GMO 管理者が全情報アクセス可能 リスク指摘も十分対策されず | NHKニュース

GMOインターネットグループのサービスが不正アクセスを受けた問題で、2年前、子会社が、「アクティブディレクトリ」という機能を通じて管理者がすべての利用者の情報にアクセスできる状況になっており、リスクが高いと指摘していたことが関係者への取材で分かりました。

しかし、十分な対策は行われず、管理者の権限が奪われた結果、今回の事態に至ったということです。

GMOインターネットグループは、FX＝外国為替証拠金取引の投資家向けのサービスが不正アクセスを受けた問題で、2年前に子会社のセキュリティー企業からシステムのぜい弱性について指摘を受けたとしています。

当時、会社のシステムでは、認証情報を管理する「アクティブディレクトリ」という機能を通じて管理者がすべての利用者の情報にアクセスできる状況になっていたということです。

これについて子会社は、不正アクセスを受ければ、利用者が取引に使うパスワードなどすべての情報が流出するおそれがあり、リスクが高いと指摘したということです。

そして、管理者に与えられる権限が強く制限を設けるべきだと指摘していたということです。

しかし、今回は管理者権限を奪われたことで、顧客の情報を盗み出されたということで、結果的に指摘をいかすことができませんでした。

今回の問題に関して、会社は、会見で、リスクの指摘を受けたあと、緊急メンテナンスを4回行ったものの、対策が十分ではなかったという認識を示しています。

会社は、当時の対応について検証を進めるとともに、セキュリティー対策の抜本的な見直しを検討することにしています。

サイバーセキュリティーに詳しい、立命館大学の上原哲太郎教授によりますと「アクティブディレクトリ」はネットワークでつながる端末にアクセスできる鍵を持つ管理人のようなもので、攻撃者にとくに狙われやすいということです。

上原教授は「昔から真っ先にアクティブディレクトリが狙われるので、1台の端末が侵害されても乗っ取られないようにする対策が進んできた。GMO側も子会社の指摘を受けて、いくつかの対策を行って簡単には乗っ取られないようにしたつもりだったが、それでもまだ抜け穴があったのだと思う。対策が十分だったとは言えず、もっと安全な仕組みが考えられたと思う」と指摘しました。

その上で対策について、「それぞれのコンピューターをもう少し独立した扱いにすることや、権限の管理が重要だ。アクティブディレクトリを管理や操作できる端末を限定しておくことが基本になると思う」と話していました。