GMOのFX自動売買ホストがハッキング、攻撃者がユーザー口座で注文しGMOを恐喝
日本のGMOインターネットグループ傘下で、GMOインターネット（東証コード：4784）が運営するFX自動売買向けクラウドホストサービス「お名前.com デスクトップクラウド」がハッキングされた。GMOが10月24日に発表した第4報によると、サービス環境への侵入と顧客データの持ち出しが確認され、一部ユーザーの証券・FX口座で本人が行っていない注文が発生した。攻撃者はGMOに金銭を要求し、国内外70社以上の証券会社やFX業者に開設されたユーザー口座の操作を続けると脅迫したが、GMOは支払いを拒否すると表明した。
2万6,739台のホストに影響の可能性、全プランを停止
このサービスはクラウド上のWindowsデスクトップを提供し、ユーザーは自分のパソコンを常時起動しておかなくても、MetaTrader 4、MetaTrader 5（MT4、MT5）などの自動売買プログラムを24時間稼働させられる。GMOが10月21日に発表した第1報によると、10月20日に一部ユーザーのホスト上で第三者がインストールしたマルウェアを発見し、影響を受けた可能性のあるホストは26,739台に上る。ホスト内に保存されたデータも読み取られた可能性がある。GMOは10月21日午前4時（日本時間）から、全プランのホストを順次停止した。
第4報によると、10月19日にユーザーから問い合わせを受けて調査を開始。10月21日以降、口座に不審な取引があったとの報告がユーザーから相次ぎ、10月22日に警察へ被害を届け出た。
攻撃者が3つの脅迫、GMOは支払いを拒否し政府に対応を要請
第4報には、攻撃者による3つの脅迫が記されている。ユーザーの取引口座で不正な注文を続け、口座残高を減らすこと。サービス自体や接続しているユーザーのパソコンに関する情報を公開し、ランサムウェア攻撃を行うこと。GMOのシステムや運用体制に関する情報を公開することだ。GMOは、金銭を支払っても持ち出されたデータが削除される保証はなく、悪用も防げないとして、通信記録などの証拠を警察のサイバー犯罪担当部門に提出した。
GMOは主要な証券会社や取引所に対し、本サービス経由の接続を遮断し、接続中のすべてのセッションを強制的に切断するよう要請した。また、日本政府に対し、本件を「能動的サイバー防御」（国が主導して攻撃者のインフラを追跡・無力化すること）の「発動第1号」事案として扱うよう求めた。
1人あたり5,000円のお見舞金、不正取引による損失は別途補償
GMOは、金銭的損失の有無にかかわらず、すべての現ユーザーに5,000円のお見舞金を支給する。今回の侵入による不正取引とGMOが認定した場合、ユーザーが確定した取引損失と手数料を別途補償する。ただし、市場変動による損失や、本来得られたはずの利益などの間接損害は対象外となる。証券会社から返金を受けている場合、GMOが補償するのは差額のみ。申請方法は11月6日までに公表する。
侵入を受けた旧システムは、元の状態には復旧しない。引き続きWindowsデスクトップ環境を利用したいユーザーは、別の独立したクラウド上にある代替サービスへ移行でき、移行後の最初の6カ月間は無料となる。
攻撃者はユーザーの自宅パソコンにも侵入したと主張、GMOは全面的なウイルススキャンを要請
攻撃者が設置したウェブサイトの10月24日更新分が、日本のFXトレーダーFXWOLF2によってスクリーンショットに撮られ、X上で拡散された。攻撃者は、このサービスのホストネットワークはActive Directoryを採用しており、すべてのホストに対する管理者権限を持つアカウントが存在すると主張。また、GMOが提供するRDPリモート接続の設定ファイルでは「ドライブのリダイレクト」がデフォルトで有効になっているため、ホストからユーザーの自宅パソコンへ逆方向に接続し、データを取得してバックドアをインストールできたとしている。さらに、ユーザーの閲覧履歴やMT4・MT5のアカウント情報を、ユーザーの親族や取引先に送ると脅迫した。GMOは現時点で、これらの主張に対する回答や確認を行っていない。
GMOは第4報で、攻撃者が今後、GMOやユーザーのものだと称する情報を公開する可能性があり、そこには虚偽の内容が含まれる場合もあると注意を促した。同日に発表された第5報では、ユーザーに対し、パソコンやスマートフォンの完全なウイルススキャンとデータのバックアップを要請し、調査範囲には「顧客側の端末への影響も含まれる」と説明した。MT4・MT5のユーザーには、取引に使っていない端末から口座と取引ツールのパスワードを変更し、接続中のすべてのセッションを切断したうえで、2段階認証を有効にするよう求めた。
GMOコイン：自社口座で不正操作は確認されず
同グループの暗号資産取引所GMOコインは10月23日、複数のFX業者で自動売買ツールによるものとみられる不正取引が発生しているとして注意喚起を発表。同社は「現時点では」自社口座で不正操作を確認していないとした。GMOコインはユーザーに対し、取引履歴と注文履歴を確認し、パスキーを設定してログイン通知と約定通知を有効にするとともに、使用していない、または入手元が不明なAPIキーを削除するよう求めた。
この記事「GMOのFX自動売買ホストがハッキング、攻撃者がユーザー口座で注文しGMOを恐喝」は、最初に に掲載された。
