GMO攻撃、北朝鮮か「素人」か　ホワイトハッカーが見た日本語のコメント

GMOインターネットグループへのサイバー攻撃で、犯人像の見方が真っ二つに割れている。共同通信は11月1日、GMOが「攻撃側に北朝鮮系のハッカー集団がいる可能性が高い」と分析し、政府側に報告したもようだと伝えた。一方、脅迫サイトを自分で解析した技術者たちは、素人の不注意だと言う。同じサイトを見て、なぜ逆の答えが出るのか。

不正アクセスを受けたのは、GMOインターネットがFXの自動売買用に貸しているサービス「お名前.com デスクトップクラウド」。代表の熊谷正寿さんは10月25日のブログで、攻撃者から5000万ドル（約80億円）を10月21日午後5時までに払えと求められたと明かした。そのうえで「当社は、これらの要求に応じておらず、支払いも一切行っておりません」と書いた。グループのグッドスマイルカンパニーの通販サイトからは、2800人分のカード情報が流れた。セキュリティーコードまで入っていた。

「数時間でかなりのことが分かりました」

テレビ朝日は11月2日、ベトナム人のホワイトハッカー、ヒエウ・ミン・ンゴさん（37）に聞いた記事を出した。アメリカ市民の情報を2億件以上集めて世界中のサイバー犯罪者に売り、2013年にグアムの空港で逮捕され、7年服役した人だ。いまはハノイで、守る側にいる。

ンゴさんは言う。「通常、プロのグループの場合、インフラの分析だけでかなりの時間がかかります。しかし今回は、数時間でかなりのことが分かりました」。「このハッカーは不注意で、圧縮データが入ったファイルを公開していました」。開くと、そのサイトに来た人たちの情報が入っていたという。

国内の技術者も、同じ穴を見ている。アンノウン・テクノロジーズ代表の切敷裕大さん（27）は、訪問者の記録が「おそらく誤って公開されていた」と話した。残ったIPアドレスの一つは日本の一般家庭のもので、「おそらく70〜80ぐらいの端末がこのIPアドレス同じものを使っている」。80戸ほどの集合住宅から、犯人が隠さずにつないだ跡らしい。プログラムのコメントも日本語だった。AIは指示された言語でコメントを書く傾向があると、切敷さんは言う。

北朝鮮説の根拠は、五つのIPアドレス

では、北朝鮮の話はどこから出たのか。共同通信によると、犯行声明サイトの公開直後につないでいたIPアドレスのうち五つが、過去に北朝鮮のハッカー集団が使っていたものと一致した。マルウエアの特徴など、攻撃者が残した複数の痕跡から判断したとみられる、とも書いている。GMOの公式発表ではなく、関係者への取材にもとづく報道だ。

切敷さんは、この見方に正面から反対する。「程度が…低すぎて、国家主導のオペレーションってレベルじゃないですよね」。北朝鮮のハッカーは朝鮮労働党の指揮のもとで外貨を稼ぐために動いていると、切敷さんは説明する。「だってお金ほとんど得られていないと思うし」。攻撃者は、お金よりGMOというグループの信用を失墜させることに軸足を置いているように見える、という見立てだった。

根拠を並べると、見ている場所が違う。北朝鮮説が指すのはIPアドレスとマルウエアの特徴。素人説が指すのは技術の程度と、プログラムに残った日本語だ。

ネットの評判

5ちゃんねるのニュース板では、北朝鮮説を疑う声が目立った。「北朝鮮ハッカーって軍隊だからな こんなド素人丸出しの間抜けな脅迫するとは考えにくい」「国家系のクラッカーがあんな説教みたいなやり方するかよ」。「スケープゴートだろ」と書く人もいた。一方で「たぶん、同じ北朝鮮人の仕業」と、そのまま受け取る声もある。GMOに向けられた意見も出た。「本当に北朝鮮がやった？だからといってGMOの管理者権限の扱いのずさんさは帳消しにならん」

GMOは10月28日、犯人の特定につながる情報に総額およそ1億5000万円の懸賞金を払うと明らかにし、同じ日の正午に窓口を開いた。10月30日午後6時までに、428件の情報が寄せられた。断った身代金は約80億円。犯人を見つけるために出したお金は、その2%ほどの1億5000万円だ。