GMO情報公開事案の二次被害と再発防止｜企業が今すぐ実装すべき対策

本記事は、2026年10月28日18:20時点のGMOインターネットグループの公式発表（第9〜14報）と、日本経済新聞・朝日新聞・毎日新聞・セキュリティ対策Labの報道をもとにしています。事案は進行中のため、数字や状況は今後変わる可能性があります。

GMOインターネットグループの「お名前.com デスクトップクラウド」への不正アクセスでは、10月27日12:30、攻撃者とみられる者が、GMOと顧客に関する情報だとするものを公開しました。10月28日には犯人サイトのドメインが停止され、GMOは懸賞金の制度をつくっています。発覚から公開までの経緯は、前回の記事「GMO不正アクセスとホワイトハッカーの指摘」で整理しました。本記事では「この後に何が起きうるか」と「同じことを起こさないために、企業が現場で何を実装すべきか」に絞って解説します。

以下では、事実（出典のあるもの）と、見通し・意見（FDE総研編集部の分析）を分けて書きます。FDE総研を運営するVACAN Technologiesは、本件の当事者ではありません。

GMO情報公開事案で、今後起こりうることは？

GMO情報公開事案で今後起こりうるのは、公開予告の継続、二次被害、個人への直接脅迫の3つだと編集部はみています。

原因究明の結果は、まだ公表されていません。公式に確認されている事実と、過去の事件から考えた見通しを分けて整理しました。

毎日正午の公開予告と、テイクダウンのいたちごっこ

ドメインの停止で公開サイトは見られなくなりましたが、攻撃者を特定・排除できたわけではありません。

GMOは第13報で、関係事業者などと連携して犯人サイトのドメインを停止したと報告しました。新しいサイトが開設された場合も、確認しだいテイクダウンに動く方針です。朝日新聞は、登録事業者が利用停止の措置をとった記録をICANNの検索で確認できたと報じています。一方、ブログなどでは「公開サイトが見られなくなっただけで、攻撃者の特定や排除を意味しない」という指摘も出ています。攻撃者が毎日の公開を続けるつもりなら、新しいドメインでサイトを立ち上げる可能性は残ると考えられます。

二次被害と、個人への直接脅迫の可能性

これから広がりやすいのは、公開情報を悪用した詐欺と、被害者本人を狙う脅迫だと編集部はみています。

報道によれば、公開された顧客1人分とされる情報には、氏名、生年月日、住所、電話番号、普段閲覧しているWebサイトなどが含まれていたとされます（真偽は不明）。これだけの情報がそろうと、本人を名指しした、信ぴょう性の高いフィッシングやなりすまし電話がつくりやすくなります。後で述べるVastaamoの事件では、企業に支払いを拒否された攻撃者が、患者本人へ直接メールを送って金銭を要求しました。GMOのケースでも、同じ形に備えておくべきだと考えます。

原因究明と捜査は、まだ途中

攻撃の原因も捜査の進み具合も公表されていないため、推測で原因を決めつけないことが大切です。

GMOは、預かった端末を解析した範囲では、マルウェアへの感染やランサムウェア攻撃の痕跡は見つかっていないと報告しています（第14報）。報道にある「閲覧しているWebサイト」が公開情報に含まれていた点は、端末側の情報が取られた可能性を示しているとも読めます。ただし、情報がどこから取られたかはGMOが調査中で、断定はできません。能動的サイバー防御が発動されたかどうかは、公表されない可能性が高いと考えられます（詳しくは「能動的サイバー防御とは？企業の事前対策とFDEの活用方法」）。

過去の脅迫・情報公開事件と比べて分かることは？

過去の事件では、支払いを拒まれた攻撃者が小分けの公開や個人への脅迫で圧力をかけ続け、削除後も拡散は止まりませんでした。

Vastaamo・Medibank・Optus・KADOKAWAとGMOの比較表

要求額、公開方法、企業の対応を並べると、GMO事案と過去4事件の共通点と違いがはっきりします。

GMO事案の要求額は、GMO公式の「約80億円」と、報道の「100万ドル」が別々の記述として出ています。両者の関係は示されておらず、どちらが最終的な要求なのかは分かっていません。

