GMOインターネットグループが外国為替証拠金取引の自動売買サービスに対する不正アクセスを受け、政府に能動的サイバー防御の適用を緊急要請しました。
2026年10月1日に施行された能動的サイバー防御法について、民間企業が具体的な対応を求めた異例の事案です。
今回の事件は、単なる個人情報漏洩にとどまりません。金融取引への不正介入、利用者の資産損失、攻撃者による金銭要求、さらには国家によるサイバー攻撃への対処という複数の問題が重なっています。
加えて、人工知能を悪用したサイバー攻撃の高度化も進んでいます。
企業の情報セキュリティー対策は、従来の個別企業による防御から、政府と民間企業が連携する新しい段階に入りつつあります。
GMO不正アクセス事件の概要
GMOインターネットグループ傘下のGMOインターネットが提供する「お名前.com デスクトップクラウド」で、2026年10月20日に不正なプログラムが設置されていることが確認されました。
このサービスは、外国為替証拠金取引の自動売買などに利用される仮想専用サーバーを提供しています。
利用者は自分のパソコンを常時稼働させなくても、サーバー上で24時間自動取引を続けられます。
今回の事件では、サービス用に提供されていた2万6,739件のサーバーで顧客情報が閲覧された可能性があるとされています。
同サービスの累計契約数は20万件以上に達しています。
さらに、一部の利用者からは身に覚えのない外国為替取引が実行されたとの報告が寄せられました。
攻撃者が単に個人情報を取得するだけでなく、金融取引システムを不正操作した可能性がある点が重大です。
GMOは10月21日からサービスに使用するサーバーを停止し、被害状況の調査を進めています。
金融取引への不正介入がもたらす深刻な被害
今回の事件が従来の情報漏洩事件と異なるのは、顧客の金融資産に直接的な損失が発生する可能性があることです。
一般的な個人情報漏洩では、氏名、住所、電話番号、メールアドレスなどの情報が流出し、詐欺やなりすましへの悪用が問題となります。
一方、外国為替証拠金取引では、攻撃者が取引環境を乗っ取ることで、利用者の意図しない売買を実行する危険があります。
外国為替証拠金取引は証拠金を担保として大きな金額を取引できる仕組みです。
そのため、不正な注文が繰り返されれば、短時間で多額の損失が発生する可能性があります。
特に、流動性の低い通貨ペアでは売値と買値の差が大きくなりやすく、不自然な売買によって取引コストや損失が膨らむ恐れがあります。
今回の事件は、サイバー攻撃が情報の窃取だけでなく、金融資産そのものへの攻撃につながることを示しています。
攻撃者による金銭要求と企業の対応
GMOは、不正アクセスの攻撃者とみられる人物から金銭要求を受けていることも公表しました。
要求に応じなければ、国内外70社を超える証券会社や外国為替取引会社に開設された利用者口座への不正操作を続けるほか、企業や利用者の情報を公開すると脅迫されているといいます。
GMOは要求に応じない方針を明らかにし、警察当局に証拠を提出して捜査を要請しています。
金銭要求に応じたとしても、攻撃者が取得した情報を削除する保証はありません。
さらに、支払いによって攻撃者の資金調達を助け、次の犯罪を誘発する可能性もあります。
企業に求められるのは、金銭要求への対応だけではありません。
被害の拡大防止、証拠の保全、利用者への情報提供、監督当局との連携、事業継続の判断を同時に進める必要があります。
経営者には、情報システム部門だけに任せるのではなく、企業全体の危機管理として対応する姿勢が求められます。
能動的サイバー防御とは何か
能動的サイバー防御とは、サイバー攻撃が実際に大きな被害を生む前に攻撃の兆候を把握し、必要に応じて攻撃元のシステムを無害化する仕組みです。
2025年に成立した関連法に基づき、2026年10月1日から無害化措置に関する制度が施行されました。
従来のサイバー防御は、企業や政府機関が自らのネットワークへの侵入を防ぐことを基本としていました。
これに対し、能動的サイバー防御では、一定の要件の下で警察や自衛隊が攻撃に利用されているサーバーへアクセスし、攻撃プログラムの停止や削除などを実施できます。
