GMO不正アクセスの教訓｜国・企業・個人が今やるべき対策を解説

こんにちは、株式会社TIMEWELLの濱本です。

2026年10月19日、FXの自動売買などに使われるクラウド型のパソコン環境「お名前.com デスクトップクラウド」を運営するGMOインターネットに、利用者から1本の問い合わせが入りました。その調査の結果、第三者が不正なプログラムを設置していたことが分かります。影響の可能性があるサーバーは26,739件。取引口座のログイン情報などが取得され、利用者の口座で身に覚えのない取引が行われました¹²。

それから約3週間。攻撃者は約80億円の金銭を要求し、情報の一部を公開しました。会社は要求に応じない方針を示し、政府は緊急対策の取りまとめに動き、通信事業者には攻撃者のサイトの遮断が要請されたと報じられました。11月2日には代表が記者会見を開き、謝罪とともに、2年前に受けた指摘への対応が十分でなかったことを説明しています³⁴。

この事案を「大手企業の出来事」で終わらせてしまうのは、もったいないと私は思います。どの会社にも、同じような「気づきにくい弱点」があります。そして、この事案は、国が何をすべきか、事業者が何をすべきか、私たち個人が何をすべきかを、一度に考えさせてくれる事案でもあります。

この記事では、まず何が起きたのかを、GMOの公式発表と報道で確認できた範囲で時系列に整理します。そのうえで、前向きに「今後どうするか」を、国、事業者、個人の3つの立場に分けて、初心者にも分かる言葉で書きます。最後には、今日から取れる具体的な行動を挙げました。なお、被害を受けた会社を責める記事ではありません。会社自身が会見で語った反省を、他の会社が学べる形にすることが、この記事の目的です。

この記事の要点

• 事案の中身は、ウェブサイトの改ざんのような派手なものではなく、利用者の環境に侵入し、管理者の権限を足がかりに社内の管理サーバーへ広げた、という経緯だと会社は説明しています。侵入から発覚まで、約2か月半かかりました⁵³。
• 会社が会見で挙げた反省は、他社にとってそのまま教訓になります。外部の専門家の指摘を十分に生かせなかったこと、重要な報告を上げる基準が曖昧だったこと、監視で異変に気づけず利用者の連絡で発覚したことです⁵³。
• 国がやるべきことは、被害企業を速く助けること、攻撃者の基盤を止めること、二次被害を止めるルールを整えることの3つです。政府は11月6日に緊急対策パッケージを決める見込みです⁶⁷。
• 事業者がやるべきことは、管理者権限を守ること、指摘を放置しないこと、見つける力を持つこと、預かる秘密を減らすこと、脅迫への方針を事前に決めることです。
• 個人がやるべきことは、パスワードの使い回しをやめること、二段階認証を入れること、取引の履歴を見ること、そして、流出した情報が載ったサイトを見に行かないことです。

先に押さえる言葉

ニュースに出てくる言葉は、少しなじみにくいものです。この記事で使う言葉を、日常の例えに置き換えて整理します。

言葉	日常の例えで言うと
クラウド型のパソコン環境（デスクトップクラウド、VPS）	自宅のパソコンを、インターネットの向こう側の会社のサーバーに置いて、遠隔で使うサービスです。貸し倉庫に、自分の作業机を置くイメージです
管理者アカウント（特権アカウント）	ビル全体の鍵束を持つ人の、権限のことです。1つ盗まれると、全部の部屋が開きます
管理サーバー	サービスを運営する側が、全利用者の環境を管理するために使う、いわば管理人室です
ランサムウェア	パソコンのデータを勝手に暗号化し、元に戻すことと引き換えにお金を要求する、不正なプログラムです
脆弱性（ぜいじゃくせい）	建物の鍵の設計ミスのような、ソフトやシステムの弱点です
能動的サイバー防御	攻撃を受けてから対処するのではなく、攻撃の兆候を早めにつかみ、攻撃に使われている設備を止める国の取り組みです。2026年10月に始まりました
ブロッキング	特定のサイトへの接続を、通信事業者が止めることです
通信の秘密	誰が誰と通信したかを、通信事業者が勝手に見たり、漏らしたりしてはいけない、という憲法と電気通信事業法の決まりです

