2026年10月、GMOインターネット株式会社が提供する「お名前.com デスクトップクラウド」に対する不正アクセスが発覚した。顧客の金融取引口座への不正操作、個人情報の外部持ち出し、企業に対する巨額の金銭要求などが明らかとなり、同月27日には攻撃者を名乗る者によって顧客情報と称するものが公開された。

本事件では、攻撃者による金銭要求と脅迫が継続する一方、侵入経路、実行主体、被害の全容について解明されていない事項が残されている。現在も進行中の未解決事件である。

本稿は、2026年10月31日午前0時（日本時間）時点で公表されている情報を基に、事件の経過と被害状況、犯人側の声明及び行動、GMO側の対応を検証する。さらに、過去の企業恐喝事件との比較を通じ、犯行目的と攻撃の継続が企業及び社会に及ぼす影響について考察する。

1 侵入の発覚と被害の範囲

2026年10月20日、GMOインターネット株式会社は、「お名前.com デスクトップクラウド」の一部環境で不正プログラムの設置を確認し、21日4時から全プランのサーバーを順次停止した。同社は24日、本サービスへの不正アクセス及び顧客情報の外部持ち出しを確認した旨を発表し、顧客の取引口座における身に覚えのない取引の申告、金銭要求を伴う脅迫、政府関係機関への要請を併せて公表した。27日には、攻撃者を名乗る者による情報公開についても確認したと発表している。〔注1・2・3〕

サービス提供主体と金融取引環境

本サービスの提供主体は、証券コード4784のGMOインターネットである。親会社であるGMOインターネットグループ株式会社は証券コード9449の別法人であり、グループ代表の熊谷正寿氏による説明と、サービス提供会社の顧客対応は、それぞれの主体に帰属する。〔注2・4・5〕

本サービスは、インターネットを介してWindowsのデスクトップ環境を利用するサービスである。FX取引の利用者は、この環境で取引ツールや自動売買を稼働させる。そのため、サービス基盤への侵入は、保存された取引認証情報、既に成立している接続、取引ツールの操作に波及し得る。被害の入口となったクラウド環境、顧客の金融口座、金融事業者の基幹システムは、それぞれ異なる対象である。〔注6・2・7〕

GMO外貨及びGMOクリック証券は、複数のFX事業者で発生したとされる不正取引について注意を喚起し、各発表時点で自社口座に本件と関連する不正操作は確認していないと説明した。GMOペイメントゲートウェイ及びGMO TECHも、26日の発表で、自社サービスに対する本件の影響を確認していない旨を公表している。〔注8・9・10・11・12〕

対象サーバー数と確認された被害

GMOが公表した2万6739件は、影響の対象となり得るサーバー数である。23日の第3報は、この数字が侵害又は情報取得の確認件数ではないことを明示した。顧客人数、流出情報の件数及び損失総額を、この台数から算出することはできない。〔注13〕

表1 公表された数量とその意味

出典　各行記載の企業発表、報道及び声明保存記録。

外為ファイネストは10月21日付の公式告知で、一部の顧客口座について不正アクセス、不正ログイン及び不正取引を確認したと公表した。同社は、他社サービス等から流出した可能性のあるID・パスワードの組合せが利用されたと説明し、自社システムからの認証情報等の漏えいは確認していないとしている。23日付第2報では、取引パスワードの変更に伴うセッション切断等を案内した。10月27日、片山財務大臣兼金融担当大臣は記者会見で、ゴールデンウェイ・ジャパン、OANDA証券、アヴァトレード・ジャパン、外為ファイネスト、デューカスコピー・ジャパンの5社から、GMOインターネット関連と考えられる顧客被害が報告されたと説明した。また、FX事業者へのモニタリング強化要請と対象顧客の取引停止・パスワード初期化等の対応を明らかにした。〔注17・18・14〕

infoQへの不正アクセスとの区別

同じグループでは、GMOリサーチ＆AIが10月5日、アンケートサービスinfoQへの不正アクセスを公表している。同社の14日付第2報によれば、侵入は2日以降に行われ、顧客の問い合わせを受けた3日にポイント交換の停止、攻撃経路の遮断及びサービス停止を実施した。5日に個人情報保護委員会へ報告し、6日に警察へ相談、7日に全会員のパスワードを無効化したという。〔注19〕

同社が14日に確定した持ち出し情報は89万4082件、不正なポイント交換は611件、286万9500円である。初期の最大94万8498件には、持ち出されなかった情報及び個人情報を含まない記録が含まれていた。提供法人、対象サービス及び公表された侵入経路はデスクトップクラウドの事案と異なる。両事件の攻撃者、認証情報又は管理基盤を結び付ける資料は公表されていない。〔注19・2〕

2 発覚から情報公開までの経過

GMOの説明による初動は、19日の顧客からの問い合わせ、20日の不正プログラム確認、21日4時のサーバー停止である。企業が後日開示した金銭要求文書の日時は21日11時57分であり、停止開始から7時間57分後に当たる。初期侵入の日時及び最初の接触日時は公表されていない。〔注1・4・5〕

セキュリティ対策Labは、攻撃者から提供されたとする端末情報の収集ログ6件に、10月14日付の記録が含まれると報じた。記録された活動が実際に行われていれば、GMOの検知前に利用者端末へ到達していたことになる。ログの真正性、時刻の基準及び外部送信の完了は裏付けられていない。3566行という記録量は、流出情報件数又は被害者数を表すものではない。〔注20〕

表2 企業対応と声明の推移

出典　各行記載資料。日時は原則として日本標準時。企業文書の内容基準時点、声明の自己表示日時、第三者の観測・保存日時を区別している。

GMOは21日4時にサービスの停止を開始した。後日開示した金銭要求文書は同日11時57分付であり、停止が先行する。取引の実行時刻と要求拒否の前後関係は確定しておらず、声明に記された因果関係も確認できない。〔注1・4・15・7〕

3 顧客の金融損失と被害者への直接接触

TBSは、取引履歴の画面と利用者への取材を基に、約416万円及び約430万円の個別被害を報じた。報道は、口座の異常を訴える利用者の説明及び一部の利用者に届いたとされるメールを具体的に伝える。取引の操作主体と損失の内訳は未確定で、個別の補償認定も公表されていない。〔注7・38・39〕

約416万円及び約430万円の事例

24日付news23記事は、FX取引歴10年の44歳男性が、21日16時30分頃、口座残高がゼロとなったことに気付き、意図しない取引とソフトウェアを確認したと報じた。25日付サンデーモーニングの放送でも、年齢、取引歴及びメール内容が一致する事例が取り上げられている。両記事は同一事例として整理する。〔注7・38〕

表3 TBSが報じた個別被害

出典　TBSの各記事本文及び掲載画像。〔注7・38・39〕 415万9238円は表示された3件の合計であり、口座全体の最終損失の確定額ではない。

news23は、男性の損失を意図しない大量取引による手数料と説明し、掲載画像のテロップも同様に表示している。一方、同じ画像のGBPNOKの取引詳細には、手数料0、スワップ0と表示された部分がある。この相違に照らせば、約416万円の全額を手数料による損失と断定する記述は成り立たない。表示損益に含まれる取引差損、スプレッド及び手数料の内訳は未確定である。〔注7〕

約430万円の事例について、JNN記事は、利用者が約6000円まで残高を減らされたと訴えた旨を伝え、複数通貨の取引画面を掲載している。原記事及び画像には居住地又は性別の記載がなく、当該利用者を愛知県の女性と特定する根拠はない。また、両事例の取引画面には時刻基準が表示されていないため、日本標準時の発見時刻や脅迫期限との単純比較はできない。〔注39・7〕

