GMOインターネットグループへのサイバー攻撃が、従来の企業を標的とするランサムウエア攻撃とは異なる深刻な局面を迎えています。
攻撃者を名乗る人物は、GMOに対して100万ドル、約1億5,000万円の身代金を要求し、2026年10月27日正午までに支払わなければ、サービス利用者のパソコンを攻撃すると予告しました。
今回の特徴は、企業のシステムや顧客情報だけでなく、利用者個人のパソコンに保存された情報や金融資産まで攻撃対象としている点です。
さらに、GMO側はシステムの安全性に関する社内の指摘への対応が十分に迅速ではなかったことを認めています。
今回の事件は、クラウドサービスの安全管理、企業の損害賠償責任、利用者の資産保護、さらには政府による能動的サイバー防御のあり方まで、多くの問題を投げかけています。
攻撃者が企業だけでなく利用者個人を標的に
今回、不正アクセスを受けたのは、GMO傘下のGMOインターネットが提供する「お名前.com デスクトップクラウド」です。
このサービスは、主として外国為替証拠金取引であるFXの自動売買を行う利用者向けに、クラウド上のサーバー環境を提供するものです。
FXの自動売買では、取引プログラムを継続的に稼働させる必要があります。そのため、自宅のパソコンを常時起動する代わりに、クラウド上の仮想的なパソコン環境を利用する仕組みが普及しています。
GMOによると、サービスの累計契約数は20万件以上に上り、2万6,739件のサーバーで顧客情報が閲覧された恐れがあります。
ただし、累計契約数や対象サーバー数が、そのまま情報流出人数や実際の被害件数を意味するわけではありません。
攻撃者側は、GMOのクラウドサービスに存在した脆弱性を利用し、クラウド環境から利用者個人のパソコンへ侵入できる経路があったと主張しています。
さらに、利用者のパソコン内のデータを暗号化し、閲覧履歴や私的な情報を家族や知人に送信すると脅しています。
もっとも、こうした侵入経路や攻撃能力については、現時点で攻撃者側の主張がすべて確認されたわけではありません。
企業への身代金要求に加えて、その企業の顧客を直接脅迫するという点で、従来のランサムウエア攻撃よりも被害が広範囲に及ぶ恐れがあります。
企業への恐喝から顧客への恐喝へ
従来のランサムウエア攻撃では、企業のサーバー内のデータを暗号化し、業務を停止させることで身代金を要求する手法が一般的でした。
その後、盗み出した情報を公開すると脅す二重恐喝が広がりました。
今回の事件では、さらに顧客個人への攻撃を予告することで、企業に身代金の支払いを迫っています。
企業にとっては、自社の業務停止や情報漏洩だけでなく、顧客の生活や財産に直接被害が生じる可能性があります。
例えば、利用者のパソコンが乗っ取られれば、保存された金融機関の認証情報が悪用される恐れがあります。
また、個人的な写真や文書、メール、閲覧履歴などが外部に流出すれば、金銭的な損失だけでは済まない問題に発展します。
攻撃者は、こうした顧客被害への不安を利用して企業に圧力をかけていると考えられます。
このような攻撃が広がれば、クラウドサービスを提供する企業は、自社のシステムだけでなく、その先につながる顧客の端末まで含めた安全管理を求められることになります。
7年以上放置されたとされる脆弱性
今回、特に注目されるのが、システムの脆弱性に関する問題です。
攻撃者側は、少なくとも2019年から7年以上にわたって脆弱性が放置されていたと主張しています。
GMOインターネットグループの熊谷正寿会長兼社長は、2026年10月25日に公表した声明で、社内から安全管理上の課題を指摘されていたことを認めました。
そのうえで、対応のスピードが十分ではなく、攻撃者に隙を突かれたとの認識を示しています。
ここで重要なのは、脆弱性が存在していたことと、企業に法的な過失が認められることは、必ずしも同じではないという点です。
企業の責任を判断するには、脆弱性の内容、危険性を認識した時期、対応可能性、実際に講じた対策、被害との因果関係などを検証する必要があります。
ただし、重大な危険性を把握しながら合理的な対策を長期間講じていなかったことが確認されれば、安全管理体制の問題が厳しく問われる可能性があります。
特に、金融取引に関連するサービスでは、一般的な情報漏洩に加えて、利用者の金融資産に直接損失が生じる危険性があります。
