tikix_it retweeted
ヨドバシカメラやはりガチだった…！
・サーバ等全部自前。
・社長自身エンジニアリングがすごく好き。
・2040年に向けて独自のAPI開発をする。
type.jp/et/feature/27604/
「成果なんてすぐに見えるものじゃない」ヨドバシが圧倒的な自前主義と長期的視点に立てる理由 - エンジニアtype | 転職type
tikix_it retweeted
どうもロシア軍、突撃前に覚醒剤投与をやり始めたぽいなあ
何発か弾を当てても突っ込んでくるとかなんとか
（歴史的に戦場あるある景色とは言え、地獄だ）
tikix_it retweeted
炎上プロジェクトに大手ファームから「立て直しPMO」が来て。
徹夜対応のベンダーPM達からヒアリングし。
「とにかく要件が決まらない。ユーザー側の課題管理表は２割しか回答ない」と聞き出し。
ステアリングコミッター会議で全責任者を集めてコンサルが発表したのは「100%開発側の問題です」だったな
顧客についてるコンサルに意地悪されてる、という形でしたら基本的に貴方は悪くないですし、上手くやらないコンサルの責任だと思いますわよ
ただ、解決策が「プロジェクトの運営に支障をきたしている」と顧客に釘を刺すくらいしかないので、貴方の上司が解決する気がないorコンサル経由で雇われてるSIerみたいなポジションであるなら効果的な手段はないですわね
真面目に解決しにいくならマジで抗議する場を設けたあとに仲良くなりにいくとかなんですかね…なかなか厳しそうな気もしますが
#mond_consultnt_a
tikix_it retweeted
最近のこの話をアメリカのエンジニアと話していた。同じような解釈だった。ガチでコレ。なぜ「スマホやPCは大丈夫」なのに「サーバー側は絶望的」なのか。一般ユーザー端末とサーバーの根本的な違いは、「不特定多数からの接続を待ち受けているかどうか」にあります。
個人端末（PC・スマホ）の場合には、自分から特定のサイトにアクセスする（アウトバウンド通信）のが基本のため、外部から直接攻撃用の特殊なパケットを送り込まれるリスクは限定的です。サーバー（Web・インフラ）には、全世界からのアクセスを24時間「待ち受けている（インバウンド通信）」状態です。
今回のバグ（CVE-2026-98432）は、ログイン画面やパスワード認証といった「アプリケーションの入り口」に到達する前、OSのネットワーク処理（TCPハンドシェイク）の段階で一発で権限を奪える点が、過去最高クラス（CVSS 9.8）に危険と言われる理由です。
【Q&A】Linuxの超ヤバい脆弱性ニュース、一般人の自分たちに影響あるの？「CVSS 9.8の緊急脆弱性！」
「AIが乗っ取りコード作成！」とタイムラインが騒がしいけど、結局私たちは何をすればいいの？をまとめました。
Q. スマホや自分のパソコンは大丈夫？
A. 基本的に大丈夫です！今回の話は、インターネット上でみんなからのアクセスを待ち受けている「Webサーバー」や「クラウドの基盤」側の話です。
Q. じゃあ何が危険なの？
A. あなたが普段使っているネットショップ、SNS、銀行、ゲームのサーバーが「乗っ取られる危険」があります。サーバーが乗っ取られると、そこに保存されている個人情報やクレジットカード情報が盗まれるリスクが出てきます。
Q. 私たちが今やるべき対策は？
A. 私たちができる直接の対策はありません。今頃、世界中のインフラエンジニア（サーバーを管理する人たち）が睡眠時間を削ってサーバーの安全アップデートを急いでくれています。
エンジニアの皆さんに感謝しつつ、サービス側から「メンテナンスのお知らせ」が来たら静かに応援しましょう
tikix_it retweeted
とんでもない脆弱性だな。
Anthropicの検証内容をチャッピーにまとめさせてみたが、カーネルを騙して攻撃コードをカーネル自身に実行させた（つまりroot権限で実行）ということよね。恐ろしい。。
Linuxに深刻度9.8の脆弱性、認証なしでroot権限奪取 AnthropicのAIが攻撃を実証 ascii.jp/elem/000/004/447/44…
tikix_it retweeted
