2026年10月、GMOインターネットグループの外国為替証拠金取引に関連するクラウドサービスが大規模なサイバー攻撃を受けました。
今回の事件では、顧客情報の流出だけでなく、利用者の金融取引口座が不正操作された疑いが生じています。
さらに、攻撃者とみられる人物から金銭を要求され、GMOは政府に対して能動的サイバー防御の適用を緊急要請する異例の対応に踏み切りました。
企業のサイバーセキュリティー対策は、もはや情報システム部門だけの問題ではありません。
顧客資産の保護、事業継続、損害賠償、企業統治、さらには国家安全保障にも関係する重要な経営課題となっています。
今回は、GMO不正アクセス事件の全貌を整理し、企業経営者が学ぶべき教訓について考えます。
GMO不正アクセス事件で何が起きたのか
今回攻撃を受けたのは、GMOインターネットが提供する「お名前.com デスクトップクラウド」です。
このサービスは、仮想専用サーバーを利用して外国為替証拠金取引の自動売買システムなどを稼働させるものです。
利用者は自分のパソコンを常時起動させなくても、クラウド上のサーバーを利用して24時間取引を続けることができます。
同サービスの累計契約数は20万件以上に達しています。
GMOは10月19日に顧客からの問い合わせを受けて調査を開始し、20日に一部のサーバー環境で不正なプログラムが設置されていることを確認しました。
21日には被害拡大を防ぐため、全プランのサーバーを順次停止しました。
影響を受けた可能性があるサーバーは2万6,739件に上ります。
ただし、この数字は影響の可能性があるサーバー数であり、すべてのサーバーで不正アクセスや情報取得が確認されたわけではありません。
その後の調査では、システムにセキュリティー上の問題が存在し、顧客情報が外部に持ち出されたことが確認されました。
さらに、一部の利用者から、身に覚えのない金融取引が行われたとの報告が寄せられています。
個人情報漏洩から金融資産への直接攻撃へ
今回の事件で特に注目すべきなのは、サイバー攻撃の対象が金融資産にまで及んでいることです。
従来の個人情報漏洩事件では、氏名、住所、電話番号、メールアドレスなどの情報が流出し、詐欺やなりすましに利用されることが主な問題でした。
しかし、今回の事件では、外国為替証拠金取引の口座情報が不正に利用され、利用者の意図しない売買が実行された可能性があります。
外国為替証拠金取引は、証拠金を担保に大きな金額を取引できる金融商品です。
そのため、不正な注文によって短時間で多額の損失が生じる危険があります。
例えば、100万円の証拠金で1,000万円相当の取引を行っている場合、為替相場が1%不利な方向に動けば、単純計算で10万円の損失が生じます。
さらに、不正な売買が繰り返されれば、取引コストや損失が積み重なる可能性があります。
実際の損失額は取引条件や相場変動によって異なりますが、口座の不正操作が金融資産に直接影響する点は重大です。
企業が管理するシステムの安全性が、顧客の財産保全と密接に結びついていることが明らかになりました。
攻撃者による金銭要求と企業の判断
GMOは今回の事件について、攻撃者とみられる人物から金銭を要求されていることも明らかにしました。
要求に応じなければ、利用者の金融取引口座への不正操作を続けるほか、企業や顧客の情報を公開すると脅迫されているといいます。
GMOは金銭要求には応じない方針を示しています。
この判断には重要な意味があります。
仮に企業が金銭を支払ったとしても、攻撃者が取得した情報を削除する保証はありません。
また、支払いによって攻撃者が新たな資金を獲得し、次のサイバー犯罪を実行する可能性もあります。
一方で、金銭要求を拒否することによって、攻撃者がさらに被害を拡大させる危険も考えられます。
企業経営者は、こうした困難な状況の中で判断を迫られます。
重要なのは、事件発生後に初めて対応方針を考えるのではなく、平常時から危機管理体制を整備しておくことです。
GMOが発表した利用者への補償
GMOは10月24日、サービスを利用中の顧客全員に一律5,000円の見舞金を支払うと発表しました。
また、今回の不正アクセスが原因と認められる取引によって生じた損失については、手数料なども含めて補償する方針を示しています。
