connect24h

サイバーインシデント演習で、「社長が勝手にSNSで発信して止められない、政府や警察にも迷惑をかけている」というシナリオを追加しなければいけないかな

GMOの犯人像がある程度絞れたので公開いたします。6000文字程度ありそうなので、長いですがお許しください。本事案について、これまでに自分で行った攻撃者サイトの解析と、他の方が公開された調査・フォレンジック解析を突き合わせて再考察した結果、私の結論は次のとおりです。 現時点で最も確からしいのは「日本を主な活動拠点とする非国家の単独〜少人数アクターが、金銭目的とGMOへの強い不満を動機として実行した」という仮説です。一方で話題になっている北朝鮮（PurpleBravo）関与説は、インフラ上の接点こそあるものの実行犯の特定としては最も弱く、現段階で「北朝鮮が犯人」と断定的に語るのは早計だと考えています。 そして、どの仮説が正しいかにかかわらず、追うべきは犯人の年齢・性別・国籍といった人物像ではなく、キーとなるIPアドレスと作者指紋をたどる「導線」だというのが私の立場です。 理由は、集まった証拠に明確な「非対称性」があるからです。今回の材料には、引っ張る方向が逆の二つの証拠群が混在しています。 ひとつは日本国内の消費者回線や日本の業界知識を示す証拠群、もうひとつは海外のタイムゾーンや簡体字環境、北朝鮮が多用するVPNを示す証拠群です。 一見すると両者は矛盾しますが、中身を精査すると性質が異なります。前者は「人がどこにいて、何を知っているか」を示しやすい証拠であるのに対し、後者の多くは「どんな道具や基盤を使ったか」で説明がついてしまう証拠です。 タイムゾーンはサーバやVPSの既定設定で簡単に変わり、ソフトウェアのUI言語は入手経路で決まり、翻訳の癖はLLMや翻訳ツールの併用で生じ、商用VPNは誰でも契約できます。 対して、運営者の作業痕と見られる国内の物理回線は、詐称するために住宅用プロキシや踏み台を用意する必要があり、相対的にコストが高い。つまり後者は「環境の味付け」、前者は「人の居場所」を示しやすい。この重みの差が、私が仮説の確度に差をつける根拠です。 加えて、攻撃のスタイルそのものが国家支援型アクターの典型像と噛み合いません。 名指しの晒しサイト、恨み節の文面、被害ブランドを騙った挑発的なタイトル、バグバウンティを揶揄する画像、そして匿名化の荒さ。 国家系の金銭目的アクターであれば、もっと静かに、もっと痕跡を残さずに金銭を得ようとするはずです。今回の犯行は、技術的には一定の水準にありながら、運用上のセキュリティ（OPSEC）は素人寄りで、感情的な動機が色濃くにじんでいます。 まず、自分自身の解析から確認できた事実を整理します。 攻撃者は晒しサイトとして二つのドメイン（以下、サイトA・サイトB。ドメイン名は拡散防止のため伏せます）を運用していました。いずれもNamecheapで取得され、同社の共有ホスティング上でLiteSpeedとPHP 8.2.35が動作し、証明書はSSL[.]comから発行されていました。 二つのサイトはページ構成、タイトル（「通告 — onamae[.]com desktop cloud」）、配布されている証拠物が完全に一致し、互いにリンクし合い、同一のTor（.onion）アドレスを共有しています。 このことから、同一犯によるテイクダウン対策のミラー構成だと判断しました。決定的なのは時系列で、サイトAは2026年8月27日、サイトBは8月31日に取得されています。 GMOが顧客からの問い合わせで異変を把握したのは10月19日ですから、攻撃者は発覚の約7〜8週間前の時点で、すでに「盗んだ後に晒す」ための舞台を用意していたことになります。 これは衝動的な犯行ではなく、侵入、窃取、脅迫、暴露までを設計した計画的なオペレーションであったことを示しています。 次に、GMOの公式開示から確認できる被害の性質です。 影響の可能性があるサーバは26,739件にのぼり、サーバ内に保存されていたFX・証券取引ツール（MT4/MT5など）の口座ログイン情報が窃取され、国内外70社を超える証券会社・FX会社の口座で不正操作が行われました。 攻撃者はGMOに金銭を要求し、応じなければ口座への不正操作の継続、利用者情報の公開とランサムウェア攻撃、GMOの内部情報の公開を行うと予告しています。 従来の「暗号化＋暴露」という二重恐喝に、「利用者の金融資産そのものを直接毀損する」という第三の圧力を加えた点が、この事案を前例のないものにしています。 GMOが政府に対して「能動的サイバー防御」の発動第1号としての対処を具申したのも、この特異性ゆえだと理解しています。 ここに、他の方が公開されたフォレンジック解析の知見を重ねると、侵入経路の解像度が大きく上がります。 