- 7年って間隙ってほど短い期間か？？
漂うGMO代表の無能感?「間隙を突かれた」GMO代表、HPで謝罪 社内専門家から指摘も（毎日新聞） – Yahoo!ニュース
https://news.yahoo.co.jp/articles/918ab0d53374ba37954116df64168baa85e40232※追記 2026/10/26 13:04:03
1台侵入できただけで、全VPSサーバーに侵入可能な
まさに無能が考えた構成?
しかもローカルPCのファイルもハッカーが触れた?https://satoru.net/hacker/gmo/
①VPS 網が Active Directory 構成で、全 VPS に管理者権限を持つ共通アカウント（dc\ops）が存在し、1台から全台へ横展開できた
②サポート担当がユーザ PC に接続した際、その認証情報が取得できる状態だった
③配布 RDP ファイルでドライブのリダイレクトが既定で有効（2019年以降・7年以上）→ VPS から顧客のローカル PC へ到達
- 社内で指摘はあったけど面倒くさいからスルーしてました ← 許されるんか？
- >>2
許されない - GMOにも穴はあるんだなぁ・・・
- !add
1台侵入できただけで、全VPSサーバーに侵入可能な
まさに無能が考えた構成?
しかもローカルPCのファイルもハッカーが触れた?https://satoru.net/hacker/gmo/
①VPS 網が Active Directory 構成で、全 VPS に管理者権限を持つ共通アカウント（dc\ops）が存在し、1台から全台へ横展開できた
②サポート担当がユーザ PC に接続した際、その認証情報が取得できる状態だった
③配布 RDP ファイルでドライブのリダイレクトが既定で有効（2019年以降・7年以上）→ VPS から顧客のローカル PC へ到達
★>>1に追記(1回目) - 人件費削減に対処する部署が削減対象にされがちやからしゃーない
- >>6
でもちょうどこのちょっと前に不正アクセスあって
総点検してたらしいしGMO、全社でセキュリティー体制を総点検 不正アクセス受け – 日本経済新聞
https://www.nikkei.com/article/DGXZQOUC099VT0Z01C26A0000000/ - >>8
意味なさすぎやろ
もう信用できない - >>10
総点検した（問題のあるサービスを公表するとも、止めるとも言ってない） - こんなのを例にしてAIでセキュリティは無駄になるみたいな馬鹿なことを言うやつがたくさんいた事実
- ①全社セキュリティ総点検と最強のAI防御
とはなんだったのか?
https://x.com/m_kumagai/status/2110598230065230033 - >>9
二度目はないｗｗｗｗｗｗ - >>9
社長かっけえwwww - 点検はしたけど修正は遅れたんじゃね
- これで５０００円払うだけで済ませるんか？
- >>14
一応被害全額補償するとは言ってる - >>16
将来の補償は含まれますか？
大事なデータローカルにあったのが流れたら損害がいつくるかわからんやろ - >>14
なんか補償するらしいが詳細よくわからん攻撃者の実行したっぽい取引を無効扱いで計算するのか
攻撃時にポジションあったら強制ロスカット扱いなのか - >>17
5000円と被害が確認された人に弁償
まあ5000円はやっても被害額の弁償はなんだかんだ言ってやらねえだろうなぁ - 脆弱な設定変えるために顧客のサーバー止めたら
その間取引できなくて大損した?とか
怒られるかもしれんしな - 「間隙を突かれた」GMO代表
↑
なんだろう、嘘つくのやめてもらっていいですか - ブロバイダを家族の意向で泣く泣くGMOとくとくじゃなくてOCN入れたのもしかして勝ち？
- ストーブの火をつけたまま灯油給油するタイプのCEO
- 逆に言えばAIがなきゃバレないような脆弱性ってことやし
- >>22
でも最近見つかったばかりのゼロデイ脆弱性とかじゃなくて
かなり前からあった攻撃手法なんやろ？
怠慢やん - これ問題の本質は
VPSってサービスって安全に提供するのってめちゃめちゃ難しくて
運用コストにあわなくない？ やと思うでwindows渡してソフトのインストールも許可します
でも管理の責任は運営側です無理あるｗ
- >>24
なんで1台侵入できただけで
他人のVPSも全部侵入できるんやって話なんやが？
普通は被害はその1台だけに留まるよう作るやろ
怠慢やん - GMO「解約した人の情報もゾンビサーバーでそのまま運用しちゃってました」
- 書かれてることから見るに
攻撃の方法ってこんなことかと1.攻撃者がVPS契約する
↓
2.提供されたwinに管理のための管理者アクセスを横から眺めて認証情報を盗むプロフラムを動かしておく
↓
3.認証情報が手に入ったらそれをつかってdc\opsのログインパスワード入手する
↓
4.他の攻撃対象があるかどうかはVPSの名称が連番ならそこから類推ができる
例えば VPS_TYKYO_001 なら VPS_TYKYO_002を試してみる
↓
5.あらら つながった これで横展開可能状態に - >>28
そもそも一時的な認証情報使ったり
