受信（約80億円の要求）
10月22日（木）	警察に相談
10月24日（土）	お見舞金の支払い、損失の補償、代替サービスの提供を決定（第4報）。能動的サイバー防御の適用を政府関係機関に要請。セキュリティ対策のお願い（第5報）
10月25日（日）	利用者に端末調査への協力を依頼
10月26日（月）	預かった端末の解析を開始。第6報・第7報を公表

問い合わせ先

お問い合わせフォーム：https://help.onamae.com/contact/
電話：03-5456-2560（土日・祝日を含め24時間）

公表内容から読み取れること（考察）

ここからは、公式発表をもとにした筆者の考察で、推測を含みます。

「顧客の情報を公開する」という予告は、攻撃者が利用者の情報をすでに持っている可能性を示しています。ただし、実際に何が取られたのか、本当に公開されるのかは分かりません。公開された場合には、その情報を使って利用者に連絡してくる詐欺が増えることが考えられます。GMOや捜査機関、弁護士などを名乗って費用を求める連絡には、第6報の注意どおり応じないことが大切です。

GMOが利用者の端末を回収して解析しているのは、仮想デスクトップだけでなく、そこに接続した手元の端末にもマルウェアが仕掛けられた可能性を調べるためとみられます。予告されているランサムウェア攻撃の対象は明らかにされていませんが、第5報から続く「フルスキャン」と「ネットワークから切り離したバックアップ」は、まさにランサムウェアへの備えです。まだ済ませていない利用者は、予告の時刻より前に終えておくことをおすすめします。

予告された時刻以降の状況は、GMOの続報を待つ必要があります。続報が出たら、別の記事でお伝えします。