kikuring

＞【GMOハッキング事件、Xで広まっている話と実態】 ハッキングとセキュリティの領域に足掛け20年いて、今はセキュリティ会社の経営を生業にしています。 皆さまもお気づきかと思いますが、ここ最近のハッキング被害は異常です。 私がこれまでに経験した20年の中でも、ここまで短期間にサイバー攻撃の被害が続いた時期は記憶にありません。 恐ろしい時代に入ったと感じています。 AIを使った侵入ツールの登場で、これまで高度な技術が必要だった攻撃が、ずっと少ない手間でできるようになりつつあります。 中国製とされるARTEXというツールが、日本の企業約20社への攻撃に使われていたという報道もありました。 そんな中で起きた今回のGMOの件では、様々な誤解が広がっていることに不安を覚えています。 今回TBSの報道の中で情報が出ていたXアカウントですが、恐らく犯人か犯人グループの一員である可能性が非常に高いものです。 一方で、このアカウントは後述する理由により特定されることを前提に動いていた可能性が極めて高く（以前から一般人が見てもわかるレベルで犯人のような動きを繰り返していた）、このアカウントが特定されたからといって犯人の特定には大きく寄与しないものと考えています。 そして、今回のようなハッキングの手口は、一人が知っているだけでは防げません。 被害者のふりをして近づく、困っている人に声をかける、それらしい足跡を残して別の誰かに疑いを向けるなど、知っている人が多いほど通用しなくなります。 みんなで知っておくこと自体が、いちばんの防衛になると思っています。 誤った情報の拡散に加担しないためにも、背景から順を追って、できるだけわかりやすく書いておきたいと思います。 一部推測も含みますが、その点は推測と明示します。 長くなりますが、お付き合いください。 ①そもそも、なぜ犯人の情報が外から見られるようになったのか まず、テレビに映ったあのプログラムのような画面ですが、ログそのものではなく、分析した方が材料を並べ直して作った整理用のファイルです。 その上で、なぜこの記録が外から見られるようになったのかですが、10月23日の夕方、犯人は自身が制作した脅迫サイトのファイルを、丸ごと一つのzipファイルにまとめたことが確認できています。 Namecheapという会社の共有レンタルサーバーを使っていたため、通報が集まればサイト停止は免れません。そのため、より独立性の高い環境にサイトを移管したかったものと推測しています。 ただ、犯人はそのzipを、誰でもアクセスできる公開用のフォルダに置いたままにしていました。 しかも、そのフォルダの中身が一覧で見える状態になっていたことによって、そこから解析が広がりました。 その中にあった訪問記録を、分析した方がXの投稿と時系列で並べたものが、テレビに映った画面です。 補足：脅迫サイトを開く危険性について 余談ですが、この脅迫サイトには、見に来た人の情報を記録する仕組みが最初から入っていました。 記録されていたのは、IPアドレス、アクセスした時刻、使っているOSやブラウザの種類などです。 IPアドレスからは、契約しているプロバイダや、だいたいの地域が分かります。会社の回線から見れば、どの会社かも分かることがあります。 GMOの社員なのか、被害者なのか、報道や捜査の関係者なのかなども推測できますし、OSやブラウザの種類は、次の攻撃の下調べにも部分的に活用できます。 開いただけで名前や住所が分かるわけではありません。 ただ、犯人に自分の情報を渡し、相手の観察に協力してしまうことにはなりますので、怖いもの見たさで開くのはやめておいた方がいいと思います。 ②今回のXアカウントは何者なのか では、このXアカウントは何者なのでしょうか。 プロフィールの表示名はDominik、肩書きは自動売買ツールの会社のCEO・創業者となっています。 ただ、中身を見ると不自然な点が多くあります。 作られたのは2025年5月ですが、名前はRaymond、Alejandro A、Dominikと何度も変わっています。 