解析によれば、攻撃者は自ら「VPSを契約すればいいだけ」と記述しており、スクリーンショットに写る net localgroup の出力などから、正規の顧客としてデスクトップクラウドのVPSを購入したことが入口だったとされています。 そこから fcwsus を経由し、dc\ops という共有の認証情報を使ってテナントの境界を越え、横展開したというのです。 私は当初、26,739件という影響規模から「個別の侵害ではなく、基盤や管理面レベルでの一括侵害」と推測していましたが、この記述が事実であれば、正規契約の一テナントとして内側に入り、共有Active Directoryとテナント分離の弱さを突いて全体に波及させたという、技術的に筋の通った一本の道筋が見えてきます。これは共有型のRDP・VDI基盤を提供するすべての事業者にとって重い教訓です。 そのフォレンジック解析で私が最も重要だと考えるのは、au ひかり（KDDI）回線からのアクセスです。 10月23日の15時55分から18時50分（日本時間）にかけて、39回のバーストで体系的な動作試験が行われており、HeadlessChrome、Wget、通常のChromeを組み合わせたアクセス構成、5分間隔の定期実行、トップページと index.php の両方を網羅する挙動、対話的に調整した痕跡がそろっています。 他の訪問者の多くが単発のアクセスにとどまっている中で、この回線だけが質的に異なる振る舞いを見せており、解析者は運営者の作業環境である確度を85〜90%と評価しています。私もこれが現時点で最も重い物証だと考えます。 さらに、作者を照合するための「指紋」も複数見つかっています。 攻撃者が公開した accounts.xlsx などのExcelファイルのメタデータには、WPS Officeの文書識別子（ICV）が残っており、同じ識別子を持つ別の文書があれば同一作成者だと決定的に照合できます。 作成者名は「Logitech」で、Windowsのアカウント名かWPSのニックネームである可能性があります。 WPSのアカウントに由来するものであれば、開発元のKingsoftへの照会によって、メールアドレスや接続IP、保存文書の一覧が得られる可能性があり、これは第四の照会先になり得ます。 ほかにも、アクセス解析用スクリプト（track.php）でソルト文字列が初期値のまま放置されている癖や、ボット判定の正規表現の語彙、被害PCからデータを抜き出すツールの出力形式（C:\ProgramData\USOShared\RdTmp\ 配下への出力、UTF-8のBOM付き、独特の一覧書式）、そして「電話もした。メールも送った。URLも渡した。返事は一度も来なかった。」といった固有の言い回しがあります。 これらは、別名義で行われた過去や将来の犯行を同一犯として結びつける手がかりになります。 一方で、北朝鮮関与説の根拠となっている調査も検証しました。 晒しサイトの訪問ログの冒頭57秒間に記録された二つのIPアドレスが、Recorded Future社のレポートで北朝鮮系の脅威クラスタ「PurpleBravo」がC2サーバの管理に使ったと報告されたAstrill VPNのノードと一致した、という指摘です。 PurpleBravoが実在するクラスタであること、北朝鮮のアクターがAstrill VPNを多用していることは公開情報で裏付けが取れます。この照合自体は価値のある発見です。 ただし、私はこれを実行犯の特定とは見ていません。 第一に、PurpleBravoの既知の手口は、偽の求人やコーディング面接を装って開発者にインフォスティーラーを仕込み、静かに窃取や諜報を行うというもので、ホスティング基盤をRDPとAD経由で大量侵害し、劇場型の恐喝を行う今回の手口とはまったく別物です。 第二に、訪問ログに記録されたIPは「訪問者」であって、必ずしも「運営者」ではありません。 第三に、Astrillは商用の共用VPNであり、同じ出口ノードを多数の利用者が時間差で使っています。付録Cとの一致が意味するのは、厳密には「過去に北朝鮮系の通信で使われたことのある共用ノードを、晒しサイトの訪問者も使った」というところまでです。 また、「中国語の要素があるが、北朝鮮は中国のインフラを使うので矛盾しない」という推論は、中国系アクター説でも北朝鮮説でも同じ証拠を説明できてしまうため、二つの仮説を区別する力を持ちません。整合することと支持することは別だという点には注意が必要です。 以上を踏まえ、私は三つの可能性を考えています。 一つ目は、日本を主な拠点とする非国家の単独〜少人数のアクターによる、金銭目的とGMOへの怨恨を動機とした犯行という可能性です。私はこれを最有力と見ています。 au ひかり回線からの運営者の作業痕、日本の個人向けFX業界の業者名に関する知識、GMO役職員の私用メールアドレスまで事前に調べ上げるOSINT、劇場型で恨み節の強い文面、弾幕のような防御を置かず匿名化も荒いOPSEC、そしてVPSを正規に購入するという素朴な入口。 