GMOは攻撃者の要求に応じるのですか？

GMOは要求に「永久に応じない」としています。支払っても情報の削除や不正利用の防止は保証されず、犯罪組織への資金提供になるためです。刑事告訴を含む法的措置をとる方針も示しています。

要求額は約80億円ですか、100万ドルですか？

GMO公式の第1報には、10/21の脅迫メールで約80億円を要求されたとあります。報道では、攻撃者が10/24の声明で100万ドルを求めたとされます。両者の関係は示されておらず、どちらが最終的な要求かは分かっていません。

26,739件の情報が流出したのですか？

いいえ。26,739件は影響の「可能性」があるサーバーの数で、流出件数や被害者数ではありません。公開されたのは顧客1人分とされる情報で、内容が事実かどうかは確認中です。

ドメインが停止されれば、公開された情報は消えたと考えてよいですか？

いいえ。ドメインの停止で公開サイトは見られなくなりましたが、攻撃者本人の特定や排除を意味しません。Optusの例のように、削除後もコピーが出回ることがあります。GMOも、新しいサイトが開設されればテイクダウンで対応するとしています。

攻撃者の公開サイトを確認してもよいですか？

アクセスしないでください。公開サイトにアクセスした人の情報は攻撃者に取得されうるとして、GMOはアクセスしないよう求めています。転載やリンクの共有も控えてください。

GMO脅迫・情報公開事件を過去事件と比較｜4事件との共通点と違い

図解：GMO事案の時系列（2026年10月19日〜28日、GMO公式第1〜14報より）

10/19〜10/20 検知利用者からの問い合わせで調査を開始し、翌日に不正プログラムを確認
10/21 停止と脅迫サービスを停止して第1報を公表。同じ日に脅迫メールを受信し、約80億円を要求される
10/24 持ち出しの確認第4報で顧客情報の外部持ち出しを確認。見舞金、損失補償、代替サービスの無償提供を発表
10/27 情報公開攻撃者とみられる者が情報と称するものを公開。13:55時点でランサムウェア攻撃は確認されていない
10/28 停止と懸賞金犯人サイトのドメイン停止を確認し、上限総額100万米ドルの懸賞金の受付を開始

図解：GMO事案と過去の脅迫・情報公開型事件の比較（FDE総研編集部の分析）

4事件との共通点

金銭目的で、顧客の情報や顧客本人を企業への圧力に使う
GMO・Medibank・Optusは支払いを拒否し、Vastaamoのセンターも支払っていない
支払いを拒んだ後も、公開や脅迫で被害が続くおそれがある

GMO事案の違い

公開の方法：攻撃者は「毎日正午」に順次公開すると主張
データの質：閲覧しているWebサイトまで含むと報道（取得経路は調査中）
補償の設計：公開区分ごとのお見舞金と、上限100万米ドルの懸賞金を組み合わせた

図解：数字で見るGMO事案（2026年10月28日18:20時点・GMO公式発表）

26,739件影響の可能性があるサーバー数（流出件数ではない・第3報）

5,000円全利用者への一律の見舞金（第4報）

100万米ドル懸賞金の上限総額（10/28受付開始）

113件10/28 18:00時点で寄せられた情報（第14報）

GMO事案はここまでどう進んだ？10/21の脅迫から10/28のドメイン停止まで

GMO事案は10/21の脅迫メール受信から約1週間で、情報公開の予告と実行、犯人サイトのドメイン停止まで進みました。

本記事は、2026年10月28日18:20時点（GMOインターネットグループ公式お知らせ第14報）までの公式発表と報道に基づいています。事案は進行中のため、数字や状況は今後変わる可能性があります。事実と、FDE総研編集部の分析・意見は分けて書いています。

対象は、GMOインターネットグループの「お名前.com デスクトップクラウド」への不正アクセス事案です。この記事では、まず10月21日から10月28日までの動きを時系列で整理します。次に、Vastaamo・Medibank・Optus・KADOKAWAという過去の脅迫・情報公開型の事件と比べ、共通点と違いを示します。セキュリティ面の背景は、前回の記事GMO不正アクセスとホワイトハッカーの指摘で扱っています。