過去の事件に共通する3つのパターン

共通点は、拒否すると圧力が長引くこと、矛先が個人に向かうこと、データが消えないことの3つです。

1. 小分けの公開（ドリップ式）：Medibankの情報は何回にも分けて公開されました。GMOの「毎日正午」の予告も、これに近い形です。
2. 個人への矛先の移動：Vastaamoでは約2万2000人（2万4000人超とする報道もある）が自分への脅迫を警察に届け、約20人が支払ったと検察が説明しています。
3. 「削除」は検証できない：Optusの攻撃者は「データを削除した」と謝罪しましたが、すでに他者がコピーを手にしていました。ドメインや投稿を消しても、拡散は止まらないということです。

GMOの対応で、過去事例と異なる点

GMOの対応で過去事例と違うのは、公開された情報の区分ごとの特別お見舞金と、懸賞金の制度を設けた点です。

GMOは、公開された情報の区分ごとに特別お見舞金を設け、さらに総額100万米ドルを上限とする懸賞金を用意しました。過去4事件の比較表には、こうした対応は見られません。一方、支払いに応じない姿勢そのものはMedibankやOptusと同じです。つまり、比較表から考えると、ドリップ式の公開や個人への脅迫に移るリスクは、GMO事案でも消えていないと読むべきです。

二次被害を防ぐために、企業と利用者がすべきことは？

利用者は公開サイトに触れず届いた連絡を疑い、企業は補償窓口を一本化して拡散者には法的に対応することが基本です。

利用者がすべきこと（状況別）

利用者は公開サイトにアクセスせず、パスワードの変更と、届いた連絡の真偽確認を徹底してください。

企業がすべきこと

補償と注意喚起を公式窓口に集めることで、なりすましが入り込む余地を減らせます。

GMOの補償は3段構えです。第4報では、全利用者への一律5,000円の見舞金、不正取引の損失補償、代替サービスの6か月無償提供を発表しました。第12報では、これらとは別に、公開された情報の区分ごとに支払う特別お見舞金を設けています。

複数の区分にあてはまる場合は合計額が支払われ、上限は300万円と報じられています。

拡散への法的措置と、顧客への繰り返しの周知

拡散する人には警告や告訴で対応し、顧客には「補償の連絡は公式からのみ」と繰り返し伝えることが重要です。

GMOは、X上の関連投稿に累計20件の警告を送り、刑事告訴を含む法的措置をとる方針を示しました。企業の立場からは、「補償の連絡は公式からしか届かない」と顧客に繰り返し伝えることが、なりすまし対策の基本になると考えます。

同じ事態を起こさないために、企業が実装すべき対策は？

再発防止では、認証情報の置き場所、権限、ログ、指摘の是正期限の4点を、現場で実装できる粒度まで落とし込むことが重要です。

認証情報の保管と権限を見直す

最優先は、認証情報を平文で置かないことと権限を最小にすることで、これが漏えい時の被害の大きさを左右します。

GMO事案では、サーバー内に保存された取引口座のログイン情報などが狙われました（第2報・第4報）。一般論として、次の対策が有効です。

1. 認証情報をサーバーや端末に平文で保存しない
2. ブラウザへのパスワード保存や、複数人での共有パスワードを避ける
3. 権限を最小にし、参照だけで済む処理には読み取り専用の資格情報を使う
4. 二要素認証を必須にする
5. ログインセッションを強制的に切断する手順を、事前に用意しておく

外部公開面の棚卸しとログの保存

使っていない入口を閉じ、ログを長く一か所に集めておくと、侵入の機会が減り、調査も早く進みます。

外部から見えるサービス、アカウント、管理画面（コントロールパネル）を棚卸しし、使っていないものは止めます。ログは長期間保存して集中管理し、侵入が見つかったときにさかのぼって追跡できる状態にしておきます。

