金融事業者にとっての“7つの教訓”とは？ GMO不正アクセス事件に学ぶ

自社が侵害されなくても、なぜ被害が出る？

　今回、攻撃を受けたのは銀行や証券会社、FX事業者などの金融事業者そのものではなく、顧客が金融取引に利用していたクラウドサービスである。しかし、クラウド環境への不正侵入が金融口座への不正アクセスや不正取引につながる可能性が生じ、各事業者にも顧客保護のための対応が求められた。

　これによって、金融サービスの安全性が、サービス提供者自身のシステムや内部管理体制だけでは確保できなくなっていることが明らかになった。

　クラウドサービス、外部API、組込型金融、BaaS（Banking as a Service）などの普及によって、金融サービスは複数の事業者が連携して提供する形態へと変化している。また、金融事業者が金融機能を提供し、非金融事業者が顧客接点を担うケースも増加している。

　本件は、金融システムそのものへの攻撃ではないものの、金融サービスを構成する外部環境の脆弱性が、顧客の保有する金融資産に影響を及ぼす可能性があるという課題を浮き彫りにすることになった。

GMOで何が起きた？ まず経緯を整理する

　GMOインターネットグループの「お名前.com デスクトップクラウド」は、リモートデスクトップで仮想専用サーバを操作する機能を提供するサービスであり、主にMetaTrader（MT4／MT5）などFX（外国為替取引）の自動売買で利用されていた。このサービスに対する不正アクセスによって、FX事業者が不正取引を確認した他、GMOに対して「利用者の情報公開」を行う旨の脅迫と身代金支払いの要求が行われた。

　GMOインターネットグループからは、「お名前.com デスクトップクラウド」での第一報、それ以降のGMOインターネットグループサイトでの発表（10月中だけで第16報まで公開）、グループの熊谷代表によるブログ公開、記者会見での説明など、次々と情報が開示されており、時系列で以下のようにまとめることができる。

日時	主な出来事
8月5日	顧客環境のリモートデスクトップ（VPS）に侵入、管理者権限を搾取
8月17日	GMOの管理サーバに侵入
9月20日～10月14日	顧客VPSにマルウェアを配布
10月19日	利用者からの問い合わせ
10月20日	調査を開始、一部顧客に不正なプログラムが設置されたことを確認
10月21日	不正アクセスの公表（対象となるサーバ26,739件）、サービス停止、攻撃者より身代金（5000万ドル）の要求
10月22日	取引口座の認証情報が盗まれ、不正に使われた可能性を公表、対応策を取るとともに、FX取引を行っている事業者に対応を依頼
10月23日	アヴァトレード・ジャパンが一部口座で不正ログインと不正取引を確認
10月24日	見舞金5,000円、実損補償、代替基盤の6か月無償提供を表明、攻撃者サイトにおいて身代金（100万ドル）の要求
10月26日	顧客端末の回収・解析開始、追加の安全対策の要請
10月27日	攻撃者による情報公開を確認。追加見舞金制度と犯人特定のための懸賞金を発表
10月28日	攻撃者の情報公開サイトのドメイン停止を確認。
10月29日	犯人特定につながるとされる有力情報の入手を公表。同日までの懸賞金への情報提供は累計321件
10月30日	見舞金と代替クラウドサービスについて顧客への個別案内を開始
11月2日	熊谷代表を始めとする経営陣による記者会見を実施
11月6日	顧客の意思によらない取引の実現損失に対する補償の個別案内を開始、発表時点での補償総額と業績への影響は未確定

【次ページ】金融事業者が押さえるべき7つの教訓とは？