GMOの情報漏えいで取引顧客に被害、日本が緊急サイバーセキュリティ対策を策定へ

データ漏えいが顧客の損失に

高市早苗首相は2026年10月26日、企業へのサイバー攻撃で個人情報が流出し、不正な金融取引による損失に直面する顧客も出ていることを受け、11月2日から始まる週のうちに緊急のサイバーセキュリティ対策を取りまとめると述べた。

発表に先立ち、GMOインターネットグループで情報漏えいが発生。同社によると、国内外の証券会社、外国為替業者など70社超の取引口座に関係するサーバー2万6739台が影響を受けた可能性がある。神奈川県の顧客は、不正な外国為替取引で600万円超の損失を被ったと話した。

高市氏は東京の首相官邸で、サイバーセキュリティーに関する関係閣僚会議を初めて開催した。攻撃者のシステムに侵入して脅威を無力化する新たな法的権限の活用や、日本企業への検査・監視の強化などを含む、連携した対応を求めた。

木原稔官房長官は10月26日の記者会見で、会議を午後6時に開くと発表し、政府が重視する課題を示した。大規模な情報漏えいが繰り返され、盗まれたデータの悪用による二次被害が相次いでいるという。各省庁は追加策と連携強化の両面を協議する。

高市氏は会議後、漏えいした情報が本人に被害をもたらす事態を挙げ、緊急性を訴えた。

「漏えいした情報の悪用による民事上の損害が拡大する懸念が高まっており、深刻な状況です。対策を緊急に強化しなければなりません」と述べた。

直ちに取り組むべき課題は、侵害されたコンピューターの修復にとどまらない。盗まれた情報が顧客の資産をどう危険にさらすのか、企業が侵入をどう検知するのか、攻撃者に対して国がいつ介入すべきかに、閣僚は対応する必要がある。

緊急対策の内容

高市氏は、日本の防御力を強化する施策として、生成AIを使った模擬攻撃と、中小企業まで対象を広げる監視ネットワークを挙げた。生成AIは文章やコンピューターコードなどを作成する技術で、管理されたセキュリティー試験では、システムの対応を確認する攻撃シナリオの作成に役立つ。

模擬攻撃は、許可を得て行う訓練だ。犯罪者に悪用される前に、セキュリティーチームが弱点を探す。監視ネットワークは目的が異なり、不審な動きを監視して、組織が侵入を検知し対応できるようにする。

中小企業にまで対象を広げる案が重要なのは、政府の対応が大企業や公的機関だけにとどまらないことを目指しているためだ。対策を通じて、より多くの企業が攻撃の発見や警告の共有に向けた連携に加わることになる。

高市氏は閣僚に対し、施策と必要な予算を速やかに検討するよう指示した。また、政府の総力を結集して取り組みを加速させるよう求めた。対策の予算、具体的な監視体制、発表日はいずれも明らかにされていない。

多くの省庁が関わる理由

木原氏の発表によると、サイバーセキュリティー、警察、金融、通信、産業、運輸、防衛を担当する閣僚らが参加した。高市氏と木原氏のほか、古川俊治サイバー安全保障担当相、林芳正国家公安委員長、小泉進次郎防衛相らが出席した。

担当分野の広さは、問題が複数の側面にまたがっていることを示す。サーバー事業者への侵入によって、金融サービスの顧客情報が流出する可能性がある。警察は犯罪行為を捜査し、防衛当局は新たな枠組みのもとでサイバー脅威への対処を担う。

10月26日の会議は、閣僚間で現在の被害状況について認識を共有し、各省庁の連携を強化することを目的としていた。自民党のサイバーセキュリティ対策本部が10月23日に高市氏へ提出した提言を受けて開かれた。

自民党は、首相官邸の下に専任の対策本部を設置すること、特に上場企業の経営幹部の意識を高めること、サイバーセキュリティー人材の採用と育成を強化することを求めた。高市氏は、官邸主導でサイバーセキュリティー対策に取り組むと約束した。