何が起きたのか

時系列で整理する

GMOは、公式サイトの「重要なお知らせ」で、10月21日の第1報から10月29日の第16報まで、続けて発表しています。10月30日には、利用者への案内も出しました。ここでは、会社の公式発表で確認できる事実を中心に、会見での説明と報道を加えて、時系列にしました¹²⁸⁹。

日付	出来事
2024年4月24日	グループ会社の専門家から、サービスについての改善点の報告があったと、会見で説明されました3
2024年4月26日から5月20日	緊急メンテナンスが4回行われました。会社は、対策の「深さと速さ」が足りなかったと説明しています53
2026年8月5日	会見の説明では、顧客のリモートデスクトップへの侵入が始まり、管理者のアカウントが盗まれました53
8月17日	その権限で、社内の管理サーバーに侵入したとされています53
9月20日から10月14日	時事ドットコムの会見詳報では、この管理サーバーを経由して、マルウェアが配布されました3
10月19日	利用者からの問い合わせを受けて、調査を開始しました1
10月20日	不正なプログラムを確認し、新規申し込みとコントロールパネルを停止しました1
10月21日	午前4時から全プランのサーバーを順次停止し、第1報を公表しました。同日、脅迫のメールを受信したとされています（約80億円の要求）18
10月22日	警察に相談しました。第2報で、影響の可能性があるサーバーは26,739件と公表しました1
10月24日	第4報で、情報が外部に持ち出されたことを確認したと公表しました。お見舞金、損失の補償、代替サービスの提供を決め、政府に能動的サイバー防御の適用を要請しました2
10月26日	政府が関係閣僚会議を開き、首相が緊急対策の取りまとめを指示する、と報じられました10
10月27日	攻撃者が、会社と顧客に関する情報の一部を公開しました（会社の確認では1件）。同日付で、総務省が通信事業者に、攻撃者のサイトの遮断を要請したと、後に報じられました31112
10月28日	攻撃者のサイトのテイクダウン（停止）を実施したと公表しました。犯人情報を募る懸賞金サイトも開設されました812
10月29日	犯人の特定につながる有力情報を入手したと公表しました8
11月2日	代表が記者会見を開き、謝罪と経緯の説明をしました4
11月5日	懸賞金への情報提供が、累計839件になりました8

被害の中身

被害を受けたのは、FXの自動売買専用のVPSなどとして使われていたサービスです。影響の可能性があるサーバーは26,739件で、全プランが対象でした。サーバーの中に保存されていた情報、特に、取引ツール（MT4やMT5など）に保存された取引口座のログイン情報などが、第三者に取得されたとされています。クレジットカード情報などの決済情報は、このサービスのサーバーに保持していなかった、と会社は説明しています¹。

利用者の側では、取引口座での身に覚えのない取引の報告が、10月21日以降に相次ぎました。会見では、攻撃者が顧客のFX自動売買のアカウント情報を使い、意図的に損失が出る取引を実行した、と説明されています³。

サービスは、10月21日の停止から、会見の時点でも止まったままです。会社は、不正アクセスを受けた現在のシステム基盤での再開はせず、セキュリティの基盤を刷新する判断をしました。引き続き利用したい契約者には、独立したクラウド基盤の代替サービスを案内し、乗り換えから6か月間は無償にするとしています²。

攻撃者の動きと、会社の方針

攻撃者は、金銭の要求と脅迫を重ねました。会社の第4報によれば、国内外70社を超える証券会社やFX会社などの取引口座への不正操作の継続、本サービスと接続された利用者のパソコンに関する情報の公開、そのパソコンへのランサムウェア攻撃、会社のシステムや運用体制に関する情報の公開を、攻撃者が挙げたとされています。要求金額は、約80億円（5,000万ドル）と報じられています²¹¹。

