不正アクセス被害のGMO「能動的サイバー防御」を要請も、現行法制度では限界か

不正アクセスのGMOが政府に「能動的サイバー防御」を要請

　GMOインターネットが提供する外国為替証拠金取引の自動売買向け仮想専用サーバーサービスが大規模な不正アクセスを受けた。同社は2026年10月20日にシステム基盤上への不正なプログラムの設置を確認し被害拡大を防ぐため翌21日未明に全サーバーを順次停止した。

　この不正アクセスによりシステム内に保管されていた利用者の認証情報が外部に持ち出された。国内外の70を超える証券会社などに開設された利用者の取引口座において意図しない不正な取引が行われ口座残高が減少するなどの金融被害が相次いで発生している。このサービスは2万人以上の投資家に利用されていた。

　 攻撃者とみられる主体からは金銭の支払いを要求する脅迫が行われている。要求に応じない場合は証券口座への不正操作の継続や利用者情報の公開さらには身代金要求型ウイルスによる攻撃を実行すると予告されている。同社は要求に応じても情報の削除や悪用防止は保証されないとして支払いを拒否し警察機関へ証拠を提出して捜査協力を進めている。

　 被害の救済措置として同社は不正取引によって生じた差損や手数料などの損失を補償する方針を決定した。金銭被害の有無にかかわらず全利用者に一律5000円の見舞金を支払うとともに刷新した代替のクラウド環境を半年間無償で提供する。 同社は本件への対応の一環として2026年10月1日に施行されたばかりのサイバー対処能力強化法に基づく能動的サイバー防御の適用を政府関係機関に緊急要請した。

　民間企業のシステム障害にとどまらず一般国民の金融資産を標的とした略奪であると位置づけ民間単独での防御は困難だとして国家による攻撃基盤の追跡や無力化を求めている。 一方この要請に対して政府関係者からは個別企業の要請に応じて発動を決める制度ではないとの見解が示されている。

　能動的サイバー防御は未然防止を目的としておりすでに被害が発生した事後段階での適用には法解釈上の課題があることや要請事実を公表したことで攻撃者側が警戒し無害化措置の有効性が失われたとの指摘も上がっている。