経営陣には、サイバーセキュリティーを単なるシステム部門の技術的課題ではなく、企業全体の経営リスクとして管理する姿勢が求められます。
GMOは身代金要求に応じない方針
GMOは、攻撃者からの身代金要求には応じない方針を示しています。
その理由として、仮に要求に応じても、盗まれた情報が削除される保証や、その後の不正利用が防止される保証がないことを挙げています。
この判断には合理性があります。
攻撃者に身代金を支払っても、暗号化されたデータが復旧するとは限りません。
また、盗まれた情報が複製されていれば、攻撃者が削除したと説明しても、その事実を確認することは困難です。
さらに、身代金の支払いが新たな攻撃を誘発する可能性もあります。
一方で、今回のように顧客個人への攻撃が予告されている場合、企業は身代金を支払わないという判断だけでは十分ではありません。
利用者への迅速な情報提供、具体的な防御策の案内、被害状況の調査、復旧支援、損失補償などを並行して進める必要があります。
身代金を支払わないことと、顧客を守る責任を果たすことは、別の問題として考える必要があります。
FXの不正取引による損失は全額補償へ
今回の事件では、すでに利用者から身に覚えのないFX取引が行われたとの報告が寄せられています。
GMOは2026年10月24日、サービス利用者全員に一律5,000円の見舞金を支払う方針を示しました。
さらに、今回の不正アクセスが原因と確認された不正取引による損失については、手数料なども含めて補償すると説明しています。
熊谷氏は、取引所側が返金に応じない場合でも、補償対象と確認された損失の全額をGMO側が負担する考えを示しています。
これは、顧客の信頼回復という観点から重要な対応です。
ただし、実際の補償では、不正アクセスと損失の因果関係をどのように認定するかが課題になります。
例えば、通常の為替変動による取引損失と、第三者による不正操作によって発生した損失を区別する必要があります。
また、不正取引の結果として生じた強制決済、追加手数料、口座残高の減少などを、どこまで補償対象とするかも重要です。
今後は、補償方針だけでなく、申請手続き、証拠の確認方法、支払時期などの具体化が求められます。
能動的サイバー防御を政府に緊急要請
GMOは2026年10月24日、政府に対して能動的サイバー防御の適用を緊急要請したと発表しました。
能動的サイバー防御とは、サイバー攻撃による重大な被害を未然に防ぐため、一定の法的要件と手続きのもとで、攻撃の兆候を把握し、被害を防止する仕組みです。
従来のサイバー対策が、攻撃を受けた後の検知や復旧に重点を置いていたのに対し、被害が拡大する前の対応を重視する考え方です。
ただし、民間企業が自由に攻撃者のシステムへ侵入したり、攻撃元を停止させたりできる制度ではありません。
法律に基づく権限、対象、必要性、手続きなどの制約があります。
GMO自身も、同社が制度の想定する重要インフラ事業者に該当しないことを認識しています。
それでも政府に要請した背景には、クラウドサービスへの攻撃が、利用者個人の金融資産や生活情報にまで影響する可能性があるという問題意識があります。
今回の要請を契機として、重要インフラに直接該当しない企業への攻撃であっても、多数の国民に重大な被害が及ぶ場合に、政府がどのように対応すべきかという議論が進む可能性があります。
一方で、制度の適用範囲を広げる場合には、通信の秘密やプライバシーの保護、権限行使に対する監督などとの均衡も欠かせません。
利用者が今すぐ確認すべきこと
今回の攻撃では、2026年10月27日正午という具体的な期限が示されています。
ただし、これは攻撃者側が設定した身代金支払いの期限であり、その時刻に必ず攻撃が実行されることを意味するものではありません。
利用者にとって重要なのは、期限の到来を待つのではなく、早期に安全対策を講じることです。
まず、対象サービスに接続していたパソコンについて、不審なプログラムや通信の有無を確認する必要があります。
GMOやセキュリティー専門家から案内される安全対策を確認し、必要に応じて端末をネットワークから切り離すことも検討すべきです。
また、金融機関やFX取引口座の取引履歴を確認し、身に覚えのない注文や資金移動がないかを調べることが重要です。