今年2月から8か月ほどまったく投稿していなかったところから、事件のあった10月だけで190件ほど投稿しています。 プロフィールにある会社のサイトも不自然な点が多くあり、書かれている事業はいわゆるアービトラージbotで説明自体はそれらしく書かれている一方で、一方で運営会社の名前、代表者、住所の記載がなく、アプリを開くボタンや運用成績を見るボタンを押してもどこにも飛びませんし、シミュレーションという文字列が残っており、検索しても本サイト以外にこの会社に触れたものが一つも出てきませんでした。 看板として置かれているだけの可能性が高いと私は見ています。 しかも、犯人に関係しているとみられるアカウントは、ほかにも2つ存在しています。 一つは、2019年からあるナイジェリアで作られたアカウントを、攻撃者が購入ないしは乗っ取ったものとみられます。名前は同じくDominikです。 もう一つは日本人のアカウントですが、明らかに乗っ取りに見える挙動になっているため、これらに関してはここでの公開は控えます。 補足：なぜダークウェブではなくXを使ったのかについての仮説 余談ですが、なぜバレる危険を冒してまでXで動いたのかについて、ダークウェブでやればいいのではと思う方もいるかもしれません。 これは目的の違いだと考えており、ダークウェブは盗んだデータを売るための場所で、今回やりたかったのはGMOにお金を払わせることです。 そのためには被害者の怒りをGMOに向けさせる必要があり、一般人が見ることのできる媒体の中で最も拡散力の強いXを選択したのと考えています。 （そもそもXアカウントについても、購入した／乗っ取ったアカウントにVPN経由でアクセスされている場合、身元を特定することは非常に困難です） ③Xアカウントと事件の時系列 ここからは、実際にこのDominikのXアカウントがどのように動いていたのかを、時系列で整理します。 ■10月6日 8か月止まっていたDominikのアカウントが動き出しました。 最初に実施したのはGMO公式と熊谷代表のX投稿に対するリプライで、GMOの深刻なセキュリティ問題を非公開で報告したいという内容を送っています。 （これは、脆弱性を見つけた報告者を装って接触し謝礼を求めにいく、ベグバウンティ（to専門家：ハッカーが脅迫目的で実施するバグバウンティのようなイメージ）と呼ばれる手口の入り口だったと考えられます） ■10月7日〜8日 Dominikアカウントが課金して認証バッジを付けた上で、英語で「すぐ稼げるお金を探していないか」と声をかけ始めたり、エンジニアに「今どこかの会社で働いているか」と聞いたりしていることが確認できています。 ■10月14日の夜 利用者のサーバーから、手元のパソコンのファイル一覧が一斉に抜かれます。 ■10月17日 交渉用ページのドメインが取られます。 ■ 10月19日 GMOが調査を始めたとの報道があり、それと同じ日の夕方、このアカウントが日本語で、稼げる仕事の勧誘を始めています（後述） 夜には被害者フォーラムのドメインが取られました。 GMOが外に告知する前日です。 ■10月21日 犯人による脅迫が始まった日です。 朝4時、GMOが全サーバーの停止を始めると、昼前、犯人がGMOに最初の脅迫メールを送りました。 要求は、その日の17時までに5000万ドル（約80億円）を暗号資産で払え、というものでした。 夕方、ある利用者の口座から2秒で400万円超が消え、そこから口座の破壊が続き、21時13分、犯人がGMOに、すべて破壊した、とメール。 その3分後、日本人の乗っ取られたXアカウント（特定を防ぐために開示しません）が急に動き出し、熊谷代表などに、Xのリプライで顧客の資金が数百万ドル規模で失われている、と送り始めました。 ■10月22日 朝からXで被害報告が相次ぐなか、上記の乗っ取られたXアカウントとDominikアカウントが被害者50名程度に対して被害者フォーラムのURLを送りました。 そしてその後、犯人が被害者にGMOを訴えるのを支援すると一斉メールを送り、22時59分、Dominikアカウントが脅迫サイトを紹介しました。 ■ 10月27日 犯人が「情報提供者が前からGMOに何度も連絡していたのに無視された」と主張し始めます（10月6日の返信は、この主張と整合性がある） ④犯人との関係を疑う理由 ここまでの動きだけでも不自然ですが、さらに、判断の材料となる細かいボロの積み重ねについてもまとめました。 ActiveTKさんという方の素晴らしい調査結果からお借りしました。ありがとうございます。 ・役員と口座の持ち主にしか届いていないはずの脅迫メールの画像を、日本人の乗っ取られたとみられるアカウントが、届いてから5時間半後に貼っていたこと * このアカウントが貼った一斉メールのGmailスクショに、Gmailで受け取った人なら必ず出る「me」の表示がなかったこと * 2つのアカウントとフォーラムの書き込みが、5時間以上、1分も重ならずに交互に動いていたこと * フォーラムの最初の被害報告が、脅迫メールの口座とそのパスワードの一部を使ったでっち上げだったこと 一方で、後述する「bot」という共通項から、ここがバレても全く問題ないつもりで適当にやっていたんだなとも感じています。 犯人がGMOとの交渉用に作ったページは、10月19日の時点ではMultiBotという名前で、脅迫を始めた21日にBotFleetという名前に変わっており、このアカウントが誘導した被害者フォーラムサイトのアドレスにも「bots」という文字が入っています（アクセスするとIPなどが抜かれるため、掲載は伏せます） 他方、このDominikのアカウントについてですが、まず肩書きが自動売買botの会社のCEOです。 事件前から対象Xアカウントで自動売買botの開発者を募集しており、FX口座を溶かした手段も自動売買botなので、botという共通点が強く確認できます（今回の犯行において用いられたコードにも、何かしらの形で携わっていた可能性も考えましたが、自分だったら今回の実行用アカウントとは別のアカウントを立てて実施しますので、さすがにそこまで間抜けなことはしないのではないかと思います） 総じて、経験不足によるものというよりかは、このXアカウントが割れても全く問題ないと考えている、ある意味の余裕を感じました。 ⑤大半はAIで作られているが、人間のミスが目立つ 今回の痕跡を見ていると、AIで作ったように見えるものと、人間が急いで操作したことで生まれたように見えるミスがあります。 ・被害者フォーラム スレッドは200件以上ありますが、実はほとんどが同じ5本の使い回しです。 書かれているのは「2026年9月にデスクトップアプリが不正アクセスを受けてAPIキーが盗まれた」という、実際とはまるで違う事件の話でした。 注意事項も暗号資産向けの内容になっており、犯人も色々と確認する余裕のない状況だということが見て取れます。 ・脅迫サイト 同じページ内で数値の齟齬があったり、GMO宛ての日本語は直訳調なのに、被害者宛ての日本語だけ妙に自然になっていたりします。 内容をしっかりとレビューできていないことが伺えます（と共に日本人である可能性は低いのではないかとも考えますが、ここについては本当に一切確認する余裕がない状況だったかもしれないため、明言は避けます） 一方で、役員宛てのメールを被害者のふりをして配ったり、送った側の画面を受け取った画面として貼ったり、2つのアカウントを1人で切り替えていたりするところは、どれも人間が急いで回したところから出ているように見えるため、文章はAIでもうまく作れますが、オペレーション部分に関しては人間がやるしかなかったようで、そこでつまずいているのだと思います。 ⑥日本の集合住宅のIPアドレスは、本当に犯人のものなのか そして、同じくIPアドレスから特定が進みそうという話で盛り上がっています。 ただ、自分の見立てとしては、このIPアドレスは踏み台として使われた回線で、その利用者はむしろ被害者である可能性も十分にあると考えています。 そのため、ここについてもかなり慎重になった方がいいという意見です。 10月19日、GMOが調査を始めた日の夕方、Dominikのアカウントは「即金」や「副業」「お金に困っている」といったハッシュタグで投稿した人たちに、片っ端から返信していました。 