会社は、要求に応じない方針を示しました。理由は、支払っても情報の削除や不正利用の防止が保証されないことなどです。通信の記録などの証拠は警察に提出し、刑事事件としての捜査を求めています²。10月27日には、攻撃者が約束した期限にあたる正午を過ぎて、情報の一部が公開されました。ただし、会社の確認では、その時点で、利用者のパソコンでのランサムウェアの被害は確認されていません。公開された内容の一部には、事実と異なる可能性があるものも含まれるとしています¹¹。

会社は、利用者に、不審なサイトへのアクセスと、URLや掲載内容のSNS等での転載・拡散を控えるよう、繰り返し求めています。サイトを見に行った利用者の情報が、攻撃者に取得されるおそれがあるためです¹³¹¹。また、被害の補償として、不正取引による損失の補償（不正取引と認めたものが対象で、市場の変動による損失は対象外）と、すべての利用者への一律5,000円のお見舞金を、別々に用意しています²。

会社が会見で挙げた反省

11月2日の会見で、会社は、複数の反省点を自ら挙げました。ここは、他の会社にとって、そのまま教訓になる部分です。

1つめは、外部からの指摘への対応です。2024年4月に、グループ会社の専門家から、サービスの改善点の報告がありました。会社は、4月26日から5月20日にかけて緊急のメンテナンスを4回実施しましたが、対策の「深さと速さ」が足りず、根本的な解決に至らないまま、2年が過ぎた、と説明しました⁵³。

2つめは、報告の仕組みです。この指摘は、代表には上がっておらず、副社長のレベルまで共有されていたとされます。取締役会に報告する基準が明確でなかったことが課題として挙げられ、会社は報告の仕組みを見直すとしています⁵。

3つめは、見つける力です。侵入は8月に始まっていましたが、会社が状況を把握したのは、10月19日の利用者からの問い合わせでした。会社は、サービスの監視で異変に気づけなかったことを、重く受け止めていると述べました⁵³。

4つめは、考え方の転換です。代表は、サイバーセキュリティという言葉を使っていたが、業界で重視されてきた「レジリエンス（回復力）」への転換が遅れたことが最大の問題だった、と述べています³。

責任の取り方として、代表を含む役員4名の報酬の減額も発表されています（代表は月額報酬の30%を3か月間）⁴。再発防止の具体策の詳細は、確認できた範囲では、まだ公表されていません。

なぜ、他人事ではないのか

「あの規模の会社でも」と感じる方もいるでしょう。ただ、ここで見えた弱点は、規模の大きな会社に限ったものではありません。

1つは、外部の専門家や社内の担当者からの指摘が、そのまま止まってしまう問題です。指摘を受けた時点で、担当者は対応を始めます。ところが、根本的な対策に大きな費用や時間がかかると、「今は忙しい」「別のサービスの対応を優先する」と、後回しになりがちです。そして、その指摘が経営層に届く道が細いと、止まったままになります。

もう1つは、管理者の権限が、1か所で破られると全体に広がる設計です。利用者の環境から管理者の権限が盗まれ、その権限で社内の管理サーバーへ。この流れは、規模を問わず、どの会社のシステムにもありえます。

そして、国の側でも、同じ問題意識が示されています。11月5日に内閣官房の国家サイバー統括室が出した事業者向けの文書は、ウェブサイトやモバイルアプリの運用で、基本的な対策の徹底を求めました。委託先の管理、公開している入口の棚卸し、管理機能への多要素認証など、この事案から学べる内容と重なります。詳しくは、政府文書の13ページを経営者向けに解説した記事で整理しています。

この事案の背景にある、国の新しい仕組みについては、能動的サイバー防御の記事で解説しました。

国がやるべきこと

ここからが、本題です。まず、国の役割から考えます。私は、国がやるべきことは、大きく3つあると考えています。

1つめ　被害を受けた会社を、速く、まとめて助ける

被害を受けた会社は、同時に多くのことをしなければなりません。原因の調査、サービスの停止と復旧、利用者への連絡、警察への相談、補償の設計、記者会見。GMOは、約10日間で第16報まで、公式発表を更新し続けました。これを、すべて自社の力でやり切れる会社は、多くありません。