GMOへの侵入が取引口座に及んだ経緯

GMOは10月24日、リモートサーバーへのアクセスを貸し出すサービス「お名前.com デスクトップクラウド」から、情報が盗まれた可能性があると明らかにした。顧客はこのサービスを自動外国為替取引に利用しており、自宅のコンピューターに頼らず、遠隔地のコンピューター上で取引ソフトを稼働させられる。

一般にFX取引と呼ばれる外国為替証拠金取引では、取引額の一部を証拠金として差し入れ、通貨価格の変動を見込んで売買する。相場が予想に反して動くと、顧客が大きな損失を被ることがある。今回、顧客は許可していない取引が行われたと訴えている。

GMOによると、同社のサーバー上に保存されていた取引口座のパスワードなどが、第三者に閲覧された可能性がある。影響を受けた可能性のあるサーバーは2万6739台で、70社超の口座に関係していた。同社は、金銭的損失を被った顧客の確定人数や損失総額を公表していない。

神奈川県の44歳の会社員は、10月21日の不正取引で600万円超の損失が出たと話した。当時の反応をこう振り返った。

「パニックになりました」と話した。

その後、この顧客には「Hacking Team」を名乗る送信者から、口座残高を消去したと主張するメールが届いた。この事例は、政府が情報漏えいの悪用を、人々の資産に対する差し迫った脅威であると同時に、データを保有する企業の問題として捉えている理由を示している。

補償と利用者への脅迫

GMOは、金銭的損失がなかった顧客も含め、影響を受けたサービスの利用者全員に5000円を支払うと発表した。不正アクセスが原因と判断した損失についても補償すると約束した。つまり、一律の支払いと損失補償では対象が異なる。前者はサービス利用者全員が対象で、取引損失については個別の審査が必要となる。

GMOの熊谷正寿社長は10月25日のブログ投稿で、顧客を守れなかったことを謝罪し、補償を約束した。また、政府に能動的サイバー防御の措置を求めた。

GMOによると、攻撃者とみられる人物は金銭を要求し、会社や顧客の情報を公開すると脅迫した。同社は、金銭を支払っても顧客を危険から守れるとは限らないとして、次のように説明した。

「要求に応じたとしても、取得された情報が削除される保証はなく、悪用を防げる保証もありません」とGMOは述べた。

10月24日には、攻撃の背後にいるとみられる人物が、顧客のコンピューターにランサムウェア攻撃を仕掛けるとオンライン上で脅迫した。ランサムウェアは、ファイルやシステムをロックし、金銭を要求することのある悪意あるソフトウェアだ。GMOは利用者にデータのバックアップとウイルススキャンを呼びかけた。

能動的サイバー防御で可能になること

日本の「能動的サイバー防御法」は2025年5月に国会で成立し、2026年10月1日に施行された。アクセス・無害化措置に関する規定により、当局は攻撃者のシステムに侵入し、サイバー脅威の発生源でその阻止に当たることができる。

この手法は、被害者側のコンピューターを守るだけの対応から一歩踏み込む。侵入を遮断したり被害を修復したりするだけでなく、攻撃に利用されているシステムに対して当局が措置を講じられる。枠組みの実施には警察と自衛隊が関わる。

高市氏は、状況が明らかになったサイバー攻撃に対し、アクセス・無害化措置を含め、可能な対応を戦略的に選択して実施すると述べた。発言では、調査と実施に関する判断が重視された。

GMOの要請により、この権限は民間顧客の資産が関わる具体的な事案で焦点となった。熊谷氏は、政府の介入は通常、電力や運輸などの重要インフラ事業者を対象とすることを認めたうえで、いつ、どのように行動するかは当局が判断すると述べた。

熊谷氏は、同じ手口による攻撃が民間企業のサービスを越え、ほかのインフラや個人資産に広がる可能性があると主張した。利用者の損失がすでに報告されるなか、施行されたばかりの法律を対応に活用するよう求めた。

介入するかどうかは誰が決めるのか

木原氏は、アクセス・無害化措置が必要かどうかは政府が独自に判断すると述べた。企業からの要請は当局に情報や緊急性を伝えることができるが、実施の判断は関連法令の要件に基づき国が行う。