さらに、口座残高の減少だけでは、攻撃者又は協力者への同額の資金移転を裏付けるには足りない。取引相手、発注・決済記録及び資金移転先が不明なため、第三者が利益を得たか、損失のみが発生したかも確定しない。利用ブローカーも特定されておらず、両事例をGMO系列証券又は前記5事業者の特定口座へ帰属させる根拠も確認されていない。〔注7・39・14〕

直接メールと企業への責任転嫁

TBSによれば、44歳男性には、異常発見から約2時間後に「Hacking Team」を名乗る者からメールが届いた。文面は、GMOが交渉を拒否したことを理由に残高を消去したと説明し、翌日以降のメールは声明サイトのURLへ誘導したという。〔注7・38〕

報道された文面には、「GMOが我々との交渉に応じることを拒否したため」とある。顧客本人に支払金額又は送金先を提示した記載はなく、損失の責任を企業の不応諾へ帰属させている。これは、被害を受けた顧客の不満を企業へ向けさせ、企業に要求受諾を求める圧力として利用するという説明に適合する。〔注7・38〕

24日15時版の声明は、管理不備と身代金拒否を顧客へ知らせるメールの送信を予告している。顧客への連絡、企業の拒否を加害の理由とする説明、公開声明への誘導は、個別被害を企業への要求に結び付ける行動である。メール原本及び送信者認証の情報は公表されていないため、直接接触した者とサイト運営者及び侵入者の同一性は確定していない。〔注7・27〕

4 侵入経路と事前指摘への対応

GMOが公表した技術的内容は、一部環境への不正プログラムの設置、システム上のセキュリティ問題及び顧客情報の外部持ち出しである。熊谷氏は、社内のホワイトハッカーによる事前指摘と、対応の不十分さを認めた。具体的な欠陥、初期侵入に用いられた脆弱性及び権限拡大の経路については、検証可能な技術報告が公表されていない。〔注1・2・4〕

事前指摘と対応遅延の説明

熊谷氏は25日付の声明で、本サービスについて改善すべき課題が事前に現場へ指摘され、現場チームも対策を進めていたと説明した。そのうえで、サービスの可用性への影響及び他の対処事項との優先順位を考慮した結果、対応の深度と速度が十分でなく、攻撃者に間隙を突かれたと述べた。〔注4〕

熊谷氏の説明は、社内で課題が把握されながら、防御への反映が不十分であったことを経営側が認めたものである。サービスの継続利用への影響と改修の優先順位が判断に関与したことも説明している。指摘日、問題となった設定、重大度、是正期限及び延期を承認した者は公表されておらず、費用削減を理由とする放置や7年間の不作為を裏付ける資料はない。〔注4・15〕

攻撃者側は、共通管理者権限、更新用サーバー及びRDPのドライブ共有を問題視している。これらが社内で事前に指摘された課題と同一であったか、実際の侵入又は被害拡大に利用されたかは公表されていない。〔注4・27・33〕

管理基盤への侵入と利用者端末への到達

声明は、共通管理権限及び更新用サーバーを介して複数のVPSへ到達したと説明し、RDPのドライブ共有によって利用者PCの情報も取得できたと主張する。前者はサービス内部での侵入拡大、後者はリモート接続に伴うローカル資源の共有に関する説明である。〔注27・33〕

Microsoftの仕様では、RDPプロパティのdrivestoredirectは、ローカルの固定・リムーバブル・ネットワークドライブをリモートセッションで利用可能とする設定である。空欄は共有を行わず、アスタリスクは後から接続したものを含む全ドライブの共有を指定する。侵害されたリモート環境から共有資源へ到達する危険は、この機能の性質と整合する。実際の取得範囲は、接続状態、ポリシー及び端末側の許可設定に依存する。〔注40・41〕

表4 攻撃者側の技術説明と公表資料の関係

出典　声明保存記録、Microsoftの技術仕様及びGMO発表。〔注15・40・41・27・33・23・4〕

Microsoftは2026年4月の更新以降、RDPファイルを開く際の警告及び共有資源の確認を追加している。個々の端末におけるOS、更新適用及びクライアントの違いは、同じ設定ファイルから生じる影響を左右する。〔注41・42〕

GMOは27日の第9報で、解析を終えた端末にはマルウェアの存在が確認されていないと説明した。解析対象及び完了台数は公表されていない。この結果は解析済み端末に関するもので、共有経由の情報取得や暗号化の有無まで確定するものではない。〔注23〕

5 声明サイトの来歴と金銭要求の変化

攻撃者を名乗る者の声明サイトとして、第三者が記録したドメインはcoronamng.storeである。登録情報、証明書記録及び保存ページから、ドメインの取得と声明発信の経過を追うことができる。GMOは10月28日午前4時頃に犯人サイトのドメインが停止されたことを確認している。10月31日の再確認では、Radix及びNamecheapのRDAP並びにcrt.shの証明書記録は現在も直接閲覧できる一方、Google Public DNSではA・MXともNXDOMAINとなっており、Wayback MachineのCDX検索はHTTP 403でアクセスを拒否された。〔注43・44・45・46・47・48・49・75〕

ドメイン登録と保存記録

Radix及びNamecheapのRDAPは10月31日現在も直接確認でき、ドメインの登録日時はいずれも2026年8月31日15時26分4秒UTC、日本標準時では9月1日0時26分4秒で一致する。レジストラはNamecheapで、NamecheapのRDAPでは登録者情報としてプライバシー代行のWITHHELD FOR PRIVACY LLCが表示される。登録期限は2027年8月31日15時26分4秒UTCであり、RadixのRDAPではclientHold及びclientTransferProhibitedの状態が確認できる。〔注44・45〕

表5 サイトに関する公開記録

出典　Radix及びNamecheapのRDAP、crt.shの証明書記録、Google Public DNSの事件当時の取得記録及び2026年10月31日の再照会、Wayback Machineの保存記録。時刻は日本標準時。RDAP及び証明書記録は10月31日現在も直接確認可能である。DNSのA・MXは現在NXDOMAINであり、事件当時の値は当時の取得記録として扱う。〔注43・44・45・46・47・48・49〕

登録及び証明書の記録から、事件発覚以前に当該ドメインが存在したことは確認できる。取得時点の標的、用途変更の有無、声明発信時の支配者までは特定できない。第三者は共有ホスティングの利用を指摘しているが、声明の公開場所と実際の侵入基盤を結び付ける記録はない。〔注43・44・46〕

Wayback Machineには、事件当時に取得した記録として2026年10月23日2時28分45秒の声明ページ保存が残されている。10月31日の再確認ではCDX検索URLへのアクセスがHTTP 403で拒否されたため、保存本文で確認できる内容を用い、保存件数等は現在の再照会結果として扱わない。〔注15・24・49〕

記録された最初の保存本文は22日更新と表示し、15％・約66億円の毀損、対話による停止及び顧客の補償・訴訟支援を掲げる。23日15時32分59秒の保存では、17％・約77億円へ数値が変更され、解約済み利用者の情報にも言及している。第三者資料には23日13時21分の更新との記録もあるが、その保存リンク先は11時15分の15％版を表示するため、17％への変更時刻は別の保存記録で確認する必要がある。〔注24・16・15〕