政府は、この点に動いています。報道によれば、11月6日の関係閣僚会議で、「サイバーセキュリティ緊急対策パッケージ」が決定される見込みです。11月5日時点の報道が伝える原案は、4つの柱でできています。1つめは、AIを活用した基本的な対策の徹底（高度な専門人材による「トップガン人材チーム」を月内に立ち上げ、攻撃のテストで官民の対策を強化する）、2つめは、情報収集と分析体制の強化（先端のAI企業と協力し、公表前の脆弱性情報を早く入手する）、3つめは、攻撃への戦略的な対処（国家サイバー統括室に、被害の恐れがある組織に接触して対策を促す「アウトリーチチーム」を新設する）、4つめは、被害者の支援と被害拡大の防止です⁶⁷。

4つめの中で、目玉になるのが、「官民サイバー救援隊（仮称）」です。官民の専門人材で構成し、被害を受けた組織から支援の要請があり、緊急性が高い場合に派遣して、初動対応を後押しします。重大な攻撃のときには、国家サイバー統括室、所管の省庁、警察、防衛省・自衛隊による「ジョイントレスポンスチーム（仮称）」を派遣する案も報じられています⁶。

私は、この方向は正しいと思います。ただ、実際に役に立つかどうかは、運用で決まります。たとえば、被害を受けた会社が、夜中に最初に電話する窓口は1つか。中小企業でも、費用の心配なく頼めるか。依頼した会社の名前が、本人の同意なく外に出ないか。こうした点は、決定後の正式な発表で確かめる必要があります。

2つめ　攻撃者の基盤を止める

被害を受けた会社が、どれだけ頑張っても、攻撃者の拠点が動いている限り、同じ攻撃は続きます。この部分は、国にしかできません。

GMOは、10月24日に、この事案を能動的サイバー防御の「発動第1号」にしてほしい、と政府に要請しました。ただ、現行の制度では、企業が申請して発動させる手続きはありません。発動の判断は、警察や自衛隊が法律に照らして行います。前の記事で整理したとおり、政府の反応は慎重でした。

私は、被害を受けた会社が、国に「助けてほしい」と伝える入口を、制度として整える意味は大きいと考えます。発動するかどうかを決めるのは国でよい。ただ、要請が来たら、何を基準に判断し、いつまでに返事をするのかを、明らかにしておく。そうすれば、被害を受けた会社は、国を頼れるかどうかを見通せます。

3つめ　二次被害を止める「ルール」を整える

今回、もうひとつ、大きな論点が浮かびました。流出した個人情報が掲載された攻撃者のサイトを、どう止めるかです。

報道によれば、総務省は10月27日付の文書で、電気通信事業者協会などの通信の業界団体4団体を通じて、攻撃者のサイトへの接続を遮断するよう、通信事業者に要請しました。通信各社は、実際に遮断したかを明らかにしていません。結果としては、10月28日に、サイトのドメインが停止され、閲覧できなくなりました¹²。

ここで、難しいのが、通信の秘密です。通信事業者が、特定のサイトへの接続を止めるには、利用者の接続先を機械的に確認する必要があり、それ自体が通信の秘密に触れうる、とされます。NTTの島田社長は、11月4日の決算説明会で、ブロッキングは「利用者保護」と「通信の秘密」の両方を成立させないといけない案件だと述べ、緊急避難のガイドラインの整備や、法制化を進めてほしいと話したと報じられています¹⁴。

GMOの熊谷代表は、11月2日の会見で、「サイバーイージス構想」という私見を示しました。海外からの悪質な通信の発信元を検知したら、通信事業者に遮断を依頼する制度を日本につくるべきだ、というものです。通信の秘密に配慮しつつ、総務省が対応できるよう、法律を変えるべきだと述べています¹⁵。

この構想の法的・技術的な論点は、弁護士の増島雅和さんが、noteで詳しく論じています（「『悪いIPを止める』をどう実現するか」）¹⁶。技術の部品はおおむねそろっていて、足りないのは、何を止めるのか、誰が判断して責任を負うのか、求めに応じた事業者を誰が守るのかを決める制度だ、という整理です。専門的な内容ですが、関心のある方は、ぜひ読んでみてください。

