GMOが「サイバー犯罪撲滅・懸賞金」1.5億円を設定。6時間で113件、評価は割れたまま

GMOインターネットグループの不正アクセス事件をめぐり、同社が「GMOサイバー犯罪撲滅・懸賞金」として設定した総額100万ドル(約1.5〜1.6億円)の懸賞金をめぐり、評価が分かれている。10月28日正午に専用の情報受付サイトを開設すると、わずか6時間で113件の情報提供が寄せられた(読売新聞の報道)。「民間企業が犯罪者の特定に自ら懸賞金を設定する異例の対応」と評価する声がある一方、「技術の問題じゃなくて、単なる経営責任の問題。懸賞金で解決する話ではない」という指摘も拡散されている。知恵袋では「GMOはどんな会社?」という質問が複数上がり、事件の全体像を知りたい読者の関心が集まっている。

事件と対応の基本情報

何が起きたのか。10月7日から11月2日までの経緯

10月7日、GMOは「お名前.com デスクトップクラウド」への不正アクセスにより、一部顧客の個人情報が流出した可能性があると公表した。流出にはクレジットカード情報が含まれるとされ、その後の調査で約10万人分に上ることが判明した。

10月26日、熊谷正寿会長兼社長は「FX関連のサービスへの不正アクセス」を受けたことも明らかにし、攻撃者側から5,000万ドル(約80億円)の金銭を要求されていたことを公表した。要求には応じておらず、金銭の支払いも行っていない。

10月27日正午、攻撃者側が顧客情報の公開とランサム攻撃を予告する期限を迎えた。GMOはこれに先立つ同日、「要求には永久に応じない」と表明。同日に「GMOサイバー犯罪撲滅・懸賞金」の創設を発表した。総額100万ドルの懸賞金は、攻撃者の特定・逮捕につながる情報提供が対象で、日本語・英語・中国語で受付する。あわせて、情報公開による被害者への「GMO特別お見舞金」(1公開につき上限300万円)も設けられた。

10月28日正午に専用サイトで情報受付が開始されると、読売新聞の報道では「開始から6時間で有力情報が寄せられる」状態になり、TBS/Bloombergの報道では6時間で113件の情報提供があったと伝えられた。

11月2日には熊谷会長兼社長が緊急記者会見を開き、事件の経過と今後の対応を説明した。影響の可能性があるサーバーは26,739件に上ること、FX口座の不正操作による被害も発生していたことが明らかにされた。

割れた両論①。「異例の対応。機能している」という評価

懸賞金の設定を支持する声は、3つの理由を挙げる。

1つ目は、警察の捜査を待つだけでは攻撃者を特定できない可能性があること。事件は国際的なサイバー犯罪の構図を含み、捜査の難易度は高い。「警察そっちのけでGMOは犯人の情報に1.5億円の懸賞金かけて血眼で捜査してるらしい」という投稿は2,922いいねに達し、民間が独自に動き始めた状況を伝えた。

2つ目は、実際に動いていることだ。開始6時間で113件の情報提供があり、「機能している」ことを数字が示した。懸賞金制度の対象は国内外の個人・法人で、対応言語も日本語・英語・中国語と広げられており、国境を越えた攻撃者に対する民間の包囲網として設計されている。

3つ目は、身代金に屈しない姿勢だ。80億円の要求に対し「永久に応じない」と明言し、代わりに犯人特定への懸賞金という形で金を使った。「身代金を払うと次の攻撃を招く」というサイバー犯罪の定石に沿った対応と評価されている。

割れた両論②。「経営責任の問題。懸賞金で解決する話ではない」という批判

その一方で、批判は事件の「起点」に向いている。

「セキュリティの専門家とかがいろいろ言ってるんですけども、GMOの問題って技術の問題じゃなくて、単なる経営責任の問題だから、そこから見ていかないと何の意味もありませんよ。間違っても懸賞金で解決しようとしないでほしい」という投稿は116いいねに達した。10万人分の情報が流出したこと自体が経営の問題で、懸賞金は事後の対処にすぎない、という立場だ。

「派手な対応ばかりが注目されている印象。ただ一番の問題は」と、会見の整理を試みる投稿も出ており、懸賞金や「身代金に屈しない」という姿勢の派手さが、流出の原因究明や再発防止の議論を覆い隠していないか、という懸念が批判側の中心にある。

また、警視庁が立案捜査を進める中で、民間企業が独自に懸賞金を設定し情報を集めることの適切さを問う声もある。捜査と民間調査の線引きは、これから問われ続ける論点だ。

専門家の分析。「AIを使った素人の可能性」

事件の分析では、攻撃者の像について意外な指摘が出ている。金銭要求が80億円から1.6億円程度へと大幅に減額されたこと、要求の内容や行動パターンから、専門家は「攻撃者はAIを使った素人である可能性がある」と分析している。高度な技術を持つ組織的な攻撃者であれば、減額交渉の仕方や公開の手順が異なるはずだ、という見立てだ。

もし「AIを使った素人」が巨額の要求を行ったという構造が正しければ、この事件は「AIがサイバー犯罪の参入障壁を下げた」事例として、被害の規模とは別の意味で記録されることになる。

GMOはどんな会社。知恵袋で繰り返されている質問

知恵袋では「GMOって何ですか?」「個人情報を人質に取られているGMOとはどんな会社ですか?」という質問が複数上がっており、一般読者にとって馴染みが薄い可能性がある。GMOインターネットグループは、ドメイン登録サービス「お名前.com」、レンタルサーバー、FXの「GMOクリック証券」、暗号資産取引など、インターネットインフラから金融まで幅広い事業を展開する企業グループだ。今回の不正アクセスは、このうちFX関連のサービスと「お名前.com デスクトップクラウド」で発生した。

「のほほんと暮らしている一般庶民にも関係のある問題ですか?」という質問に対する答えは、「ドメインやサーバー、決済を互联网サービスに預けている企業・個人は広く影響を受けうる」になる。今回の流出が自分に影響するかは、利用しているサービス次第だ。

Xでの反応

民間の独自調査が動き出した状況を伝える投稿が2,922いいねに達した。

日テレの番組も「『犯人』特定へ独自調査する人々」と題して扱い、テレビでも民間調査の動きが報じられている。

会見の整理を試みる投稿には、「派手な対応ばかりが注目されている印象」という指摘が含まれていた。

経営責任を問う立場からの投稿も並走している。

よくある質問

まとめ。11月3日時点で確認できていること

• GMOの「お名前.com デスクトップクラウド」への不正アクセスで約10万人分の情報流出の疑い。10月7日公表
• 攻撃者から80億円の要求があり、GMOは「永久に応じない」と表明。代わりに懸賞金100万ドル(約1.5〜1.6億円)を設定した
• 懸賞金の受付開始から6時間で113件の情報提供があり、民間の包囲網は「機能している」ことが数字で示された
• 一方で「流出したこと自体が経営の問題。懸賞金で解決する話ではない」という批判が並走している
• 損失の全額補償と被害者への「特別お見舞金」(上限300万円)が公表されている
• 専門家からは「要求額の大幅減額から、攻撃者はAIを使った素人の可能性」という分析も出ている(確定情報ではない)
• 警視庁の立案捜査と民間の懸賞金調査が並走しており、捜査と民間調査の線引きは今後も問われる