GMO関連事件の攻撃者特定に資する識別子一覧をここに記す。
@m_kumagai
認可済み調査の公開情報・アーカイブ・メタデータから抽出。各項目に発見経緯と照会時の有用性を併記。
最優先照会対象はNamecheap同一アカウント・***.154.***.***（QAリグ機）・WPS ICVの3点。法執行機関照会で契約者情報やアカウント紐付けが期待できる。
1. レジストラ・ホスティング照会キー
両ドメインのNamecheap同一アカウント管理
WHOISとclientHold適用時刻比較で確認。coronamng.stor（18:35:56.859Z）と
designbuilder.stor（18:36:02.859Z）が6秒差で同時clientHold。同一管理口への一括処理と判定。登録日時は2026-08-31 15:26:04Zおよび2026-08-27。
Namecheap照会で契約者情報・決済記録・管理履歴が取得可能。
ホスティングサーバ
DNS照会・サーバ応答からserver**-*.web-hosting.com（***.54.***.**）およびserver***-*（***.54.***.***）を特定。cPanelアカウント・サーバログの照会対象。
SPFによるメール経路直結
DNS TXTから+ip4:198.**.114.** +ip4:198.**.114.**を確認。ドメイン発メールのReceivedヘッダとcPanelアカウントを直結可能。
2. ISP照会キー
時刻換算の信頼性
PHP時刻がUTC+7であることはWaybackクローラのタイムスタンプとの秒単位突合（15/15一致）で確定。活動窓の時刻精度を保証。
*06.154.***.***（auひかり / KDDI）— QAリグ機
visits.log解析で10/23 15:55:03–18:50:09 JSTに39バーストの体系的試験を確認。他の14IPは単発poke中心なのに対し、本IPは39バースト・Battery構成・ページ変体カバレッジ・対話的調整痕が揃い、運営者作業環境としての確度は85–90%。KDDI照会で契約者情報取得可能。
*10.168.***.**（KDDI/DION）、*53.207.**.**（OCN・大阪中央エリアの可能性）、*26.217.***.*（SoftBank BBTEC）
trackerを直接弄った行動を確認。確度は20–30%。*53.207.**.**はFQDNから大阪中央収容局エリア在住の可能性。補助的照会対象。
訪問者ハッシュ式
sha256(IP|'change-this-salt-please')[:16]で計算。全4,259行で検算一致。将来のハッシュからIPへの逆算を可能にする。
3. 文書・コードの作者指紋
WPS ICV 3点
accounts.xlsx / accounts-2.xlsx / accounts-3.xlsxのdocProps/custom.xmlから抽出。
AA00************_**
BAA4************_**
2E61************_**
同一ICVの別文書は同一作成者の決定的な照合キー。
creator "Logitech" およびWPS環境
ビルドは1033-**.*.*.*****（en-US配布国際版）。UI言語は簡体字（「工作表」ラベル）、wps.cn名前空間使用。FATコンテナで直接保存。
"Logitech"はWindowsアカウント名またはWPS昵称の可能性。username再利用の照合キーとして使用可能。WPSアカウント由来ならKingsoft照会でメール・電話・接続IP・保存文書一覧が取得可能な第4の照会先。
track.phpの実装癖
salt文字列のデフォルト放置、bot判定regexの語彙、strict_types / flock / prune / rotate構成、「自分の確認用」コメントを確認。同型トラッカー検出に使用可能。
抽出ツール書式
CLIENT PC DRIVE EXTRACTIONヘッダ、INFO_send/<FDC>/INFO.txt配置、C:\ProgramData\USOShared\RdTmp\Extracted_<PC>出力先、UTF-8 BOM、[FILE]/[DIR]/[Total:]書式。他インシデントの漏洩物との同一ツール照合に使用可能。