私なりに、初心者向けに言い換えると、こういうことだと思います。速く止めるほど、誤って止めた場合の影響も速く広がります。だから、速さと同じだけ、歯止めが要ります。何を止めるのかを絞る。止める期間に上限を置く。誤りを訂正する道をつくる。判断と実施の記録を残す。独立した機関が見張る。民主主義の国々の制度は、どこも、こうした歯止めを法律の中に書き込んでいます。日本も、次の事案が起きる前に、議論を始めるべきだと、私は思います。

国への期待を、1枚にまとめる

国がやるべきこと	今、動いているもの	私が注目する点
被害企業を速く助ける	緊急対策パッケージ、官民サイバー救援隊、ジョイントレスポンスチーム（いずれも報道段階）	窓口の一本化、中小企業の費用、秘密の保持
攻撃者の基盤を止める	能動的サイバー防御（2026年10月施行）	被害企業が助けを求める入口と、判断の基準
二次被害を止めるルールを整える	総務省の要請（行政指導）、業界団体の検討	求めに応じた事業者を守る法的な整理と、独立した統制

事業者がやるべきこと

次に、一事業者としてやるべきことです。GMOが会見で挙げた反省と、国の文書が求める基本対策をつなげて、7つに整理しました。どれも、会社の規模を問わず、今日から考えられることです。

1　管理者の権限を守る

今回の事案で、会社の説明の中心にあるのは、管理者の権限が足がかりにされた、という点です。

まず、自社の中で、管理者の権限を持つアカウントがいくつあるかを、洗い出してください。社員、委託先、システムのアカウント。数えると、思ったより多いはずです。そのうえで、次の4つを確かめます。

• 管理者のアカウントに、多要素認証（パスワードに加えて、スマートフォンの確認コードなど、もう1種類の証明）が入っているか
• 普段の作業には、管理者ではなく、一般の権限のアカウントを使っているか
• 管理サーバーに入れる人と端末を、限定しているか
• 作業が終わった委託先のアカウントが、残っていないか

管理サーバーは、いわば管理人室です。管理人室の鍵が、利用者のフロアに置いてある状態は避けなければなりません。管理側のネットワークと、利用者側のネットワークを、分けて設計することも検討してください。

2　指摘を放置しない仕組みをつくる

2つめが、おそらく、一番大事です。会社は、2024年の指摘への対応を、反省として挙げました。

外部の診断、社内の担当者、取引先、監査。どこから来た指摘でも、次の3つを決めておきます。

• 誰が責任を持って対応するか（担当者の名前）
• いつまでに直すか（期限）
• 期限までに直せないとき、誰に、どう報告するか

この3つが決まっていれば、指摘は、放置されにくくなります。特に大事なのは、3つめの報告です。会社は、取締役会に報告する基準が明確でなかった、と述べました。「経営層に上げる基準」を、事前に決めておきます。たとえば、悪用が確認されている弱点、顧客の情報に関わる弱点、期限を過ぎて残っている重大な弱点は、必ず経営層に上げる。こうした基準があるだけで、止まる指摘は減ります。

この「期限と報告」は、経営者が自分で決める部分だと思います。担当者が1人で決めると、現場の忙しさに押されてしまうからです。

3　見つける力を持つ

侵入は8月5日に始まり、会社が状況を把握したのは10月19日でした。約2か月半、攻撃者は、気づかれないまま動いていたことになります。

見つける力は、大きく2つに分かれます。

1つは、システムの側の力です。管理サーバーへのログイン、普段と違う時間帯のアクセス、大量のデータの持ち出し、新しいプログラムの配布。こうした動きを、記録（ログ）として残し、見張る仕組みです。専門の担当者がいない会社は、監視を外部の専門事業者に任せる選択肢もあります。

もう1つは、人の側の力です。今回、最初に気づいたのは、利用者からの問い合わせでした。利用者の「何かおかしい」という声が、確実に届く窓口があることは、立派な検知の仕組みです。その声を、担当者が個人で抱え込まず、調べる人、判断する人につなげる流れを、つくっておきます。