内容は「稼げるお仕事の案件があるのでDMを送ってもいいか」というものです。 指示役がSNSで日本の手足を集める時の、ここ数年の闇バイトと同じ構図です。 何を頼もうとしたのかはわかりませんが、この文脈から入って日本の闇バイトでよくあるのは、「スマホや回線を貸すだけ」「口座を貸すだけ」「電話するだけ」といった類のものが多いです。 海外の犯人が日本で手足を集めていたなら、その誰かの家の回線を借りていた可能性があります。 お金を払って一般家庭の回線を借りるサービスもありますし、その場合、住人はむしろ回線を使われた被害者です。 落ち着いて考えると、分析で出ているのは、犯人らしき動きの中に、日本の集合住宅のような回線からのアクセスが混ざっていたというところまでです。 ここからの調査は一般人を傷つける可能性があるため、非常に慎重に動くべきだと考えています。 こういった偽装はハッキングにおいて基本中の基本とも言われる偽装手段です。 2012年のPC遠隔操作事件では、他人のパソコンが乗っ取られて犯行予告が送られ、無実の4人が逮捕されたこともありました。 この回線から見ていたのが本人なのか、本人が誰かの回線を借りていたのかは、外からは区別がつきません。 ただ、このアカウントが日本人に対して稼げる案件があると勧誘していたのは、その3日前のことであり、何かしらの関係性がある可能性も十分にあると考えています。 ⑦今回のハッカーは、本当に素人だったのか ネットでは、ハッカーはばかだ、素人だ、という声をよく見かけますが、準備と侵入は手慣れている印象を持っています。 侵入も1台ずつ破ったものではなく、10月14日の夜、利用者のサーバー10台のうち7台でほぼ同じ1秒に処理が動いており、全体を管理する側から、一斉に命令を出したとみられます。 使い捨てのメール、匿名のメッセンジャー、途中で変わる差出人の名前など、作業した端末も1台ではありません。 作業に使われたWindowsは英語版でしたが、表計算ソフトは中国語の画面のものでした。 これだけを見ると中国語圏の人に見えますが、こうした痕跡は調べられれば必ず見られるものなので、わざと中国語のソフトを使ったなど偽装の可能性も大いにあります。 犯人側の手作業とみられる動きは日本時間の深夜2時から朝7時のあいだに一度もないことから、日本と日本ないしは日本とそこまで時差のない環境である可能性もあります（もちろん、日本の生活リズムに合わせて生活した可能性も十分に考えられるため、ここはあくまでも事実に基づく仮説として置いておきます） 少なくともこれだけの時間が経ってもなおいまだに特定できていないことから、一定の技術水準を持っていると考えています。 一方で、上述した通り脅迫と世論工作の段階に入ってからがボロボロで、 ・被害者のふりをしたアカウントが、役員にしか届いていないメールを配ってしまった（GMO側から支払われないシナリオを想定していなかったため対策不足だった） ・2つのアカウントを1人で切り替えていたので、投稿時刻が一度も重ならない（単独実行の可能性を示唆してしまう） ・脅迫サイトのファイルをまとめたzipを誰でも見られる場所に置き忘れた（確認する余裕もないことが伺える） ・被害者フォーラムの中身は、実際とはまるで違う事件の話でAIに作らせてそのまま貼ったように見える（確認する余裕もないことが伺える） 仮に偽装が混ざっているとしても、これらは計画して残したものにしては出方があまりに雑に見えます。 しかも、犯人の動きはGMOの動きにその都度すぐ反応しており、GMOが調査を始めた10月19日の夜に被害者フォーラムのドメインを取って、GMOがサーバーを止めた10月21日のうちに脅迫を始め、GMOがパスワードの変更を呼びかけた10月22日の夜にはそれに反論するメールを被害者に送り、熊谷代表がブログを書いた翌日にはそれに反論する見解を出すなど、じっくり検討する時間もなく、場当たり的に対応していたように見えます。 こうした点から、脅迫や世論工作の筋書きを作っていたのは、かなり少人数か、単独の可能性が高いと私は考えています。 