GMO、うそをついてハッカーに呆れられてしまう

GMOに関しては賃金の問題ではない

かつもくせよ。 @katsumoku__ 日本でのハッキング問題はさらに深刻化していくのは確実だと思っていますが、根本的要因のひとつがこれです。

日本のIT業界で深刻なのは、人手不足ではなく「技術者にお金が届かない構造」だと自分自身考えています。

4次下請けの技術者が実際の設計を担い、2次・3次より高い付加価値を生んでいるケースまであります。

それでも発注構造は、

発注元　→ 元請け　→　2次　→ 　3次　→　4次……と、時には6層に及ぶこともあるようです。

階層が一つ増えるたびに管理費や利益が差し引かれ、最後に実際のコードを書き、システムを動かす人へ届くお金は薄くなります。

これでは「中小企業も賃上げを」と言われても限界があります。

さらに怖いのは、元請け自身が「誰が実際にシステムを作っているのか？」を把握していないケースがあることです。

これは賃金だけの問題ではありません。

サイバー攻撃やシステム障害が起きた時、

誰が作ったのか？　誰が保守しているのか？　どこに責任があるのか？

それさえ分からなくなるわけです。あまりに馬鹿らしい話です。

多重下請けは、人件費を安くする仕組みであると同時に、責任の所在まで薄める仕組みになりかねません。

日本が本気でDXやAIで競争力を高めるなら、必要なのは技術者を増やすことだけではありません。

価値を作った人に、価値に見合った報酬が直接届く構造へ変えること。「IT人材不足」と言う前に、優秀な技術者が何層もの中間業者の下に埋もれてしまう仕組みそのものを見直すべきだと思いますね。

犯人の声明といわれるものを入手

https://x.com/japan_miyu_/status/2114594582667415784?s=20
● 通告

概要 タイムライン 送付メール 破壊済み口座 今後の計画



GMOインターネットへ

以下に、なぜこうなったのか、これから何が起きるのかを説明する。

最終更新：2026年10月26日



2026-10-26 見解

12:00 PM JST



複数の顧客より、熊谷氏が2026年10月25日午後8時に投稿したブログの内容の正確性について問い合わせがあった。

以下が、2026年10月26日 正午（JST）時点の我々の見解である。

我々も、GMOのCEOである熊谷氏による同発表を読んだ。

もしこれが事実なら、今回の事態の責任は、同氏を補佐するホワイトハッキングチームの力量にある。

同じ分野に携わる者として、彼らに問いたいことがある。



現在のRDPの脆弱性は、どうパッチを当てればよいのか？



簡単だ。RDPファイルから1行削除するだけ。



drivestoredirect:s:*



どうやって2万7000台ものVPSをすべて侵害できたのか？



1台のVPSに侵入するのは難しくない。

VPSを契約すればいいだけだ……。

問題は、そこから他の2万7000台にどう入ったかである。

このVPSネットワークが分離されておらず、「fcwsus」というアップデートサーバーを介して一つに繋がっているからだ。

しかも、その重要サーバー自体に、VPS管理用アカウントと同じアカウント（dc\ops）で入れてしまう。初歩的なミスである。

>net localgroup administrators
Alias name     administrators
Comment        Administrators hav

Members
-----------------------------------------
Administrator
dc\ops
The command completed successfully

「ならばfcwsusから`dc\ops`を消せばいいのでは？」と思うかもしれない。その通りだ。

修正にどれだけかかるのか？

テキストから1行消して、コマンドを1つ打つ。何ミリ秒かは、我々も計測していない。

GMOサービスの可用性に影響するのか？

現在のVPSサービスには一切影響しない。
熊谷氏に報告して判断を仰ぐ必要もなく、そのまま処理すればよい問題だ。
一体、ハッキングチームは熊谷氏に何を報告したのか？

