2026年10月24日、GMOインターネットグループは、大規模な不正アクセス事件を受けて、政府に能動的サイバー防御の適用を緊急要請しました。
民間企業が自社へのサイバー攻撃について、国家による攻撃元の無害化を求めた異例の事案です。
今回の事件では、外国為替証拠金取引の自動売買サービスが攻撃を受け、顧客情報の流出や不正な金融取引の疑いが生じています。
攻撃者とみられる人物から金銭要求も受けており、被害の拡大が懸念されています。
しかし、企業が深刻な被害を受けたからといって、政府が直ちに攻撃元のサーバーを無害化できるわけではありません。
そこには、国家安全保障、企業の自己責任、国際法、通信の秘密、政府権限の限界といった重要な問題があります。
今回は、民間企業へのサイバー攻撃に政府がどこまで介入できるのかについて、法律と企業経営の両面から考えます。
GMOによる政府への緊急要請
GMOインターネットグループは、傘下企業が提供する「お名前.com デスクトップクラウド」に対する不正アクセスを受け、政府に能動的サイバー防御の適用を求めました。
このサービスは、外国為替証拠金取引の自動売買などに利用される仮想専用サーバーを提供しています。
今回の事件では、2万6,739件のサーバーで顧客情報が閲覧された可能性があるとされました。
さらに、一部の利用者から、身に覚えのない金融取引が実行されたとの報告も寄せられています。
GMOは、民間企業が単独で高度なサイバー攻撃を防御することには限界があると説明しています。
そのうえで、2026年10月1日に施行された能動的サイバー防御制度に基づき、政府主導で攻撃元の無害化措置を講じるよう求めました。
企業が自社の被害について国家による積極的な対応を求めたことは、今後の官民連携を考えるうえで重要な意味を持っています。
企業の要請だけで政府は動けるのか
能動的サイバー防御制度では、企業からの申請によって政府が自動的に無害化措置を実施する仕組みにはなっていません。
政府は企業から被害状況の報告や相談を受けることができます。
しかし、実際に攻撃元への措置を講じるかどうかは、法律上の要件に基づいて政府が判断します。
判断に当たって重要になるのは、攻撃の重大性や緊急性、国民生活や社会経済活動への影響、安全保障上の脅威などです。
例えば、ある企業のホームページが一時的に閲覧できなくなった場合と、全国の金融決済システムが停止する恐れがある場合では、社会全体への影響が異なります。
また、顧客情報が漏洩した事件と、電力供給を停止させることを目的とした攻撃でも、必要な対応は異なります。
政府による無害化措置は、企業が被害を受けた際に利用できる一般的な救済制度ではありません。
社会全体に重大な影響を及ぼす攻撃に対して、国家が一定の要件の下で対処する仕組みなのです。
民間企業への攻撃が国家安全保障問題になる場合
サイバー攻撃は、最初から国家機関を標的とするとは限りません。
民間企業への攻撃が、結果として国家の安全保障に重大な影響を及ぼす場合があります。
例えば、電力会社が攻撃され、大規模な停電が発生すれば、病院、交通機関、通信設備などにも影響が広がります。
通信事業者のネットワークが停止すれば、行政機関や金融機関の業務にも支障が生じる可能性があります。
金融機関への攻撃によって決済機能が停止すれば、企業間取引や国民の日常生活にも深刻な影響が及びます。
このように、民間企業が管理するシステムであっても、社会全体を支える重要な機能を担っている場合があります。
そのため、企業への攻撃と国家安全保障上の脅威を完全に切り離すことはできません。
ただし、金融関連サービスへの攻撃であるという理由だけで、直ちに国家安全保障上の重大事案になるわけではありません。
攻撃の規模、対象、継続性、社会への影響などを総合的に評価する必要があります。
重要インフラと政府の介入
能動的サイバー防御を考えるうえで、重要インフラという概念が重要になります。
重要インフラとは、国民生活や社会経済活動を維持するために不可欠なサービスを提供する基盤です。
電力、ガス、通信、金融、交通、医療などが代表的な分野です。
これらの分野では、システム障害が社会全体に波及する可能性があります。
