GMOデスクトップクラウドの利用者情報流出、手元のPCで確かめる設定

TL;DR

---

お名前.com デスクトップクラウドへの不正アクセスで、攻撃者が予告していた10月27日正午を過ぎ、利用者のものとする情報の公開が始まった。
GMOが政府に能動的サイバー防御の適用を求めた件は、前の記事で触れている → GMOが政府に要請した「能動的サイバー防御」は、FX口座の被害に使えるのか

正午を過ぎて情報の公開が始まり、GMO側も電源切断の要請や端末解析の進捗を立て続けに出した。
攻撃者はRDPの設定ファイル経由で手元のクライアントPCまで狙えると主張しているが、公式発表と攻撃者の主張には食い違いがある。
何が確認されていて、何が未確認のままなのかを追った。
内容は10月27日16時時点のもの。

10月27日の経過

攻撃者は、10月27日（火）12時に利用者の情報を公開し、ランサムウェア（データを暗号化して身代金を要求するプログラム）で攻撃すると予告していた。
GMOは26日夜の第7報でこの予告を公表し、27日は15時までに第8報から第11報までの4本を出した（第7報）。

時刻	発表	内容
26日 21時	第6報	利用者へ、端末のフルスキャン、バックアップ、アカウントの保護を改めて依頼
26日 23時10分	第7報	27日12時の予告を公表。不正な操作があった可能性のある利用者から預かったPCの解析を始めた
27日 9時58分	第8報	12時までにバックアップを取り、ネットワークを切ってPCの電源を落とし、PCにつながっているコードを抜くよう依頼。セキュリティ企業やAI企業から協力の申し出があり、10時56分にその1社としてトレンドマイクロの名前を追記
27日 11時59分	第9報	解析を終えた端末からは、ランサムウェアを含むマルウェアは見つかっていない。ただし全端末の安全は確認できておらず、解析を続けている
27日 12時30分	第10報	攻撃者とみられる者が、GMOと利用者に関係するとみられる情報を公開したのを確認
27日 13時55分	第10報	ランサムウェアの被害は確認されていない
27日 14時55分	第11報	情報の拡散をやめるよう求め、悪質な拡散者には法的措置をとる準備を進めていると発表

第9報では、ランサムウェアの被害を受けた利用者には、問い合わせ窓口に申し出れば同等の性能の新しいPCを提供するとしている。
GMOは攻撃者の要求には応じない方針で、その理由を、応じても情報の削除や不正利用の防止が保証されるわけではないからだと説明している（第8報）。
なお、攻撃者が10月21日に送ったとされる脅迫メールでの要求額は約80億円だった。

公開されたとされる顧客情報

日本経済新聞によると、攻撃者は1人分の氏名や住所などを記した情報を自分のWebサイトに載せ、今後も毎日正午に順に公開すると予告している（日本経済新聞）。
ITmedia NEWSも、公開されたのは顧客1人の個人情報とする内容だと報じた（ITmedia NEWS）。

公開された内容が本当にその人の情報なのか、GMOから漏れたものなのかは確認されていない。
GMOは内容の確認を進めている段階で、確認していない情報には事実と異なる内容が含まれるおそれがあると注意を促している（第10報）。
セキュリティ対策Labによると、攻撃者は27日正午付けの声明で、分析を終えた情報から毎日正午に公開し、全部を出し終えるには数年かかると主張しているという。
ただし、攻撃者がどれだけの情報を保持しているかについて客観的な裏付けはない（セキュリティ対策Lab）。

GMOは、公開された情報に本人の情報が含まれると確認できた利用者には個別に連絡するとしている。
対象者には、全利用者に支払う一律5000円の見舞金とは別に、追加の見舞金を検討している（第10報、日本経済新聞）。

攻撃者のサイトを開いてはいけない理由

GMOは第10報と第11報で、公開された情報と称するものにアクセスしないよう、拡散しないよう求めている。
その理由として、サイトにアクセスした人の情報が攻撃者に取得されていることを確認したと公表した（第11報）。
何の情報が取られるのかまでは明かされていない。
すでにアクセスしてしまった利用者に対しては、ウイルス対策ソフトでフルスキャンを実行するよう求めている。

危険なのは閲覧した端末への影響だけにとどまらない。
掲載されているのは実在する個人の氏名や住所であり、見に行く人が増えるほど情報が二次拡散されるリスクがある。
GMOは悪質な拡散者に対して証拠を保全したうえで、民事の開示請求や刑事告訴・告発の準備を進めている（第11報）。
第10報でも、利用者に二次被害をもたらしかねない過度な報道を控えるよう報道機関に呼びかけている（第10報）。

利用者のPCまで狙われると言われる理由

デスクトップクラウドは、GMOのデータセンターにあるWindowsの仮想サーバーを貸し出すサービスで、利用者は手元のPCからリモートデスクトップ（RDP）で接続して操作する。
サーバーが乗っ取られただけなら被害は仮想環境内にとどまりそうに思えるが、攻撃者は手元のクライアントPCへのランサムウェア攻撃を予告し、GMOも利用者にPCの電源を切るよう求めた。

その背景として攻撃者が挙げているのが、RDPのドライブ共有（ドライブリダイレクト）機能だ。
攻撃者は、GMOが配布した接続設定ファイル（.rdpファイル）において、利用者のPCドライブを接続先サーバーと共有する設定が最初から有効になっていたと主張している。
乗っ取ったサーバーに利用者が接続すれば、共有ドライブ経由で手元PCのファイルへアクセスできるという主張だ（HOKKAIDO AI LAB）。