これらは、実際にGMOとサポートや取引でやり取りをし、不満を募らせた個人や元関係者という像とよく符合します。「返事は一度も来なかった」という文面は、その接触が実在した可能性を示唆しています。簡体字UIのWPSやUTC+7の環境は弱点として残りますが、道具やVPSの既定値で説明がつきます。 この仮説を格上げするには、KDDIへの契約者照会、WPSの識別子からのKingsoft照会、GMOのヘルプデスクや取引記録との突き合わせが鍵になります。 二つ目は、東アジアまたは東南アジアを拠点とする、北朝鮮とは無関係の小集団による犯行という可能性です。確度は中〜低と見ています。 samples[.]zipを梱包したLinux機とサーバのPHP設定の両方でUTC+7が反復していること、OSの時計がUTC−4であること、WPSが英語版の国際ビルドでありながらUIは簡体字であること、英文に冠詞や語順の誤りがあり、和文に「約74億万円」（翌日に訂正）、「返答えなかった」、「各アドレスにずつ」といった誤りがあって、英文を先に作って日本語に訳した構造をしていること、ロシア系やインド系の偽名を使い分けていること。 さらに、同じ日に台帳作成用のWindows機、梱包用のLinux機、動作試験用の機械など複数の環境が並行稼働していることから、フォレンジック解析は構成員を2〜4名と推定しています。 役割分業の痕跡はチーム説と相性が良いものの、日本国内の物理回線からの運営者操作をどう説明するかが最大の課題で、住宅用プロキシや踏み台、あるいは日本在住の協力者を想定する必要があります。 三つ目は、北朝鮮など国家支援型アクターの関与という可能性です。完全には排除せず保持しておくべきですが、三つの中では最も弱いと考えています。 Astrillノードの一致、中国インフラや中国語の要素、大規模な金融標的、複数のタイムゾーンでの運用は支持材料になり得ます。 しかし、PurpleBravoの手口との不一致、国家系にしては杜撰すぎる匿名化、公開情報だけで第三者に足取りを追われてしまう脇の甘さ、そして日本の消費者回線からの運営者痕とは噛み合いません。 もしこの仮説が成り立つとすれば、北朝鮮系が主犯として恐喝を行ったのではなく、IT労働者やアクセスブローカー系の上流で侵入経路を確保し、それを別の恐喝グループが買い取った二層構造であるか、既知の北朝鮮系ノードをあえて経由した偽旗であるか、あるいは単に共用VPNのノードを偶然同じくしただけ、という形でしか整合しにくいと考えます。 なお、一つ目と二つ目は「単独か小集団か」という規模の軸で地続きになっており、一人の人物が複数の環境を使い分けていた可能性も完全には排除できません。 改めて結論を述べると、私は「日本を拠点とする非国家アクターによる、金銭目的と怨恨を動機とした計画的な恐喝」を最有力と考え、東アジア・東南アジア拠点の小集団説を対抗、北朝鮮関与説を最も弱い保留仮説と位置づけます。 ただし、この確度の配分はあくまで現時点の証拠の重み付けにすぎず、新しい一次情報が一つ出るだけで容易に入れ替わり得るものです。 そして、どの仮説が正しいとしても、取るべき次の一手は共通しています。 フォレンジック解析の方も皮肉を込めて書いていたとおり、年齢は10代かもしれないし50代かもしれない、性別も住む地域も母語も決め手がない。人物像のプロファイリングからは何も絞れません。信じられるのはキーとなるIPと、作者の指紋です。 具体的には、au ひかり回線についてのKDDIへの契約者照会、Namecheapの同一アカウントに紐づく両ドメインの契約者・決済・管理履歴の照会、不正注文の発信元となったOVHのサーバ、共有ホスティングのcPanelとサーバログ、SPFレコードを手がかりにした発信メールのReceivedヘッダとの突き合わせ、そしてWPSの文書識別子を起点としたKingsoftへの照会です。 これらを、内部ログを持つGMO自身の調査、警察やJPCERT/CCとの連携、各事業者への正式な照会と束ねたときに、初めて点が線になります。 外部からの公開情報による調査は、内部ログを持つフォレンジックに勝るものではありませんが、攻撃者が自ら外に作ったインフラを横断的に把握するという点では補完的な役割を果たせると考えています。 最後に、本稿は自身の解析と公開情報をもとにした考察であり、特定の個人、国家、既知グループへの帰属を断定するものではありません。犯人の特定と検挙は、正式な照会と捜査機関の領域です。関係者の皆さまの対応が実を結ぶことを願っています。 #GMO #gmo不正アクセス 正式な続報は代表と公式アカウントをチェック！ @m_kumagai @GMOGroup テレビだとTBSの「THE TIME,」さんがおススメです！ @tbsnewsdig @THETIME_staff