少人数で手を広げたため、ロジックを詰めきれずつじつまが合わなくなっていったというのは、前半の丁寧さと後半の雑さの差に説明がつくと考えます。 ⑧GMOの対応について、私の見解 GMOの対応については、ネット上でもさまざまな意見があります。 身代金の要求額は当初5000万ドル（約80億円）だったものの、100万ドル（約1.5億円）まで下がっています。 犯人はここまで下げれば払うだろうと見込んでいたのだと思いますが、それでもGMOは最初から最後まで一度も応じず、戦うという判断をしました。 払わなかったことは批判もされていましたが、結果を見ると、この判断は犯人をあぶり出すうえでかなり効いていたと私は考えています。 GMOが応じないので、犯人は圧力をかける手段を次々に増やすしかなくなった結果として、役員への脅迫、被害者へのメール、被害者フォーラム、被害者のふりをしたアカウント、要求額の引き下げ、個人情報の公開などの想定外の手数を増やすたびにボロが出ていき、28日のドメイン事業者からのドメイン停止もあり、犯人側が一時退避したという見方をしています。 そもそも、払ってもデータが消される保証はありませんし、身代金を払わないことは、警察や専門家が一般的に勧めている対応でもあります。 （もちろん、侵入を許したこと、社内で指摘されていた課題への対応が遅れたこと、個人情報の流出が発生したことに関しては、それとは別に問われるべきだと思います） ⑨最後に、皆さんに実践してほしいこと 最後に、自分ごととして持ち帰っていただきたい、すぐにできる対策を書いておきます。 参考にして、一つ一つ実践いただけると本望です。 ■一般の方へ 怖いもの見たさで、脅迫サイトや怪しいリンクを開かないでください。 開いただけで、IPアドレスや使っている端末の情報が相手に渡ることがあります。 事件のあとに、被害者の会や補償のサポートを名乗って近づいてくるアカウントは、まず疑ってください。 認証バッジは、お金を払ったという印で、身元の保証ではありません。このアカウントも課金してバッジを付けていました。 お金に困っていることをハッシュタグで書くと、こういうアカウントに見つかります。 知らない人からの「案件があります」という声かけは、入口だと思ってください。 使っていないSNSアカウントは、消すか、2段階認証をかけておいてください。 今回も、何年も放置されていたアカウントが工作に使われていました。 困ったらまずは、ChatGPT、Claude、Geminiのどれでも大丈夫なので、AIに詳細に状況を伝えて、相談するようにしてください（パスワードや口座番号などは入力しないでください） 実際にお金や情報の被害が出ているときは、AIより先に、警察のサイバー犯罪相談窓口や、利用しているサービスの公式窓口に連絡してください。 ■法人の方へ 「脆弱性を見つけたので非公開で話したい」という連絡には、善意の報告と、謝礼目当てのベグバウンティと呼ばれるものが混ざっています。 受け付ける窓口とレポートライン、対応ルールを、先に決めておくことが大切です。 会社の回線から見るとどの会社の誰が反応しているかを相手に教えることになるため、社員さん達が脅迫サイトや犯人の関連サイトを会社の回線から見に行かないよう、周知してください。 使い終わったサーバーやアカウントを放置しないでください。 残っているものは狙われると考えておいた方がいいと思います。 ■リモートデスクトップを使う方へ 接続設定で、手元のPCのドライブを共有する項目がオンになっていないか確かめてください。 オンだとつないだ先のサーバーから自分のPCのファイルが見えます（今回はそこから利用者の手元のファイル一覧が抜かれていました） 最後まで読んでいただき、ありがとうございました。 冒頭にも書きましたが、こうした手口は、一人が知っているだけでは防げません。知っている人が多いほど、通用しなくなります。 ご家族や職場の方、FXやリモートのサーバーを使っている知り合いなど、届いてほしい人がいれば、ぜひ拡散していただけたらうれしいです。 それがそのまま、誰かを守ることにつながると思っています。