Dấu vết kỹ thuật chưa phải bản án
Theo bài viết của The Independent dựa trên tường thuật Kyodo, việc phân tích mã độc và các dấu vết còn lại khiến GMO nghi ngờ một nhóm có liên hệ với Triều Tiên. Kyodo cùng các chuyên gia an ninh mạng còn phát hiện năm địa chỉ IP từng liên quan đến nhóm này truy cập website nhận trách nhiệm chỉ ít lâu sau khi trang xuất hiện. Những liên kết kỹ thuật như vậy đáng để điều tra nhưng chưa đủ tự thân xác định người điều khiển chiến dịch, nhất là khi địa chỉ IP có thể bị sử dụng qua máy chủ trung gian.
Những manh mối khác lại chỉ về nhiều phía: tên miền và máy chủ đặt qua nhà cung cấp Mỹ, dấu thời gian của tệp theo múi giờ Mỹ, hệ điều hành dùng tiếng Anh, mã chứa tiếng Nhật và phần mềm có xuất xứ Trung Quốc. Chuyên gia nêu khả năng một số dấu vết được cài nhằm đánh lạc hướng. Một website thứ hai, có mã nguồn và giao diện rất giống trang nhận trách nhiệm, có thể được dùng để thu thập thêm thông tin của nạn nhân. Không có bằng chứng công khai nào trong các nguồn này đủ để kết luận chính phủ Triều Tiên trực tiếp chỉ đạo vụ tấn công.
Lỗ hổng trong dịch vụ điều khiển từ xa
Khủng hoảng bắt đầu được công khai ngày 21/10, khi GMO dừng Onamae.com Desktop Cloud sau khi phát hiện chương trình độc hại và truy cập trái phép. Đây là dịch vụ cung cấp môi trường máy tính từ xa, được một số khách hàng sử dụng để vận hành phần mềm giao dịch tài chính.