「指摘」に是正期限をつけ、経営が優先順位を決める

脆弱性の指摘は、重大度ごとの是正期限を経営が承認しておくことで、初めて実行力を持ちます。

GMOの代表は、社内のホワイトハッカーが指摘していたにもかかわらず、対応の深さと速さに課題を抱えたまま攻撃を受けたと説明しています。現場の感覚からいえば、指摘が放置されやすいのは「直すとサービスが止まる」場面です。可用性と安全性のどちらを優先するかを、事前に経営が決めておく必要があります。

脅迫を受けたときの対応プレイブックと、法定報告の期限は？

支払い方針・連絡順・補償の枠組みを平時に決め、個人情報保護法の報告期限から逆算して動ける体制にしておきます。

脅迫対応プレイブックの6項目

脅迫を受けてから議論を始めても間に合わないため、次の6項目は平時のうちに文書化しておくべきです。

1. 支払いの方針：GMOは「永久に応じない」と表明しています。支払っても情報の削除や不正利用の防止は保証されず、犯罪組織への資金提供になる、というのが理由です。
2. 連絡の順番：警察、個人情報保護委員会、取引先への連絡順と、それぞれの担当者
3. 犯人サイトに触れない社内ルール：アクセスすると、閲覧者の情報が取られるおそれがあります。
4. 24時間対応の窓口：広報・法務・顧客対応の連絡体制
5. 補償の枠組み：GMOのように、公開された情報の区分ごとに金額を決める方法があります。
6. 拡散する人への対応：証拠を保全したうえで、発信者情報の開示請求や告訴を行います。

個人情報保護法の報告期限

個人の権利利益を害するおそれが大きい漏えいでは、委員会への報告と本人への通知が義務で、速報は概ね3〜5日以内です。

72時間の机上演習と、顧客端末の扱い

脅迫メールを受け取ってから72時間の動きを年1回以上演習し、顧客端末を調べるときのルールも決めておきます。

GMOは全国の顧客から端末を預かり、ホワイトハッカーチームが解析しました。顧客のデバイスを調べる場合は、同意の取り方、保管方法、返却の手順、データの取り扱いを事前に決めておかないと、現場が判断に迷います。

FDEが再発防止で担える役割は？

FDEは、指摘を実装し現場に定着させるまでの距離を縮められますが、「FDEがいれば防げた」とまでは言えません。

「指摘」と「定着」の距離を縮める

FDEの強みは、課題の発見から実装、現場への定着までを、一人の担当者が一貫して受け持てる点にあります。

FDE（Forward Deployed Engineer）は、Palantirが広めた職種です。顧客の現場に入り込み、課題の発見から実装、定着までを一気通貫で担います。本件で論点になっているのは、ホワイトハッカーの指摘が実装まで届かなかったことです。指摘と改修の担当が分かれ、その間で優先順位の調整が止まってしまう状況は、多くの組織で起こりうるとFDE総研は考えています。認証情報の保管方法を変える、権限を分ける、ログの基盤を整えるといった、業務フローに踏み込む改修は、現場の事情を分かっている人が実装まで担当すると進みやすくなります。

企業とエンジニア個人、それぞれの視点

企業はFDEに任せる範囲を是正期限とひも付けて決め、エンジニア個人はセキュリティの実装と運用設計を身につけるのが近道です。

FDEに任せられないこと

是正期限の承認や支払いを拒否するかどうかの判断は経営の責任で、FDEが代わりに担うことはできません。

FDEは万能な解決策ではありません。FDEが担えるのは、経営の判断を現場の実装に落とし込み、定着させる部分だと考えます。FDEの役割全体や、導入時の体制づくりについては「FDEとは？」「FDE導入の進め方」で解説しています。

出典

• GMOインターネットグループ 公式お知らせ 第1〜14報（https://group.gmo/info/alert/2026102702/ 〜 https://group.gmo/info/alert/2026102802/ ほか）
• 日本経済新聞（2026年10月27日）、セキュリティ対策Lab（2026年10月27日）、朝日新聞・毎日新聞（2026年10月28日）
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」
• Vastaamo、Medibank、Optus、KADOKAWAの各事案に関する公開報道

姉妹メディアの関連記事