ニューロドクター乱夢

GMOの犯人像がある程度絞れたので公開いたします。6000文字程度ありそうなので、長いですがお許しください。本事案について、これまでに自分で行った攻撃者サイトの解析と、他の方が公開された調査・フォレンジック解析を突き合わせて再考察した結果、私の結論は次のとおりです。 現時点で最も確からしいのは「日本を主な活動拠点とする非国家の単独〜少人数アクターが、金銭目的とGMOへの強い不満を動機として実行した」という仮説です。一方で話題になっている北朝鮮（PurpleBravo）関与説は、インフラ上の接点こそあるものの実行犯の特定としては最も弱く、現段階で「北朝鮮が犯人」と断定的に語るのは早計だと考えています。 そして、どの仮説が正しいかにかかわらず、追うべきは犯人の年齢・性別・国籍といった人物像ではなく、キーとなるIPアドレスと作者指紋をたどる「導線」だというのが私の立場です。 理由は、集まった証拠に明確な「非対称性」があるからです。今回の材料には、引っ張る方向が逆の二つの証拠群が混在しています。 ひとつは日本国内の消費者回線や日本の業界知識を示す証拠群、もうひとつは海外のタイムゾーンや簡体字環境、北朝鮮が多用するVPNを示す証拠群です。 一見すると両者は矛盾しますが、中身を精査すると性質が異なります。前者は「人がどこにいて、何を知っているか」を示しやすい証拠であるのに対し、後者の多くは「どんな道具や基盤を使ったか」で説明がついてしまう証拠です。 タイムゾーンはサーバやVPSの既定設定で簡単に変わり、ソフトウェアのUI言語は入手経路で決まり、翻訳の癖はLLMや翻訳ツールの併用で生じ、商用VPNは誰でも契約できます。 対して、運営者の作業痕と見られる国内の物理回線は、詐称するために住宅用プロキシや踏み台を用意する必要があり、相対的にコストが高い。つまり後者は「環境の味付け」、前者は「人の居場所」を示しやすい。この重みの差が、私が仮説の確度に差をつける根拠です。 加えて、攻撃のスタイルそのものが国家支援型アクターの典型像と噛み合いません。 名指しの晒しサイト、恨み節の文面、被害ブランドを騙った挑発的なタイトル、バグバウンティを揶揄する画像、そして匿名化の荒さ。 国家系の金銭目的アクターであれば、もっと静かに、もっと痕跡を残さずに金銭を得ようとするはずです。今回の犯行は、技術的には一定の水準にありながら、運用上のセキュリティ（OPSEC）は素人寄りで、感情的な動機が色濃くにじんでいます。 まず、自分自身の解析から確認できた事実を整理します。 攻撃者は晒しサイトとして二つのドメイン（以下、サイトA・サイトB。ドメイン名は拡散防止のため伏せます）を運用していました。いずれもNamecheapで取得され、同社の共有ホスティング上でLiteSpeedとPHP 8.2.35が動作し、証明書はSSL[.]comから発行されていました。 二つのサイトはページ構成、タイトル（「通告 — onamae[.]com desktop cloud」）、配布されている証拠物が完全に一致し、互いにリンクし合い、同一のTor（.onion）アドレスを共有しています。 このことから、同一犯によるテイクダウン対策のミラー構成だと判断しました。決定的なのは時系列で、サイトAは2026年8月27日、サイトBは8月31日に取得されています。 GMOが顧客からの問い合わせで異変を把握したのは10月19日ですから、攻撃者は発覚の約7〜8週間前の時点で、すでに「盗んだ後に晒す」ための舞台を用意していたことになります。 これは衝動的な犯行ではなく、侵入、窃取、脅迫、暴露までを設計した計画的なオペレーションであったことを示しています。 次に、GMOの公式開示から確認できる被害の性質です。 影響の可能性があるサーバは26,739件にのぼり、サーバ内に保存されていたFX・証券取引ツール（MT4/MT5など）の口座ログイン情報が窃取され、国内外70社を超える証券会社・FX会社の口座で不正操作が行われました。 攻撃者はGMOに金銭を要求し、応じなければ口座への不正操作の継続、利用者情報の公開とランサムウェア攻撃、GMOの内部情報の公開を行うと予告しています。 従来の「暗号化＋暴露」という二重恐喝に、「利用者の金融資産そのものを直接毀損する」という第三の圧力を加えた点が、この事案を前例のないものにしています。 GMOが政府に対して「能動的サイバー防御」の発動第1号としての対処を具申したのも、この特異性ゆえだと理解しています。 ここに、他の方が公開されたフォレンジック解析の知見を重ねると、侵入経路の解像度が大きく上がります。 解析によれば、攻撃者は自ら「VPSを契約すればいいだけ」と記述しており、スクリーンショットに写る net localgroup の出力などから、正規の顧客としてデスクトップクラウドのVPSを購入したことが入口だったとされています。 