なお、追加で公開された資料を見ると、接続中だった顧客のローカルPC（自宅PC）の内部にアクセスし、データを盗み出すことには実際に成功してるように見える。 PCの中身は盗まれ、場合によってはウィルスを埋め込まれてる可能性はそれなりにあるので、要注意です。 1. 「侵入成功」を裏付ける決定的な証拠 ① 自宅PCのハードディスクがVPS側に丸見えになっている エクスプローラー画面には、「リダイレクトされたドライブとフォルダー」として、黒塗りされた「○○の C」「○○の D」がはっきりと表示されてる。 これは、ユーザーの自宅PCのCドライブ（OSや個人データが入っているメインディスク）とDドライブが、VPS側からネットワーク共有ドライブ（\\tsclient\C）として直接マウントされている状態です。 ② 配布された接続ファイル自体の欠陥 画像の警告画面を見ると、「このリモート接続により、ローカルまたはリモートのコンピューターが危害を受ける可能性があります」という警告の下で、「Drives（ドライブ）」に最初からチェックが入っています。 ユーザーが意識して共有を許可したのではなく、GMOが配布した .rdp ファイルの仕様として、全ユーザーが接続するたびに自宅PCのディスクをVPS側へ差し出してしまう設定になっていました。 ③ サーバーごとの抽出データ 公開されたサンプルZIPのツリー構造を見ると、FDC... という個々のVPSホスト名ごとにフォルダが作成され、それぞれ INFO.txt 等のデータがまとめられています。 これは攻撃者がスクリプトを組み、各サーバーへ接続してきたクライアント環境から機械的に情報を収集・分類していた実態を裏付けています。 2. 「どこまで侵入されたのか？」の現実的な範囲 「侵入」には大きく分けて2つのレベルがあります。 侵害レベル被害の内容成立の現実性 レベル1：データの読み取り・盗難 ・デスクトップやマイドキュメントのファイル閲覧 ・ブラウザの閲覧履歴・Cookie・パスワードの持ち出し ・保存されていた写真や個人文書の窃取 ほぼ確実に成功している （ドライブがマウントされているため、スクリプトで自動コピー可能） レベル2：マルウェアの常駐・遠隔操作 ・ローカルPCを遠隔操作するウイルスの設置 ・PC起動時に自動でウイルスが動く仕組みの構築 ・PC内のファイルを暗号化するランサムウェアの実行 一部のPCで成立しているリスクが高い （スタートアップフォルダへの自動配置など） なぜ「レベル2（完全掌握）」も一部で成立していると言えるのか？ RDPのドライブ共有機能には「向こうの画面を勝手に操作する」機能はありません。しかし、Cドライブへの書き込み権限があるため、攻撃者は以下の手口を使うことができます。 スタートアップフォルダへの書き込み:\\tsclient\c\Users\<ユーザー名>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup に不正なプログラムやバッチファイルを放り込む。 これをやられると、ユーザーが次回自宅PCを起動した瞬間に、ユーザー自身の権限でバックドアやウイルスが自動実行されてしまいます。 3. この事実から利用者が認識すべきこと 被害者にとって最も恐ろしいのは、「被害はお名前.comのVPS（仮想デスクトップ）の中だけに留まっている」という誤認です。 実際には、「VPSを踏み台にして、普段使っている私用PC・会社PCのディスクの中まで土足で踏み込まれていた」というのが客観的な事実です。 したがって、FX口座のパスワード変更にとどまらず、「VPSに接続していた自宅PC自体が中身を覗かれ、何か仕込まれている前提で直ちにウイルススキャンやブラウザのパスワード変更を行う必要がある」と認識し、すぐ行動する事が極めて重要になります。