4　預かる秘密を、減らす

今回、利用者のサーバーに保存されていた取引口座のログイン情報が狙われました。預かる秘密が多いほど、被害は大きくなります。

自社のサービスで、顧客のパスワードや認証情報を、預かる必要があるかを、見直してください。預かる必要があるなら、保存の方法（暗号化、アクセスできる人の制限）、保存する期間、不要になったら消す仕組みを決めます。「便利だから」と預かり続けているものは、被害の大きさを、そのまま増やします。

5　脅迫に備える

ランサムウェアの攻撃では、金銭の要求や、情報を公開するという脅迫が、同時に来ることがあります。今回も、そうでした。

脅迫を受けた瞬間は、冷静な判断が難しくなります。だからこそ、平時のうちに、次の5つを紙に書いておきます。

• 脅迫を受けたら、最初に誰が判断するか
• 警察への連絡先と、相談する順番
• 証拠（メール、通信記録、ログ）を残す方法
• 金銭の要求に対する会社の基本方針（支払うか、支払わないか）
• 顧客に最初に知らせる内容と、タイミング

GMOは、支払っても情報の削除や不正利用の防止が保証されないことを理由に、要求に応じない方針を示しました。同じ判断を、会社として事前に持てているかが、大事です。基本方針が決まっていれば、被害を受けたその日の判断を、速くできます。

6　利用者への情報提供を、速く、正確に

今回、会社は、約10日間で第16報まで、公式発表を更新しました。10月22日の第2報では、漏えいや悪用の範囲はまだ確定していないとされ、10月24日の第4報で、情報が外部に持ち出されたことを確認したと改められています。調査が進むにつれて、事実が変わるのは、事案の性質上、避けられません。

大事なのは、次の3点だと思います。

• 分かっていることと、まだ分かっていないことを分けて書く
• 利用者に、いますぐ取ってほしい行動を、具体的に書く（パスワードの変更、取引履歴の確認など）
• 便乗した詐欺への注意を、同時に呼びかける

GMOの第2報は、利用者へのお願いを6項目に整理し、メールや電話で会社がパスワードを尋ねることはない、と明記しました¹。被害を受けた直後の利用者は、不安の中で、判断をします。具体的な行動と、詐欺への注意が書かれていることは、利用者を守ります。

7　補償と支援を、あらかじめ想定する

被害を受けた会社は、利用者への補償や支援を決めなければなりません。何を、どこまで、誰に。GMOは、損失の補償、一律のお見舞金、代替サービスと6か月間の無償化を、10月24日の時点で決めました²。

補償の設計は、被害を受けてから考えると、時間がかかります。保険（サイバー保険）の範囲、補償の対象と対象外の線引き、確認のために必要な資料。平時のうちに、おおまかな想定を持っておくだけで、初動の速さが変わります。

経営者が今週やる3つのこと

7つを全部、一度にやる必要はありません。私なら、まず、次の3つから始めます。

1. 管理者の権限を持つアカウントを洗い出し、多要素認証が入っているかを確かめる
2. 外部や社内から受けた指摘の一覧をつくり、期限と担当者が決まっているかを確かめる
3. 被害を受けたときの連絡先と、最初に判断する人を、1枚の紙に書く

自社の理解度を測る入口としては、AIリテラシー診断も使えます。実際に事案が起きたときの動き方は、初動をまとめた記事に、パソコンや端末側の備えは、中小企業向けのチェックリストに書いています。会員情報を扱うAPIの守り方は、ソースネクストの事案の記事も参考になります。

個人がやるべきこと

最後に、私たち一人ひとりの話です。GMOのサービスを使っていない人にも、関係があります。同じような事案は、これからも、起きるからです。

今回の利用者が、取るべき行動

GMOは、利用者に、次の行動を求めています¹。サービスを利用していた方は、まだ済ませていなければ、すぐに取ってください。

1. 取引ツールと取引口座のパスワードを、本サービス以外の端末から変更する
2. 変更後に、セッション（ログインした状態）を切断する
3. 取引履歴と残高を確認し、身に覚えのない取引があれば、取引先の事業者に連絡する
4. 取引先が提供していれば、二段階認証を設定する
5. サーバーの中に、ID、パスワードなどを保存していた場合は、速やかに変更する。ほかのサービスで同じパスワードを使っている場合も、併せて変更する
6. 便乗したフィッシングメール、不審な連絡、Webサイトに注意する

