GMOインターネットは10月24日、「お名前.comデスクトップクラウド」へのサイバー攻撃を受け、現在のサービス利用者への一律5000円の見舞金と、今回の不正アクセスに起因する不正取引の実現損失を補償する方針を公表しました。見舞金と損失補償は別の措置です。

同社の第4報は24日11時50分時点の説明です。不正なアクセスと利用者情報の外部への持ち出しを確認した一方、個々の取引が補償対象になるかは、取引記録やアクセス記録などを調べて判断するとしています。発表された方針を、すべての申告額がすでに認定されたことと読み替えることはできません。

対象サービスの名前にも注意が必要です。今回の見舞金は「お名前.comデスクトップクラウド」を現在利用している顧客に向けた案内であり、同じ企業グループの別サービスを利用しているだけで自動的に対象になるとは説明されていません。ブランド名だけで判断せず、自分の契約名と公式案内の対象を照合する必要があります。

見舞金、移行支援、損失補償で手続きが異なります

5000円の見舞金は、対象サービスの現利用者について金銭的被害の有無を問わず支払う方針です。連絡方法、受け取り手続き、支払い時期は10月30日23時59分までに登録メールアドレスへ案内するとしています。この日時は案内の期限であり、全員の口座へ入金が完了する期限ではありません。

継続利用を希望する顧客には、独立したクラウド基盤の代替サービスを紹介し、移行後の6か月間を無償とする方針も示しました。被害を受けた現行の基盤をそのまま再開せず、設計を抜本的に見直すとしています。利用者の同意なく代替サービスへ移行することはないと説明しています。

無料提供だけで契約の有利不利が決まるわけではありません。機能や使い方の違い、移行できるデータ、無料の対象範囲、期間終了後の料金が実務上の確認点になります。移行を希望しない人の契約や料金の扱いも別途案内されるため、現在の契約が自動的に同じ条件で続くと考えないことが大切です。

取引損失については、今回の不正アクセスに起因すると同社が認めた、本人の意思によらない取引の差損や手数料などが対象です。市場の価格変動による損失、得られたはずの利益、その他の間接的損害は対象に含めないとしています。通常の相場損失と不正操作による損失を分けることが、認定の中心になります。

取引所などから返金された場合は、その分を差し引いた残額を支払う説明です。同じ損失について二重に受け取る仕組みではありません。申請方法、必要書類、受付期間、支払い時期は11月6日までに公式サイトと登録メールで知らせる方針で、25日未明の時点では具体的な手続きの続報を待つ段階です。

利用者は残高だけでなく取引の経過を残します

資産を確認する際は、最終的な残高だけでは事情を説明しきれません。いつ、どの銘柄や通貨で、どのような注文や決済が行われたか、手数料がどう計上されたかを確認できる記録が役立ちます。これは補償額を自分で確定する作業ではなく、調査に必要な事実を整理するための備えです。

同社は、身に覚えのない取引がある場合、取引所などへ事情を説明し、取消しや返金について相談するよう求めています。サービス提供元への申告と取引口座の管理者への連絡は役割が違います。一方へ連絡しただけで他方にも情報が共有されたと考えず、それぞれの受付内容や返答を残しておくと経過を追いやすくなります。

記録を保存する際にも、認証情報の取り扱いは慎重さが必要です。公式発表では、後日案内する閲覧専用パスワードなどの例外を除き、補償手続きのために通常のパスワードや暗証番号を尋ねることはないとしています。SNSの投稿や転送メールだけを信じて、ログイン情報を送らないようにしてください。

登録メールアドレスが古い場合や、案内が迷惑メールに振り分けられる場合には、連絡を見落とす可能性があります。公式サイトを自分で開いて最新の案内と照合する方法が基本です。メールに書かれた「受け取り期限」や「確認料」が公式発表と一致しない場合、急いで操作せず、正規の相談窓口へ確かめることが重要です。

止まった業務の復旧にも順序があります

デスクトップクラウドは、手元の端末とは別の環境で作業するサービスです。利用者の設定や業務によって、停止の影響は異なります。今回の発表だけから、すべての利用者の手元のパソコンが感染した、あるいはすべての金融口座で不正取引が起きたと断定することはできません。