23日の一時的な非表示及び24日の再公開も第三者に記録されている。24日12時36分11秒の保存は、同日15時の重大発表を予告する一方、本文の最終更新表示を23日のままとしている。サイトの自己表示による更新日時と、第三者が保存した日時は一致しない場合がある。〔注43・25・50〕

5000万ドル要求と100万ドル要求

5000万ドルは、熊谷氏が26日に開示した21日11時57分の要求文書に由来する。FNN及びJ-CASTは、同日17時までに暗号資産で支払うよう求めた内容と報じた。これに対し、100万ドルは24日20時30分と表示された公開声明の要求であり、支払期限は27日正午である。FNNの記事は26日17時6分の掲載で、24日に公開された声明を紹介している。要求文書の日付、声明の表示日及び報道日には、別々の意味がある。〔注4・21・22・28・29〕

24日20時30分版は、25日0時14分15秒の保存本文で確認される。26日19時と表示された第2号見解は、同日20時32分4秒の保存において、当初5000万ドルを求め、その後100万ドルへ減額したと説明している。金額の関係は50分の1、減額率98％であり、サイト発信者自身が両者を連続した要求として説明した点は明瞭である。〔注28・35〕

26日19時版の減額説明は、熊谷氏が5000万ドルの要求を公表した後に現れている。このため、5000万ドルと100万ドルが同一主体による連続した要求かは、公開資料だけでは確定しない。〔注4・35〕

非公開交渉から段階的な情報公開への移行

21日の企業宛てメール群には、CEOへの報告及び返答を求める文面に加え、顧客への連絡を禁じる説明が存在する。保存された英文の“We wanted silence — so customers don't know.”は、「顧客に知られないよう、内密に進めたかった」との趣旨である。22日以降の公開文面は、これに対し、顧客への補償又は訴訟支援を掲げ、企業が支払わないために被害が続くという説明を外部へ提示している。〔注15・24〕

24日15時版では、脅迫の対象が口座資産からPC内の私生活・業務情報へ広がり、暗号化、閲覧履歴等の関係者への送付及び追加メールが予告された。約14万口座との主張にはデモ口座も含まれ、口座数及び残高の主張をそのまま実被害へ換算する根拠はない。26日正午版は、熊谷氏及び技術部門の説明への反論、AI利用の否定とともに、知人等への情報公開予告を継続している。〔注27・33〕

27日正午付の声明について、第三者は、1人目の情報を掲げるページへのリンク追加と、毎日正午に情報を追加公開するとの予告を記録した。GMOは同日12時30分に情報と称するものの公開を確認したと発表し、TBSも1人分の情報掲載を報じた。同社第10報の13時55分時点では公開内容の確認が続き、ランサムウェア攻撃の実行は確認されていない。〔注36・3・37〕

27日正午の期限後も、声明には100万ドルの支払いと引換えに情報公開等を停止する条件が残された。日々の情報公開へ移行する発信は、加害の継続を告知しながら企業が支払いに応じる機会を維持するものであり、脅迫の継続と整合する。〔注15・36〕

ドメイン停止と追加公開予告への影響（10月28日）

2026年10月27日正午、攻撃者を名乗る者は、顧客情報と称する情報の公開を開始し、以後毎日正午に追加公開すると予告した。同日14時55分、GMOインターネットは第11報で、当該情報の転載、SNSへの再投稿及び掲載先への誘導を控えるよう求め、悪質な情報拡散者に対する法的措置の準備を公表した。〔注36・3・76〕

同社は、顧客情報と称する情報等が掲載された犯人側サイト及びミラーサイトについて、関係事業者等と連携して停止に向けた対応を進めた。その結果、10月28日午前4時頃、犯人側サイトのドメインが停止されたことを確認し、同日11時時点の第13報で公表した。停止の確認は、攻撃者側が追加公開を予告した正午より約8時間前であった。〔注75〕

停止措置の実施主体について、TBSは、米国のプロバイダー側が掲載内容を不適切と判断して停止したとみられると報じた。FNNも、セキュリティー関係者の間で同様の見方が示されていると伝えた。GMOの第13報は、連携先の事業者名、停止要請の手続及び具体的な技術措置を公表していない。したがって、米国の事業者による判断については、報道上の説明として位置付けられる。〔注75・77・78〕

時事通信は、10月28日正午時点で予告された追加の情報公開は確認されていない一方、当該サイトの一部は引き続き閲覧できるとのセキュリティー会社の見解を報じた。ドメイン停止後も、既に公開された情報や別経路からの閲覧が残る可能性がある。〔注79・75〕

GMOは、同様のサイトが新たに開設された場合も、関係事業者・関係機関と連携して停止に向けた対応を行い、関連サイトの監視を継続するとしている。顧客情報の段階的公開を威圧の手段とする攻撃者側に対し、企業側が関係事業者との連携によって情報発信の経路を制約した点が、本件の攻防における新たな展開である。〔注75〕

公開情報の真正性に関する疑義（10月28日）

2026年10月28日、時事通信は、犯人側が公開した情報と氏名等が一致する人物への取材結果を報じた。同人物は、公開内容について「ほとんどでたらめ」と述べ、GMOのFX用サーバーを利用したこともないと説明した。これは取材対象者の証言であり、掲載情報全体の真偽が確認されたことを意味しない。〔注80〕

同日、GMOインターネットグループは、同社グループによる確認を経ていない公開情報に事実と異なる内容が含まれる可能性を指摘した。犯人側の公開情報の真正性は、実際の情報流出の範囲と、金銭要求を裏付ける威嚇能力を判断するうえで重要である。情報の一部に虚偽が含まれる場合、実際に取得された情報と、犯人側が保有を主張する情報を分けて検証する必要がある。〔注81〕

政府による接続遮断要請（10月29日）

2026年10月29日、読売新聞及び日本テレビは、総務省が同月27日付で国内の通信関係業界団体に対し、犯人側サイトへの接続遮断を要請していたと報じた。報道によれば、顧客情報の悪用による二次被害の拡大防止が目的とされた。要請文書の原本及び個別事業者による実施状況は確認できていない。〔注82・83〕

この接続遮断要請は、通信事業者による閲覧経路の制限を求めるものであり、28日午前4時頃に確認されたドメイン停止とは実施主体及び技術的方法が異なる。両措置の因果関係を認定する資料はない。〔注75・82・83〕

6 GMOの被害対応と補償

GMOは24日、現行のシステム基盤をそのまま再開せず、独立したクラウド基盤の代替サービスへ移行する方針を公表した。同時に、一律の見舞金と不正取引の実現損失に対する補償を別の措置として提示し、攻撃者の金銭要求には応じないと説明した。〔注2・5〕

表6 GMOが公表した顧客対応

出典　GMOの第4報、第8報、第9報、第10報、第12報及び熊谷氏の声明、10月28日付適時開示。〔注2・31・23・3・4・88・81〕

同社の補償方針は、取引記録、アクセス記録等により、本件の不正アクセスに起因すると認めた不正取引の実現損失を対象とする。TBSが報じた約416万円及び約430万円の事例について、個別の認定額又は支払完了を示す公表はない。〔注2・7・39〕

見舞金の総額についても、対象となり得るサーバー数に5000円を乗じる計算は成り立たない。支払対象の顧客とサーバーの台数は一致するとは限らず、実損補償では実口座とデモ口座、不正取引と通常取引、返金済みの金額等の区別を伴う。親会社の適時開示も、連結業績への影響は算定できないとしている。〔注13・81〕

