GMOインターネットグループが、一連の不正アクセスの攻撃側に北朝鮮系のハッカー集団がいる可能性が高いと分析していることが1日、関係者への取材で分かった。マルウエア（悪意あるソフト）の特徴など攻撃者の複数の痕跡から判断したとみられる。GMOは政府側に報告したもようで、真相解明が今後の焦点だ。複数の国をまたぐ痕跡があったことも判明した。調査をかく乱しようとした可能性がある。

2日には熊谷正寿社長が問題発生以降、初めて記者会見を開き、一連の経緯や判明した事実関係を説明する見通しだ。

関係者によると、GMOは攻撃を受けたサービスへの通信ログなどの特徴を確認したという。共同通信もセキュリティー関係者の協力を得て解析した結果「犯行声明」サイトの公開直後に接続していたIPアドレスのうち五つが、過去に北朝鮮のハッカー集団が使用していたものと一致した。

犯行声明を掲載したサイトには、米国や日本など複数の国に関わる痕跡があった。専門家は、海外情報を混在させることで調査をかく乱しようとした可能性を指摘。こうした手法は「偽旗作戦」と呼ばれる場合がある。

GMOは10月19日に調査開始。翌日にサーバー内に不正なプログラムを確認した。攻撃者は身代金100万ドル（約1億5千万円）の支払期限とした27日正午ごろ、漏えいしたとする個人情報1人分をサイトで公開した。

このサイトは、ネット上の住所に当たるドメインを米企業から9月1日に取得、レンタルサーバーも同企業のものだった。ファイル作成時間なども米国のタイムゾーンに設定され、基本ソフト（OS）も英語版だった。

閲覧者の記録を収集するプログラムの一部には日本語が記され、人工知能（AI）が使われたとみられる特徴があった。掲載ファイルは中国製のソフトで作られていた。

自身の口座で身に覚えのない取引があった男性によると、10月22日夜に攻撃者を名乗る人物からメールが着信。差出人はロシア人のような名前で、複数回届き、全て同じ差出人名だった。

攻撃を分析しているセキュリティー専門家は「いろいろな国の攻撃者を偽装しているような傾向がある」と話している。（共同）