そのため、政府による情報収集や関係機関との連携が特に重要になります。
一方、能動的サイバー防御の対象は、特定の業種だけに限定されているわけではありません。
重要なのは、攻撃を受けた企業の業種だけでなく、実際にどのような被害が発生し、社会にどの程度の影響を及ぼすかという点です。
例えば、比較的小規模な企業であっても、多数の重要インフラ事業者に共通のシステムを提供している場合、その企業への攻撃が広範囲に影響する可能性があります。
企業規模の大小だけで、政府による対応の必要性を判断することはできません。
政府による無害化措置の仕組み
能動的サイバー防御では、一定の要件の下で警察や自衛隊が攻撃に利用されているサーバーなどへアクセスし、攻撃の無害化を図ることができます。
具体的には、悪意のあるプログラムの停止や削除、攻撃指令機能の無効化などが想定されています。
ただし、攻撃元とみられるサーバーが見つかったとしても、直ちに措置を実施できるわけではありません。
サイバー攻撃では、第三者が所有するサーバーが乗っ取られ、攻撃の踏み台として利用される場合があります。
そのため、攻撃に利用されたサーバーと、実際の攻撃者が管理するシステムを区別することが重要です。
また、無害化措置によって無関係の利用者や事業者に損害を与える危険もあります。
政府は措置の必要性や対象を慎重に判断しなければなりません。
制度上、無害化措置には原則としてサイバー通信情報監理委員会の事前承認が必要です。
国家による権限行使には、迅速性だけでなく、適法性と相当性が求められます。
外国のサーバーに介入することの難しさ
サイバー攻撃では、攻撃者が海外のサーバーを利用することが一般的です。
しかし、外国にあるサーバーへ日本の政府機関がアクセスすることには、国際法上の問題が伴います。
例えば、攻撃に利用されているサーバーが外国企業の管理する設備だった場合、そのサーバーへの無害化措置が相手国の主権に関わる可能性があります。
また、サーバーの所在国と実際の攻撃者の所在国が異なる場合もあります。
攻撃者が複数の国の設備を経由して攻撃を実行していることも考えられます。
そのため、単に攻撃元の通信記録を特定するだけでは十分ではありません。
日本の制度では、外国にあるサーバーへの措置について、外務大臣が国際法上許容される範囲であるかを確認する仕組みが設けられています。
なお、外国のサーバーに対する無害化措置が、すべて国際法上の武力行使や自衛権の行使に該当するわけではありません。
行為の内容、規模、影響などによって法的評価は異なります。
国家間の緊張を高める可能性があるからこそ、慎重な判断が必要になります。
政府による介入と通信の秘密
政府がサイバー攻撃を早期に把握するには、通信情報の分析が重要になります。
不審な通信の発信元や接続先、通信の特徴などを調べることで、攻撃の兆候を発見できる可能性があります。
しかし、通信情報には個人や企業の活動に関する重要な情報が含まれています。
日本国憲法では通信の秘密が保障されています。
そのため、政府がサイバー攻撃対策を理由として、無制限に通信情報を取得できるわけではありません。
能動的サイバー防御法では、通信情報の利用について一定の要件や手続きを設けています。
企業側の同意によらない通信情報の取得に関する規定は、2027年秋に施行される予定です。
2026年10月時点では、企業などから提供される情報が攻撃分析の重要な基礎となっています。
今後は、サイバー攻撃への対応能力を高めながら、通信の秘密やプライバシーをどのように保護するかが問われます。
安全保障と個人の権利を両立させることが制度運用の重要な条件です。
政府が介入しない場合の企業責任
政府が無害化措置を実施しない場合でも、企業の責任がなくなるわけではありません。
企業には、自社のシステムを適切に管理し、顧客情報や取引情報を保護することが求められます。
個人情報保護法では、個人データの安全管理のために必要かつ適切な措置を講じることが求められています。
また、契約内容や具体的な事情によっては、システムの安全管理に関する義務が問題となる場合もあります。
