GMOインターネットグループが提供するサービスがサイバー攻撃を受け、FX取引などに使われるサーバーから利用者の情報が外部に持ち出された問題で、熊谷正寿代表は2026年10月25日、自身の公式ホームページで謝罪しました。
熊谷代表は、社内のホワイトハッカーから事前にセキュリティー上の課題を指摘されていたことを明らかにしながらも、対応の深さとスピードが十分ではなく、攻撃者に「間隙を突かれてしまった」と説明しています。
GMOは利用者への一律5000円の見舞金に加え、不正取引による損失の補償も表明しています。今回の不正アクセスはどのように発生し、なぜ防げなかったのでしょうか。
GMOの不正アクセス問題とは？何が起きたのか
今回の問題の対象となったのは、GMOインターネット株式会社が提供する「お名前.com デスクトップクラウド」です。
これは、インターネット上のサーバーを利用してWindowsのデスクトップ環境を使えるサービスです。FX取引で利用される自動売買ツールなどを稼働させる用途があり、利用者は自分のパソコンを常時起動していなくても取引ツールを動かせます。
2026年10月20日、GMOは一部のサーバー環境に第三者による不正なプログラムが設置されていることを確認しました。その後の調査で、サービスのシステムにセキュリティー上の問題があり、不正アクセスを受けたことや、利用者の情報が外部に持ち出されたことが判明しています。
さらに、サーバー上で使用していた取引ツールやFX口座のログイン情報などが第三者に取得され、不正に利用された可能性も明らかになりました。利用者からは、身に覚えのない取引が行われたとの報告が寄せられています。
GMOは被害の拡大を防ぐため、10月21日からサーバーを順次停止しました。10月22日には警察に相談し、その後も調査や関係機関との連携を進めています。
なお、今回の問題は、GMOが提供するすべてのサービスや、すべてのFX口座が不正アクセスを受けたという意味ではありません。影響の範囲や個別の被害状況については、引き続き確認が必要です。
ホワイトハッカーが事前に警告していた
今回、大きな注目を集めているのが、社内のホワイトハッカーが事前にセキュリティー上の課題を指摘していたという事実です。
ホワイトハッカーとは、サイバー攻撃の手法などを用いてシステムの弱点を調査し、問題を発見して改善につなげる専門家です。攻撃者と同じような視点でシステムを検証することで、悪用される前に脆弱性を見つける役割を担います。
熊谷代表によると、今回のサービスについても、社内のホワイトハッカーから改善すべき課題が事前に現場へ指摘されていました。現場チームは指摘を受け止め、対策を進めていたものの、サービスの可用性への影響や、ほかの対応事項との優先順位を考慮しながら慎重に進めていたといいます。
可用性とは、システムを利用したいときに正常に使える状態を維持することです。セキュリティー対策のためにシステムを変更したり停止したりすると、サービスが利用できなくなるなどの影響が生じる場合があります。
しかし、熊谷代表は、こうした事情を考慮した結果、対策の深さとスピードが十分ではなく、攻撃者にその隙を突かれたと説明しました。
つまり、今回明らかになった問題は、専門家が弱点を発見できなかったということではありません。課題が指摘されていたにもかかわらず、組織として十分な対策を完了する前に攻撃を受けたことにあります。
ただし、具体的にどのような脆弱性が存在し、どの対策がどの程度遅れていたのかについては、公開された説明だけでは詳細が分かりません。原因の全容を判断するには、今後の調査結果を待つ必要があります。
なぜセキュリティーの専門家がいても防げなかったのか
GMOインターネットグループは、サイバーセキュリティー事業を手がける企業をグループ内に抱えています。それにもかかわらず今回の攻撃を防げなかったことについて、熊谷代表は経営としての反省を示しました。
セキュリティー対策では、専門家が弱点を発見するだけでは十分ではありません。発見した問題の危険性を評価し、必要な予算や人員を確保したうえで、適切な期限内に修正を完了させる必要があります。
また、システムの安全性とサービスの継続性をどう両立させるかという判断も求められます。対策を後回しにすることで事業への影響を避けられる場合がある一方、その間に攻撃者が弱点を悪用する危険性も高まります。
今回の発表からは、専門家の指摘を受けた後、現場で対策を進めていたものの、攻撃を防げる段階まで十分に対応できていなかったことがうかがえます。
今後は、技術的な対策だけでなく、重大なセキュリティー上の問題が見つかった際に、誰がどのように対応の優先順位を決め、経営判断につなげるのかという組織的な仕組みも重要になります。
GMOが政府に「能動的サイバー防御」を緊急要請
GMOインターネットグループは2026年10月24日、今回の不正アクセスについて、政府に「能動的サイバー防御」の適用を緊急要請したと発表しました。民間企業だけで攻撃者への対処を続けることには限界があるとして、国が主導して攻撃者のインフラを追跡し、被害の拡大を防ぐための実効的な措置を求めています。
能動的サイバー防御とは、サイバー攻撃を受けてから復旧するだけでなく、攻撃に使われるサーバーや通信経路などを把握し、攻撃を未然に防いだり、被害の拡大を防いだりするために国が対処する仕組みです。2026年10月1日には関連法の運用が始まり、一定の要件のもとで、警察や自衛隊などが攻撃に使われるサーバーに対してアクセスし、悪意あるプログラムを停止・削除するなどの無害化措置を実施できるようになりました。