代替環境へ移す場合は、必要なアプリの設定や利用条件、接続先が新しい環境で使えるかを確認する工程が生じます。単に接続できたことと、業務が従来どおり動くことは別です。特に自動処理を利用していた場合、試運転の結果を確かめずに全面再開すると、設定の差による誤動作を見落とすおそれがあります。

事業者にとっては、クラウドの利用料金に加え、停止期間の代替作業や確認の時間も負担になります。ただし、これらの費用が今回の補償対象になると一括して考えることはできません。公式発表が対象とする損失の範囲と、自社が記録すべき事業上の影響は区別して管理する必要があります。

家計でも同様に、見舞金の入金を前提に直ちに支出計画を変えるのは早計です。受け取り方法や支払日が確定してから予定に織り込む方が、資金の見通しを立てやすくなります。今回の対応は投資の推奨ではなく、被害への対応方針です。損失を取り戻そうとして取引を増やす判断の根拠にはなりません。

攻撃者の主張と調査で確認した事実を分けます

同社は攻撃者とみられる者から金銭要求を受け、情報公開などを示唆する連絡があったと説明しています。ただし、脅迫の文面に含まれるすべての内容が、実際に実行されたと確認されたわけではありません。公開される可能性のある情報にも事実と異なる内容が含まれ得るとし、正式な知らせを確認するよう求めています。

政府関係機関へ能動的サイバー防御に関する措置の実施を要請したことも公表しました。ここで確認できるのは企業側の要請です。政府が具体的な措置の発動を決定した、攻撃元を無力化した、捜査で実行者を特定したという意味ではありません。要請、政府の判断、実施結果を段階ごとに読む必要があります。

原因の説明についても、今回確認できたのはサービスのシステムに問題があり、不正アクセスと情報持ち出しがあったという同社の認定です。侵入に用いられた経路の全容や、個々の利用者への影響範囲は、追加調査を待つ部分が残ります。他社の障害や別の脆弱性のニュースを、根拠なく今回の直接原因へ結び付けないことが必要です。

今後の更新では、見舞金と代替サービスについての10月30日までの案内、不正取引補償についての11月6日までの案内が節目になります。加えて、調査で確認された情報の種類、個別通知の範囲、代替基盤の提供開始が示されれば、利用者が行う作業も具体化します。案内の延期や条件の変更があれば、その変更点を確認する必要があります。

補償を申し込む人は、問い合わせごとに異なる説明をしなくて済むよう、契約名、連絡先、申告した取引、受付番号を整理するとよいでしょう。家族や従業員が契約を管理している場合は、本人の同意のもとで窓口をそろえれば、二重申告や重要連絡の見落としを減らせます。個人情報を不特定多数が見られる場所に貼る必要はありません。

契約を管理する側では、停止前にどの業務を動かしていたかを棚卸しすることも役立ちます。取引のために使った環境と、文書作成などに使った環境では、確認する接続先やデータが異なります。被害の有無を決め付けるためではなく、連絡を受けた際に何を調べる必要があるかを把握する作業です。

複数の担当者が同じ環境へ接続していた事業所では、誰がいつ利用したかを、保存されている記録の範囲で整理します。記録がない部分を推測で埋めると、調査への説明が曖昧になります。分かる事実と、記録がなく確認できない部分を分け、後から判明した内容は追記する方法が適切です。

利用していたソフトのライセンスや設定の引き継ぎも、代替サービスへ移る際の確認点です。Windowsの環境が用意されることと、従来のソフトを同じ条件で利用できることは別です。申し込み前に案内される差異を読み、移行に必要な準備を把握することで、再開後の作業の見通しを立てやすくなります。

企業側の説明を評価する際は、補償の表明だけでなく、個別の問い合わせに必要な情報が提示されるかも重要です。窓口が混雑する場合でも、申告内容を保存し、回答の対象を明確にしておけば、同じ説明を繰り返す負担を減らせます。申請の受付開始や期限が正式に示されたら、自分に必要な手続きの順序を確認してください。

出典：GMOインターネット「お名前.comデスクトップクラウドサービスに対するサイバー攻撃について（第4報）」（10月24日）。https://internet.gmo/news/article/249/

写真はサーバー設備のイメージで、被害を受けた実際の設備ではありません。

まとめ

GMOインターネットは見舞金、代替サービス、不正取引損失への補償方針を示しました。対象と手続きは措置ごとに異なり、案内期限と入金日を区別しながら、公式連絡と取引記録を確認することが次の行動になります。