さらに、サービスの乗り換えを希望する利用者には、代替サービスを6カ月間無償で提供するとしています。
ここで重要なのは、見舞金と損害補償の違いです。
見舞金は、利用者に生じた不安や不便などに配慮して支払われるものです。
一方、損害補償は、実際に発生した経済的損失を対象とします。
今回の事件では、不正取引による損失額が調査中であり、企業が最終的に負担する金額は確定していません。
企業にとっては、見舞金の支払いだけでなく、調査費用、システム復旧費用、代替サービスの提供費用なども発生します。
さらに、顧客離れによる将来の売上減少や企業ブランドへの影響も考えられます。
サイバー攻撃による経済的損失は、直接的な被害額だけでは測れないのです。
サイバー攻撃が企業の事業継続を脅かす
今回、GMOは被害拡大を防ぐためにサービスを停止しました。
これは安全確保のための重要な判断ですが、利用者にとっては自動売買システムを利用できなくなることを意味します。
企業が提供するサービスの停止は、利用者の業務や経済活動にも影響します。
特に、金融取引、決済、通信、物流などのサービスでは、システム停止による影響が広範囲に及ぶ可能性があります。
そのため、企業には事業継続計画の整備が求められます。
事業継続計画とは、災害やシステム障害などが発生した場合でも、重要な業務を継続し、早期に復旧するための計画です。
従来は地震や火災などの自然災害を中心に考えられていましたが、現在ではサイバー攻撃も重要な対象となっています。
特に、攻撃を受けたシステムを停止する場合、どの範囲まで停止するのか、代替手段をどう確保するのか、顧客にどのような情報を提供するのかが重要です。
単にバックアップを保有するだけでなく、実際に復旧できることを確認する訓練も必要になります。
委託先のサイバーリスクをどう管理するか
企業のデジタル化が進む中で、外部のクラウドサービスを利用することは一般的になっています。
自社でサーバーを保有する場合と比べて、設備投資や運用負担を軽減できる利点があります。
しかし、外部サービスに依存することで、新たなリスクも生まれます。
委託先のシステムが攻撃を受ければ、自社の業務や顧客情報にも影響が及ぶ可能性があります。
例えば、企業が給与計算や顧客管理を外部のクラウドサービスに委託している場合、委託先の障害によって給与支払いや顧客対応が停止する恐れがあります。
そのため、委託先の選定では、価格や機能だけでなく、セキュリティー対策や障害発生時の対応能力も確認する必要があります。
契約時には、事故発生時の報告義務、責任分担、損害賠償、データの返還や削除などについて明確にしておくことが重要です。
また、契約締結後も定期的に委託先の管理状況を確認することが求められます。
外部委託によって業務を移転できても、経営上のリスクまで完全に移転できるわけではありません。
サイバーセキュリティーは取締役会の重要課題
サイバー攻撃への対応を情報システム部門だけに任せることには限界があります。
大規模な不正アクセスが発生すれば、事業停止、顧客への補償、監督当局への報告、株主への説明など、経営全体に影響する問題が生じるからです。
会社法では、一定の会社に内部統制システムの整備を求めています。
サイバーリスクも、企業の業務の適正を確保するために考慮すべき重要なリスクの一つです。
取締役会には、企業の事業内容や規模に応じた適切なリスク管理体制を監督する役割があります。
例えば、経営者は重要な情報資産を把握し、重大な事故が発生した場合の報告経路や意思決定権限を明確にしておく必要があります。
また、内部監査部門がセキュリティー対策の運用状況を確認し、必要に応じて改善を求める仕組みも重要です。
取締役会でサイバーリスクを定期的に議論することは、企業価値を守るための基本的な取り組みとなっています。
政府への緊急要請が示す新しい課題
GMOは今回の事件を受け、政府に能動的サイバー防御の適用を緊急要請しました。
2026年10月1日に施行された関連制度では、一定の要件の下で警察や自衛隊が攻撃元のサーバーにアクセスし、攻撃プログラムの停止や削除などの無害化措置を講じることが可能になりました。
従来のサイバー防御は、自社のシステムへの侵入を防止することが中心でした。