GMOへの対応について問われた木原氏は、個別の攻撃について話せば政府の戦略が明らかになる可能性があるとして、運用の詳細には言及しなかった。被害を受けた組織から情報を受け取った際の政府の通常の対応について、次のように説明した。

「一般論として、政府は被害を受けた組織からさまざまな情報を受け取り、個々の事案の状況に応じて必要な支援を行い、適切な措置を講じています」と述べた。

首相官邸の担当者は、GMOの事案が対象となるかどうかを判断するには、さらなる分析が必要だと話した。政府の能力が明らかになる恐れがあるため、作戦の詳細は公表されない可能性が高い。顧客や企業にとって、攻撃者への措置の詳細よりも、補償やサービスの保護、政策発表を通じて政府の対応を把握しやすい状況が続きそうだ。

防御の検査と攻撃の調査

赤沢亮正経済産業相も、翌月に倫理的ハッカーのチームを設置する計画を発表した。経済産業省所管のイノベーション・プラットフォーム・エージェンシーに所属するサイバーセキュリティー専門家が、コンピューターシステムの弱点を特定する。

倫理的ハッカーは許可を得てシステムを検査し、修正できるよう弱点を見つける。こうした取り組みは、提案されている模擬攻撃試験や監視ネットワークを補完する。検査は脆弱な箇所を探し、監視はそれが悪用されようとしている兆候を見つける。

赤沢氏の発表は、広くウェブサイトの構築に使われるプログラミング言語「PHP」で脆弱性が見つかり、予防措置として一部の省庁ウェブページや企業サービスが停止された時期に行われた。経産省は業界団体など約1000の組織を通じて、サイバーセキュリティーに関する注意喚起を発信していた。

捜査当局はGMOへの侵入に関連するツールも調べていた。グループ傘下のGMOサイバーセキュリティ byイエラエは、攻撃に使われたツールを「Artex」と特定したと発表した。米クラウドストライクによる韓国でのArtex攻撃の調査では、脅威は中国から発生した可能性が最も高いと評価された。GMOへの攻撃の発信元は、まだ確認されていない。

緊急対応に至る日程

10月には新たな政府権限が施行され、顧客の損失が報告されるなか、政治判断が相次いだ。主な日程をたどると、取引顧客に影響した一件の事案が、複数の省庁が関わる対応へと急速に広がったことが分かる。

• 2025年5月：国会が能動的サイバー防御法を可決。
• 2026年10月1日：アクセス・無害化措置の規定を含む法的枠組みが施行。
• 10月21日：神奈川県の顧客が、不正なFX取引により600万円超の損失が出たと申告。
• 10月23日：自民党が、首相官邸の下に対策本部を設置する案などを含む緊急提言を提出。
• 10月24日：GMOがお名前.com デスクトップクラウドから情報が盗まれた疑いを公表。顧客のコンピューターを狙う脅迫もオンライン上に現れた。
• 10月25日：熊谷氏が謝罪し、補償を約束するとともに政府の介入を求めた。
• 10月26日：高市氏が閣僚会議を開き、翌週に緊急対策をまとめるよう指示。

次の政策上の節目は、対策の公表となる。企業や顧客にとっての実効性は、閣僚がどの施策を選ぶか、どれだけの予算を充てるか、そして検査・監視・インシデント対応が標的となっている組織にどれだけ早く行き渡るかに左右される。

要点

• 高市氏は、2026年11月2日から始まる週のうちに緊急のサイバーセキュリティ対策を取りまとめる方針。
• GMOによると、70社超の取引口座に関係するサーバー2万6739台が影響を受けた可能性がある。
• 顧客1人が、不正なFX取引で600万円超を失ったと報告。
• GMOは影響を受けたサービスの利用者全員に5000円を支払い、不正アクセスが原因とする損失も補償すると約束。
• 政府が検討する施策には、生成AIを使った模擬攻撃や中小企業まで対象を広げる監視が含まれる。
• 攻撃者のシステムへの侵入と脅威の無力化を可能にする新たな権限を使うかどうかは、当局が独自に判断する。