【追記レポート】GMO事案の訪問ログと「北朝鮮プロハッカー部隊」の接点 前回の投稿（ nitter.cf/hikarine3/status/21150… ）で資料内の中国語要素を指摘しましたが、今回は一時的に外部から閲覧可能な状態にあった訪問ログの記録を確認し、アクセス元IPを国際的な脅威インテリジェンスと照合しました。 分析をさらに深めるための、確認できた事実と検証仮説を共有します🕵️‍♂️💻 🚨 1. ログ冒頭57秒間のアクセスと、公開脅威レポート掲載IPとの一致 確認できた訪問ログの先頭6件には、2つの個別IPから3件ずつのアクセスが記録されており、最初から6件目までの時刻差は57秒でした。 この2つの個別IPを米Recorded Future社の公開レポートと照合した結果、いずれも付録C（Appendix C）に「北朝鮮の国家支援型プロハッカー部隊（PurpleBravo）が、裏の司令部（C2サーバー）への管理通信に使用したと報告されたAstrill VPNノード」として掲載されている個別IPとそれぞれ完全一致しました。 ログ冒頭にこのような利用歴が報告されているIPからのアクセスが集中している点は、サイト運用者や関係者との繋がりを優先的に検証したい具体的な手掛かりです。 💡 2. 前回指摘した「中国語要素」との関係 「中国語要素があるなら北朝鮮系ではないのでは？」と思われるかもしれませんが、脅威インテリジェンスの観点からは矛盾しません。 同報告書には、中国のIPからの管理通信や、関連する特定オペレーターによる簡体字でのGoogle利用が明確に報告されています。 北朝鮮のプロハッカー部隊の活動においても中国の通信基盤や中国語を利用する事例があるため、前回指摘した「文書内の中国語要素」は、中国の通信基盤や利用環境を用いる北朝鮮ハッカーの活動という分析仮説と十分に整合します。 ⚖️ まとめ ログ冒頭57秒間に記録された2つのIPが、過去の攻撃活動で利用されたと報告されたVPNノードと一致しました。 共有VPNの性質上これだけで実行主体を特定できるものではありませんが、この一致を起点に、サイトの公開・告知時刻や管理操作記録との関連性を検証する価値は十分にあります。 出典： ・Recorded Future社 レポート『PurpleBravoによるITソフトウェア・サプライチェーン標的化』（付録C） ・GMOインターネット公式：不正アクセスに関する現在の対応について・第13報 group.gmo/info/alert/2026102…