今回、GMOが政府に要請した背景には、攻撃が自社のサービスだけにとどまらず、利用者が接続している金融取引の環境にまで影響を及ぼしたことがあります。熊谷代表は10月25日の公式ブログで、攻撃対象となり得るサーバーが2万6739件に上り、国内外70社以上の証券会社やFX事業者などに開設された取引口座への不正操作が続いていると説明しました。これらは同社代表が公表した数字であり、被害の全容については今後の調査が必要です。
さらに、GMOは攻撃者とみられる人物から金銭を要求され、応じなければ利用者の情報などを公開するといった脅迫を受けていることも明らかにしています。同社は要求に応じない方針を示し、警察などと連携して対応するとしています。
一方、能動的サイバー防御は、被害に遭った企業が要請すれば自動的に発動される制度ではありません。法律上の要件や攻撃の重大性などを踏まえ、政府が実施の必要性を判断することになります。また、攻撃者の特定や無害化措置が実施されたとしても、すでに流出した情報や発生した金融被害が自動的に回復するわけではありません。
熊谷代表は公式ブログで、GMOが法律上の「特定社会基盤事業者」に該当しないことや、能動的サイバー防御は政府が主体的に判断するものだという指摘を認識したうえで、国民の資産やデータへの影響を考慮して適用を検討してほしいと訴えました。自社の責任を政府に転嫁するのではなく、民間だけでは対処が難しい国境を越えたサイバー犯罪に対して、官民が連携して対応する必要があるという考えです。
今回の要請が実際に認められるかどうかは、政府の判断を待つ必要があります。社内の専門家が事前に課題を指摘していたにもかかわらず攻撃を防げなかったという企業側の問題と、攻撃者を追跡・無力化するために国がどこまで対応できるのかという問題は、分けて考える必要があります。
利用者への5000円の見舞金と不正取引の補償
GMOは10月24日、今回の問題に関する対応として、対象となる利用者への見舞金や不正取引による損失の補償を発表しました。
見舞金は、現在サービスを利用しているすべての利用者を対象に、金銭的な被害の有無にかかわらず一律5000円を支払うというものです。これは不正取引による損失の補償とは別に支払われます。
また、今回の不正アクセスに起因する不正取引について、GMOが調査の結果、対象と認めた取引による実現損失を補償するとしています。取引による差損や手数料などが対象で、市場変動による損失や、得られたはずの利益などは対象に含まれません。
取引所などが返金に応じない場合も、GMOが対象となる損失を補償する方針です。ただし、対象となるかどうかは取引記録やアクセス記録などをもとに確認され、利用者に資料の提出を求める場合があります。
さらに、現行のシステム基盤はそのまま再開せず、セキュリティー構造を抜本的に刷新する方針を示しています。引き続きWindowsのデスクトップ環境を利用したい契約者には、独立したクラウド基盤上の代替サービスを6か月間無償で提供するとしています。
熊谷代表は公式ホームページで、5000円の見舞金は不安や不便をかけたことに対する初動の対応であり、それだけで問題を終わらせる考えではないと説明しました。
利用者が確認しておきたいセキュリティー対策
今回の被害に関連するサービスを利用している場合、GMOはパスワードの変更や取引履歴の確認などを呼びかけています。
特に重要なのは、取引口座や取引ツールのパスワードを、影響を受けたサーバーとは別のパソコンやスマートフォンから変更することです。また、パスワードを変更しただけでは既存のログイン状態が維持される場合があるため、すべての接続セッションを切断することも求めています。
そのほか、取引履歴や口座残高を確認し、身に覚えのない取引があれば利用している証券会社やFX会社に連絡すること、二要素認証が利用できる場合は設定することも重要です。同じパスワードをほかのサービスで使っている場合は、そちらも変更する必要があります。
GMOは利用者のパソコンやスマートフォンについても、ウイルス対策ソフトによるフルスキャンとデータのバックアップを呼びかけています。
今回の事案では、サービスのサーバー側が攻撃を受けたことで、利用者の取引口座にまで影響が及ぶ可能性が生じました。自分のパソコンが直接攻撃されていなくても、利用している外部サービスの問題によって被害を受ける場合があることを示しています。
まとめ
今回のGMO不正アクセス問題では、社内のホワイトハッカーが事前にセキュリティー上の課題を指摘していたにもかかわらず、十分な対策が完了する前に攻撃を受けたことが明らかになりました。
GMOは一律5000円の見舞金や不正取引による損失の補償、システム基盤の刷新を進める方針です。一方で、具体的な脆弱性や攻撃の全容、対策が遅れた詳しい経緯については、今後の調査によって明らかになる部分も残されています。
セキュリティー対策では、弱点を発見する技術だけでなく、危険性を適切に評価し、必要な対策を速やかに実施する組織的な対応が欠かせません。今回の問題は、専門家を抱える企業であっても、指摘された課題を実際の防御につなげられなければ、重大な被害につながり得ることを示しています。
