2026年10月27日、攻撃者が予告していた正午を過ぎた12時30分。GMOは、攻撃者とみられる者が、同社や顧客に関する情報だとするものをネット上に公開したことを確認しました。
狙われたのは、FXの自動売買などに使われる「お名前.com デスクトップクラウド」というサービスです。ニュースで見た方も多いと思います。
この記事では、事件の詳細よりも、私がいちばん身につまされた「一文」について書きます。セキュリティの専門部隊を抱える大手でも起きたことで、そして、規模の小さな会社や店舗ほど起きやすいことだと思うからです。
何が起きたのか（10月29日 12時40分時点・第15報まで）
GMOの公式発表をもとに、流れだけを短くまとめます。
- 10月19日 利用者からの問い合わせを受けて、調査を開始。
- 10月20日 一部の利用者のサーバーに、不正なプログラムが置かれていたことを確認。
- 10月21日 全プランのサーバーを順次停止。
- 10月24日 利用者の情報が外部に持ち出されたことを確認したと発表。全利用者への一律5,000円の見舞金と、不正な取引による損失の補償もあわせて発表。
- 10月27日 12時30分、攻撃者とみられる者による情報の公開を確認（予告されていたランサムウェア攻撃は、同日13時55分時点で確認されていないとのこと）。同日夜には、情報を公開された人への特別見舞金（公開された情報の区分ごとに1万〜2万5,000円、1公開につき上限300万円）と、犯人の特定や事件の解明につながる情報への懸賞金（制度全体で総額100万ドルが上限）を発表。
- 10月28日 午前4時頃、情報が掲載されていたサイトのドメインが停止されたことを確認したと発表。正午に懸賞金の受付を開始し、6時間で113件の情報が寄せられたと発表。預かった利用者の端末からは、マルウェアの感染やランサムウェア攻撃の痕跡は見つかっていないとのこと。
- 10月29日 グループのホワイトハッカーチームが独自に調査を進め、犯人の特定につながると考えられる情報を入手したと発表。同日、警察と関係各所に提出するとしています。懸賞金への情報提供は、同日11時30分時点で270件。
GMOは攻撃者の要求には応じない方針を示しています。情報が掲載されていたサイトや、今後立ち上がるかもしれない同様のサイトには、アクセスも転載・拡散もしないよう強く呼びかけています。
ただ、報道によれば攻撃者は「毎日正午に順次公開する」と主張しており、サイトが止まって終わり、とは言えません。事態はいまも動いています。最新の状況は、GMOの公式発表で確認してください。
身につまされた一文
10月25日、GMOの熊谷正寿代表は自身のブログで謝罪し、こう書いています。
「社内のホワイトハッカーから改善すべき課題が事前に現場へ指摘されておりました」
ブログはこのあと、現場もその指摘を受け止めて対策を進めていた、と続きます。そのうえで、こうです。
「サービスの可用性への影響や他の対処事項との優先順位を考慮しながら慎重に対応を進めた結果としてその対応の深度とスピードが十分ではなく、攻撃者にその間隙を突かれてしまいました」
GMOグループは、熊谷代表自身が「国内最大規模のホワイトハッカー集団」と書く、200名規模のセキュリティ人材を抱えています。そこでさえ、弱点は分かっていた。指摘もされていた。対策も進めていた。それでも、サービスへの影響やほかの対応との兼ね合いの中で、手当てが間に合わなかった。
ここを読んで、他人事とは思えませんでした。
小さな会社ほど、「言われたまま」が溜まっていく
規模の小さな会社や店舗で、似た場面を思い浮かべてみてください。
- ホームページの制作会社から「サーバーのPHPが古いので、更新したほうがいいです」と言われたまま、半年たっている。
- 「WordPressとプラグインの更新、溜まってますよ」と言われたが、更新したら表示が崩れそうで怖くて触っていない。
- 退職した人のアカウントが、予約システムやSNSの管理画面に残ったままになっている。
- 「なりすましメール対策の設定をしておいたほうがいい」と聞いたが、何をどこで設定するのか分からず、そのままになっている。
どれも、止める理由はちゃんとあります。「営業中に止めたくない」「ほかに急ぎがある」「詳しい人がいない」。熊谷代表が書いた「可用性への影響」「他の対処事項との優先順位」と、中身はよく似ています。
違うのは、GMOにはそれを見つけて指摘する専門部隊がいて、小さな会社にはたいていいない、ということです。指摘されたまま止まっているものはまだいいほうで、そもそも指摘してくれる人がいない。
今日できる、3つの棚卸し
お金をかけずに、今日できることがあります。
1. 「言われたまま」を書き出す 制作会社・サーバー会社・システムの業者から、この1年で「やったほうがいい」と言われたこと。届いたメールの「重要なお知らせ」や「脆弱性に関するお知らせ」も含めて、紙に書き出してみてください。書き出すだけで、何が止まっているかが見えます。
2. 止まっている理由を、1行ずつ添える 「止めたくない」「やり方が分からない」「費用が分からない」。理由が分かれば、次に誰に何を聞けばいいかが決まります。理由が書けないものは、たぶん忘れているだけです。
3. いちばん外から見えるものから片づける 攻撃者が最初に見るのは、外から見える部分です。古いソフトのバージョンが外から読めていないか。管理画面のログインページが誰でも開ける場所にないか。通信の暗号化（https）の証明書が切れていないか。中のことより先に、玄関と窓から。
まず、できることから
情報漏洩のニュースは、もう珍しいものではなくなりました。そこに今回、セキュリティを仕事にしているGMOが被害にあいました。専門部隊を抱える大手でも間に合わないことがあるなら、小さな会社や店舗が「誰かが守ってくれる」のを待つわけにはいきません。自分の身は、自分で守るしかない。
完璧を目指す必要はありません。上の3つの棚卸しのうち、できるところからで十分です。
ただ、3つ目の「外から見えるもの」は、何をどう見ればいいのか分からない、という方も多いと思います。そこは私が代わりに確かめます。hebiworkの外部点検（9,800円・税込）は、ログインも攻撃もせず、外から見える範囲だけを点検して、危ないところと直し方をA4 1枚にまとめてお返しします。外から見る点検なので、中の守りまでは見られません。それでも、攻撃者が最初に見る玄関と窓は確かめられます。
「指摘してくれる人がいない」の、最初の1回分の代わりです。受け取って終わりにせず、棚卸しのリストのいちばん上に載せてもらえたら、それがいちばん嬉しいです。
出典
- GMOインターネットグループ株式会社／GMOインターネット株式会社「お名前.com デスクトップクラウド」への不正アクセスに関する各報（第1報〜第15報） https://group.gmo/info/alert/ （第1報は https://www.onamae.com/news/article/11584 ）
- 熊谷正寿「今こそ官民連携で日本を守ろう ――『能動的サイバー防御』を具申した理由」（2026年10月25日） https://www.kumagai.com/?eid=19600