10/19〜10/24：検知から脅迫内容の公表まで

利用者の問い合わせから調査が始まり、5日後の10/24には顧客情報の外部持ち出しが確認されました。

日付	出来事（GMO公式発表）
10/19	利用者からの問い合わせで調査を開始
10/20	不正プログラムを確認
10/21 4:00	サービスを停止し、第1報を公表。同じ日に脅迫メールを受信し、約80億円の支払いを要求される
10/22 13:00	警察に相談
10/23	第3報。影響の可能性があるサーバーは26,739件（被害が確定した数ではない）
10/24	第4報。顧客情報の外部持ち出しを確認。全利用者に一律5,000円の見舞金、不正取引の損失補償、代替サービスの6か月無償提供を発表

第4報では、脅迫の内容として次の3点が公表されました。

国内外70社を超える証券会社・FX会社などの利用者取引口座に対し、不正操作を続ける
サービスと利用者PCに関する情報を公開し、ランサムウェア攻撃を実行する
GMOのシステムや運用体制に関する情報を公開する

GMO公式発表での要求額は、10/21の脅迫メールにある「約80億円」です。一方、報道によれば、攻撃者は10/24の声明で100万ドルを求めていました。2つの金額の関係は、公式発表にも報道にも書かれていません。そのため、どちらが最終的な要求額なのかは、この記事でも断定しません。

10/25〜10/28：情報公開、ドメイン停止、懸賞金

予告どおり10/27に情報とされるものが公開され、GMOは翌10/28にドメイン停止と懸賞金の創設で応じました。

日時	出来事
10/25	顧客に端末調査への協力を依頼。パートナー（従業員）が全国の顧客の端末を預かり、GMOのホワイトハッカーチームが解析
10/27 9:58	第8報。12:00の攻撃予告に備え、PCの電源を切るよう依頼
10/27 11:59	第9報。解析を終えた端末からマルウェアは確認されていない（ただし、すべての端末が安全かは未確認）
10/27 12:30	攻撃者とみられる者が、GMOと顧客に関する情報と称するものを公開したことを確認（第10報）。ランサムウェア攻撃は13:55時点で確認されていない
10/27 19:10	第12報。「GMO特別お見舞金」を発表
10/28 4:00頃	犯人サイトのドメインが停止されたことを確認（ミラーサイトを含む。第13報）
10/28 12:00	「GMOサイバー犯罪撲滅・懸賞金」の受付を開始（上限は総額100万米ドル）。18:00時点で113件の情報が寄せられた（第14報）

GMOは、公開サイトにアクセスすると閲覧者の情報を攻撃者に取られるおそれがあるとして、アクセスしないよう呼びかけています。公開された内容はまだ確認中で、事実と異なる内容が含まれるおそれもあるとしています。

ドメインの停止（テイクダウン）は、関係事業者などと連携して行われました。朝日新聞は、登録事業者が利用停止の措置をとった記録をICANNの検索で確認できたと報じています。ただし、止まったのは公開サイトの閲覧です。攻撃者が特定・排除されたわけではありません。

過去の脅迫・情報公開型の事件では何が起きた？Vastaamo・Medibank・Optus・KADOKAWA

Vastaamo・Medibank・Optus・KADOKAWAの4事件では、支払いを拒んだ後も情報の公開や個人への脅迫で被害が長引きました。

4つの事件の金額や人数は、いずれも各社の公表値または報道に基づきます。報道によって数字に幅がある場合は、併記しています。

Vastaamo（フィンランド）とMedibank（オーストラリア）：個人への脅迫と小分けの公開

Vastaamoでは攻撃者が患者個人を直接脅すようになり、Medibankではデータが複数回に分けて公開されました。

Vastaamo（2020年10月）：心理療法センターから患者の面談記録が盗まれ、攻撃者は公開しない見返りとしてセンターに40ビットコインを要求しました。金額の表記は、約45万ユーロ、約50万ドルなど報道によって幅があります。センターが支払いを拒むと、攻撃者は患者本人へ直接メールを送り、1人あたり約500ユーロを要求しました。脅迫を受けて警察に届け出た人は約2万2000人と報じられています（2万4000人超とする報道もあります）。検察によれば、支払った人は約20人です。センターは事業を閉じました。実行者は2024年4月の1審で懲役6年3か月の判決を受けました。控訴審では約7年とされ、最高裁もこれを維持したと報じられています。
Medibank（2022年）：攻撃者は最初に1,000万米ドルを要求し、その後、顧客1人あたり1ドル（約970万ドル）に変えました。Medibankは支払いを拒否しました。すると攻撃者は2022年11月9日から、盗んだデータをダークウェブで複数回に分けて公開しました。影響を受けた顧客は約970万人です。報道によると、このうち約48万人分には健康保険の請求データが含まれていました。