特に、1番の「本サービス以外の端末から変更する」は、大事です。侵入されているかもしれない環境の中で変更すると、新しいパスワードも盗まれるおそれがあるからです。

誰にでも役に立つ、5つの習慣

サービスを使っていなくても、次の5つは、すぐに役に立ちます。

パスワードを使い回さない。 1つのサービスから流出したパスワードは、攻撃者が、他のサービスで試します。サービスごとに別のパスワードにして、覚えきれない分は、パスワードを管理する専用のアプリに任せます。

二段階認証、またはパスキーを入れる。 金融、メール、SNS、クラウドなど、被害の大きいサービスから順に入れます。パスワードが漏れても、すぐには入られません。

重要な認証情報を、他人の環境に置きっぱなしにしない。 今回は、クラウド上のパソコンに、取引口座のログイン情報を保存していた利用者が、被害を受けました。便利さと引き換えに、秘密を、他人の管理する場所に長くとどめていないか、見直してみてください。

お金に関わるサービスは、定期的に履歴を見る。 身に覚えのない取引に、早く気づくほど、被害は小さくなります。通知の機能があれば、オンにします。

「便乗」に注意する。 事案のあとには、「補償の手続き」「パスワードの確認」をかたるメールや電話が増えます。会社が、メールや電話でパスワードを尋ねることはありません。心当たりのない連絡は、自分から公式サイトを開いて確かめます。

流出した情報が載ったサイトを、見に行かない

今回の事案で、とても大事なことがあります。会社は、不審なサイトへのアクセスと、URLや掲載内容の転載・拡散を控えるよう、繰り返し求めています¹³。

「自分の情報が載っているか、確かめたい」。その気持ちは、自然なものです。ただ、サイトを見に行く行為が、情報の拡散を助け、見に行った人の情報が取得されるおそれもあります。不安なときは、サイトを探すのではなく、会社が案内する窓口に問い合わせてください。新しい攻撃者のサイトや、個人情報が不正に公開されているサイトを見つけたときは、会社が案内する通報の窓口に連絡します。

被害に遭ったときの連絡先

不正な取引や、情報の流出に気づいたら、次の順に動いてください。

1. 被害を受けたサービスの事業者に連絡する（今回なら、取引先の事業者とGMO）
2. 警察に相談する（警察の相談専用電話は#9110です）
3. 詐欺の被害に遭ったと感じたら、消費者ホットライン（188）に相談する

証拠として、取引の履歴、メール、画面の記録を、消さずに残してください。

3つの立場を、つなげて考える

ここまで、国、事業者、個人に分けて考えてきました。最後に、3つのつながりを整理します。

立場	役割	一言で言うと
国	被害企業を助ける、攻撃者の基盤を止める、二次被害を止めるルールを整える	個々の会社の力では届かないところを、担う
事業者	管理者権限を守る、指摘を放置しない、見つける力を持つ、預かる秘密を減らす、脅迫に備える	自社の入口と、預かった秘密を、守る
個人	パスワードと二段階認証、履歴の確認、拡散しない	自分の入口を守り、二次被害を広げない

どの1つが欠けても、全体は弱くなります。国が制度を整えても、事業者が管理者の権限を守っていなければ、侵入は防げません。事業者が頑張っても、個人が同じパスワードを使い回していれば、別の入口から入られます。個人が気をつけていても、国が二次被害を止める手段を持たなければ、流出した情報は広がります。

おわりに

今回の事案から、私が一番強く感じたのは、「気づく力」と「動き続ける力」でした。

侵入が始まってから、会社が気づくまで、約2か月半。気づいてからは、約10日間で16本の発表を出し、補償を決め、代替サービスを用意し、警察と連携し、懸賞金まで設けました。被害を受けた会社が、動き続けた事実は、正しく見るべきだと思います。