アカウント保護では、パスワードの変更だけで既存接続が失効しない場合があるとして、別端末からの認証情報変更と既存セッションの切断を求めた。金融事業者には、対象サーバーからのアクセス遮断、全セッションの切断及び取引監視を依頼している。サービス自体を停止しても、外部で成立した接続又は既に取得された認証情報の利用が当然に止まるわけではなく、被害対応が単一のクラウド環境内で完結しないことを表している。〔注13・2・26〕

2026年10月28日の適時開示と費用負担

GMOインターネットグループは2026年10月28日、顧客対応に伴う費用の負担区分を適時開示した。見舞金、不正取引損失の補償、端末交換、特別見舞金及び被害者支援等に係る費用は子会社が負担し、懸賞金は親会社が負担する方針とした。対象顧客数及び補償対象取引等が確定していないため、連結業績への影響額は算定できないとしている。〔注81〕

この区分は、金銭要求を拒絶した企業にも、顧客への補償、復旧及び被害拡大防止の費用が発生することを具体化する。攻撃者側が顧客の損失と情報公開を継続的な威圧材料とする場合、企業は身代金の支払可否とは独立して経済的負担を負う。〔注81〕

顧客への個別連絡開始（10月30日）

2026年10月30日15時30分、GMOインターネットは、「お名前.com デスクトップクラウド」の契約者に対し、見舞金の受取手続及び代替サービスの提供について個別連絡を開始したと発表した。10月24日に公表された補償方針のうち、見舞金及び代替環境に関する案内が実施段階に移行した。〔注86〕

同発表では、見舞金の支払完了、代替サービスの利用開始件数及び不正取引による実現損失の個別補償額は公表されていない。〔注86〕

7 生成AIへの言及と本件の技術的証拠

熊谷氏は、AI技術の進化と悪用を攻撃増加の背景に挙げ、GMOサイバーセキュリティ byイエラエによる、日本企業約20社を狙う攻撃元の調査を紹介した。この調査で言及されるARTEXは、自律的な侵入テストに用いられるAIツールである。同調査は、本件の攻撃にARTEXが使用されたことを特定していない。〔注4・51・52・53〕

表7 ARTEXに関する資料と調査対象

出典　各社の技術報告、原報告の転載保存及び国内報道。

イエラエの前報は、公式URLの日付表示と紹介記事の公表日に差がある。また、海外報道の約80社と国内報道の一拠点約20社は集計対象が異なる可能性があり、いずれも本件の被害企業数を示す数字ではない。〔注57・52・58〕

本件について、ARTEXの実行記録、設定ファイル又は通信ログは公表されていない。声明発信者はAIとの関係を否定しているが、独立した技術資料による裏付けはない。日本語と英語の混在や文面の特徴だけで、生成AI利用の有無や執筆者数を特定することもできない。〔注33・25・55〕

熊谷氏はPHPの脆弱性をめぐる攻撃一般にも言及したが、本件の初期侵入経路をPHPとする技術資料は公表されていない。Reutersも、GMOがPHPの問題との関連を述べていないと報じている。〔注4・59〕

8 能動的サイバー防御の要請と法的要件

GMOインターネットグループの24日付開示は、本件を能動的サイバー防御の発動第1号として位置付け、国主導による攻撃基盤の追跡、遮断及び無力化等の実効的措置を求めたと記載する。〔注5・60〕

施行済みの規定と政府の判断

内閣府の公表によれば、2026年10月1日、サイバー対処能力強化法及び同整備法のうち、官民連携の強化及びアクセス・無害化措置に関する規定が施行された。2025年法律第42号は情報共有及び通信情報等の制度を定め、同年法律第43号による関係法改正は警察及び自衛隊の措置の根拠を整備した。通信情報の取得・利用を含む制度全体が10月1日に一括施行されたものではない。〔注61・62・63・64〕

TBSは26日の会見について、木原稔官房長官が、民間企業からの要請手続は法律上定められておらず、要請の有無にかかわらず、警察官職務執行法及び自衛隊法の要件に従って判断すると説明したと報じた。個別の対応状況への回答はなかったとされ、政府が本件で実際に行った措置の内容は公表資料からは特定されない。〔注32〕

警察と自衛隊の権限

改正警察官職務執行法6条の2は、加害関係の電気通信又は電磁的記録を認め、そのまま放置すれば生命、身体又は財産に重大な危害が生じるおそれがあるため緊急の必要がある場合に、指定された執行官による措置を認める。管理者等に措置を命じる方法と、執行官が自ら措置をとる方法が規定され、対象は危害防止のため通常必要と認められる範囲に限られる。〔注62〕

この規定は、被害企業が特別社会基盤事業者であることを一律の要件としていない。したがって、GMOの事業者区分のみを理由として、警察による措置の適用を直ちに排除する法解釈は採り得ない。一方、自衛隊法81条の3の通信防護措置には、限定された重要電子計算機、国外の者による特に高度に組織的かつ計画的な行為、国家及び国民の安全を著しく損なう事態につながる特定重大支障等の追加要件がある。〔注61・62〕

表8 アクセス及び無害化に関する権限の比較

出典　2025年法律第43号による改正条文及び警察白書。〔注62・65〕

法律上の用語では、経済安全保障推進法上の「特定社会基盤事業者」と、強化法上の「特別社会基盤事業者」も区別される。後者は、前者のうち一定の重要電子計算機を使用する事業者である。また、国外からの攻撃という事情だけで、国家主体の関与又は自衛隊の対処要件が満たされるものではない。〔注61・62〕

公的措置と民間企業の責任

本件への警察の措置を検討する際の法的要素は、継続する不正取引等による財産上の重大な危害、その切迫性、対象となる通信又は記録と危害の関係、及び措置の必要な範囲である。自衛隊の措置には、さらに重要電子計算機等に関する追加要件が重なる。企業が巨額の金銭要求を受けたこと又は政府へ具申したことのみでは、これらの要件を充足しない。〔注62・65・66〕

第三者が指摘する共有ホスティングが実態に即する場合、IPアドレスの一律遮断又はサーバー全体の停止は、無関係の利用者にも影響し得る。また、声明の公開場所と実際の攻撃基盤が一致しなければ、サイト停止だけで金融取引への不正介入が止まるとは限らない。正当な業務への妨害の制限、国外関係の協議及び監理委員会による統制は、措置の範囲と効果を判断する要素となる。〔注43・62〕

政府が攻撃基盤に措置を講じても、既に複製された情報の消去、取得済み認証情報の失効、個々の顧客損失の回復は別途必要となる。公的措置による危害防止と、企業による安全管理、被害補償及び原因説明は、それぞれ異なる役割を担う。〔注2・4・62〕

GMOは第11報で、悪質な情報拡散者に対する発信者情報開示請求、刑事告訴・告発等の準備を表明した。個人情報の再拡散による被害と、声明及び企業対応を検討するための公開情報の参照は、行為の内容と法的要件に即して区別される。〔注76〕

接続遮断要請と通信の秘密

2026年10月29日の報道によれば、総務省は犯人側サイトへの接続遮断を通信関係業界団体に要請した。接続遮断には憲法第21条第2項及び電気通信事業法第4条の通信の秘密との関係が生じる。要請の法的根拠、各事業者の判断及び実施範囲は、政府の要請文書原本が確認されていないため特定できない。〔注82・83〕

GMOが求めた能動的サイバー防御に係るアクセス・無害化措置と、通信事業者への接続遮断要請は、対象及び権限を異にする。個人情報の二次拡散防止を目的とする行政の働きかけについて、必要性と通信の秘密との関係を個別に検討する必要がある。〔注62・82・83〕