例えば、攻撃者が外部のサーバーから多数の企業に不正な指令を送っている場合、その指令機能を無効化することが想定されています。
ただし、企業が被害を受けたからといって、政府が必ず無害化措置を実施するわけではありません。
国民生活や社会経済活動、安全保障への影響、攻撃の重大性、緊急性などを踏まえ、政府が判断する仕組みです。
GMOの緊急要請が持つ意味
GMOは10月24日、政府に対して能動的サイバー防御の適用を緊急要請したと発表しました。
同社は、民間企業が単独で高度なサイバー攻撃を防御することには限界があると主張しています。
しかし、能動的サイバー防御法には、民間企業からの申請によって無害化措置が自動的に発動される制度は設けられていません。
政府は国家サイバー統括室を中心に被害状況や攻撃の痕跡を分析し、対応の必要性を判断することになります。
ここで重要なのは、企業に対するサイバー攻撃と国家安全保障上の脅威をどのように区別するかという問題です。
個別企業への攻撃であっても、金融取引や通信などの重要な機能に広範な影響が及べば、社会全体の問題に発展する可能性があります。
一方、政府が企業の要請に応じて外国のサーバーにアクセスすることには、国際法や国家間関係の観点から慎重な判断が必要です。
今回の事件は、国家がどこまで民間企業のサイバー防御に関与すべきかという新たな課題を浮き彫りにしました。
能動的サイバー防御の発動には高いハードルがある
能動的サイバー防御の実施には、技術的な問題だけでなく、法的な制約があります。
攻撃元とみられるサーバーが見つかったとしても、そのサーバーを実際に管理している主体が攻撃者とは限りません。
第三者のサーバーが乗っ取られ、攻撃の踏み台として利用されている場合もあります。
そのため、攻撃元の特定を誤れば、無関係の事業者や利用者に被害を与える危険があります。
無害化措置には、原則としてサイバー通信情報監理委員会の事前承認が必要です。
外国にあるサーバーへの措置については、国際法上許容される範囲かどうかの確認も求められます。
また、政府が無害化措置を実施した場合でも、その事実や具体的な内容を公表しない可能性があります。
攻撃者に防御手法を知られれば、対策を回避する新たな攻撃を招く恐れがあるためです。
制度の実効性を確保するには、迅速な対応と適正な手続きの両立が不可欠です。
利用者への補償と企業責任
GMOは今回の事件を受け、サービス利用者全員に一律5,000円の見舞金を支払う方針を発表しました。
また、不正アクセスが原因と認められる取引損失については、手数料なども含めて補償するとしています。
サービスの乗り換えを希望する利用者には、代替サービスを6カ月間無償で提供する方針です。
ここで考える必要があるのは、企業の法的責任と自主的な補償の違いです。
個人情報が漏洩したからといって、企業がすべての利用者に一律の金額を支払う法律上の義務が当然に発生するわけではありません。
損害賠償責任の有無や範囲は、契約内容、企業の安全管理措置、過失の有無、実際に生じた損害などによって判断されます。
一方、企業が信用回復や顧客保護を目的として、自主的に見舞金を支払うことはあります。
今回の5,000円という金額も、法令で定められた補償基準ではありません。
重要なのは、見舞金の支払いと実際の取引損失の補償を区別することです。
企業には、被害の原因と範囲を明確にし、利用者が合理的な手続きで補償を受けられる体制を整えることが求められます。
人工知能によって変わるサイバー攻撃
今回の一連の報道では、人工知能を利用したサイバー攻撃の高度化も取り上げられています。
中国系の人工知能ツール「ARTEX」は、もともとシステムの脆弱性を調査する用途を想定したものですが、悪質な改造による攻撃への利用が問題となっています。
人工知能を利用すれば、従来は専門的な知識と多くの時間を必要とした脆弱性の探索や攻撃対象の分析を自動化できる可能性があります。
さらに、複数の人工知能モデルを組み合わせ、それぞれに細かな作業を分担させる手法も指摘されています。
