GMOのFX被害から中小経営者や個人が学べること

狙われた「お名前.com デスクトップクラウド」で使用されている「VPS」って何？

デスクトップクラウドって何だろう？

デスクトップとクラウド、どちらも聞いたことのある言葉なので、「デスクトップクラウド」というとなんとなく分かった気になるのが罠だ。では「それ自分の言葉で説明できますか？」というと大抵の人が説明できない。

VPSは集合住宅を連想するといい

その前にまずVPSの説明からしよう。これは一言で表すと「仮想のプライベートマシン」だ。それがネットワーク上に配置されていて、手元のパソコンやスマートフォンからアクセスできると考えればいい。

プライベートを「私的」と思う人が多いが、元は「公から区切られた」という意味で、区切られて外からの影響を受けないで一定の空間を利用できるから「私的」となる。余談だが、プライバシーという感覚はせいぜいここ200年くらいのもので、古代からある概念ではない。

さて、VPSは物理的には一台のサーバー（コンピューター）をソフトウェアの力で仮想的に複数に分割している。物理的には一戸だけど複数世帯が居住しているアパートメントみたいなのものを想像するとわかりやすいだろう。

または、こう想像してもいいかもしれない。手元のパソコンの中に別の仮想パソコンをいれる。Macの中にWindowsを入れるとかできます。ソフトウェアの進化でそういうことができるようになったわけ。

デスクトップクラウドとは

では本題のデスクトップクラウドって何だろう？についてはどうか。

本質はWindowsのVPSです。

VPSをGMOがサービス用に分かりやすい名称にしただけ。ネットワーク上に配置されたWIndowsマシン（もちろん仮想）に、手元の端末からアクセスして24時間作業をさせられる。

私は実際にWindowsサーバーを使ったことがあるけど、画面をデスクトップに拡大すると、普通にWindowsそのもの。また手元のパソコンからドラッグ＆ドロップでファイルのやりとりができたりする。いまどき通信速度も速いし、使えばわかるけどとても便利です。

そして当然、便利な分だけ危険を伴う。今回はそこをハッカーにつかれた。

GMOの提供する「お名前.com デスクトップクラウド」は、ネットワーク上のWindowsに24時間寝ないでFXの取引をさせようというサービスで、利用者はその端末に自分のFX取引の口座番号とかログイン情報を保存してあり、それごと乗っ取られた。

FX業者のシステムからすればGMOのVPSからの売買取引は正規のログインのように見えるので、それが不正取引か分からない。これが事態を面倒にしている原因だ。

経営者にとってもっとも恐ろしいのは、会社貸与の端末で社員が「お名前.com デスクトップクラウド」のような特殊なVPSを使い、その端末がウィルス感染し、社内に広まることだろう。

営業体質のいけいけの会社は問題が起きやすいのは世の常

https://www.nikkei.com/article/DGXZQOUC2612I0W6A021C2000000/
この日経の記事によると以下のようにある。

GMOに対する攻撃者によると、VPSサーバー同士がつながっており、1つのVPSサーバーからサービスのネットワーク全体を乗っ取ることができた

「VPSサーバー同士がつながっており」という一文が鍵で、上述のVPSの説明通り物理的には一台のマシンを分割しているのだから、ソフトの設定がゆるいとVPSのうちの一台をハッキングできれば、他にも侵入できる。建物に例えると、玄関は突破できないけど、通風口から忍びこんで、各部屋のものを盗んだり占拠するみたいな感じかな。

https://internet.gmo/news/article/250/
GMO公式を読むと明白な通り、VPSを通してGMOのサービス利用者の端末にまでアクセスできる可能性があったようなので、攻撃側としてはやりたい放題である。複数のVPSを乗っ取り、さらに一部利用者の端末にまでアクセスできた。これはかなり怖い。

なぜこんな状況になったのかというと、攻撃者の主張する「VPSサーバー同士がつながっており」という点が大きいのではないなだろうか。ではなぜVPS同士が接続されていたのだろうか。これは率直に理由がよく分からない。ITエンジニア目線でもVPS同士が横に接続されているメリットがあまりないと思う。