QAリグの行動シグネチャ
5分間隔cron、Battery構成（HeadlessChrome/**×* + Wget/*.*.*×* + Chrome/**×*）、/ と /index.phpのページ変体カバレッジ、対話的な調整痕を確認。他作戦での同rig検出に使用可能。
文面指紋および作譜癖
固有句（「電話もした。メールも送った。URLも渡した。返事は一度も来なかった。」等）およびCSS/HTMLの作譜癖（Hiragino先頭フォントスタック、二言語セクション区切り、CSS変数不使用の平書き、推敲草稿の残存）を確認。全文一致検索で別名義の過去・未来の犯行を接続可能。
4. 所在・環境シグナル
日本の個人消費者回線からの接続
visits.logのIPをPTR/JPNICで照会。auひかり / DION / OCN大阪中央 / SoftBank BBTECからの物理接続を確認。OCN 1件は大阪中央エリア在住の可能性まで局所化。
時計の三重構造
.well-knownファイルのmtimeと証明書発行時刻の突合、Waybackクローラとの照合でOS時計≒UTC−4（推定・強）、PHP=UTC+7（実測）、表示=JSTを確定。+7の慣習はsamples.zip梱包Linux機とサーバPHP設定の両方で反復。環境文化の証拠。
作成環境
xlsxメタデータから簡体字UIのWPS + $会計形式を確認。「海外環境で日本業務」の作成環境を示唆。
入口および横展開
攻撃者自身の記述（compromise(or purchase)、「VPSを契約すればいいだけ」）およびrdp-02スクリーンショット・net localgroup引用から、正規契約VPSの購入を入口とし、fcwsus経由・dc\ops共有認証による横展開を確認。
5. 集団規模に関する評価
同日に複数の作業環境・デバイスが並行稼働（Windows/"Logitech"機による台帳作成、UTC+7 Linux機によるsamples.zip梱包、auひかりLinux機によるQA、その他Win/Edge・Mac・Androidからのアクセス）。役割分業の痕跡から構成員2〜4名規模と推定。同一人物が複数環境を操作していた可能性も完全には排除できない。
6. 誤認防止リスト
テスタ3IP（*10.168.***.** / *53.207.**.** / *26.217.***.*）
visits.logの全数解析でtrackerを弄ったIPは14に上ることが判明。当初3IPと過小評価していたが訂正。全国および海外VPNに分散するpoke行動の一部である可能性が高く、確度は15–25%に下方修正。
*20.146.***.***（UA偽装Headless・ASAHI動的回線）
国内の追跡者/有志の可能性が高いと判定。
ChatGPT-User / Claude-User / AguseScan / urlscan等
AIエージェント・スキャナ・群衆による観測であり、攻撃者ではないことを確認。
以上が発見経緯と照会時の有用性を併記した識別子一覧。各項目は公開情報・アーカイブ・メタデータの範囲で確認されており、法執行機関による照会時の根拠として使用可能である。
これが自分の限界でした、既出であったらすみません。
正確・詳細なデータはGMO Cybercrime Bountyにて提供致します。
#gmo不正アクセス
tikix_it retweeted
【話題】GMOのサイバー攻撃の犯人を追跡したら「中国語版のWPSを使って日本のauひかりから39回も動作テストする」ドジっ子集団の全貌がバレる件ｗｗ
サイバーセキュリティの専門家Hunkさんの解析ツイートを要約すると、
・悪用ドメインの管理画面で、2つのドメインをたった6秒差で一括操作してNamecheapの同一アカウント疑惑が確定、「手作業でめっちゃ急いで設定しました」感が出てて香ばしい
・その環境の動作テスト用IPアドレスが日本のauひかりから接続されてるのを特定、39回もガッツリ体系的に動作確認してて「仕事は丁寧なのに足跡はガッツリ残す」リアル無理ゲー
