GMOのVPSFXが乗っ取られた理由

GMO系列の、お名前.comのVPSのFXサービスが乗っ取られ、契約者のFX取引を勝手に実行して数百万円の損害になった人もいます。
どう乗っ取ったのか、犯人が声明を出したようです。

まず何らかの手段で、サポートエンジニアのアカウントからマスターキーを奪取。
VPSに侵入してみると、Active Directoryというマイクロソフトが提供するサービスでサーバを一括管理していると気づいた。
そのログに全サーバ共通のパスワードが残っていた。
2万7千台のVPSサーバを一気に乗っ取った。

これは物理サーバではなく仮想サーバ。
2万7千台は物理サーバだと非現実的な数なので。
1台の物理サーバに数十台の仮想環境を入れて、1台の物理サーバを共有しているわけです。

VPSの内部には顧客のPCの情報もあった。
公式が配布したRDPファイルの設定（VPSと接続するのに必要）で、
顧客（ローカル）PCのドライブ共有が最初からONだった。
これはVPS側から顧客のPCが丸見えだったという意味。
犯人はこれを利用して顧客PCにバックドアを仕込んだとのこと。

解約者も狙われたのは、VPS側に顧客情報が残っていたから。
通常、クラウドサービスを解約すると顧客情報を消去します。
GMOは解約してもコスト削減や、再利用の手間を省く為に、仮想サーバを放置。
その顧客情報もそのまま残していたようです。
なのでGMOのVPSを契約した事がある人は、例え解約済みでも自分のPCが乗っ取られている可能性があります。