9 犯行目的と実行主体の検討

声明には、支払後の停止、顧客の救済及び企業への非難が併記される。発信者は、企業への対価要求を続ける一方、顧客の資産や情報に危害を及ぼす能力を誇示している。犯行目的の検討では、加害と金銭回収の関係が中心となる。〔注4・7・28・35・36〕

対価要求と被害拡大の関係

GMOは金銭要求文書を受領したと説明した。声明サイトでは要求額の引下げと支払後の停止条件が掲げられ、期限経過後も条件が維持された。被害者への直接メールは、口座の損失を企業の交渉拒否に結び付け、声明サイトへ誘導している。これらの行動は、顧客被害を企業への交渉圧力に転化し、金銭の取得を図る目的と整合する。〔注4・28・35・7・36〕

26日夜の声明は、自らの要求を「金銭のみ」と説明し、将来の利益のために支払い後の約束を守るという信用にも言及する。減額、停止条件の維持及び被害の段階的公開は、この説明と整合する。動機に関する記述は、発信者自身の説明として扱う必要がある。〔注35〕

同声明は、株式時価の減少、顧客口座の損失及び見舞金を列挙し、企業が負担する損失と要求額を比較させて支払いを迫っている。列挙された数値は会計上も因果関係上も同一の損害ではないが、企業に支払う方が低廉であると認識させる意図は文面から読み取れる。〔注35・13・5〕

口座に損失を発生させ、その被害及び補償負担を企業への要求に利用する方法でも、金銭取得の目的は成立する。顧客口座から攻撃者側へ資金が直接移転したことを示す証拠はない。TBSが27日に紹介した日本ハッカー協会の杉浦会長も、情報公開によってGMOへ圧力をかける狙いがあると評価した。〔注7・37〕

株価変動を利用した利益取得の仮説

2026年10月26日、共同通信は、GMOインターネットグループ（証券コード9449）の株価が前週末比15％超下落して取引を終え、終値は590円安の3179円だったと報じた。サービス提供会社であるGMOインターネット（同4784）も14％超下落し、終値は73円安の418円だった。顧客への補償費用及び業績への影響が懸念されたという。〔注73〕

企業への攻撃によって株価が下落することを事前に見込んだ者が、攻撃の公表前に株式を空売りし、その後に買い戻せば、要求した金銭を得られなくても市場取引から利益を取得し得る。また、犯人側が攻撃停止や終結を公表する時期を選択できる場合、株価の回復局面を利用した売買も仮説として考えられる。身代金の要求と株価変動を利用した利益取得が併存する場合も含め、犯行目的を検討する必要がある。

グリコ・森永事件でも、株価の下落と回復を利用することが犯行目的の一つだったという説が論じられてきた。2018年のニッポン放送の番組でも、作家の宮崎学氏との対談において株価操作の可能性が取り上げられている。〔注74〕 GMO事件については、株価の変動が報じられている一方、事件前の空売りや買い戻しを犯行関係者の取引と結び付ける資料は確認されていない。対象銘柄の売買時期、取引数量及び売買主体が、この仮説を検討する際の要点となる。

示威及び愉快目的の仮説

顧客への損失発生を誇示し、企業や技術部門を挑発する声明は、金銭要求に加えて示威や報復を企図した可能性とも整合する。しかし、挑発的表現だけで示威を独立した犯行目的とみるには足りず、要求金額の変化、支払期限、顧客への直接接触及び情報公開予告の連続性を併せて検討する必要がある。〔注15・27・35〕 SNS上の「愉快犯」とする見解は、第三者の評価として参照する。〔注67・68〕

表9 犯行目的及び関与主体に関する仮説

出典　各行記載資料に基づく分析。Dは関与主体に関する仮説であり、目的に関するAからCのいずれとも両立する。

AとBを分ける中心は、加害の強さや言葉の攻撃性ではなく、金銭回収と加害の継続との関係にある。支払いを受ける機会を維持しながら情報を段階的に公開する行動は、回収を目的とする恐喝で説明できる。これに対し、回収の機会を失っても破壊を優先した事実や、要求達成後も加害を継続した事実が確認されれば、示威又は複合的動機をより強く支持する。本件では、その事実は確認されていない。〔注36・35〕

顧客への直接メールは、企業の交渉拒否を損失の原因として説明し、顧客を声明へ誘導している。企業と攻撃者の交渉に顧客の不満を介在させる行為であり、恐喝上の機能を持つ。発注時刻と要求拒否の前後関係は未確定で、メールに記された因果関係も発注記録では裏付けられていない。〔注7・38〕

既知の恐喝手口との比較

Karakurtについて、米国の共同勧告は、情報を窃取し、支払いがなければ競売又は公開すると脅す手口を説明する。暗号化が確認されなくても、窃取情報を用いる金銭目的の恐喝は成立する。LockBitの共同勧告は、暗号化、情報窃取及び公開サイトを組み合わせる手口と、役割分担を伴う運営を扱う。CL0P及びMOVEitに関する公的資料は、共通する製品の脆弱性を介して多数の組織へ波及する情報窃取を報告している。〔注69・70・71・72〕

本件は、共通のサービス環境を経由した金融口座への波及、窃取情報の公開による圧力及び関与主体を複数に分け得る点で、これらの手口と比較できる。顧客の取引自体に介入して損失を与えたとする主張及び報道は、単なる情報公開の脅しに加わる要素である。一方、既知のマルウェア、加盟関係又は同一の侵入痕跡は同定されておらず、手口の共通性を特定集団への帰属と解する根拠はない。〔注7・27・69・70・71〕

サイト運営者と侵入者の同一性

企業宛て要求文書、第三者が保存したメール画像、サイト本文及び被害者への直接メールは、異なる経路で公表された資料である。同じ金額、技術用語又は企業批判が現れることは関連を推認する材料となるが、公表済み情報の引用でも再現できる。特に26日の減額説明は初回要求額の企業公表後に記載されており、非公開情報の共有を示す材料としては弱い。〔注4・15・7・35〕

日本語と英語の混在、ロシア風の差出人名及び表計算ソフトの中国語設定といった指摘も、国籍、居住地又は国家組織との関係を確定しない。表示名の偽装、翻訳及び文書の再編集が可能であり、声明の作成者と侵入者が別であれば、文章から読み取る対象自体が異なる。ドメインの登録及びDNSも、実際の侵入者の氏名又は所在地を裏付けていない。〔注43・55・44・45〕

識別子と実行主体――踏み台による誤認の危険

本件については、第三者によるOSINT調査として、犯人側サイトのドメイン管理情報、ホスティング環境、接続元IP、WPS Office文書のメタデータ、アクセスログ等から、攻撃者の特定に利用し得る識別子を抽出したとの報告が公開されている。報告者は、Namecheapの管理記録、国内ISPの契約者情報、WPSアカウント等について、法執行機関による照会によって契約者や接続記録を追跡できる可能性を指摘している。〔注89〕

これらは捜査の端緒として利用価値を有するが、識別子から得られる契約者又は端末利用者と、実際に攻撃を実行した者は区別して検討する必要がある。別の利用者からも、第三者の端末や回線を経由した通信によって無関係の人物を犯人と誤認する危険が指摘されている。〔注90〕