・ドキュメントの内部データから中国語UIのWPSを使っている痕跡が発覚、ユーザー名「Logitech」で書類を作成する「海外拠点から日本の回線を踏み台にする」出稼ぎスタイルが丸裸に
【小まとめ】
ドメイン設定は6秒差で急ぐ神業なのに、テストは日本のauひかりから堂々と39回も実行。身バレ対策とシステム検証の熱量が完全にバグってる界隈のピエロ
【つづき】
・パソコンの時計設定が「OSはUTC-4、サーバーはUTC+7、表示は日本時間」という三重カオス状態、複数の国境をまたいでタイムトラベルする天才の所業
・訪問者のIPをハッシュ化して隠蔽したつもりが、計算式であるソルト文字列が初期設定のままで将来のアクセスまで逆算可能になる特大フラグ回収
・これだけバラバラの環境から同時にアクセスがあるため単独犯ではなく2〜4人規模のグループだと推測、役割分担の足跡まで晒されてて乙
【結論】
身バレ対策で海外サーバーや中国語ソフトを駆使したつもりが、メタデータと時計の矛盾から「2〜4人で役割分担してテストを繰り返す」涙ぐましいチームプレイの全貌まで特定班に全部見透かされてしまうお察し案件です。
GMO関連事件の攻撃者特定に資する識別子一覧をここに記す。
@m_kumagai
認可済み調査の公開情報・アーカイブ・メタデータから抽出。各項目に発見経緯と照会時の有用性を併記。
最優先照会対象はNamecheap同一アカウント・***.154.***.***（QAリグ機）・WPS ICVの3点。法執行機関照会で契約者情報やアカウント紐付けが期待できる。
1. レジストラ・ホスティング照会キー
両ドメインのNamecheap同一アカウント管理
WHOISとclientHold適用時刻比較で確認。coronamng.stor（18:35:56.859Z）と
designbuilder.stor（18:36:02.859Z）が6秒差で同時clientHold。同一管理口への一括処理と判定。登録日時は2026-08-31 15:26:04Zおよび2026-08-27。
Namecheap照会で契約者情報・決済記録・管理履歴が取得可能。
ホスティングサーバ
DNS照会・サーバ応答からserver**-*.web-hosting.com（***.54.***.**）およびserver***-*（***.54.***.***）を特定。cPanelアカウント・サーバログの照会対象。
SPFによるメール経路直結
DNS TXTから+ip4:198.**.114.** +ip4:198.**.114.**を確認。ドメイン発メールのReceivedヘッダとcPanelアカウントを直結可能。
2. ISP照会キー
時刻換算の信頼性
PHP時刻がUTC+7であることはWaybackクローラのタイムスタンプとの秒単位突合（15/15一致）で確定。活動窓の時刻精度を保証。
*06.154.***.***（auひかり / KDDI）— QAリグ機
visits.log解析で10/23 15:55:03–18:50:09 JSTに39バーストの体系的試験を確認。他の14IPは単発poke中心なのに対し、本IPは39バースト・Battery構成・ページ変体カバレッジ・対話的調整痕が揃い、運営者作業環境としての確度は85–90%。KDDI照会で契約者情報取得可能。
*10.168.***.**（KDDI/DION）、*53.207.**.**（OCN・大阪中央エリアの可能性）、*26.217.***.*（SoftBank BBTEC）
trackerを直接弄った行動を確認。確度は20–30%。*53.207.**.**はFQDNから大阪中央収容局エリア在住の可能性。補助的照会対象。
訪問者ハッシュ式
sha256(IP|'change-this-salt-please')[:16]で計算。全4,259行で検算一致。将来のハッシュからIPへの逆算を可能にする。
3. 文書・コードの作者指紋
WPS ICV 3点
accounts.xlsx / accounts-2.xlsx / accounts-3.xlsxのdocProps/custom.xmlから抽出。
AA00************_**
BAA4************_**
2E61************_**