そこから fcwsus を経由し、dc\ops という共有の認証情報を使ってテナントの境界を越え、横展開したというのです。 私は当初、26,739件という影響規模から「個別の侵害ではなく、基盤や管理面レベルでの一括侵害」と推測していましたが、この記述が事実であれば、正規契約の一テナントとして内側に入り、共有Active Directoryとテナント分離の弱さを突いて全体に波及させたという、技術的に筋の通った一本の道筋が見えてきます。これは共有型のRDP・VDI基盤を提供するすべての事業者にとって重い教訓です。 そのフォレンジック解析で私が最も重要だと考えるのは、au ひかり（KDDI）回線からのアクセスです。 10月23日の15時55分から18時50分（日本時間）にかけて、39回のバーストで体系的な動作試験が行われており、HeadlessChrome、Wget、通常のChromeを組み合わせたアクセス構成、5分間隔の定期実行、トップページと index.php の両方を網羅する挙動、対話的に調整した痕跡がそろっています。 他の訪問者の多くが単発のアクセスにとどまっている中で、この回線だけが質的に異なる振る舞いを見せており、解析者は運営者の作業環境である確度を85〜90%と評価しています。私もこれが現時点で最も重い物証だと考えます。 さらに、作者を照合するための「指紋」も複数見つかっています。 攻撃者が公開した accounts.xlsx などのExcelファイルのメタデータには、WPS Officeの文書識別子（ICV）が残っており、同じ識別子を持つ別の文書があれば同一作成者だと決定的に照合できます。 作成者名は「Logitech」で、Windowsのアカウント名かWPSのニックネームである可能性があります。 WPSのアカウントに由来するものであれば、開発元のKingsoftへの照会によって、メールアドレスや接続IP、保存文書の一覧が得られる可能性があり、これは第四の照会先になり得ます。 ほかにも、アクセス解析用スクリプト（track.php）でソルト文字列が初期値のまま放置されている癖や、ボット判定の正規表現の語彙、被害PCからデータを抜き出すツールの出力形式（C:\ProgramData\USOShared\RdTmp\ 配下への出力、UTF-8のBOM付き、独特の一覧書式）、そして「電話もした。メールも送った。URLも渡した。返事は一度も来なかった。」といった固有の言い回しがあります。 これらは、別名義で行われた過去や将来の犯行を同一犯として結びつける手がかりになります。 一方で、北朝鮮関与説の根拠となっている調査も検証しました。 晒しサイトの訪問ログの冒頭57秒間に記録された二つのIPアドレスが、Recorded Future社のレポートで北朝鮮系の脅威クラスタ「PurpleBravo」がC2サーバの管理に使ったと報告されたAstrill VPNのノードと一致した、という指摘です。 PurpleBravoが実在するクラスタであること、北朝鮮のアクターがAstrill VPNを多用していることは公開情報で裏付けが取れます。この照合自体は価値のある発見です。 ただし、私はこれを実行犯の特定とは見ていません。 第一に、PurpleBravoの既知の手口は、偽の求人やコーディング面接を装って開発者にインフォスティーラーを仕込み、静かに窃取や諜報を行うというもので、ホスティング基盤をRDPとAD経由で大量侵害し、劇場型の恐喝を行う今回の手口とはまったく別物です。 第二に、訪問ログに記録されたIPは「訪問者」であって、必ずしも「運営者」ではありません。 第三に、Astrillは商用の共用VPNであり、同じ出口ノードを多数の利用者が時間差で使っています。付録Cとの一致が意味するのは、厳密には「過去に北朝鮮系の通信で使われたことのある共用ノードを、晒しサイトの訪問者も使った」というところまでです。 また、「中国語の要素があるが、北朝鮮は中国のインフラを使うので矛盾しない」という推論は、中国系アクター説でも北朝鮮説でも同じ証拠を説明できてしまうため、二つの仮説を区別する力を持ちません。整合することと支持することは別だという点には注意が必要です。 以上を踏まえ、私は三つの可能性を考えています。 一つ目は、日本を主な拠点とする非国家の単独〜少人数のアクターによる、金銭目的とGMOへの怨恨を動機とした犯行という可能性です。私はこれを最有力と見ています。 au ひかり回線からの運営者の作業痕、日本の個人向けFX業界の業者名に関する知識、GMO役職員の私用メールアドレスまで事前に調べ上げるOSINT、劇場型で恨み節の強い文面、弾幕のような防御を置かず匿名化も荒いOPSEC、そしてVPSを正規に購入するという素朴な入口。 