熊谷氏の言う「AI技術の爆発的な進化と悪用」と関係があるのか？

上記はいずれも、初心者エンジニアでも気づく初歩的なものだ。AIとは何の関係もない。
なぜあれほど大げさな表現を使ったのか、我々にも理解しかねる。

我々を止められるのか？

可能だ。すでに述べた通り、GMOが2026年10月27日正午（日本標準時）までに身代金を支払えばよい。
[cite: 4]
我々は今、顧客から収集した膨大な個人情報を分析中で、すでに極めて機微な情報も手にしている。
[cite: 4] これを顧客の知人やその他の人々へ公開することも計画している。
[cite: 4]
もしGMO側が期限までに応じず惨事が起きたなら、GMOが責任を免れることはできない。初歩的なミスを犯しておきながら責任を回避し、顧客の関心を別へ逸らそうとしているのだから。
[cite: 4]
我々は、口先だけではない。

攻撃者が暴露した技術的実態

• RDPのドライブリダイレクト設定の放置 drivestoredirect:s:* が指定されたRDPファイルを配布・運用していたため、接続元（クライアント側）のローカルドライブがサーバー側にマウントされ、そこを経由した悪意あるファイルの配置や侵害を許したと指摘されています。1行削除して設定を無効化するだけで防げる初歩的な制御漏れというのは本当にそういわれても仕方ない。
• ネットワークセグメンテーション（分離）の欠如通常、マルチテナントのVPSサービスであれば顧客環境同士および管理系インフラは厳格にVLANやファイアウォールで隔離されるべきところ、「fcwsus（Windows Server Update Services）」という共通のアップデートサーバーを介して2万7,000台がフラットに繋がっていたとハッカーは言っている。1台の正規契約VPSを足がかりに、管理サーバーへ水平移動（ラテラルムーブメント）が容易に成立する設計。
• 特権アカウント（dc\ops）の使い回し顧客向け環境と社内アップデートサーバーで共通の特権アカウント（dc\ops）がローカルのAdministratorsグループに所属したまま運用されており、1箇所でクレデンシャルを奪取された時点で全台の特権掌握を許しています。Active Directoryの階層化モデル（Tier 0/1/2の分離）が全く機能していない。
• 「AIの悪用」や「多重下請け」への痛烈な反証経営陣の言い訳に対する攻撃者からの技術的ツッコミGMO側が「AI技術の爆発的な進化と悪用」と大々的に公表したことに対し、攻撃者は「AIなど一切関係ない」「初心者エンジニアでも気づく初歩的な設定ミスとアカウント管理の杜撰さだ」と呆れ返っています。
• 低賃金・多重下請け論の完全な空振りこの被害は「下請けが雑なソースコードを書いたから」起きたバグではない。「ネットワークのセグメンテーションを怠った」「管理アカウントを分離しなかった」「RDPのコンフィグを見直さなかった」という、インフラアーキテクチャ設計とセキュリティポリシー運用の怠慢。

インフラの基本設計とID/権限管理の規律が崩壊していれば、どんな先端セキュリティツールや高給な開発者を並べても容易に突破されるという、サイバー攻撃の典型的な現実が浮き彫りになっています。
犯人の言うことがうそかほんとかは別として仮にうそでもこれは屈辱的でしょう。そんなもん使わなくても簡単だったと。GMOがさももっともらしいことを言っているのにブチ切れてるのは間違いないですね。

GMOが言っていることは嘘がある

この惨状を見るとまず間違いなく社長はうそを言っている。というかハッカーがそう言っている。

1.事前に指摘があったは嘘

熊谷氏によると、現場チームはホワイトハッカーの指摘を受けて対策を進めていたが、「対応の深度とスピードが十分ではなく、攻撃者にその間隙を突かれてしまった」という。「プロを抱えながら、その知見を組織として完璧に防御へ昇華しきれなかった」と反省を示している。

これは嘘ですね。あり得ない。ハッカーが言っていることが本当なら1行削るだけのことで全く気付いていなかった。社内にそんなチームはなかったのでしょう。
事前対策も指摘もなく、そもそも何もしていなかったという方が正確ですねこれ。

https://note.com/anonymous_notes/n/na622d25b1d2f?sub_rt=share_pw
なのでPHPとGMOは完全にレベルの違う事象であり混同するのはアホです。対策の内容が違う。
PHPはAIが悪いわけではなくPHP財団がコアのC言語を治さないのが悪い。モラル・ハザードの典型例です。直してしまうとバージョンアップでお金が儲からない。
他方GMOはいくらPHPが完全なコードを作っても運用する方がアホということになります。だから同じ扱いはできない。