同一ICVの別文書は同一作成者の決定的な照合キー。
creator "Logitech" およびWPS環境
ビルドは1033-**.*.*.*****（en-US配布国際版）。UI言語は簡体字（「工作表」ラベル）、wps.cn名前空間使用。FATコンテナで直接保存。
"Logitech"はWindowsアカウント名またはWPS昵称の可能性。username再利用の照合キーとして使用可能。WPSアカウント由来ならKingsoft照会でメール・電話・接続IP・保存文書一覧が取得可能な第4の照会先。
track.phpの実装癖
salt文字列のデフォルト放置、bot判定regexの語彙、strict_types / flock / prune / rotate構成、「自分の確認用」コメントを確認。同型トラッカー検出に使用可能。
抽出ツール書式
CLIENT PC DRIVE EXTRACTIONヘッダ、INFO_send/<FDC>/INFO.txt配置、C:\ProgramData\USOShared\RdTmp\Extracted_<PC>出力先、UTF-8 BOM、[FILE]/[DIR]/[Total:]書式。他インシデントの漏洩物との同一ツール照合に使用可能。
QAリグの行動シグネチャ
5分間隔cron、Battery構成（HeadlessChrome/**×* + Wget/*.*.*×* + Chrome/**×*）、/ と /index.phpのページ変体カバレッジ、対話的な調整痕を確認。他作戦での同rig検出に使用可能。
文面指紋および作譜癖
固有句（「電話もした。メールも送った。URLも渡した。返事は一度も来なかった。」等）およびCSS/HTMLの作譜癖（Hiragino先頭フォントスタック、二言語セクション区切り、CSS変数不使用の平書き、推敲草稿の残存）を確認。全文一致検索で別名義の過去・未来の犯行を接続可能。
4. 所在・環境シグナル
日本の個人消費者回線からの接続
visits.logのIPをPTR/JPNICで照会。auひかり / DION / OCN大阪中央 / SoftBank BBTECからの物理接続を確認。OCN 1件は大阪中央エリア在住の可能性まで局所化。
時計の三重構造
.well-knownファイルのmtimeと証明書発行時刻の突合、Waybackクローラとの照合でOS時計≒UTC−4（推定・強）、PHP=UTC+7（実測）、表示=JSTを確定。+7の慣習はsamples.zip梱包Linux機とサーバPHP設定の両方で反復。環境文化の証拠。
作成環境
xlsxメタデータから簡体字UIのWPS + $会計形式を確認。「海外環境で日本業務」の作成環境を示唆。
入口および横展開
攻撃者自身の記述（compromise(or purchase)、「VPSを契約すればいいだけ」）およびrdp-02スクリーンショット・net localgroup引用から、正規契約VPSの購入を入口とし、fcwsus経由・dc\ops共有認証による横展開を確認。
5. 集団規模に関する評価
同日に複数の作業環境・デバイスが並行稼働（Windows/"Logitech"機による台帳作成、UTC+7 Linux機によるsamples.zip梱包、auひかりLinux機によるQA、その他Win/Edge・Mac・Androidからのアクセス）。役割分業の痕跡から構成員2〜4名規模と推定。同一人物が複数環境を操作していた可能性も完全には排除できない。
6. 誤認防止リスト
テスタ3IP（*10.168.***.** / *53.207.**.** / *26.217.***.*）
visits.logの全数解析でtrackerを弄ったIPは14に上ることが判明。当初3IPと過小評価していたが訂正。全国および海外VPNに分散するpoke行動の一部である可能性が高く、確度は15–25%に下方修正。
*20.146.***.***（UA偽装Headless・ASAHI動的回線）
国内の追跡者/有志の可能性が高いと判定。
ChatGPT-User / Claude-User / AguseScan / urlscan等
AIエージェント・スキャナ・群衆による観測であり、攻撃者ではないことを確認。
