はじめに
この記事は、「お名前.com デスクトップクラウド」の不正アクセスについての、続報の3本目です。
前回の続報では、侵入経路は未公表で、脆弱性の観点で学べることは「まだ」ないと書きました。その後、11月2日に、GMOが記者会見を開き、侵入経路の骨格が、初めて説明されました。この記事では、会見で分かったことと、まだ分からないことを、分けて整理します。
姿勢は、これまでと同じです。本線は、一次情報です。会見は、公式の文書が見当たらなかったため、「会見での発言」として、複数の報道を突き合わせて書きます。それ以外の情報は、客観的に扱い、事実としては断定しません。
この記事は、2026年11月7日時点の内容です。そして、この件の追跡は、いったんここで区切ります。 理由は、最後に書きます。
公式の動き(11月6日まで)
GMO公式の一覧で、最新は、11月6日の「お客様へのご案内(補償について)」です。第17報など、番号のついた報は、出ていません。
- 契約者への個別の連絡を、11月6日から始めたと書かれています。
- 補償の具体的な内容(申請方法、必要書類、受付期間、支払い時期)は、公開ページには載っていません。 「詳細は第4報を確認」とあり、個別の連絡で案内する形です。
- 原因や調査の結果は、書かれていません。警察等との連携を続ける、とあります。
11月2日の記者会見で分かったこと
会見には、熊谷会長兼社長、山下副社長、伊藤社長が出席しました。以下は、会見での発言として報じられた内容で、複数の報道で一致している点です。
侵入経路の骨格
| 日付 | 会見での説明 |
|---|---|
| 8月5日 | 攻撃者が、顧客のリモートデスクトップ(VPS)に侵入し、管理者アカウントを盗んだ |
| 8月17日 | 盗んだ管理者権限で、GMOの管理サーバーに侵入した |
| 9月20日〜10月14日 | 管理サーバー経由で、顧客のVPSにマルウェアを配布した |
| 10月19日〜20日 | 顧客の問い合わせで調査を始め、10月20日に確認した |
- 管理者アカウントの具体的な取得手口は、非公表です。山下副社長は、同様の攻撃を招くおそれがあるため、と説明したと報じられています。
- 管理サーバー経由の配布に、10月20日まで気づけなかったことについて、「サービスの監視で気づけなかった」と受け止めていると述べたと報じられています。
2024年の指摘について
10月31日に、日本経済新聞が、「2年前に脆弱性を把握していた」と報じていました。会見では、GMO自身が、次のように説明したと報じられています。
- グループのセキュリティ会社(GMOサイバーセキュリティ byイエラエ)が、2024年4月24日に、システムの改善点を報告していた。
- GMOは、2024年4月26日から5月20日に、緊急メンテナンスを4回行った。ただし、「深さと速さが不足していた」と認めた。
- 伊藤社長は、当時の報告には、個人の端末へ影響が及ぶ可能性は含まれていなかった、と説明した。
その他
- 役員4人が、報酬を減額する、と報じられています(月額報酬の30%を3か月)。
- 熊谷会長は、事件後のSNSへの投稿について、謝罪しました。
- 攻撃者が開いたとされるサイトは、10月28日に停止した、という経緯が、改めて説明されました。懸賞金への情報提供は、会見の時点で約700件と報じられています。
- 金銭の要求には応じない、という方針も、改めて示されました。
会見でも分からなかったこと
- 管理者アカウントの、具体的な取得手口(非公表)。
- 監視をすり抜けて、長期間、気づけなかった理由(今後、検証する、と報じられています)。
- 2024年の指摘の内容と、今回の侵入で使われた弱点の関係。 同じかどうかは、明らかになっていません。
- 攻撃者を名乗る者の声明の主張(共通の管理者権限など)の真偽。
- 公開された情報の範囲と、不正取引の件数・総額。
- 攻撃者の特定。
未確認として扱う点
- ドライブリダイレクト(リモートデスクトップのドライブ共有): 報道の間で、扱いが食い違っています。「初期設定で有効だったと、会見で認めた」と読める要約がある一方、会見の詳報や別の報道では、「言及がなかった」とされています。この記事では、未確認として扱います。 速報で書いたとおり、公式ガイドには、RDPファイルで接続する場合は、ファイルの共有があらかじめ設定されている、という記載がありました。これは、設定の確認であり、実際に何が起きたかは、別の話です。
- Active Directory: 会見の報道には、言及が見当たりません。
- 熊谷会長の、AIを使った攻撃ツールに関する発言: 本人の主張として報じられています。検証はされていません。
利用者と第三者が、いま確認できること
- 利用者: 補償の案内は、個別の連絡で届きます。公式の注意のとおり、GMOが、メールや電話で、パスワードや認証コードを尋ねることはありません。 補償を装った連絡には、注意してください。相談窓口は、お問い合わせフォーム、または電話(03-5456-2560、24時間受付)です。
- 第三者: 会見で認められた、運用・統治の観点の事実は、次のとおりです。
- 事前の指摘があり、対応が「不足していた」と認めたこと。
- 長期間の侵入に、サービスの監視で気づけなかったこと。
ただし、侵入の技術的な手口は、非公表のままです。「同じ構成の自社は、何を点検すればよいか」という形の学びは、まだ、根拠のある形では、引き出せません。
この件の追跡を、いったん区切ります
この件について、これ以上、新しい情報が出てくることは、期待しにくいと判断しました。会見で、侵入経路の骨格は説明されましたが、手口は、捜査への影響を理由に、非公表です。
そこで、この件の追跡は、いったんここで終わりにします。 今後、侵入経路や手口が明らかになった場合は、そこから学べることを、あらためて、別の記事にまとめます。
更新履歴
- 2026年11月7日:初版。
出典
GMOの公式発表:
11月2日の記者会見を報じた記事(いずれも報道。会見の発言の引用):
過去の記事:
コメント