他VPSとネットワーク隔離したりとか
出来たやろと - >>31
ネットワークはADのドメインコントローラをつなぐ は
管理が運営側ならそうなる - どうせGMOは潰れるんだし弁償するメリットねえし
- 完全なセキュリティ対策って無いんか
はよしろ - わいらもClaudeとか入れて月3000円払ってセキュリティチェックしてもらうとええで
- >>33
Claude「分かりました。実際に攻撃プログラム作って攻撃して確かめます」 - >>36
マジレスするとそれは大丈夫や。リミッターかかってるしそれができるのはMythos - GMO「問題が存在したのは7年前からだが、見つけたの数週間前だから修正する時間がなかった?」
↑
こう言い訳してもダメよな
知らなかっただけで7年放置やん?と怒られる - 2.提供されたwinに管理のための管理者アクセスを横から眺めて認証情報を盗むプロフラムを動かしておく
↓
3.認証情報が手に入ったらそれをつかってdc\opsのログインパスワード入手するここずるい?なんでもありやん
- >>39
マシンごとに管理者パスワード変えるとか
自動で期限切れになる認証情報使うとか
なんかあるやろ？ - てかハッカーの言う事信じるなら
GMOのサポート担当者は
顧客が毎回許可出さなくても無断で管理者権限でVPS入れたのか？システム的にはそれもあかんやろ？
- >>44
そういうことになるやろ。あの会社のことだから顧客のことが監視できるようにしてたんじゃない？そこを突かれたってことや - >>46
そう言う理由か・・・ - >>44
集中管理するってそういうことやからｗ - >>50
サポート担当者の認証情報、勝手に複製して
他のマシンでも使い回せる仕組みになってたのと
他VPSとネットワーク隔離されてなかったのは
GMOの怠慢やん - >>54
自分が管理する側で一個づつ変えるか？って話やねん
後出しでいえばそうしておけばよかった になるけど
運用管理の手間はばくあがりやでなのでコストがあわなくなるんよ
- >>62
値上げしてもやるべきやでそれくらい
しかも今AIにもやらせられるんやし怠慢だけじゃ説明つかないほどの怠慢や - >>64
それでもまだ無理はいっぱいあるで
win-updateとかでどんな新しい穴ができてないか毎回追いかけるとか10月のupdateは1400件やで？
- >>68
それこそAIにやらせられるよ今
GMO社長自身AIによるセキュリティ強化も謳ってたんやから - >>69
それをやったら永遠にりりーすできないかとｗ
どんどん脆弱性がみつかって
パッチはないんだからｗ - >>72
少なくとも今回みたいな規模の乗っ取りなんか起こらんやろ。その上を行かれたらどうしようもないけど永遠のイタチごっこやでこういうの - >>62
LAPSとか言う標準機能で
ローカルの管理者パスワード、自動的にローテション出来るらしいがただの怠慢やろ
https://learn.microsoft.com/ja-jp/windows-server/identity/laps/laps-overview - >>67
うーん 取られたのそれちゃうで
というか自分が運営側の技術者で絶対大丈夫にしろ って言われたら
なんて答えるの？やね無理っす になるはずやで
- >>71
なら制限付き管理モードの方は？ヘルプデスクの認証情報盗まれたの原因なんだから
それが盗まれるのまず防ぐべきやったやん
https://learn.microsoft.com/ja-jp/windows-server/security/credentials-protection-and-management/credentials-protection-and-management
制限付き管理モードでは、サーバーに資格情報を送信せずにリモート ホスト サーバーに対話的にログオンできます。
これにより、サーバーが侵害されていても、最初の接続処理の際に資格情報が回収されるのを防ぎます。 - >>78
それがあるから安全ですって言い切れるの？自分が運営側の技術者で
絶対大丈夫にしろ って言われたら
なんて答えるの？やね無理っす になるはずやで
- >>82
最低限やっとくべき事やってないから怒られてるんやん - >>87
RDPのことも ユーザがVPS側でファイルをつくって
それをローカルにドラッグ＆ドロップしたい は
普通にしたいやろな - >>88
デフォルトで全ファイル共有する設定にする必要なくね？ - >>89
そこはどういうサービスを提供しているか でしかないかと - しかも問題は解約後もサーバーが動き続けてて、RDPが繋がりっぱなしになってたんやっけ
- >>47
解約した利用者がわざわざRDP繋ぐ理由はないかな
ゾンビサーバーにFXのブローカーのログイン情報の入ったEAはあったはず - わいはIT詳しく無いけどセキュリティ的には絶対にやったらあかん構成だったらしいしね
- これ実際に自分がVPSの管理者なら
悪意のあるVPSの契約者をどうするの？って言われると守れっこないですよｗ になるねんな
- もしくは一切インストール禁止にするか
- ようはやろうと思えばユーザー同士が、他のユーザーのサーバーに入ろうと思えば入れるような構造だったってことやろ？
- >>56