VPS群のようなサービスを展開するとき、構築したり保守をするときは、システム管理者が手元のマスターから各VPSにセキュリティパッチをあてたり、更新したりするのが一般的だろう（手作り感満載の上の図を参照）。VPS同士が接続されているメリットがあまりないのだが、いずれにせよその隙を突かれてしまったのだろう。

仮に何らかの管理・作業上のメリットがあるとして、報道では「社内で危険性の指摘があった」とあるので、それを放置したのはまずい。おそらくサービス展開後にまずい状況を把握したのだが、対処するにはサービスを一度止めないといけない。売上拡大や成長を急ぐ会社は管理体制など脇があまくなる。楽天モバイルなんかがいい例でしょう。そういう会社は狙われやすく、次か次へいろいろな問題が起こる。

個人としては利用しようとする会社のサービスがそういういけいけな会社なのかは事前に調べておきたいし、経営者としては自社がいけいけどんどんで前のめりになって転ばないよう注意したいところだ。

そしてこれが問題なのだが、そういう問題が起こりやすい会社や大きな会社ばかりがサイバー攻撃で狙われやすい状況ではなくなってしまったのだ。AIの進化で事情が変わった。

AIの進化によって有名会社でなくとも狙われる

GMOのような有名な会社でなくとも、AIの進化でハッカーの攻撃被害に遭うようになってしまった。

私が他の記事でよく書く「結局は経済的な理由です」といういつも通りの話なのだが、生成AIが進化する前、言わばbefore AIの時代は、小さい会社の個別にカスタマイズされたシステムをハッカーが狙っても効率が悪く金にならない可能性が高かったが、生成AIによってハッカーの攻撃の言わば手数が増えた。

before AIなら面倒だったことも、after AIの時代なら簡単に大小様々な企業を攻撃できるので、どんどん攻撃しようということになる。

この辺りの事情は個人情報漏洩は起こるべくして起きている。IT業界20年の私が見てきた現実で書いた通り、つまるところ経済のなのです。

サイバー攻撃を完全に防ぐのは無理だと思っていて、私はちょっとしたウェブサービスなどのシステム管理において、大事なのはサイバー攻撃に遭っても復旧できることだと考えている。レジリエンスが大事なのです。

『レジリエンスの時代』という本があるのだが、そこには「地球を人間に適応させるのではなく、人間を地球に適応させる」とある。私はこれをこう読み替えた。「ITを経営に適応させるのではなく、経営をITに適応させる」。

このサイバー攻撃者が圧倒的に有利な時代において、零細企業や個人ができることは、限られているが以下のような基本的なことを徹底することだろう。風邪予防に手洗いやうがいをするのと似たようものだ。

バックアップをとる

もっと具体的にはパソコンやクラウドサービス、スマートフォンのバックアップをとってネットワークから切り離して孤立させる。私も外部のハードディスクにパソコンのバックアップを二重にとっている。

二重とは、OSそのものがやられた場合に備えて、OSまるごとのバックアップと、大事なシステム開発しているデータや原稿などの業務データを二つ別の外部ディスクにとっているという意味です。

管理者をおく

システム管理者をおいて、バックアップをとって、復旧する手順をマニュアルにしておく。そして復旧を実際に練習する。こういう地道な取り組みがいざというときに効果を発揮する。経営者にとって一般管理費やシステム関連の支出が増えはするが、それは仕方ない。

サイバー攻撃の加熱報道はいずれ収束する

車社会である以上は世の中から交通事故がゼロになることはない。

インターネット社会である以上サイバー攻撃も攻撃そのものがなくなることはないけれど、対策には意味がある。企業側の対策も徐々に進んで報道で騒がれる日は減っていくだろう。サイバー攻撃の対処をしないといけないと経営者が認識し、現実に実装されるのに数年はかかると思う。

新しい技術が出るとそれを悪用する輩は必ず出てくる。ここで一冊の本を紹介してこの記事を閉じることにしよう。『ヤギの睾丸を移植した男』だ。

どうだろう、もちろん規模は違うけれど、国境を超えて新しい技術を悪用する点が今のサイバー攻撃とそっくりではないか。歴史は繰り返すのだ。