認証情報の変更が必要な場合には、感染の疑いがある端末ではなく、安全が確認された別の端末から行うことが望まれます。
重要なデータについては、安全性を確認したうえでバックアップを確保し、感染の疑いがあるファイルを無条件に別の環境へ移さない注意も必要です。
万一、不正取引や情報流出の兆候が確認された場合には、取引履歴や通知内容などの証拠を保存し、速やかにGMOや関係する金融機関へ連絡することが求められます。
企業の内部統制と取締役の責任
今回の事件は、企業の内部統制のあり方を考えるうえでも重要な事例です。
内部統制というと、会計処理の適正性や不正経理の防止を連想しがちですが、企業の情報システムや顧客データを保護する仕組みも重要な構成要素です。
特に、クラウドサービスを提供する企業では、システムの設計、アクセス権限の管理、脆弱性への対応、外部委託先の管理などが、事業継続に直結します。
仮に現場の担当者が重大な危険性を認識していても、その情報が経営陣に伝わらなければ、適切な対応は困難です。
逆に、経営陣が危険性を認識しながら、費用や業務効率を優先して対策を先送りしていた場合には、経営判断の妥当性が問われることになります。
会社法上、取締役には善管注意義務などがあり、企業の規模や事業内容、予見可能なリスクに応じた管理体制を整備することが求められます。
もっとも、サイバー攻撃による被害が発生したという事実だけで、直ちに取締役の法的責任が成立するわけではありません。
合理的なリスク管理体制が存在していたか、危険性を認識できたか、必要な対応を怠ったかなど、個別具体的な事情に基づく判断が必要です。
今回の事件では、社内から指摘されていた課題の内容と、その後の対応経緯が重要な検証対象になると考えられます。
クラウドサービスへの信頼をどう守るか
企業のデジタル化が進むにつれて、クラウドサービスへの依存度は高まっています。
会計システム、人事管理、顧客管理、金融取引など、企業活動の多くが外部のクラウド環境を利用しています。
クラウドサービスには、自社でサーバーを管理する負担を軽減し、専門事業者の技術や設備を活用できる利点があります。
しかし、クラウド事業者が攻撃を受ければ、その影響が多数の利用企業や個人に同時に及ぶ可能性があります。
さらに今回のように、クラウド環境と利用者端末の接続関係が攻撃に悪用される恐れがある場合、被害はクラウド内部だけにとどまりません。
そのため、企業がクラウドサービスを選定する際には、価格や機能だけでなく、セキュリティー管理体制、事故発生時の対応能力、補償条件などを確認する必要があります。
また、サービス提供事業者に安全対策を任せきりにするのではなく、利用者自身も多要素認証、アクセス権限の制限、バックアップなどの対策を講じることが重要です。
クラウドサービスの安全性は、提供事業者と利用者の双方が適切な役割を果たすことで確保されます。
結論
今回のGMOインターネットグループへのサイバー攻撃は、企業への不正アクセスが利用者個人の生活情報や金融資産にまで波及する危険性を示しています。
特に重要なのは、攻撃者が企業だけでなく、その顧客まで直接脅迫する手法を用いている点です。
さらに、社内から安全管理上の課題を指摘されていたことが明らかになり、企業の内部統制や経営責任という問題も浮上しています。
GMOが身代金要求に応じない方針を示し、不正取引による損失の補償を表明したことは、今後の対応を考えるうえで重要です。
ただし、真の信頼回復には、被害者への補償だけでなく、侵入経路の解明、脆弱性への対応、再発防止策の徹底が欠かせません。
また、政府への能動的サイバー防御の適用要請は、民間企業への攻撃が国民生活に重大な影響を及ぼす時代に、国家がどこまで関与すべきかという新たな課題を提示しています。
企業のサイバーセキュリティーは、もはや情報システム部門だけの問題ではありません。
顧客の財産と生活を守り、企業の信用を維持し、社会全体の安全を確保するための経営上の最重要課題の一つです。
今回の事件を、一企業の不正アクセス問題として終わらせるのではなく、クラウド社会全体の安全管理を見直す契機とする必要があります。
参考
日本経済新聞 2026年10月26日朝刊「GMOへの攻撃者、利用者PCの乗っ取りを画策 会社は注意喚起」
日本経済新聞 2026年10月26日朝刊「GMO熊谷正寿社長、能動的サイバー防御『適用可能性の検討を』」