Optus（オーストラリア）とKADOKAWA（日本）：削除後の拡散と国内大手の事例

Optusでは攻撃者がデータ削除を主張した後も拡散が続き、KADOKAWAでは犯行声明の後にデータが公開されました。

Optus（2022年9月）：攻撃者はフォーラムにデータの一部を載せ、100万米ドル（約150万豪ドル）を暗号資産で要求しました。約1万人分（1万200件とする報道もあります）を公開したところで要求を取り下げ、「データを削除した」と謝罪しています。Optusは支払っていません。それでも、データのコピーはすでに他者の手に渡っており、拡散は止まりませんでした。
KADOKAWA（2024年6月）：ランサムウェア攻撃を受け、ニコニコ動画などのサービスが止まりました。ロシア系とされるランサムウェア集団BlackSuitが犯行声明を出し、盗んだデータをダークウェブで公開しています。KADOKAWAは、約25万人分の個人情報が漏えいしたと公表しました。

GMO事案と過去の事件の共通点と違いは？

顧客を圧力に使う金銭目的の構図は共通しています。一方、GMO事案は公開の方法・データの質・補償の設計が異なります。

この章の内容は、公開情報をもとにしたFDE総研編集部の分析です。比較の軸は、FDE総研が「企業が支払いを拒んだ後に何が起きるか」を読むために設定しました。

共通点：企業に払わせるために「顧客」を使う

どの事件でも攻撃者は、企業に支払わせるため、顧客の情報や顧客本人を圧力の材料にしています。

GMO・Medibank・Optusはいずれも支払いを拒否し、Vastaamoのセンターも支払っていません。GMOは攻撃者の要求に「永久に応じない」と表明しました。理由は2つあります。支払っても情報の削除や不正利用の防止が保証されないこと、そして犯罪組織に資金を渡すことになることです。

Vastaamoでは、企業が支払いを拒むと、攻撃者は個人を直接脅す手口に切り替えました。このため、GMO事案でも利用者個人を狙った脅迫やなりすましへの備えが必要になると考えます。これは編集部の見通しであり、そうした動きが確認されたわけではありません。

違い：公開の方法、データの質、補償の設計

GMO事案には、毎日公開の予告、閲覧履歴まで含むとされるデータ、公開区分ごとのお見舞金という3つの特徴があります。

比較の軸	GMO（2026）	Vastaamo（2020）	Medibank（2022）	Optus（2022）	KADOKAWA（2024）
公開の方法	「毎日正午」に順次公開すると主張（攻撃者の主張）	個人に直接脅迫し、一部を公開	複数回に分けて公開	一部を公開した後、削除を主張	犯行声明の後に公開
主なデータ	氏名・住所・生年月日・電話番号・閲覧しているWebサイトなど（1人分。報道）	面談記録	健康保険の請求データを含む	約1万人分	約25万人分の個人情報（公表値）
企業の支払い	拒否	支払わず	拒否	支払わず	公式には確認されていない
公開後の対応	ドメインの停止、懸賞金、区分ごとのお見舞金	事業を閉じた	—	—	—

公開の方法：Medibankの複数回公開に近い「ドリップ式」になる可能性があります。攻撃者は、全件を公開するには「数年かかる」と主張しています。
データの質：報道では「普段閲覧しているWebサイト」まで含まれていたとされ、端末側の情報が取られた可能性があります。ただし、取得経路はGMOが調査中で、まだ断定できません。
補償の設計：特別お見舞金は公開区分ごとに支払われます。金額は、基本情報が10,000円、金融・認証に関する情報が15,000円、機微情報が25,000円です。複数の区分にあてはまる場合は合算され、上限は報道によると300万円です。GMOはこれに、上限100万米ドルの懸賞金を組み合わせました。過去の4事件には、こうした対応はあまり見られません。

GMO事案で分かっていることと、まだ分からないことは？

GMO公式に確認されたのは、時系列、持ち出しの事実、補償内容です。原因・流出規模・取得経路はまだ分かっていません。

公式発表・報道で確認できること

GMOの第1〜14報では、時系列、補償の内容、端末解析の途中結果が公表されています。下の表では、GMO公式と報道を分けています。

項目	内容	情報の性質
顧客情報の外部持ち出し	10/24に確認	GMO公式
影響範囲	26,739件	「可能性」の数。流出件数や被害者数ではない
公開された情報	顧客1人分とされる情報	報道。真偽は不明
ランサムウェア攻撃	10/27 13:55時点で確認されていない	GMO公式
預かった端末の解析	マルウェア感染やランサムウェアの痕跡は確認されていない	GMO公式（第14報）
法的措置	刑事告訴を含めて対応する方針	GMO公式