せやで
ガバガバや - >>58
銀行で例えたらネットバンキングで他のユーザーの口座に入り放題だったってことかな？ - >>56
ハッキングする気なら やね - 管理側からしたらＦＢＩすらやられてる組織相手にどないせい言うねんって嫌になると思うわ
- >>57
そうじゃなくて
ずっと前からある問題放置やん - このレベルの企業がラテラルムーブメント対策すらできてないのは草ですね??ｸｲｯ
- FX戦士はハッキングとか興味ないやろ？
みたいなところはあったやろね - AIも発展してきて、顧客データ系は完全オフラインのイーサネット環境でしか触らないとかしないともう無理やろ
不便だろうけどそうするしかない - ?ウチのお漏らしが原因で被害出たって証明できたら保証します
↑これ証明できる事あるん？
- ＡＩによって脆弱性完全に埋められたりせんのやろか？
それとも結局新手法が見つかるスピードの方が速い？ - >>73
防御系のもできてはきてるね 自動で脆弱性修正するとか - >>73
脆弱性ってめちゃくちゃある年
C言語で開発している限りなくせないくらいにすぐ作っちゃう - お前らがよくわからんけど動いてるからヨシ！をやってきた結果です。反省して
- あとは金が絡むサービスは特に海外IP全部はじけ
- 何にしても絶対はないよ。リスク説明をした上で万一はこういう対応をします、って何重にも対策を立てて説明するもんやろ
- VPSサービスってもう消えるかも
もしくはかなり制限がきついものだけが残る
みたいになるんちゃうか - 安全に運用しろ それが仕事だって言われたら
「無理いうな できるならお前がしてみろ」になると思うで - dc\opsが漏れてなかったらそれで問題なかった になるねんな
これが盗まれたら利便性は全部ガバガバになる
そんなことやろね - 多分6y3C相手にしてても終わらんからもうええやろ
- >>92
こっちはもう結論だしてて
しつこく これは これは？って言われてる やでｗ - ド素人がAI公開してるところを片端から梯子してコンピューターウイルス作って
逮捕されたニュースですごいなぁ…してた頃が懐かしいよ
もうAIで笑える事件がなくなっちゃった - >>95
ハッカーをだれでも雇えるようになった
しかも安く
そんなことやもんねぇ - これはVPSの話やけど
これまでの「脆弱性はあってもある程度安全」っていうインターネットの安全性が
AIによって成り立たなくなってきてる になる今起きてることって
インターネットが終わるかも なんやで - タイムズの情報流出も古いフレームワークの部分から侵入されましただからな
保守もメンテも終了したサービスは終了して別のに切り替えるか更新しろよ
マジでレベル低いねん - >>97
GMOもそうやけどこういうのって意外と初歩的ミスが多いらしいね
GMOのはミスじゃない説があるけど - GMOの株を空売りしまくれば億り人になれるってマジで？
- お前らも端末内にある古いプログラムはちゃんとチェックしろよ
更新してないなら更新する
サービス終了してたら削除する
対策しろ - ワイはSSDも最新の物に交換したぞ
セキュリティキーも買って物理で防衛や - >>104
SSD交換はやらなあかんな今回 - >>104
はい 意味ない - >>106
いやもうやられたから
交換しないとアカンねん - >>109
お名前利用者？ - >>109
あらまぁ - >>109
意味ないことないで、SSDごと交換するのにどないして侵入するねん - >>117
そっかそういうケースの話なんやな
なんのことかわかんないけど意味あるならやればええね - >>118
今回のGMOの被害者の対応や - >>121
あぁ なるほど
なにされてるのかわからん話やな - 隙を突かれた///….
- >>107
おんJなら自分語りくらいで済むのに・・ｗ - OSを通じてファイルを取得死に来ることに対して
SSDのセキュリティーかけてもしゃーないネットに繋がないをやって物理で盗まれる心配するなら
SSD交換でもええんちゃうか - 一番安全なのはネットにつながない やね
- パスワード全部変更なりして
- >>119
これは一応意味ある - 穴はあったのは知ってたけどアプデすると周りに影響あるから放置してた?
お前のせいやん - 脆弱性対応ってサービスの維持のためには必要なんやけど
やってもコストだけで売上増えるわけでもないねんなそんなのに時間かけるならもっと新サービスとか機能を作って
もっと儲けを増やそうよってなりがち - 維持費の話に積極的でいられるのか みたいに
- こういうのウサギとカメみたいな感じなんやろか
胡坐かいてたんか？ - >>127
自分がやる側でどれだけ立派なことができるのか？ちゃうか立派な人ならおんJにいないやろけどｗ
- >>129
流石に商売でウサギみたいなことするやるやつは叩いてええやろ - ただ もう世の中がこうなってきたら
サービスが止まってしまってるので
ここにお金をかける意味はでてきてるねやらないとサービス止めてたらシーモアとか売上ゼロになるんちゃうか
- GMOってよくわからんのやがライブドア亜種みたいな感じ？
- 虚をつかれる老人
GMO「間隙突かれた」←7年前から放置なのに？？？
おーぷんなんJ
コメント