能動的サイバー防御とは？企業の事前対策とFDEの活用方法をGMO事案から解説

本記事は、2026年10月26日時点の報道と公表に基づいています。事案は進行中のため、数字や状況は今後変わる可能性があります。制度の法的な論点は、姉妹メディア「AX総研」の解説記事（能動的サイバー防御の要請を扱った記事）で詳しく扱っています。本記事では、現場の実務とFDEの活用方法を中心に書きます。GMOの指摘と対応の経緯は、GMO不正アクセスとホワイトハッカーの指摘で詳しく書いています。なお、この記事は報道・公表資料と一般的な実務知識に基づく解説であり、当メディアや運営会社が事案に対応した経験に基づくものではありません。

2026年10月、GMOインターネットグループの「お名前.com デスクトップクラウド」で不正アクセスが起きました。特に影響を受けたのは「FX自動売買専用VPS」です。同グループは政府に「能動的サイバー防御」の適用を緊急要請しました。一方、熊谷正寿代表はブログで、社内のホワイトハッカーが事前に課題を指摘していたことを明らかにしました。この事案から、FDE（Forward Deployed Engineer）として、また企業の担当者として学べることは2つあります。国の仕組みに頼れる範囲を正しく知ることと、指摘を実装まで運ぶ体制を平時に作っておくことです。

能動的サイバー防御とは？GMOの要請で何ができて何ができない？

能動的サイバー防御は、国が攻撃元を特定して無力化する枠組みです。企業の平時の防御や、被害の回復を代わりに担うものではありません。

制度の仕組みと対象はどうなっている？

この制度では、重大な攻撃に対して警察や自衛隊が攻撃者のサーバーを無力化します。実施には、委員会の事前承認を得ることが原則です。

関連法は2025年5月に成立し、2026年10月1日から無害化措置を実行できるようになりました。無力化の中身は、マルウェアの削除、攻撃プログラムの停止、攻撃の指令機能の無効化などです。事前承認を出すのは「サイバー通信情報監理委員会」です。官民連携の対象は、電力・ガス・水道・金融・通信・放送・交通・物流など15分野の基幹インフラ事業者（特定社会基盤事業者）です。GMOインターネットグループは、この対象に含まれていません。ただし政府は、無害化措置の検討では業種を絞っておらず、国民生活や安全保障への影響（事案の重大性・緊急性）で判断すると説明しています。

GMOの要請で「できること／できないこと」は？

国に期待できるのは、攻撃元の追跡と遮断までです。認証情報の変更や被害の補償は、企業と利用者が自分たちで行う必要があります。

GMOは本件を制度の「発動第1号事案」と位置づけ、国主導で攻撃基盤を追跡・遮断・無力化するよう求めました。Yahoo!ニュースのMasumi氏の記事によると、政府高官は要請を受けたことを認め、防御のための支援を行うと述べています。一方、国家サイバー統括室（NCO）の幹部は、個別企業からの要請を受け付ける仕組みはないと説明しています。

要請したことを公表したため、攻撃者が警戒し、無害化措置の効果が下がるおそれがあるとの指摘もあります。Masumi氏は、能動的サイバー防御を攻撃元を断つ「最後の砦」に近いものと見ています。日々の被害を減らす役目は、利用者と企業の足元の対策が担うという見方です。

GMOの事案で「指摘から実装までの溝」はどう生まれた？

代表ブログによると、課題の指摘は事前に現場へ届いており、対策も進められていました。それでも、対応の深さと速さが足りなかったと説明されています。

公表された経緯と事実は？

GMOの公式発表によると、10月19日の問い合わせから10月24日に情報の持ち出しを確認するまで、約5日で状況が大きく変わりました。

第4報によると、攻撃者からは脅迫がありました。内容には、国内外の70超の証券会社・FX会社等の利用者口座への不正操作を続けることなどが含まれます。この「70超」は脅迫で示された数で、被害が確認された数ではありません。GMOは要求に応じない方針を表明しています。攻撃者が公開している主張の一部は虚偽の可能性がある、ともしています。

代表ブログはその「溝」をどう説明している？

熊谷代表は、可用性や他の課題との優先順位を考えて慎重に進めた結果、攻撃者に隙を突かれたと説明しています。

熊谷代表のブログ（10月25日）には、次の表現があります。

• 「社内のホワイトハッカーから改善すべき課題が事前に現場へ指摘されておりました」
• 「サービスの可用性への影響や他の対処事項との優先順位を考慮しながら慎重に対応を進めた結果」
• 「対応の深度とスピードが十分ではなく、攻撃者にその間隙を突かれてしまった」
• 「プロを抱えながら、その知見を組織として完璧に防御へ昇華しきれなかった」

指摘の内容と時期は明らかにされていません。そのため、原因を外部から特定することはできません。ここで取り上げるのは、どの組織にも起こりうる一般的な構造です。セキュリティの指摘は、技術的には正しくても「止められないサービス」と「ほかの優先事項」の間に置かれると、着手はされても完了が遅れやすくなります。指摘した人と実装する人の間で「どこまで直せば完了か」が決まっていないと、この遅れは特に起きやすくなります。