日本のGMOインターネットグループ傘下で、GMOインターネット（東証コード：4784）が運営するFX自動売買向けクラウドホストサービス「お名前.com デスクトップクラウド」がハッキングされた。GMOが10月24日に発表した第4報によると、サービス環境への侵入と顧客データの持ち出しが確認され、一部ユーザーの証券・FX口座で本人が行っていない注文が発生した。攻撃者はGMOに金銭を要求し、国内外70社以上の証券会社やFX業者に開設されたユーザー口座の操作を続けると脅迫したが、GMOは支払いを拒否すると表明した。
2万6,739台のホストに影響の可能性、全プランを停止
このサービスはクラウド上のWindowsデスクトップを提供し、ユーザーは自分のパソコンを常時起動しておかなくても、MetaTrader 4、MetaTrader 5（MT4、MT5）などの自動売買プログラムを24時間稼働させられる。GMOが10月21日に発表した第1報によると、10月20日に一部ユーザーのホスト上で第三者がインストールしたマルウェアを発見し、影響を受けた可能性のあるホストは26,739台に上る。ホスト内に保存されたデータも読み取られた可能性がある。GMOは10月21日午前4時（日本時間）から、全プランのホストを順次停止した。
第4報によると、10月19日にユーザーから問い合わせを受けて調査を開始。10月21日以降、口座に不審な取引があったとの報告がユーザーから相次ぎ、10月22日に警察へ被害を届け出た。
攻撃者が3つの脅迫、GMOは支払いを拒否し政府に対応を要請
第4報には、攻撃者による3つの脅迫が記されている。ユーザーの取引口座で不正な注文を続け、口座残高を減らすこと。サービス自体や接続しているユーザーのパソコンに関する情報を公開し、ランサムウェア攻撃を行うこと。GMOのシステムや運用体制に関する情報を公開することだ。GMOは、金銭を支払っても持ち出されたデータが削除される保証はなく、悪用も防げないとして、通信記録などの証拠を警察のサイバー犯罪担当部門に提出した。
GMOは主要な証券会社や取引所に対し、本サービス経由の接続を遮断し、接続中のすべてのセッションを強制的に切断するよう要請した。また、日本政府に対し、本件を「能動的サイバー防御」（国が主導して攻撃者のインフラを追跡・無力化すること）の「発動第1号」事案として扱うよう求めた。
1人あたり5,000円のお見舞金、不正取引による損失は別途補償
GMOは、金銭的損失の有無にかかわらず、すべての現ユーザーに5,000円のお見舞金を支給する。今回の侵入による不正取引とGMOが認定した場合、ユーザーが確定した取引損失と手数料を別途補償する。ただし、市場変動による損失や、本来得られたはずの利益などの間接損害は対象外となる。証券会社から返金を受けている場合、GMOが補償するのは差額のみ。申請方法は11月6日までに公表する。
侵入を受けた旧システムは、元の状態には復旧しない。引き続きWindowsデスクトップ環境を利用したいユーザーは、別の独立したクラウド上にある代替サービスへ移行でき、移行後の最初の6カ月間は無料となる。
攻撃者はユーザーの自宅パソコンにも侵入したと主張、GMOは全面的なウイルススキャンを要請
攻撃者が設置したウェブサイトの10月24日更新分が、日本のFXトレーダーFXWOLF2によってスクリーンショットに撮られ、X上で拡散された。攻撃者は、このサービスのホストネットワークはActive Directoryを採用しており、すべてのホストに対する管理者権限を持つアカウントが存在すると主張。また、GMOが提供するRDPリモート接続の設定ファイルでは「ドライブのリダイレクト」がデフォルトで有効になっているため、ホストからユーザーの自宅パソコンへ逆方向に接続し、データを取得してバックドアをインストールできたとしている。さらに、ユーザーの閲覧履歴やMT4・MT5のアカウント情報を、ユーザーの親族や取引先に送ると脅迫した。GMOは現時点で、これらの主張に対する回答や確認を行っていない。
GMOは第4報で、攻撃者が今後、GMOやユーザーのものだと称する情報を公開する可能性があり、そこには虚偽の内容が含まれる場合もあると注意を促した。同日に発表された第5報では、ユーザーに対し、パソコンやスマートフォンの完全なウイルススキャンとデータのバックアップを要請し、調査範囲には「顧客側の端末への影響も含まれる」と説明した。MT4・MT5のユーザーには、取引に使っていない端末から口座と取引ツールのパスワードを変更し、接続中のすべてのセッションを切断したうえで、2段階認証を有効にするよう求めた。
GMOコイン：自社口座で不正操作は確認されず
同グループの暗号資産取引所GMOコインは10月23日、複数のFX業者で自動売買ツールによるものとみられる不正取引が発生しているとして注意喚起を発表。同社は「現時点では」自社口座で不正操作を確認していないとした。GMOコインはユーザーに対し、取引履歴と注文履歴を確認し、パスキーを設定してログイン通知と約定通知を有効にするとともに、使用していない、または入手元が不明なAPIキーを削除するよう求めた。
この記事「GMOのFX自動売買ホストがハッキング、攻撃者がユーザー口座で注文しGMOを恐喝」は、最初に に掲載された。