「オープンソースのペネトレーションテストツール「CyberStrikeAI」の悪用を確認。管理コンソールは簡体字中国語で」 「短期間に少なくとも19組織（うち日本が16以上）が検証対象となり、各標的への攻撃トラフィックを抑制して検知を回避していたため、単一組織のログからは認識が困難」trendmicro.com/ja_jp/jp-secu…

【悲報】GMOをハッキングしたハッカー、中国人か貧乏人 どんな２択やねん。中国のパソコンによく入ってるエクセル互換ソフトを使ってるらしい。なので、中国にゆかりの強い人か、正規品の買えない貧乏人らしい。俺もエクセル互換ソフトしか使ってないからヤバいかも。

色んな意味で”話題沸騰”の『レジスタ！』、気になったので１巻を読んでみた（作者の藤丸氏は知識無し） 恐ろしく漫画が上手くて驚いた 劇的な事は何も起こらない（ように見える）スーパーのレジ周辺の話をスラスラと引き込んで読ませる はっきりいってやってる事自体は願望充足ファンタジーで、↓ 「こんな真面目で健気なレジ係の可愛い子に、常連さんとして好感持たれたら最高やなあ…」 という（良い意味での）ご都合展開を上手く使ったコメディ それを「店員＆常連さん」形式、 つまりお互い腹の内をさぐり合いつつ、距離感を縮めるタイミングを見計らってお互い空回りしては悶絶し… 読者はその進展しない”じれったさ”を堪能するタイプの話 あくまでもご都合ファンタジー展開を、３６才の主人公・和巳の諦観混じりの独白で 「何も起こらない現実」寄りの空気に装いつつ着実にフラグを進めていく匙加減が絶妙 和巳が「過去の恋愛の手痛いトラウマからラブソングの歌詞が書けなくなったスランプ中の作詞家」なのもユニークで、 ラブソングの作詞の仕事の葛藤が、そのまま自身の恋愛衝動と向き合わざるを得なくなる流れも抜群に上手くて 昔のハリウッドの上質なラブコメを観てる様 何と言うか、ご都合主義がきちんと”芸”になっている絶妙な作風で純粋に引き込まれる出来　 素直に続きが気になる面白さなので２巻以降も買います

女性向け風俗「東京秘密基地」、ハッカーがサイバー攻撃を主張、事実なら利用履歴の暴露・性的脅迫に警戒 rocket-boys.co.jp/security-m… #セキュリティ対策Lab #security #securitynews #セキュリティ #セキュリティニュース

今回の懸賞金で、AIで他人の情報をネットで調べる楽しさを味わった「にわかハッカー」が量産された悪寒しかない

エゴサをしてたら「もうシャドウバンされてる」っていうの見つけて「そんな訳あるわけないじゃろがい」って思ってシャドウバンチェックしたらしっかりシャドウバンされてた、まだなんもすけべしとらんぞ、Xくん