2. AIで高度なハッカーがは嘘

背景にあるのは、AI技術の爆発的な進化と悪用です。
オープンウェイトのAIモデルが容易に組み合わされ、無数の攻撃ツールへと拡散したことで、かつては高度な技術を要したサイバー攻撃が、誰でも容易に実行できる時代へと一変してしまいました。

この認識は100％間違いです。これはすでに述べてきた通り。
税金をこれでだまし取ろうとかデジタル庁といい公金チューチューしすぎだよ
全然AIでも何でもない。GMOはこれが違うなら黙ってないでしゃべった方がいいけど、しゃべった途端終わるから否定もしづらいね。

3. PHPも全く関係がなかった

これは空想ではありません。最近も、PHPの重大な脆弱性がAIによって瞬く間に悪用され、自動化された攻撃試行は数時間で数百万件に達しました。多くのサイトが自らを守るために、意図的にサービスを止めざるを得ませんでした。攻撃者はもはや個別の標的ではなく、インターネット全体に襲いかかっているのです。

PHPのどこが関係あったんでしょうか。まあ関係があったとは書いてないから、これも何の関係もない文章でミスリードを誘いますね。詐欺とは言わないけどだましのテクニックに近いのでやめた方がいいですね。
この辺がハッキングが純粋な技術的問題ではなくこういう文系のごまかしが入って事実関係が見えなくなっているという状況になっているということは言えます。社長の中ではそうなんだろうけど、現実はそうではない。

4. 責任逃れの嘘

誰よりも深い悔しさを噛み締めているのは、危険を察知し警告を発していた現場のホワイトハッカーたち自身であり、防ぎきれなかった技術陣です。

つまり社長は悪くないと言う事になりますね。他でいくら書いていても結論はこれ。
最も技術陣やホワイトハッカーは存在しているのかも怪しい。存在していても発言力があったかもわからない。相当ワンマン体質だったのでしょうか。1行も削れないというのは相当致命的。

5.GMOは全く被害を把握できなかった

ハッカー集団からメールが

異変に気づいてから、およそ2時間後。男性のもとに一通のメールが届きます。

男性に届いたメール:
「我々はHackingTeamだ。GMOが我々との交渉に応じることを拒否したため、我々は予告通り、アカウントの残高をすべて消去した。あしからず！」

メールは翌日以降も届き、そこに書かれていたURLにアクセスしてみると…

犯行声明サイト
「24時間で約77億円相当の口座を破壊」
「破壊は現在も進行中」

不正アクセスをしたとみられるハッカー集団の犯行声明が掲載されていました。

この報道の意味は極めて重い。なぜならGMOは異常が発生しても検知できていないからだ。顧客はGMOより先にハッカーからメールを2回受け取っている。つまり２日以上事態を放置していたことになる。
さらにGMOの顧客名簿、連絡先を把握し、通信回線まで立ち上げている。素晴らしいスピード感だ。それとともにGMOには監視体制が全くなかったことがわかる。確かにハイリスク取引を連打すればそれが本物かはわからない。
なお、この報道で、これからセキュリティ対策を構築しますと語っている女性がいたが、誤り。セキュリティ対策をいくらしてもRDPはウィルスでもないし、VPNも抜けているので個人では防御が困難だ。解決策は単純でもまさかそんなことがと思うのは罪でも何でもない。むしろこの点でもハッカーが拍子抜けして77億円で止めている感じがする。
その気になれば全部抜けるが、それだと身代金がもらえない。77億円を破壊してもそれが全額自分のものにはならない。リスクだけが増えてしまう。身代金も低すぎる。アメリカならこの倍以上の請求もされている例があるからである。
全部抜けることが分かった時点で身代金がもらえるか、もらえなくても換金ができるレベルでかつGMOが補償できるレベルに止めているので、このハッカー技術だけじゃなくて現実もわかっている。77億円はGMOが顧客に返せない額ではない。そう踏んでいる。恐ろしくストイックで欲がなく、機械的かつ効率的にハッキングしているのである。