この問題は仮定にとどまらない。2012年に発生したPC遠隔操作事件では、不正プログラムに感染した第三者のコンピュータが遠隔操作され、そこから犯行予告が送信された。警察は4人を逮捕したが、その後、4人はいずれも事件に関与していなかったことが判明した。警察庁は事件後の検証で、遠隔操作の可能性に対する認識不足、逮捕判断時の検討不足に加え、自白事案における供述吟味不足を反省事項として挙げた。〔注91〕

PC遠隔操作事件が示したのは、通信記録の帰属評価の難しさである。あるIPアドレスから攻撃通信が行われた事実、当該IPの契約者、端末を操作した者、攻撃を企図した者は、それぞれ確認を要する。サーバー、VPS、VPN、プロキシ、感染端末等を経由した通信では、外部から観測されるIPアドレスが実行主体の回線を表さない場合がある。

同様の危険は、2026年10月21日に高市総理が緊急対応を呼びかけたPHPの重大な脆弱性にも認められる。IPAは、CVE-2026-109618及びCVE-2026-109619を組み合わせた「PHP2shell」について、悪用された場合、遠隔の第三者によって任意のコードを実行される可能性があると公表している。PHPの脆弱性を悪用され、第三者がサーバー上で任意の処理を実行できる状態となれば、そのサーバーは管理者の認識しないまま、別の対象への侵入、通信中継、情報収集その他の攻撃に利用され得る。外部から見れば攻撃通信は当該サーバーから発信されるため、管理者又は契約者が攻撃主体であるように見える場合がある。〔注92〕

したがって、サイバー事件における識別子の解析では、IPアドレス、ドメイン、アカウント、端末メタデータ等を単独で人物へ結び付けず、複数の独立した記録を突合する必要がある。接続時刻、端末情報、アカウント利用履歴、決済記録、認証記録、他の犯行との共通性等が一致するほど、踏み台や第三者利用の可能性を絞り込める。

本件で公開されたOSINT情報も、法執行機関による照会と他の証拠との突合を経て、実行主体の特定に利用し得る資料である。国内ISP回線、Namecheapアカウント、WPS環境等は有力な手掛かりとなるが、それ自体で実行犯を確定するものではない。

独自調査による情報取得と捜査機関への提供方針（10月29日）

GMOインターネットは2026年10月29日12時40分付の第15報で、グループ内のホワイトハッカーチームが犯人特定につながると考えられる情報を入手し、同日中に警察及び関係各所へ提出する方針を公表した。情報の内容、取得方法及び捜査機関による評価は公表されていない。〔注84〕

同日20時50分付の第16報では、懸賞金窓口への情報提供が18時時点で累計321件に達し、前日公表の113件から208件増加したと公表された。〔注85〕

第16報にはその後の件数も追記され、10月30日18時時点で累計428件（前日比107件増）となった。28日18時の113件、29日18時の321件、30日18時の428件という推移が同一本文で確認できる。これらは受付件数であり、捜査上有効な証拠の件数を示すものではない。〔注85・87〕

企業側の対応は、情報公開の抑止と外部からの情報募集に加え、独自調査で得た情報を捜査機関へ提供する段階に進んだ。被害企業の技術的調査と公的捜査が接続した局面と位置付けられる。〔注84・85・87〕

公表資料から最も具体的に読み取れる犯行目的は、顧客の資産と情報に危害を及ぼす能力を提示し、その負担をGMOへの金銭要求に用いることである。減額後も維持された支払条件、顧客に企業の不応諾を伝えるメール及び日々の情報公開は、この説明の下で関連付けられる。示威性はその方法に認められる一方、加害自体が金銭取得から独立した主目的であるとの認定を支える資料は、なお乏しい。〔注7・28・35・36〕

10 企業恐喝の歴史的比較と犯行実績の利用

GMOインターネットが提供する「お名前.com デスクトップクラウド」に対するサイバー攻撃は、企業への金銭要求に加え、顧客情報の公開及び追加攻撃の予告を伴っている。企業の信用と第三者の利益を脅迫に組み込む手法には、1984年に発生したグリコ・森永事件との共通点が認められる。両事件の比較は、金銭要求の成否に加え、攻撃の継続、犯行の公表及び標的の拡大が、その後の企業恐喝に及ぼす影響を検討する手掛かりとなる。

グリコ・森永事件については、別稿『グリコ・森永事件の答え｜かい人21面相は何者だったのか』で、犯人像と恐喝手法を検討している。

グリコ・森永事件における継続的脅迫と標的の拡大

1984年3月18日、江崎グリコの社長が誘拐され、犯人グループは身代金として現金10億円及び金塊100キログラムを要求した。社長が自力で脱出した後も犯行は終息せず、関連施設等への放火、毒物混入の脅迫、報道機関への挑戦状送付などが続いた。［1］

同年6月26日、犯人グループは江崎グリコに対し、「グリコゆるしたる」と記した休戦状を送付した。その後、脅迫対象を森永製菓など30数社に拡大し、青酸ソーダを混入した菓子を小売店に放置するなど、一般消費者への危害を伴う犯行に発展した。警察庁は、執拗な脅迫、報道機関の利用及び犯行の広域化を一連の事件の特徴として挙げている。［1］

犯人グループは、金銭の取得が確認されないまま攻撃を継続し、標的を変更した。「グリコゆるしたる」とする一方的な休戦宣言は、標的の選定のみならず、攻撃の継続と終了を自ら決定できるとの姿勢を誇示する行為として解釈できる。企業側が要求を拒絶した場合の危険を、次の標的に認識させる効果もあったと考えられる。

その後の犯罪への影響も確認できる。警察庁『昭和61年警察白書』によれば、同事件に便乗し、又は脅迫手口や現金取得方法を模倣した企業恐喝事件が多発し、1985年には72件が検挙された。［2］

GMO事件における金銭要求の変化

GMOインターネットグループの熊谷正寿代表は、2026年10月26日、攻撃者側から5000万ドル（約80億円）の要求を受けていたことを明らかにした。支払期限は同月21日17時とされ、要求には応じていない。同氏の公式ブログに後日掲載された経過欄にも、10月21日に約80億円を要求する脅迫メールを受信した旨が記載されている。［3］［4］

一方、サイバーセキュリティー会社S＆Jの分析を伝える報道によれば、攻撃者側は同月27日正午を期限として100万ドル（約1億6,000万円）を要求する声明を公表したとされる。二つの要求には金額で50倍の開きがあるが、両者の関係は公開資料では確定していない。［4］

同一の犯行主体が金額を変更したと仮定すれば、企業側の支払可能性を踏まえた要求額の調整という解釈が成立する。事業停止による損失、復旧費用、顧客補償及び信用毀損による損害が想定されるとき、要求額をそれらの費用より低く設定することは、支払いを選択させる誘因となり得る。一方、GMOインターネットは、支払いによって情報の削除や不正利用の防止が保証されないとして要求を拒絶した。［3］

要求拒絶後の継続攻撃と威嚇効果

企業恐喝において、犯人側が次の犯行に利用し得る実績は、金銭の取得に限られない。要求を拒絶した企業に対して攻撃を継続し、事業活動の妨害、顧客への損害又は情報の暴露を実行した場合、その事実自体が威嚇能力を裏付ける材料となる。

グリコ・森永事件では、江崎グリコに対する脅迫の継続と森永製菓等への標的拡大が広く知られることとなった。犯人側が攻撃を終えるか否かを一方的に決定するという印象は、次の標的となる企業の判断にも影響し得る。

GMO事件では、攻撃者とみられる者が同月27日正午に顧客情報の公開及びランサムウェア攻撃を行うと予告したことを、同社が公表している。公表資料で確認できるのは予告までで、追加攻撃の実行範囲は確定していない。［3］