以上が発見経緯と照会時の有用性を併記した識別子一覧。各項目は公開情報・アーカイブ・メタデータの範囲で確認されており、法執行機関による照会時の根拠として使用可能である。
これが自分の限界でした、既出であったらすみません。
正確・詳細なデータはGMO Cybercrime Bountyにて提供致します。
#gmo不正アクセス
tikix_it retweeted
インフラ基盤に関係して働く人なら絶対に読むべきレポート。ランサムウェアではない理由で、表からポータルの脆弱性によって仮想基盤の管理者権限まで取られるのは初見。
idcf.jp/news/topics/20261027…
tikix_it retweeted
직원 40명 정도 되는 물류 회사에서 전산 담당을 맡고 있음 회사에 전산 인력이라곤 나 혼자뿐이었음
그날 밤 집에서 넷플릭스를 보며 쉬고 있는데, 스마트폰으로 서버 용량 이상 경고 알림이 연달아 띠링띠링 터졌음 미심쩍어서 노트북을 열고 원격으로 접속해 봤음
공유폴더를 열자마자 화면 속 파일들이 실시간으로 하나씩 이름이 이상하게 바뀌고 있었음 당장 월요일에 나가야 할 거래명세서 엑셀 파일 뒤에 낯선 확장자가 붙더니, 클릭해서 열어보면 깨진 외계어 글자만 가득 나왔음
말만 들었던 랜섬웨어 공격이었음 깊게 생각하고 자시고 할 시간이 없었음
바로 차 열쇠를 챙겨 들고 회사로 미친 듯이 달렸음 차로 이동하는 동안 스마트폰 원격 제어로 공유폴더 서버 전원부터 강제로 꺼버렸음 하지만 이미 감염되어 돌아가고 있는 사무실 PC들이 문제였음
회사에 도착한 게 밤 12시 20분이었음 사무실 문을 열고 들어가서 컴컴한 불 꺼진 책상들을 돌며 PC 마흔 대의 랜선을 하나씩 손으로 다 뽑아버렸음 손이 덜덜 떨려서 랜선 잭이 잘 안 빠질 정도였음
바탕화면에 생성된 메모장 파일 내용은 전부 영어였음 파일들을 풀고 싶으면 72시간 안에 비트코인으로 얼마를 입금하라는 내용이었음 해커가 요구한 금액을 대충 계산해 보니 우리 회사 한 달 순이익이랑 거의 맞먹는 거액이었음
새벽 1시가 넘은 시각에 긴급하게 사장님한테 전화를 걸었음
전화를 받은 사장님이 제일 먼저 물어본 건 "돈 보내주면 파일 확실하게 풀리냐"는 거였음 월요일 아침 일찍 대형 거래처로 나갈 물량 출고 리스트와 운송장 데이터가 하필 그 공유폴더에 들어있었기 때문임 사장님은 급하니까 일단 돈 보내서 해결할 수 있으면 보내자고 하셨음
나는 강력하게 반대했음 돈을 보낸다고 해커가 복구 키를 준다는 보장도 전혀 없고, 한 번 돈을 입금한 회사는 '돈 되는 호구'로 찍혀서 나중에 또 노린다는 사례를 수없이 봤기 때문임 대신 나한테 백업 데이터가 있다고 사장님을 안심시켰음
하지만 진짜 문제는 그다지 멀지 않은 곳에 있었음
상황을 수습하려고 백업 서버를 열어보니까
tikix_it retweeted
GMOのクラッカーの続報の中で、彼らは顧客が配布されたRDPファイル(GMOは削除しろと言っている)を保存しておけと勧めている。
その内容だが、セキュリティとして問題になるのは
redirectprinters:
redirectcomports:
redirectsmartcards:
redirectclipboard:
redirectposdevices:
drivestoredirect:
それぞれプリンター、COMポート、スマートカード、クリップボード、POS機器の共有指定だが、一番下がもっともやばい。
drivestoredirect:
「RDP接続時にローカルPCのドライブ(固定、ネットワーク問わず)をリモートPCへ共有(リダイレクト)する」設定。
これが
drivestoredirect:s:* → すべてのドライブを共有
drivestoredirect:s:C:\;D:\; → C:¥、D:¥ドライブを共有
等と記述されていたらローカルのPCのデータはアクセスし放題だった可能性がある。