一方で、2年前の指摘への対応の話は、どの会社にも起こりうる、とても静かな問題です。外から指摘を受けたとき、すぐに大きな問題だと感じる人は、少ないかもしれません。けれども、その指摘が止まっている間に、時間は、攻撃者の味方をします。

「うちには、指摘を受けて、まだ直していないことはないだろうか」。この記事を読み終えたあと、ぜひ、社内で聞いてみてください。答えがすぐに出なければ、そこから始めればよいのです。国も、事業者も、個人も、一度に完璧になる必要はありません。今日、1つ、前に進めることが、次の被害を、少し小さくします。

指摘を受けても、社内で動かないときや、被害を受けたときの判断の順番を整えたいときは、当社のWARP SECURITYも選択肢になります。攻撃手口の解説より、社内の承認や発覚時の判断といった、平時の備えに時間を割く研修です。ご相談は個別相談からどうぞ。

参考

事実関係は、2026年11月6日時点の、GMOの公式発表、報道、政府関連の資料に基づいています。事案の原因と被害の全容は、確認できた範囲では、まだ確定していません。政府の緊急対策パッケージは、決定前の報道（11月5日時点の原案）に基づいており、決定後の正式な発表で内容を確認する必要があります。

Footnotes

1. 【重要】「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第2報）— GMOインターネットグループ — 2026年10月22日 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹

2. お詫びとお知らせ（第4報）— GMOインターネットグループ — 2026年10月24日11時50分時点。お見舞金、損失の補償、代替サービス、政府への要請の内容を含む ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸

3. 【会見詳報】ＧＭＯ熊谷氏「お客様守れなかった」、ＡＩ急発展を挙げ「犯罪者がネットを汚染」— 時事ドットコム — 2026年11月 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰ ↩¹¹ ↩¹² ↩¹³

4. GMO、不正アクセス問題で熊谷会長が謝罪 — Impress Watch — 2026年11月2日 ↩ ↩² ↩³

5. GMO、2年前の脆弱性解決できず　不正アクセス「8月に受けた」— 日本経済新聞 — 2026年11月2日 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸

6. 「サイバー救援隊」創設へ　政府緊急対策、６日決定 — 時事ドットコム — 2026年11月5日。決定前の案の報道です ↩ ↩² ↩³

7. サイバー攻撃に官民チーム　企業へ派遣、初動対応支援（共同通信配信）— 沖縄タイムス — 2026年11月5日。決定前の原案の報道です ↩ ↩²

8. 現在の対応について（第16報）— GMOインターネットグループ — 2026年10月29日。懸賞金への情報提供件数は11月5日までの追記を含む ↩ ↩² ↩³ ↩⁴ ↩⁵

9. 重要なお知らせ（第1報から第16報などの一覧）— GMOインターネットグループ ↩

10. 政府、サイバー攻撃対応で26日夕に閣僚会議　首相が緊急対策指示へ — 日本経済新聞 — 2026年10月26日。会議の予定を伝える記事で、結論は含みません ↩

11. 「お名前.com デスクトップクラウド」不正アクセス（第9報・第10報を含む続報）— Impress Watch — 2026年10月27日 ↩ ↩² ↩³ ↩⁴

12. 総務省、GMO攻撃者サイトの「ブロッキング」を通信各社に要請　報道 — ITmedia NEWS — 2026年10月30日。要請は新聞各紙の報道によるもので、総務省の公式な確認は示されていません ↩ ↩² ↩³

13. お客様へのご案内 — GMOインターネットグループ — 2026年10月30日 ↩ ↩²

14. GMOインターネットの情報漏えい事案で総務省が業界団体に「ブロッキング要請」との報道　NTTは動いた？— ITmedia Mobile — 2026年11月5日 ↩

15. 「高市政権に話したい」GMO熊谷氏、サイバー防御構想提起「社会的混乱まだプロローグ」— 産経新聞 — 2026年11月3日 ↩

16. 増島雅和「『悪いIPを止める』をどう実現するか――サイバーイージス構想を考える」note、2026年11月6日。構想の技術的・法的な論点の整理は、同氏の見解です。本稿での言及は、論点の紹介にとどめています ↩