これらは、実際にGMOとサポートや取引でやり取りをし、不満を募らせた個人や元関係者という像とよく符合します。「返事は一度も来なかった」という文面は、その接触が実在した可能性を示唆しています。簡体字UIのWPSやUTC+7の環境は弱点として残りますが、道具やVPSの既定値で説明がつきます。 この仮説を格上げするには、KDDIへの契約者照会、WPSの識別子からのKingsoft照会、GMOのヘルプデスクや取引記録との突き合わせが鍵になります。 二つ目は、東アジアまたは東南アジアを拠点とする、北朝鮮とは無関係の小集団による犯行という可能性です。確度は中〜低と見ています。 samples[.]zipを梱包したLinux機とサーバのPHP設定の両方でUTC+7が反復していること、OSの時計がUTC−4であること、WPSが英語版の国際ビルドでありながらUIは簡体字であること、英文に冠詞や語順の誤りがあり、和文に「約74億万円」（翌日に訂正）、「返答えなかった」、「各アドレスにずつ」といった誤りがあって、英文を先に作って日本語に訳した構造をしていること、ロシア系やインド系の偽名を使い分けていること。 さらに、同じ日に台帳作成用のWindows機、梱包用のLinux機、動作試験用の機械など複数の環境が並行稼働していることから、フォレンジック解析は構成員を2〜4名と推定しています。 役割分業の痕跡はチーム説と相性が良いものの、日本国内の物理回線からの運営者操作をどう説明するかが最大の課題で、住宅用プロキシや踏み台、あるいは日本在住の協力者を想定する必要があります。 三つ目は、北朝鮮など国家支援型アクターの関与という可能性です。完全には排除せず保持しておくべきですが、三つの中では最も弱いと考えています。 Astrillノードの一致、中国インフラや中国語の要素、大規模な金融標的、複数のタイムゾーンでの運用は支持材料になり得ます。 しかし、PurpleBravoの手口との不一致、国家系にしては杜撰すぎる匿名化、公開情報だけで第三者に足取りを追われてしまう脇の甘さ、そして日本の消費者回線からの運営者痕とは噛み合いません。 もしこの仮説が成り立つとすれば、北朝鮮系が主犯として恐喝を行ったのではなく、IT労働者やアクセスブローカー系の上流で侵入経路を確保し、それを別の恐喝グループが買い取った二層構造であるか、既知の北朝鮮系ノードをあえて経由した偽旗であるか、あるいは単に共用VPNのノードを偶然同じくしただけ、という形でしか整合しにくいと考えます。 なお、一つ目と二つ目は「単独か小集団か」という規模の軸で地続きになっており、一人の人物が複数の環境を使い分けていた可能性も完全には排除できません。 改めて結論を述べると、私は「日本を拠点とする非国家アクターによる、金銭目的と怨恨を動機とした計画的な恐喝」を最有力と考え、東アジア・東南アジア拠点の小集団説を対抗、北朝鮮関与説を最も弱い保留仮説と位置づけます。 ただし、この確度の配分はあくまで現時点の証拠の重み付けにすぎず、新しい一次情報が一つ出るだけで容易に入れ替わり得るものです。 そして、どの仮説が正しいとしても、取るべき次の一手は共通しています。 フォレンジック解析の方も皮肉を込めて書いていたとおり、年齢は10代かもしれないし50代かもしれない、性別も住む地域も母語も決め手がない。人物像のプロファイリングからは何も絞れません。信じられるのはキーとなるIPと、作者の指紋です。 具体的には、au ひかり回線についてのKDDIへの契約者照会、Namecheapの同一アカウントに紐づく両ドメインの契約者・決済・管理履歴の照会、不正注文の発信元となったOVHのサーバ、共有ホスティングのcPanelとサーバログ、SPFレコードを手がかりにした発信メールのReceivedヘッダとの突き合わせ、そしてWPSの文書識別子を起点としたKingsoftへの照会です。 これらを、内部ログを持つGMO自身の調査、警察やJPCERT/CCとの連携、各事業者への正式な照会と束ねたときに、初めて点が線になります。 外部からの公開情報による調査は、内部ログを持つフォレンジックに勝るものではありませんが、攻撃者が自ら外に作ったインフラを横断的に把握するという点では補完的な役割を果たせると考えています。 最後に、本稿は自身の解析と公開情報をもとにした考察であり、特定の個人、国家、既知グループへの帰属を断定するものではありません。犯人の特定と検挙は、正式な照会と捜査機関の領域です。関係者の皆さまの対応が実を結ぶことを願っています。 #GMO #gmo不正アクセス 正式な続報は代表と公式アカウントをチェック！ @m_kumagai @GMOGroup テレビだとTBSの「THE TIME,」さんがおススメです！ @tbsnewsdig @THETIME_staff