⑥.ブログでパフォーマンスをやって自分に酔う株主対策ごっこ、セキュリティごっこはやめてほしい

結論から言うとGMOが言っていることは嘘ばかりであり、少なくとも税金を入れるなら、経営陣は二度とPCもスマホもいじらないし、発言もしないし、株式も持たないくらいの覚悟は必要でしょう。自分たちはそういう仕事をする資格がないと言う事を宣言しないとモラルハザードが起きるので意味がなくなります。能動的うんちゃらはモラルハザードまで無効化できない。
それにハッカーの方が逆に糞真面目というか少なくとも技術に関して絶対の自信を持っているという感じですね。AIで書いているのかわからないけど。指摘は嫌味を含めているが丁寧だし、ムキになっている部分がAIに関する部分という点でも生真面目さが出てますね。しかもハッカーが知っているのはこれだけではない。おそらくまだ相当内部の情報を知っている。なので社長はあまりうそを言うのはやめた方がよろしいのではないかと思う。そうしないと余計変なことを言われかねない。そうするといくら能動的運チャラでも信頼は回復しない。

結局のところモラル・ハザード

これも前回書いているとおり、セキュリティ対策がすべて顧客に無理げーを押し付けるものになっているためセキュリティ対策専門家はモラルハザードを起こしている。PHPやMSだけでなくGMOも例外ではない。だから税金を入れるなど最初から論外と言う事になります。甘やかしてはいけない。
ただ、我々はPrivacy.comのようなサービスがなく、住所も全部教えなければいけないというアメリカからすれば考えられないシステムを強要された挙句、情報漏洩で右往左往することになります。これは弁護士の金儲けにしていてもだめで、アメリカ並みのサービスが合法的に展開される必要があるわけです。そこを放置しているのは明らかにデジタル庁が無意味かつ無駄な官庁だということにしかならないわけです。よくありがちなんですが、海外の制度をゆがめて導入するのマジでやめませんかねえ。ちゃんとセットになっているものも導入しないとなんの意味もない。
したがって被害者がやることは賠償金の請求ではなく、政府にPrivacy.comやアドレス秘匿化をちゃんとしろという要求をすべきなんですね。弁護士をいくら儲けさせても何の意味もない。あの連中も有害無益。

結論と課題

技術的な事実関係を直視する限り、本件は「高度サイバー攻撃に対する被害」ではなく、「基本設計を無視したインフラ運用が、モラル・ハザードでユーザーに責任を転嫁して放置され、儲かってウハウハな腐った業界に対して、極めてシンプルな手法で破綻させた事例」と言う事であり、その背景にはそうした個人情報を保護するサービスインフラが欠如しているにも関わらず個人情報保護を叫ぶ総務省やDXとかほざいているデジタル庁がマジで馬鹿であり公金チューチュースキーム官庁でしかないという結論になります。

あとこういう経営者マジで辞めた方がいいよ

【悲報】GMOの1.5億円脅迫ニュース（期限：明日正午）を見た経営層、急にパニックになって現場を追い詰め始める

今、全国のIT部門・情シス（情報システム）の現場で繰り広げられているリアルな地獄絵図がこちらです。

経営層「おい！GMOが1.5億円脅迫されてるらしいぞ！うちは大丈夫なのか！？」

現場「予算削られたので対策は最低限ですが…」

経営層「今すぐセキュリティ会社に電話しろ！最強のやつを導入するんだ！」
現場「具体的に何から手をつけますか？ゼロトラストですか？クラウド評価ですか？」

経営層「分からん！とりあえずセキュリティを『強化』しろ！」

セキュリティ企業側の発表によると、最近の問い合わせの異変として「経営層からの直接の相談」や「上からの指示で何をしていいか分からないという悲鳴」が激増しているとのこと。