仮に要求拒絶後の追加攻撃が実行され、その被害が公表された場合、攻撃者は拒絶への報復能力を次の脅迫に利用し得る。金銭の取得に失敗した事件であっても、継続攻撃の実績を蓄積し、それを新たな企業に提示することで脅迫の効果を高める可能性がある。

犯行実績の公表と標的拡大の可能性

現代のサイバー犯罪では、犯行声明、窃取情報の一部公開、被害企業の名称の掲載などをインターネット上で行うことができる。攻撃の成否や被害の規模を自ら発信し、次の標的に対する威嚇材料として利用することが可能となった。

実績として利用し得るものには、金銭取得、要求拒絶後の追加攻撃、複数企業への侵入・攻撃という三つの類型がある。金銭取得は要求の実効性を、追加攻撃は拒絶に伴う危険を、反復した侵入は攻撃能力の継続性をそれぞれ印象付ける。

犯行声明が実際の侵入範囲や加害能力を正確に表すとは限らない。それでも、企業側が声明を信用すれば心理的圧力は生じる。また、報道を通じて攻撃の継続や被害が知られれば、攻撃者自身による宣伝がなくても、その事実は別の企業のリスク判断に取り込まれる。

企業の経済判断と犯罪収益の継続

企業が金銭要求への対応を決定する際には、サービス停止による営業損失、復旧費用、顧客への賠償、情報漏洩に伴う法的責任などが検討対象となる。要求額が予想損失を下回る場合、支払いによる損害縮減を期待する判断が生じ得る。

しかし、個々の企業が損失の最小化を目的として行う支払いは、犯罪者に収益機会を与え、次の攻撃を誘発する可能性を有する。米国連邦捜査局（FBI）は、身代金の支払いによってデータの回復は保証されず、他の被害者への攻撃及び犯罪への参入を促すとしている。［5］

反対に、金銭の支払いがなかった場合でも、要求拒絶後の継続攻撃が実現すれば、犯行側はその攻撃能力を宣伝できる。企業恐喝の影響を評価する際には、金銭の取得額に加え、攻撃の継続、第三者への被害、被害の公表及び模倣犯罪への波及を検討する必要がある。

表10 企業恐喝における犯行実績と次の標的への作用

グリコ・森永事件では、攻撃の継続と標的の拡大に加え、同事件の手口を模倣した企業恐喝の多発が公的記録に残されている。GMO事件でも、攻撃者が金銭を取得した場合のみならず、要求拒絶後の攻撃やその宣伝を、別の企業への脅迫に利用する可能性がある。今回の事件が個別企業とその顧客に及ぼす損害にとどまらず、後続の犯罪にどのような影響を与えるかが、企業恐喝としての評価における論点となる。

企業側の異例の対抗措置

GMOインターネットは2026年10月27日19時10分付の第12報で、攻撃者とみられる者の要求には今後も応じない方針を表明し、情報を公開された利用者への特別お見舞金と、事件解明につながる情報を対象とする報奨金制度を公表した。［6］

「GMO特別お見舞金」は、公開された情報を氏名・連絡先等の基本情報、金融取引・認証情報、機微情報等に区分し、それぞれ1万円、1万5,000円、2万5,000円を支払うものである。複数区分の該当額は合算され、公表文には「1公開につき上限300万円」と記載されている。従前の一律5,000円の見舞金及び不正取引による実損補償とは別の措置である。［6］

GMOインターネットグループは同時に、事件の関与者の特定・検挙及び解明に資する情報を募集する「GMOサイバー犯罪撲滅・懸賞金」を創設した。制度全体の報奨金総額上限は100万米ドル（同社参考換算額約1億5,000万円）とされ、10月28日正午から専用窓口で受付を開始する予定である。募集対象には、実行者や指示役、攻撃基盤、暗号資産を含む資金移動及び指示系統に関する具体的かつ検証可能な情報が含まれる。［6・7］

報奨金の総額上限100万米ドルは、攻撃者を名乗る者が10月24日の声明で提示した要求額と一致する。GMO側は犯罪者への支払いを拒否する一方、事件解明に協力する情報提供者へ資金を配分する制度を設けた。企業恐喝における金銭の支払先を、犯人側から捜査協力者へ転換する対応と位置付けられる。［6・7］

情報公開の事実に応じて特別お見舞金を支払う方針は、利用者の情報と信用への損害を企業が引き受けることを意味する。顧客の資産や個人情報への不安を利用して企業に金銭を迫るという本件の犯行手法に対し、被害者への補償と事件解明への報奨を並行して提示した点が、今回の追加措置の特徴である。［6］

未解決事件における情報提供への報奨金には、警察庁の捜査特別報奨金と、民間が資金を拠出する私的懸賞金の例がある。警察庁の制度は原則300万円を上限とし、特に必要な場合にも増額の上限は1,000万円である。上祖師谷三丁目一家4人強盗殺人事件では、公的報奨金300万円に加え、「同事件の捜査に協力する会」が上限1,700万円の私的懸賞金を設けている。［8・9］

これに対し、GMOの制度は、不正アクセスの被害を受けた企業グループが自ら費用を負担し、国内外の個人・法人から、実行者や指示役、攻撃基盤、暗号資産の移動などに関する情報を募集するものである。報奨金総額の上限100万米ドルは、前記の公的・私的懸賞金の例を大きく上回る。ただし、GMOの金額は複数の情報提供者に対する制度全体の上限であり、個々の提供者への支払額ではない。被害企業自身がこの規模の報奨制度を公表したことは、国内の犯罪被害対応として異例と評価できる。［6・8・9］

GMOインターネットは、同月27日14時55分付の第11報において、顧客情報とされるものの転載、SNSへの再投稿及び掲載先への誘導を控えるよう求めた。さらに、悪質性の高い情報拡散者に対し、証拠保全の上で発信者情報開示請求、刑事告訴・刑事告発等の法的措置を準備していると公表した。この方針は、攻撃者の特定を目的とする懸賞金制度とは別に、流出情報の二次拡散へ対応するものである。［10］

GMOは、犯罪者への支払いを拒みつつ、捜査に資する情報には独自の報奨金を設定し、顧客情報の拡散に対しては民事・刑事の手続を準備している。これに先立ち、政府に能動的サイバー防御の適用も要請した。顧客の資産及び個人情報を企業への圧力に利用する攻撃に対し、被害補償、情報提供の募集、二次被害への法的対応及び公的措置の要請を並行させている点に、一連の対抗措置の特徴がある。［6・10］

熊谷代表のX投稿と捜査・金融市場への働きかけ

2026年10月27日夜から28日朝にかけて、GMOインターネットグループの熊谷正寿代表は、自身のXで警視庁による捜査が正式に始まったと発信し、国際刑事警察機構（INTERPOL）にも相談済みであると説明した。FNNプライムオンラインは28日、警視庁が不正アクセス禁止法違反容疑などで捜査し、GMO関係者及び被害者から事情を聴いていると報じた。［11・12］

熊谷氏は懸賞金の募集期間について、28日正午から犯人の「逮捕」まで継続する趣旨をXに投稿し、「犯人を絶対に許しません」と表明した。第12報における懸賞金制度の発表に続き、犯人の検挙まで追及する意思を代表者個人の発信でも明示したことになる。［6・11］