個々の作業だけでは危険性を判断しにくく、全体として不正な攻撃につながることが問題です。
ただし、特定の人工知能ツールが今回のGMO事件に使用されたと確認されているわけではありません。
両者を混同せず、人工知能による攻撃の高度化をサイバーセキュリティー全体の課題として捉える必要があります。
今後は攻撃者だけでなく、防御する企業も人工知能を活用し、異常な通信の検知や脆弱性の早期発見を進めることが重要になります。
企業経営に求められるサイバーリスク管理
サイバー攻撃への対応は、情報システム部門だけの問題ではなくなっています。
特に、金融機関、通信事業者、クラウドサービス事業者などは、自社のシステム障害が多数の顧客や取引先に波及する可能性があります。
企業経営者には、平常時から重要なシステムや情報資産を把握し、攻撃を受けた場合の影響を評価しておくことが求められます。
例えば、クラウドサービスを利用する企業では、サービス提供会社のセキュリティー対策だけでなく、自社のアカウント管理、アクセス権限、認証情報の保護なども重要です。
委託先のシステムが侵害された場合に、どの業務を停止し、どのような代替手段を利用するかも検討しておく必要があります。
さらに、取締役会による監督や内部監査の対象として、サイバーリスク管理を位置づけることが重要です。
情報セキュリティー対策に必要な投資を単なる経費として捉えるのではなく、企業価値と事業継続を守るための投資として考える必要があります。
個人投資家が取るべき対策
今回の事件は、外国為替証拠金取引の自動売買サービスを利用する個人投資家にも重要な教訓を残しています。
自動売買では、取引システムを常時稼働させるため、外部のサーバーを利用する場合があります。
しかし、サーバーの管理権限や認証情報が第三者に奪われれば、利用者が気づかないうちに不正な取引が行われる恐れがあります。
そのため、利用者自身による定期的な取引履歴の確認が欠かせません。
身に覚えのない注文や決済がないかを確認し、異常が見つかった場合には速やかに金融機関やサービス提供会社へ連絡する必要があります。
また、パスワードの変更、多要素認証の設定、端末のウイルス検査、重要なデータのバックアップなども基本的な対策です。
不正アクセスの疑いがある端末では、認証情報を変更する前に端末の安全性を確認することも重要です。
自動売買は利便性が高い一方、システムの安全性が資産保全に直結することを理解しておく必要があります。
結論
GMOインターネットグループの不正アクセス事件は、日本のサイバーセキュリティー政策にとって重要な問題を提起しています。
第一に、サイバー攻撃による被害が個人情報漏洩から金融資産への直接的な侵害へと広がっていることです。
第二に、人工知能の普及によって攻撃の自動化や高度化が進み、個別企業だけでは対処が難しい事態が生じていることです。
第三に、能動的サイバー防御という新しい制度について、民間企業の保護と国家安全保障上の対応をどのように結びつけるかという課題です。
今回のGMOによる要請は、直ちに政府の無害化措置につながるものではありません。
しかし、企業と政府が攻撃情報を共有し、社会全体で被害の拡大を防ぐ仕組みを整備する必要性を明確にしました。
今後のサイバーセキュリティーでは、企業の自主的な防御、政府による支援、利用者自身の資産保全という3つの取り組みが重要になります。
サイバー攻撃は、もはや情報技術だけの問題ではありません。
企業経営、金融システム、国民生活、そして国家安全保障に直結する経済社会全体の重要課題となっています。
参考
日本経済新聞 2026年10月25日 朝刊「GMO、『能動的サイバー防御』適用を政府に要請 不正アクセス問題」
日本経済新聞 2026年10月25日 朝刊「能動的サイバー防御をGMO要請 適用は政府判断、重大・緊急性考慮」
日本経済新聞 2026年10月25日 朝刊「FX自動取引、トレーダー『いったん止める』 GMO不正アクセスで動揺」
日本経済新聞 2026年10月25日 朝刊「中国系AIのARTEX、悪質改造が横行 公開停止後もサイバー攻撃に悪用か」