8〜9月以降、国内でWebシステムへの不正アクセス被害の公表が相次いでいましたが、経営陣はどこか「他所の火事」だと思っていました。

しかし、1.5億円の身代金要求と明日正午というタイムリミットを見て、ようやく自分たちの首筋に刃が突きつけられていることに気づいたわけです。
午後4:14 · 2026年10月26日 60.8万件の表示

ハッカーの声明文が正しいかどうかにもよりますが、最低限も最低限、たった1行なんですよね。それすらしていないのは賃金以前の問題。あとやっていなかったらうちは大丈夫なのか以前の問題。 確かに、パッケージで安全が買えるというのも間違いだけどそら言われていることがむりげーだから仕方ない面はあります。GMOみたいにだましている方じゃないからね。ただ、1.5億円よりは1行なので、見るところがマジで間違っています。

本来確認すべきチェックリスト

経営層や情シス責任者がやるべきことは、セキュリティ会社に泣きつくことではなく、自社のインフラ担当者に以下の3つの基本点を淡々と確認するといいのではないかと思います。

1. 「外部・顧客向けのRDP接続設定で、不要なローカルドライブやクリップボードのリダイレクトをポリシー（GPO等）で一括禁止しているか？」
2. 「社内の運用管理サーバー（WSUS、資産管理、監視系）と、顧客・一般端末のセグメントは適切にファイアウォール等で隔離されているか？」
3. 「システム横断で使い回されているドメイン管理者・ローカル管理者アカウントは存在しないか？（Tier分け・最小権限が徹底されているか？）」

これらは製品の新規購入など不要であり、既存のActive Directoryのグループポリシーやネットワーク機器のルール見直しだけで今すぐ点検・是正できる領域だと思います。

自宅レベルの防御策

犯人の主張なので鵜呑みにはできませんが、一点だけは利用者が自分で確かめられます。drivestoredirectは、リモートデスクトップで自宅PCのドライブをVPS側に見せる設定です。有効なままだと、VPSから自宅PCのファイルに手が届く。

今夜、RDPの設定を開いて、ローカルリソースの詳細からドライブのチェックを外す。Macならフォルダの共有をオフに。これはGMOに限らず、どの業者のVPSでも同じです。他社VPSの方も今夜一度だけ確認を。道は自分の側で塞げます。

drivestoredirect:s:* の意味

RDP（リモートデスクトップ）接続時、自宅PC（手元のクライアント）の全ドライブ（CドライブやUSBメモリ等）を、接続先であるVPS側のエクスプローラー内に「共有フォルダ（ネットワークドライブ）」として自動マウントさせる設定。

「逆流」による自宅PC侵害のリスク

もしVPS側が攻撃者に完全掌握されていた場合、ユーザーが接続した瞬間、攻撃者はVPSを経由してユーザーの自宅PC内のローカルファイル（デスクトップのファイル、パスワード台帳、ブラウザのデータ等）を直接読み書き・強奪・暗号化できる。

クライアント側での遮断

RDPファイルの設定やWindows標準のリモートデスクトップ接続画面（「ローカルリソース」タブ →「詳細」→「ドライブ」のチェックを外す）を変更すれば、VPS側がいくら侵害されていようと、自宅PCへのファイルアクセス経路はクライアント側で物理的に遮断される。

https://x.com/shiozukemann/status/2114530590343241749?s=20
ところでこのネットワーク共有というとWindowsのあれかと思ってしまいますが、そうではなく、そもそもネットワーク共有をかけていなくてもRDPをクリックしただけで共有になってしまうという問題です。ファイヤーウォールすら関係ない。
これはVPS事業者が提供したRDPファイルでそのサービスに接続するという条件付ですが、VPS事業者のサーバーから個人のPCに入って情報は書き換えられるし、抜き取られるし、なんならランサムできるわけです。しかも公式が提供しているから疑いようがないし、FX取引のために入れざるを得ない。
GMOがわざとこうしておいて個人のドライブを見られる状態にしているというのは考えすぎですが、少なくとも顧客としては自分で作った自動売買プログラムをすぐ動かせるというメリットがありました。おそらくはGMOの売りであり、かつリスクだったわけです。