ドライブ共有で接続先から可能な操作

ドライブ共有とは、利用者の手元にあるPCのCドライブやUSBメモリなどの記憶領域を、接続先のリモートサーバー側からも読み書きできるようにする仕組みだ。
.rdpファイルには、接続先アドレスや画面設定とあわせて、クライアントPCのどの機器をサーバー側と共有するかが記述されている。
ドライブ共有の挙動は、設定ファイル内の drivestoredirect という項目で指定される（Microsoft Learn）。

drivestoredirect の値	共有されるドライブ
空（何も書かない）	共有しない（既定値）
*	すべてのドライブ。接続後につないだUSBメモリ等も含む
DynamicDrives	接続後につないだドライブ
C:\;E:\; のようにドライブ名を並べる	指定したドライブのみ

Microsoftは、ドライブ共有をセキュリティ上もっとも注意が必要な設定の1つとしている（Microsoft Learn）。
共有を有効にすると、接続先のサーバーから手元のPCドライブ上のファイルを読み書きできるようになるためだ。
もし接続先が攻撃者に掌握されていた場合、ローカルに保存された文書や認証情報が読み取られるおそれがある。
さらに、スタートアップフォルダー（サインイン時に自動起動する場所）に不正なプログラムを書き込まれたり、ネットワークドライブ（LAN内の共有フォルダー）にアクセスされたりする危険も生じる。

攻撃予告の時刻までにPCの電源を切るよう求めた案内は、共有ドライブ経由で仮に不正ファイルが置かれていた場合に、指定時刻での自動実行を防ぐ狙いがあったと考えられる。
ただしGMO自身は、電源切断を求めた具体的な技術的経緯を公表していない。

2026年4月の更新による変更点

Microsoftは2026年4月のセキュリティ更新で、Windows標準の「リモートデスクトップ接続」アプリが.rdpファイルを開く際の挙動を変更した。
更新後の環境では、.rdpファイルを開くたびに接続前の確認画面が表示される。
画面には接続先アドレスと機器ごとの共有チェックボックスが並び、すべて既定でオフに設定されている（Microsoft Learn）。
悪意ある.rdpファイルを開かせて攻撃者サーバーへ接続させ、手元のファイルを読み取る手口への対策として導入された仕様だ。

この確認画面は.rdpファイルから起動した接続のみが対象で、アプリにサーバー名を直接入力して接続する場合は表示されない。
そのため、4月の更新を適用したPCであっても、確認画面でドライブ共有を許可して接続していた場合や、設定ファイルを使わずに直接接続していた場合は、ドライブが共有されていた可能性がある。

攻撃者の主張と確認状況

攻撃者は10月24日以降、自身のサイトで侵入の経緯を複数回にわたり主張している。
その内容は一部の報道や技術ブログで紹介されているが、GMOが公式に認めたものはない（セキュリティ対策Lab、脱線ノート）。

攻撃者の主張	GMOの発表	確認状況
配布された.rdpファイルで、手元PCの全ドライブを共有する設定が有効だった	侵入の手法・経路は公表していない	配布ファイルの実物は第三者による検証がされていない
ドライブ共有設定は2019年から使われていた	記載なし	当時の設定履歴等による裏付けはない
仮想サーバーがActive Directory（統合管理の仕組み）で管理され、共通管理者アカウントで侵入できた	記載なし	客観的な裏付けはない
利用者のPC6台分のファイルコピー記録を公開した（セキュリティ対策Labの集計では計3566行）	利用者端末への影響を含めて調査中（第5報）	記録の信憑性や外部送信の有無は未確認
利用者の情報を毎日正午に公開し、完了まで数年かかる	公開情報には事実と異なる内容が含まれるおそれがある	保有データの全体規模に裏付けはない

GMOが公表しているのは、システムに不正アクセスがあり、顧客情報が外部に持ち出された事実までだ（第4報）。
影響の可能性があるサーバーは2万6739件とされているが、侵害が確認された確定数ではない。
また、声明を出している攻撃者グループと、実際にシステムへ侵入した主体が同一であるかも独立して確認されていない（セキュリティ対策Lab）。

利用者が手元のPCで確かめる手順

GMOは利用者に対し、接続に利用した端末のフルスキャン、ネットワークから切り離した外付けドライブへのバックアップ、アカウントの保護を呼びかけている（第6報）。
スキャンに関しては、主要部のみを調べるクイックスキャンではなく、完全なフルスキャンが必要としている。
アカウント保護では、FX、証券、メール、Googleなどのパスワードを別の安全な端末から変更し、全端末からログアウトして多要素認証（パスワードに加えて認証コード等を使う仕組み）を有効にすることを求めている。
心当たりのない連携アプリやメール転送設定、ブラウザー拡張機能を削除し、確認が終わるまでブラウザーの同期を停止することも案内されている。

ドライブ共有の設定は、手元に残っている.rdpファイルの内容から確認できる。
ファイルをダブルクリックすると接続が始まってしまうため、右クリックメニューから「メモ帳」で開き、drivestoredirect:s: の行を確認する。
値が * の場合は全ドライブを共有する設定で、何も書かれていないか行自体が存在しなければ共有は無効になっている。もし * になっていれば、この行自体を削除するか drivestoredirect:s: と値を空にして保存すれば共有を無効化できる。
ファイルを使わずに接続していた場合は、リモートデスクトップ接続アプリの「オプションの表示」から「ローカル リソース」タブの「詳細」を開き、ドライブ項目のチェックを外して保存する。

設定ファイル上でドライブ共有が有効になっていたとしても、直ちに手元のPCが感染したことを意味するわけではない。
共有ドライブ上に仮に不正なファイルが書き込まれていたとしても、それが手元で実行されない限りプログラムは動作しないためだ。
GMOによる端末解析でも、解析を終えた端末からマルウェアは検出されていない（第9報）。