**こういう事ができちゃうので、リモデを社外それもPCのリテラシが高くない一般の利用者に公開するような事は普通しないのだが**
つまりは「このファイルはサービス側の瑕疵のエビデンスになるので削除せず保存しておけよ」と教えてくれているのだが、そんな事をわざわざ被害者に伝えるクラッカーというのも変な話だ。
GMOに恨みがある人間の仕業なのかね。
tikix_it retweeted
最悪の展開になってきました
⚠️急ぎ認識&対応必須⚠️
お名前.com VPSのFXサービスの顧客は今すぐPCをネットから外し電源を落とすべき
> 被害は「VPSの中（MT4やFX口座）」だけだと思われていましたが、犯人は「顧客が普段使っている自宅や会社の中身を盗み、遠隔操作用のウイルスを仕込んだ」
GMOの顧客のPCがランサムウェアの人質になる💣
<詳細>
この投稿は、攻撃者が「これまで隠されていた侵入の全手口（GMO側の技術的落ち度）」を暴露し、さらに「脅迫の標的をGMOから『顧客の自宅PC・個人の私生活』へ切り替える」と宣言した、極めて危険なエスカレーション（脅迫の激化）を意味しています。
書かれている内容を技術的な背景と合わせて噛み砕くと、主に以下の4つの重大な事実とメッセージが浮かび上がります。
1. 侵入の手口：なぜ全VPSが一網打尽にされたのか
犯人は、GMOのシステム構造に「インフラ設計として致命的な初歩的ミス」があったと主張しています。
VPSなのに「Active Directory（社内網の仕組み）」を使っていた
通常、VPS（仮想サーバー）は契約者ごとに完全に隔離（独立）されていなければなりません。
しかし、GMOは社内のパソコンを一括管理するような「Active Directory」という仕組みで全VPSをひとまとめに繋いでいました。
例えるなら: 本来は頑丈な壁で仕切られるべき賃貸マンションなのに、「壁に隣の部屋へ行けるドアがついており、全室共通のマスターキーが存在した」ような状態です。
サポートエンジニアのアカウントからマスターキーを奪取
GMOのサポート担当者がユーザーのサーバーに入って作業した際、その担当者が使った「全サーバー共通の管理者パスワード」の痕跡がサーバー内に残っていました。
攻撃者はそれを拾い上げ、2万7千台すべてのVPSの支配権をいとも簡単に手に入れた（水平移動した）と主張しています。
2. 最大の衝撃：「VPSから自宅PCへの逆流侵入」
これまで被害は「VPSの中（MT4やFX口座）」だけだと思われていましたが、犯人は「顧客が普段使っている自宅や会社のパソコン本体までハッキングした」と明かしています。
原因は配布されていた「RDPファイル」の設定ミス
お名前.comでサーバーに接続する際、公式からダウンロードする接続用アイコン（.rdp ファイル）を使います。
このファイルの設定で、「ローカルPCのドライブ共有（リダイレクト）」が最初からONになっていました。
何が起きたのか？
ユーザーが自宅PCからVPSに接続した瞬間、自宅PCのCドライブやデスクトップが、VPS側に丸見えの状態で自動接続されていました。
攻撃者はすでにVPS側を乗っ取っていたため、その接続トンネルを逆走して「自宅PCの中身を盗み、遠隔操作用のウイルス（バックドア）を仕込んだ」と主張しています。
3. 解約したサーバーが「放置」されていた理由
「解約したのに狙われた理由」の種明かしです。
通常、クラウドサービスは解約されると即座にデータが完全消去（初期化）されます。
しかしGMOはコスト削減や再利用の手間を省くため、解約手続き後も次の契約者が現れるまで何ヶ月もサーバーを稼働させたまま放置していたとされています。
そのため、何ヶ月も前に解約して安心していたユーザーのデータがサーバー内に生きたまま残っており、犯人に一括で回収されてしまったということです。
4. 次の行動：脅迫の矛先が「個人への身代金・ばら撒き」へ
ここが最も恐ろしい部分です。GMOが要求に応じないため、犯人は「GMOを困らせるために、顧客個人を直接攻撃する」と方針転換しました。
自宅PCのランサムウェア暗号化: 自宅PCを操作不能にし、「GMOが身代金を払わないせいだ」と書いた脅迫状を画面に出す。