さらに、池田信夫氏はXで、事件の直前にGMO株を大量に空売りした人物の有無を調べるべきだと指摘した。これに対し、熊谷氏は証券取引等監視委員会への問い合わせを指示した旨を返信している。第三者からの指摘と問い合わせの指示が確認される一方、実際に不自然な空売り取引が存在したことや、株式取引と不正アクセスの実行主体に関連があることを裏付ける公表資料はない。［11］

これらの投稿から、熊谷氏が国内の刑事捜査に加え、国際的な捜査協力及び株式市場での取引状況にも関心を向けていることが分かる。犯人側が公開声明で企業や顧客を威圧する一方、企業代表者も懸賞金制度や検挙へ向けた姿勢をXで発信し、利用者や投資家へ直接働きかけている。双方の発信が同じ情報空間で展開される点は、現代の企業恐喝とその対抗措置の特徴の一つである。［11］

ドメイン停止後の情報募集と二次拡散対策

10月28日、GMOは犯人側サイトのドメイン停止を公表するとともに、同日正午に「GMOサイバー犯罪撲滅・懸賞金」の専用サイトを開設した。第14報によれば、同日18時時点で113件の情報提供を受け、内容の確認・精査を進めている。情報提供件数は月曜日から金曜日（祝日を除く）の18時に更新し、犯人の逮捕・国際指名手配まで継続する方針である。［13・14］

同社は、犯人側サイトのURLや掲載内容の拡散を防止するため、X上の関連投稿に対して同日18時時点で累計20件の警告連絡を実施したと公表した。第13報では、関係する投稿内容、URL、日時及びアカウント情報の保全、Xへの通報、警察等への情報提供を掲げ、悪質な再拡散に対しては発信者情報開示請求、損害賠償請求及び刑事告訴を含む法的対応を取る方針を明らかにした。［13・14］

GMOは第14報で、預かった端末の解析ではマルウェアへの感染やランサムウェア攻撃の痕跡が確認されていないと説明した。解析対象となった端末についての結果である。［14］

被害企業が自ら関係事業者に働きかけて情報公開の経路を制限し、同時に高額の報奨金を設定して犯行に関する情報を募集する対応は、公開による威嚇と犯行主体の匿名性という二つの要素に対処するものである。さらにSNSでの二次拡散を抑える措置が加わり、犯人側が顧客情報への不安を企業への圧力に利用する経路そのものを制約しようとしている。

結語――技術革新と企業恐喝の変容

企業を標的とする恐喝犯罪には長い歴史がある。1984年のグリコ・森永事件では、食品への毒物混入という脅威が、企業の信用と消費者の安全を脅迫材料とした。犯人グループは金銭の取得が確認されないまま犯行を継続し、標的を複数の企業へと拡大した。

2026年のGMOサイバー攻撃では、クラウドサービスを介して顧客の金融資産や個人情報が脅迫材料となり、インターネット上の声明と暗号資産による金銭要求が組み合わされた。企業の管理する情報とサービスが、顧客に直接損害を及ぼす手段として利用された点に、現代の企業恐喝の特徴が認められる。

両事件に共通するのは、消費者や利用者の不安を企業への圧力として利用する手法である。グリコ・森永事件では、子どもが口にする菓子に毒物が混入されるという恐怖が、家庭や消費者を通じて企業の信用を脅かした。GMO事件では、個人情報に価値を認め、その保護を重視する現代社会を背景に、情報流出への不安と金融資産を失う危険が脅迫に利用された。企業の提供する商品やサービスへの信頼が、そのまま犯罪者による威圧の対象となっている。

また、金銭要求を拒絶した企業への攻撃を継続し、その実績を次の標的への威嚇に利用するという仮説は、過去の企業恐喝との比較からも検討に値する。金銭の取得、攻撃の継続、被害の公表は、いずれも後続の犯行に利用され得る。

今後、AI技術による攻撃の自動化や高度化、暗号資産を利用した国境を越える金銭要求が進めば、企業恐喝の手法はさらに変化することが考えられる。

企業恐喝は、その時代の産業と技術を取り込みながら形態を変えてきた。企業が扱う情報やサービスの範囲が拡大するにつれ、犯罪者が脅迫に利用する対象も広がっている。そして、消費者や利用者が何を大切にし、何を失うことに不安を抱くのかという社会的な価値観の変化も、脅迫材料の選択に影響する。GMO事件は、その変遷を考えるうえで重要な事例となる。

参考資料（本章）

［1］ 警察庁『昭和60年警察白書』第2章「昭和59年の犯罪の特徴」。警察一次資料。

［2］ 警察庁『昭和61年警察白書』第2章「昭和60年の犯罪の特徴」。警察一次資料。

［3］ 熊谷正寿「今こそ官民連携で日本を守ろう――『能動的サイバー防御』を具申した理由」。公式ブログ（10月26日に金銭要求文書を追記。現行表示は10月30日）。 　GMOインターネット株式会社「第8報」2026年10月27日（同日正午の攻撃予告への対処）。

［4］ FNNプライムオンライン「攻撃者から80億円要求　GMO熊谷社長『応じず』　“きょう正午”利用客情報の公開、ランサムウェア攻撃実施の予告も」2026年10月27日6時23分。国内報道。

［5］ Federal Bureau of Investigation, “Ransomware”. 米国捜査機関の公式解説。

［6］ GMOインターネット株式会社「『お名前.com デスクトップクラウド』への不正アクセスに関する現在の対応について（第12報）」2026年10月27日19時10分時点。企業一次資料。

［7］ ITmedia NEWS「GMO、不正アクセス実行犯の手がかりに懸賞金　1億5000万円規模」2026年10月27日19時58分公開。国内報道。

［8］ 警察庁「捜査特別報奨金制度の実施」制度概要及び報奨金額。政府一次資料。

［9］ 警視庁「上祖師谷三丁目一家4人強盗殺人事件」公的報奨金300万円及び民間団体による私的懸賞金1,700万円。警察一次資料。

［10］ GMOインターネット株式会社「『お名前.com デスクトップクラウド』への不正アクセスに関する現在の対応について（第11報）」2026年10月27日14時55分時点。企業一次資料。

［11］ 熊谷正寿（@m_kumagai）による2026年10月27日夜から28日朝のX投稿4件。警視庁の捜査、INTERPOLへの相談、懸賞金の期間、証券取引等監視委員会への問い合わせ指示。本人発信の保存画像4点（2026年10月28日）を参照。

［12］ FNNプライムオンライン「GMO“脅迫”　警視庁が不正アクセス禁止法違反容疑で捜査　関係者や被害者から聴取　実態解明急ぐ」2026年10月28日6時57分。国内報道。

［13］ GMOインターネット株式会社「『お名前.com デスクトップクラウド』への不正アクセスに関する現在の対応について（第13報）」2026年10月28日11時時点。企業一次資料。

［14］ GMOインターネット株式会社「『お名前.com デスクトップクラウド』への不正アクセスに関する現在の対応について（第14報）」2026年10月28日18時時点。企業一次資料。

注及び参考資料

不正アクセスの経過はGMOの各発表、顧客被害は金融事業者の告知及び取材報道、声明の変遷は第三者の保存記録に依拠する。制度の根拠は制定法律、政府説明資料及び警察白書である。参照基準は2026年10月31日午前0時（日本時間）とし、各資料の公表日時、犯人を名乗る者の自己表示日時及び第三者による保存日時を区別する。犯人サイトのドメインは10月28日に停止されているため、第5章の登録情報、DNS及び声明本文は事件当時に取得・保存された記録を用いる。