これに対し、能動的サイバー防御は、攻撃の兆候を早期に把握し、被害が拡大する前に対処することを目指しています。
ただし、民間企業が要請すれば政府が必ず無害化措置を実施する制度ではありません。
政府は、国民生活や社会経済活動への影響、攻撃の重大性、緊急性などを踏まえて判断します。
今回の事件は、個別企業への攻撃がどの段階で国家として対応すべき問題になるのかという難しい課題を提起しています。
企業による自主的な防御と政府による支援をどのように組み合わせるかが、今後の重要な論点となります。
中小企業にも無関係ではないサイバー攻撃
大規模なサイバー攻撃は、大企業だけの問題ではありません。
中小企業でも、顧客情報、取引先情報、会計データ、給与情報など、多くの重要情報を保有しています。
また、大企業の取引先である中小企業が攻撃され、その接続関係を利用して大企業への侵入が試みられる可能性もあります。
中小企業では、専門の情報システム担当者を配置することが難しい場合もあります。
そのため、基本的な対策を確実に実施することが重要です。
具体的には、ソフトウエアの更新、多要素認証の導入、アクセス権限の管理、バックアップの確保、従業員教育などが挙げられます。
さらに、万一の事故に備え、外部の専門会社や相談先をあらかじめ確認しておくことも有効です。
サイバーセキュリティー対策は、多額の設備投資だけで実現するものではありません。
日常的な管理の積み重ねが、被害の発生や拡大を防ぐ重要な基盤になります。
企業経営者が今回の事件から学ぶべきこと
今回の事件から得られる教訓は、大きく3つあります。
第一に、サイバー攻撃は企業の存続に関わる経営リスクであるということです。
情報漏洩だけでなく、金融資産の損失、事業停止、顧客離れなど、多方面に影響が及ぶ可能性があります。
第二に、事故発生後の対応が企業の信用を左右するということです。
迅速な情報開示、被害拡大の防止、利用者への補償、関係当局との連携が重要になります。
第三に、企業単独の防御には限界があるということです。
クラウドサービス事業者、金融機関、警察、政府機関などが連携し、攻撃情報を共有する仕組みが求められます。
経営者は、サイバーセキュリティーを単なる技術的な対策ではなく、企業価値を維持するための経営戦略として位置づける必要があります。
結論
GMOインターネットグループの不正アクセス事件は、サイバー攻撃が企業経営と国民の金融資産に深刻な影響を及ぼすことを示しました。
今回の事件では、顧客情報の流出、不正な金融取引の疑い、攻撃者による金銭要求、サービス停止、利用者への補償など、複数の問題が同時に発生しています。
さらに、政府への能動的サイバー防御の緊急要請によって、民間企業の被害に国家がどこまで関与すべきかという新たな課題も浮かび上がりました。
企業に求められるのは、サイバー攻撃を完全に防げるという前提に立つことではありません。
攻撃を受ける可能性を認識し、被害を最小限に抑え、重要な事業を継続し、顧客の信頼を回復できる体制を整えることです。
そのためには、経営者自身がサイバーリスクを理解し、取締役会、情報システム部門、内部監査部門などが連携して対応する必要があります。
今後、AIによる攻撃の高度化が進めば、企業が直面する脅威はさらに複雑になると考えられます。
サイバーセキュリティーへの投資は、単なるコストではなく、企業の信用と事業継続を守るための必要不可欠な経営投資です。
今回の事件を、一企業の特殊な問題として終わらせてはなりません。
すべての企業が、自社の情報管理体制と危機管理体制を見直す契機とすることが重要です。
参考
日本経済新聞 2026年10月25日 朝刊「GMO、『能動的サイバー防御』適用を政府に要請 不正アクセス問題」
日本経済新聞 2026年10月25日 朝刊「能動的サイバー防御をGMO要請 適用は政府判断、重大・緊急性考慮」
日本経済新聞 2026年10月25日 朝刊「FX自動取引、トレーダー『いったん止める』 GMO不正アクセスで動揺」
GMOインターネット株式会社 2026年10月24日「お名前.com デスクトップクラウドサービスに対するサイバー攻撃について 第4報」
GMOインターネット株式会社 2026年10月24日「お名前.com デスクトップクラウド 被害拡大の防止のためのお客様へのお願い 第5報」