極めて悪質な個人情報のばら撒き（ドキシング）:身代金を払わなければ、盗み出した「ブラウザの閲覧履歴（秘密の趣味や検索内容）」「個人データ」を、本人の家族・友人・会社の同僚へ名指しで一斉送信すると予告しています。
送信件名まで指定しており（「○○様がGMOを利用 — セキュリティ不備が招いた恥ずべき事態」）、社会的な尊厳を徹底的に破壊する手法です。
この主張の信憑性と注意点
この犯人の主張（Active Directoryの悪用、RDPドライブ共有によるクライアント逆侵入）は、セキュリティの技術論として「極めて理にかなっており、実際に起こり得る手口」です。単なるハッタリではなく、システムの構造を完全に把握した上での告発・脅迫である可能性が極めて高いと考えられます。
もし過去にお名前.com デスクトップクラウドを利用したことがある場合：
自宅PCの完全スキャン: 配布されたRDPファイル経由で不審なプログラムを埋め込まれていないか、信頼できるセキュリティソフトで自宅PCをフルスキャンする（可能であれば重要データを退避して初期化を検討する）。
ブラウザに保存したパスワードの変更: 自宅PCのブラウザ（Chrome等）に保存されていたクレジットカード、SNS、メール、銀行などのパスワードを別端末（スマホ等）から変更する。
脅迫メールへの無視: 今後、個人宛に「身代金を払え」「家族に閲覧履歴を晒す」といった脅迫メールが届いても、絶対に個人で犯人に連絡・送金せず、警察（サイバー犯罪相談窓口）に相談する。
犯人は現在、「顧客個人を人質にして阿鼻叫喚の地獄絵図を作り、GMOに社会的責任と巨額の支払いを強制させる」という最も凶悪なフェーズに突入しています。
tikix_it retweeted
GMO伏線回収してしまったね...
GMOの在宅勤務の完全廃止が話題だけど、GMO代表1人でClaude使って「5000万円相当の開発が、たった3万円になった」と表現するぐらいズレてしまっているので、おそらく優秀なエンジニアは離脱するだろうと思ってる
type.jp/et/feature/31346/
tikix_it retweeted
彼はとんでもなくセキュリティに詳しいので本当にフォローした方がいいですよ。
17歳ですけど、普通に企業からセキュリティの仕事をゴリゴリ取ってます。
あんまり褒めると怒られるんですけど。天才ホワイトハッカーです。
セキュリティに関する情報はマジで最速なんで、私もいつもあてにしてます。
私のセキュリティに関する知識の師匠も完全に彼ですよ。
今回のインド発端の脆弱性の情報を最初に日本に持ってきたのも彼ですし。
この引用元の対策もとりあえず個人が出来ることとしては完璧です。ただ、結構ツンデレさんなんで、彼は。
言葉遣い、ちょっとツンツンしてるところあるんですけど、本当は優しい奴なんです。
めんどくさいのでまとめてクオートしておきます
1.PHPと関係あるのか
ない。あっちは個人にできることはないがこっちは個人が行動しないといけない
2.どのブラウザが比較的危険か
Firefoxはほぼ安全
Chromeは更新遅れると侵害あるかも
Edgeは現時点でまだRevoke来てないかも
他やXアプリ内蔵ブラウザも来てない
3.できることは？
スマホならOSとアプリをすべて更新
(↓よくわからんなら手元のAIエージェントに聞け)
PCならそれに加えて各種ライブラリ等もすべて更新
コンテナ等も証明書が含まれるのでイメージのリビルドが必要
4.よくわからん
適当なAIに聞け。Grokでもええわ
5.URLは安全か？
Firefoxを開発するMozillaの開発チームのページではあるし，URLを開くだけで侵害されるような事態ならこっちの方が重大な問題で騒いでるのが自明だろう。
仮にそんな芸当ができるのは日本だとSatokiらくらいだ
6.それでもURLを開きたくない
どうぞ。更新だけしておいて。中途半端な知識でXで不安をあおるのはやめてくれ。自分の状況の確認すら阻害するような行為は啓発ではなく害悪だ
7.でも警戒するのは大事だろ
そう思うなら開かなければいい。検索すればいい。AIエージェントでチェックすればいい。そういった裏取りをせずにとりあえず開くなとツイートするのは悪意ある攻撃者と本質的に変わらない。発信するならまず調べろ