例えば、企業が適切なセキュリティー対策を怠り、その結果として顧客に損害が生じた場合、損害賠償責任が争われる可能性があります。
ただし、サイバー攻撃を受けたという事実だけで、企業に当然に損害賠償責任が発生するわけではありません。
企業が講じていた対策、攻撃の内容、損害との因果関係などを個別に検討する必要があります。
重要なのは、政府による支援と企業自身の安全管理責任を区別することです。
政府の役割が拡大しても、企業の内部統制やリスク管理の重要性が低下することはありません。
政府と企業の情報共有が重要になる
サイバー攻撃への対応では、政府と企業の情報共有が重要です。
攻撃を受けた企業が通信記録や不正プログラムの情報を適切に提供すれば、政府や警察による分析に役立つ可能性があります。
また、同じ攻撃手法が他の企業にも利用されている場合、情報共有によって被害の拡大を防げることがあります。
一方、企業が被害を公表することには、信用低下や顧客離れへの懸念もあります。
そのため、被害を把握していても、情報提供に消極的になる企業が存在する可能性があります。
今後は、企業が安心して攻撃情報を提供できる仕組みを整えることが重要になります。
また、政府から企業に対して、攻撃の特徴や注意すべき脆弱性などの情報を迅速に提供することも必要です。
官民の情報共有は、一方向ではなく双方向で行われるべきです。
企業経営者が考えるべき政府との役割分担
今回のGMO事件は、企業経営者に重要な問いを投げかけています。
それは、自社のサイバーセキュリティーをどこまで自社で守り、どこから政府の支援を求めるべきかという問題です。
企業は、日常的なセキュリティー対策、従業員教育、委託先管理、事業継続計画の整備などについて、自ら責任を持って取り組む必要があります。
一方、国家安全保障に関わる重大な攻撃や、社会全体に影響する大規模な攻撃については、政府の関与が必要になる場合があります。
重要なのは、攻撃を受けてから政府に支援を求めるだけではなく、平常時から関係機関との連絡体制を整備しておくことです。
例えば、重大な不正アクセスが発生した場合の警察への相談先、監督当局への報告手順、顧客への連絡方法などを事前に確認しておく必要があります。
また、攻撃の証拠を適切に保全するための手順も重要です。
企業の自主的な防御と政府による支援は、どちらか一方を選択するものではありません。
両者が補完し合うことで、社会全体のサイバー防御能力を高めることができます。
結論
GMOインターネットグループによる能動的サイバー防御の緊急要請は、民間企業へのサイバー攻撃に政府がどこまで関与できるのかという重要な問題を浮き彫りにしました。
能動的サイバー防御制度は、重大なサイバー攻撃に対して国家が一定の要件の下で攻撃元の無害化措置を講じる仕組みです。
しかし、民間企業が要請すれば政府が必ず介入する制度ではありません。
政府は、攻撃の重大性、緊急性、国民生活への影響、安全保障上の脅威などを総合的に判断する必要があります。
また、外国のサーバーへの対応には国際法上の制約があり、通信情報の取得には通信の秘密やプライバシーの保護という課題があります。
政府による介入の範囲を広げるだけでは、サイバー攻撃への対応能力を十分に高めることはできません。
企業自身による安全管理、官民の情報共有、攻撃の早期発見、迅速な被害対応を組み合わせることが重要です。
今後の日本では、企業への攻撃が社会全体の問題に発展する可能性を踏まえ、政府と民間企業の役割分担を明確にしていく必要があります。
サイバーセキュリティーは、企業の自己責任だけでも、国家による保護だけでも実現できません。
企業が自らの責任を果たし、政府が社会全体の安全を守るために必要な役割を担うことが、デジタル社会の安全保障を支える基本となるのです。
参考
日本経済新聞 2026年10月25日 朝刊「GMO、『能動的サイバー防御』適用を政府に要請 不正アクセス問題」
日本経済新聞 2026年10月25日 朝刊「能動的サイバー防御をGMO要請 適用は政府判断、重大・緊急性考慮」
内閣官房 2025年「サイバー対処能力強化法及び同整備法」
内閣官房 国家サイバー統括室「能動的サイバー防御に関する制度」