まだ分からないこと

攻撃の原因、実際に流出した件数、端末側の情報の取得経路は、2026年10月28日時点で公表されていません。

攻撃の原因：脆弱性が突かれたのか、設定の不備だったのかなど、GMOは詳細を明らかにしていません。
流出の規模：26,739件は影響が及ぶ可能性のある範囲です。実際に流出した件数は示されていません。
要求額の関係：公式の「約80億円」と、報道の「100万ドル」の関係は説明されていません。
公開内容の真偽：GMOは、事実と異なる内容を含むおそれがあるとしています。
今後の公開：攻撃者の言う「毎日正午」の公開が実行されるか、新しいサイトが立ち上がるかは分かりません。GMOは第13報で、新しいサイトを確認したらすぐにテイクダウンに動くとしています。

現場エンジニア・情シスが押さえるべき論点は？

公開サイトが止まっても事案は終わらないと考え、指摘を実装と定着までつなげる体制を整えることが論点です。

この章は、FDE総研編集部の意見です。

「停止＝収束」ではない前提で備える

Optusの例のとおり、投稿やドメインを止めても、一度コピーされた情報は取り戻せないと考えるべきです。

ドメインの停止は、拡散を抑える手段として意味があります。しかし、ミラーサイトや新しいサイトが出てくれば、いたちごっこになりかねません。GMO自身もこの展開を想定しています。情シスと現場エンジニアにとっての実務上の論点を、根拠となる事例とあわせて整理しました。

論点	具体的な対応	根拠となる事例・発表
利用者への二次被害を想定する	個人を狙った脅迫や、事案に便乗したなりすましの連絡を前提に、社内外向けの注意喚起の文面を準備する	Vastaamoでの患者個人への脅迫
公開サイトにアクセスしない	確認目的でも閲覧しない。社内でもURLを転載・共有しない	GMOによる注意喚起（閲覧者の情報が取られるおそれ）
端末側を確認する	自社の端末管理とログの保管状況を見直す	公開データに端末側の情報が含まれていたとの報道（取得経路は調査中）

立場によって何から確認すればいい？

情シス、開発・運用エンジニア、サービス利用者のどれに当たるかで、最初に確認すべきことは変わります。

上の表の論点を、立場ごとに並べ替えました。どれもGMOの発表と過去の事例から導いた編集部の整理で、個別の環境での正解を示すものではありません。

情シス・セキュリティ担当の場合：まず社内に、公開サイトを閲覧しないこととURLを共有しないことを周知します。そのうえで、なりすましの連絡を想定した注意喚起の文面を準備します。
開発・運用エンジニアの場合：端末管理とログの保管状況を見直します。端末側の情報の取得経路はGMOが調査中なので、調査結果が公表されたら自社の構成と照らし合わせられるようにしておきます。
GMOのサービス利用者の場合：GMOの公式お知らせを一次情報として確認し、端末調査などの依頼にはGMOの案内に沿って対応します。事案に便乗した連絡が来るおそれもあるため、問い合わせ先は公式発表で確かめます。

「指摘」から「実装と定着」までの距離をどう縮めるか

FDE総研は、セキュリティの指摘が実装・定着に至るまでの距離が長いことを、本件の論点の一つとみています。

FDE（Forward Deployed Engineer）は、Palantirが広めた職種です。顧客の現場に入り、課題の発見から実装、定着までを一人で通して担います（詳しくはFDEとは？）。今回の原因はまだ公表されていないため、「FDEがいれば防げた」とは言えません。それでも、セキュリティの指摘が報告書で終わらず、現場の設定や運用に反映されるかどうかは、どの企業も抱える課題です。現場に常駐する技術者は、その橋渡し役の候補になると考えます。

事前対策の考え方は能動的サイバー防御とは？企業の事前対策とFDEの活用方法にまとめています。今後の見通しと具体策は、別の記事で扱う予定です。

姉妹メディアの関連記事

GMO事案での政府への能動的サイバー防御の要請と、制度でできることの範囲は、姉妹メディアのAX総研で解説しています。