10月の日本は、セキュリティ事故の知らせが途切れない1ヵ月だった。なかでも衝撃が大きかったのは、GMOインターネットが提供するFX自動売買向けの仮想サーバー「お名前.com デスクトップクラウド」への不正アクセスである。同社の発表によれば、10月20日に一部顧客のサーバー環境で不正なプログラムの設置を確認し、翌21日に全プランを停止した。
影響の可能性があるサーバーは26,739件にのぼる（同社は、被害が確定した件数ではないとしている）。サーバー内に保存されていた証券会社やFX会社の取引口座のログイン情報が第三者に取得され、利用者の口座では身に覚えのない売買が繰り返された。朝日新聞は、約2秒で400万円超を失った利用者の例を報じている。
攻撃者とみられる者は21日の時点で脅迫メールを送り、5,000万ドル（約80億円）を要求していた。熊谷正寿代表のブログに添えられた要求文書では、支払い手段にビットコインとイーサリアムが指定されている。GMOは要求を拒み、攻撃者は予告どおり27日の昼すぎに情報と称するものの公開を始めた。同社は不正取引の損失補償と見舞金、総額上限100万ドルの懸賞金を打ち出し、政府に「能動的サイバー防御」（政府が攻撃元に踏み込んで無害化する仕組み）の適用まで要請した。熊谷代表自身、社内のホワイトハッカーから事前に課題を指摘されながら、対応の深度とスピードが足りなかったと認めている。26日の東京市場では、グループ株が一時11%超下落した。
翌28日には、日本航空（JAL）と日本トランスオーシャン航空が、予約・発券・搭乗手続きを担う旅客サービスシステムの委託先、Amadeus（アマデウス）への不正アクセスを公表した。延べ約9万2,000人分の予約情報が外部から参照された形跡があり、うち約2,000人はパスポート番号なども対象になりうる。参照の形跡がある期間は2023年8月から2026年9月まで、3年以上に及ぶ。韓国の大韓航空とアシアナ航空も、同じAmadeusの件をすでに公表していた。
並べてみると、構図は驚くほど似ている。破られたのは本丸の金庫ではない。委託先の配管や、顧客が預けた合鍵の置き場所から、水が漏れている印象だ。
同じ週、暗号資産の世界でも事故があった。ハードウェアウォレットを手がけるKeystoneの件である。
同社の声明によれば、10月20日、Shopify上の公式サイトへの異常なアクセスを検知した。侵入経路は、サイトに組み込まれていたサードパーティ製データ監視ツールの脆弱性を突いた権限昇格だという。ツール名も最初の侵入日も公表されていない。24日の第一報では顧客の配送情報の流出とだけ説明していたが、26日の詳細声明で、端末の真贋確認に使う「WebAuth鍵」まで盗まれていたことを明かした。
漏れた購入者記録は25,964件で、氏名・連絡先・住所・注文内容が含まれる。本来なら消えているはずのデータだった。同社は2023年に保持期間を180日に縮めると表明していたが、自動削除ツールが一部で失敗し、誰にも気づかれないまま残っていたのである。
より深刻なのは鍵の方だ。WebAuth鍵は製造時に一度しか書き込めない領域に置かれ、消去も書き換えもできない。Keystoneは旧鍵入りの在庫18,835台を破棄し、公式サイトの出荷を止めて予約販売に切り替えた。新しい鍵の端末は4〜6週間以内に出荷するとしている。
誤解のないように書いておく。この鍵はシードの生成にも取引の署名にも使われず、手元の正規品から資産が直接抜かれるわけではない。10月29日時点で、偽造端末の流通も盗難も報告されていない。同社は、10月20日より前に受け取り、真贋チェックに合格した端末はそのまま使えるとし、それ以降に受け取った端末には資金を入れずにサポートへ確認するよう求めている。
.png&w=3840&q=75)