企業が平時のうちに整える事前対策は？

まず、認証情報と権限の棚卸しから始めることを勧めます。次に、ログ、停止判断、連絡体制を平時のうちに文書にしておきます。

優先順位をつけた8つの点検項目は？

被害が大きくなりやすい項目から順に並べると、認証情報、権限、APIの順になります。そのあとに、公開資産、ログ、委託先、停止判断、連絡体制が続きます。

インシデント直後の初動はどう準備する？

GMOの第5報が利用者に求めた手順は、そのまま企業の初動チェックリストの雛形として使えます。

第5報では（第3報にも同様の依頼があります）、利用者に次のことを求めています。

1. PCとスマートフォンをウイルス対策ソフトでフルスキャンし、データをバックアップする
2. FX取引に使っていない端末から、取引口座と取引ツールのパスワードを変更する
3. ログイン中の全セッションを切断する（パスワードを変えても、既存のセッションが残る場合がある）
4. 取引履歴と残高を確認し、身に覚えのない取引は事業者に連絡する
5. 二要素認証を設定する
6. 同じパスワードを使う他のサービスや、ブラウザに保存した認証情報も変更する
7. 攻撃者を名乗る連絡が来ても、URLやファイルを開かず、返信しない

企業では、このリストを自社のサービスに合わせて書き換え、平時の訓練で一度は実際に通してみることを勧めます。特に3つ目の「パスワード変更後もセッションが残る」点は、見落とされやすいところです。金銭を要求された場合は、支払う前に警察や専門機関に相談すること（Masumi氏の記事の提言）も、手順書に明記しておくとよいでしょう。

FDEはセキュリティの指摘をどう実装・定着まで運ぶ？

FDEは、指摘を「完了条件つきの要件」に言い換えます。そのうえで、止めずに直す方法を試作し、運用に定着するまで担当します。

指摘から定着までの5つのステップは？

Palantirで知られるFDEの進め方を当てはめると、課題発見から定着までを一人、または一つのチームで途切れずに担うことになります。

1. 課題発見：指摘した人（社内のセキュリティ担当や外部の診断者）と直接話し、攻撃されたときの影響を事業の言葉で言い直す
2. 要件定義：「何をもって完了とするか」を決める。対象のサーバー数、期限、確認方法を表にする
3. 試作：本番を止めずに直す方法（段階的な切り替え、並行稼働など）を、小さな範囲で試す
4. 実装：試作の結果をもとに、全体へ順番に広げる。進み具合を週単位で見えるようにする
5. 定着：手順書、監視、定期点検に組み込み、担当が替わっても続くようにする

可用性と対策のトレードオフはどう扱う？

FDEは「止める・止めない」の二択にしません。影響範囲ごとに選択肢と期限を並べ、経営判断に必要な材料をそろえます。

代表ブログが挙げた「可用性への影響」と「優先順位」は、どの現場でも対策を遅らせやすい要因です。FDEがここでできるのは、判断を代わりに下すことではありません。判断に必要な比較表を作ることです。たとえば「今週中に一部を止めて直す」「止めずに来月までに直す」「当面は監視を強めて様子を見る」の3案について、残るリスクと事業への影響を並べます。そうすると、意思決定者は期限つきで選べるようになります。なお、FDEがいれば今回の事案を防げた、と断定することはできません。FDEの役割は、指摘が「対応中」のまま止まる時間を短くすることにあります。

顧客環境に入るFDE自身の権限管理はどうする？

顧客の現場に入るFDE自身が、新しい攻撃の入り口になるおそれがあります。権限は最小限にし、期限をつけ、記録を残すことが原則です。

付与する権限はどう決める？

FDEに渡す権限は、作業ごとに範囲と期限を決めて渡すようにします。常に使える管理者権限は渡さないのが基本です。

離任時と事故時には何をする？

離任時には、権限、APIキー、共有アカウントをまとめて無効にします。事故時には、FDEも顧客の連絡体制の中で動きます。

FDEは複数の顧客を担当することがあるため、ある顧客の認証情報が別の顧客の作業に紛れ込まないよう、端末とアカウントを分けます。プロジェクトが終わったら、渡した権限の一覧を顧客と一緒に確認し、すべて無効にしたことを記録に残します。こうしたFDE自身の管理は、顧客に対策を勧めるときの説得力にもなります。能動的サイバー防御は国が攻撃元に対処する手段で、企業の日々の防御を肩代わりするものではありません。権限の整理、ログの保全、停止判断の合意といった作業を、顧客の現場で最後までやり切ることが、FDEの仕事になります。

この記事はいつ時点の情報ですか？

2026年10月26日時点の報道・公表に基づいています。事案は進行中のため、GMOの公式お知らせや政府の発表に更新があれば、数字と状況を見直します。主な更新は、次の一覧に追記します。

• 2026年10月26日：公開

姉妹メディアの関連記事