GMO事件“情報漏えい”だけでは済まない…FX不正取引も起きた攻撃の「本当の深刻さ」(2/2)

金銭要求、顧客情報の公開、ランサムウェア攻撃を予告

　さらに、攻撃者は、GMOに対して金銭を要求し、顧客情報の公開やランサムウェア攻撃を予告した。

　GMOの発表によれば、攻撃者から約80億円の金銭を要求する脅迫があった。要求に応じなければ、10月27日正午に顧客の情報を公開し、ランサムウェア攻撃を行うと予告された。

　GMOは、攻撃者の要求に応じない方針を明らかにした。

　そして10月27日12時30分、GMOは攻撃者とみられる者が顧客情報などと称するものを公開したことを確認した。ただし、その内容には事実と異なる情報が含まれている可能性もあり、公開された情報の真正性や被害範囲については調査が続いている。

　一方、同日13時55分時点では、予告されていたランサムウェア攻撃は確認されていないと発表された。

　GMOは情報が公開された顧客に最大300万円の特別見舞金を支払うとともに、犯人特定につながる情報に総額最大100万ドルの懸賞金を設けた。

　28日には、流出情報を掲載した犯人サイトのドメインが停止されたと発表した。

GMOは「能動的サイバー防御」の適用を緊急要請

　GMOインターネットグループは、企業単独では阻止するのが難しい攻撃について、国家の権限と能力を活用する必要があると考え、10月24日、政府に対して「能動的サイバー防御」の適用を緊急要請した。

　従来のサイバー防御は、主として自社のコンピューターを守り、不正アクセスを遮断する対策を中心としていた。これに対して、能動的サイバー防御には、法定の要件を満たす場合に、政府が攻撃に利用されているサーバなどへアクセスし、攻撃に使われる不正プログラムを停止・削除するなどの方法によって被害を防止する仕組みが含まれている。

　具体的には、攻撃に使われているサーバを調査・特定し、法律に定められた要件と手続きの下で、警察などがアクセスして攻撃能力を無力化する措置が想定されている。

　2026年10月1日にサイバー対処能力強化法などの関連規定が施行され、こうした措置を実施するための法的枠組みが整えられた。

　この制度は、従来のサイバー防御の考え方を大きく変えるものだ。ただし、攻撃者のサーバが国外に置かれている場合や、複数の国のコンピューターを経由して攻撃が行われる場合には、技術的にも法的にも難しい問題がある。

　これは民間企業が攻撃者に対して自由に反撃できる制度ではない。一定の法的要件を満たした場合に、警察や自衛隊が必要な手続きに従って実施するものだ。

　政府は10月26日、GMOの要請について、実際に措置を講じるかどうかは、被害企業からの要請の有無だけでは決まらず、警察や自衛隊が法律の要件に照らして判断するとの見解を示した。

　今回の事件に対して、能動的サイバー防御が実際に適用されるのかどうかは、本稿執筆時点では明らかになっていない。

インターネット社会の構造的な弱点が明らかに