5つのIPアドレスがGMOの情報漏えいと北朝鮮のハッカー集団を結び付ける

日本のGMOインターネットグループが運営するサービスをめぐる攻撃は、北朝鮮と関連するハッカーに結び付けられているが、犯人の特定は確実ではなく、可能性が高いとの説明にとどまる。¹² 報告されている数値上の関連は5だ。犯行声明を出したウェブサイトへのアクセスに使われた5つのIPアドレスが、北朝鮮のハッカー集団が以前に使ったアドレスと一致した。¹² この一致は、マルウェアの特徴や攻撃者が残したその他の痕跡とともに、犯人の特定を裏付ける要素の1つだ。¹ 入手可能な報道は、攻撃を実行した人物や集団について最終的な結論を示していない。北朝鮮とのつながりの可能性を示唆する証拠を説明している。¹²

この事案は、GMOインターネットグループが運営するサービスへの不正アクセスに関するものであり、すべてのサービスや同社の全システムに関する認定が示されたわけではない。¹ 報道は、この出来事を日本の同グループに対するサイバー攻撃と説明し、影響を受けたサービスに不正にアクセスされたとしている。¹² 入手可能な情報は、影響を受けた利用者、顧客、記録の件数を明らかにしていないため、これらの尺度で被害規模を示すことはできない。¹² ここでいう5は、犯行声明サイトへのアクセスに関連するIPアドレスの一致数であり、被害者、侵害されたサービス、盗まれた記録の数ではない。¹²

報道で説明されている証拠は、悪意あるソフトウェアの技術的特徴と、攻撃者に関連するとされる複数の別の痕跡を組み合わせたものだ。¹ 別の手掛かりは犯行声明が掲載されたウェブサイトから得られ、そのサイトの出現後にIPアドレスの照合が行われた。¹ 報じられた照合によると、サイトに接続した5つのアドレスは、北朝鮮のハッカー集団が以前に使ったアドレスと同一だった。¹² アドレスの一致は報告された関連性を強めるが、情報源はいずれも、集団の関与を確定ではなく可能性が高いと位置付けている。¹²

サウスチャイナ・モーニング・ポストの報道によると、共同通信はセキュリティー専門家とともにIPアドレスの調査を行った。² 照合では、犯行声明サイトへのアクセスに使われたアドレスと、北朝鮮のハッカー集団が以前に使ったアドレスを比較した。¹² 中国語と英語の報道はいずれも、一致した5つのアドレスを北朝鮮のハッカー集団との関連を示すものとしており、2つの報道の内容に一貫性がある。¹ この一貫性が示すのは、報じられたアドレスの一致であり、侵入の背後にいる人物を決定的に特定するものではない。¹²

犯行声明サイトには、米国や日本を含む複数の国に関係する痕跡も含まれていた。¹ こうした国際的な痕跡は、疑われる北朝鮮との関連だけを示しているわけではないため、サイトの内容を単純に解釈することを難しくしている。¹² 報道によると、捜査を妨害するために外国由来の情報が掲載された可能性があるが、これは確定した事実ではなく、1つの見方として示されている。¹ したがって、サイトに残る複数国にまたがる痕跡は、犯人の特定に挙げられたマルウェアやIPアドレスの証拠に取って代わるものではなく、それらと併せて考慮される。¹

日本語の報道とサウスチャイナ・モーニング・ポストの双方によると、GMOは事案を政府に報告した。¹² 政府がどのような対応を取ったのか、また同社がどのような情報を提出したのかについて、報道は詳細を伝えていない。¹² 同社の熊谷正寿社長は、事案発生後初めての記者会見を開き、経緯と当時会社が把握していた事実を説明する予定だった。¹ 会見の目的として示されたのは、事案とGMOが収集した情報について説明することだった。報道は会見での発言内容を伝えていない。¹

予定されていた記者会見の日付は月の2日とされているが、引用された報道は月や年を特定していない。¹ この時期は、問題が発生して以降初めての記者会見として、事案の発生時点との関係で説明されている。¹ サウスチャイナ・モーニング・ポストは、サイバー攻撃が前月に起きたと伝えているが、引用された情報に暦上の日付は記されていない。² したがって、資料が示すのは攻撃、政府への報告、会社の記者会見の予定という相対的な順序であり、完全な日付入りの年表を作成するには情報が不十分だ。¹²

GMOに関して、これらの報道が直接述べている影響は、サービスへの不正アクセスと、事案および会社が把握している情報について説明する必要が生じたことだ。¹ アクセスがどのくらい続いたのか、どのような情報が流出した可能性があるのか、サービスが中断したのかは、報道されていない。¹² 被害を受けた顧客数や金銭的損失についても報道は示しておらず、5つのアドレスの照合からどちらも推定することはできない。¹² したがって、入手可能な説明が裏付ける範囲は、影響を受けた同グループのサービスと、攻撃の起源を評価するために用いられた技術的な手掛かりに限られる。¹²

犯人の特定は、マルウェアの特徴、攻撃者に関連するその他の兆候、そして一致した5つのIPアドレスの繰り返し使用などの痕跡に基づく評価にとどまる。¹² 報道された資料では、ウェブサイト上の犯行声明だけで侵入を実行した人物や集団が確定するわけではない。とりわけ、サイトには複数の国に結び付く痕跡も含まれていた。¹² 報道の表現はこの違いを保っており、事案を北朝鮮とつながりのある集団に結び付ける説明を、確定的な公的判断ではなく、可能性の高い説明としている。¹² GMOによる政府への報告と記者会見の予定は、同社が表明した対応を示している一方、何が起きたのかをさらに明らかにすることが引き続き重要な課題だ。¹²