GMO不正アクセス、サーバを止めてもパスワードを変えても…被害が続く“ある抜け穴”

GMOで何が起きた？ 公表された事実と“未検証”の主張

　本稿では、今回の事案から、技術的に気になった点と、経営として考えなくてはならないことを書く。なお、本稿は2026年10月29日午後時点の公表情報に基づき、GMOが公表した事実、攻撃者側の主張、筆者の考えを、できるだけ分けて整理する。

　GMOインターネット（以下、GMO）の公表によれば、10月20日に不正プログラムを確認して新規申し込みとコントロールパネル（管理画面）を止め、21日に全プランのサーバを停止した。24日には顧客情報の流出を確認したと発表している。

　一方、回収した端末の解析では、28日18時20分時点でマルウェア感染やランサムウェア攻撃の痕跡は確認されていない（注1・2）。


　攻撃者側は、共通の管理者アカウントやドライブ共有の初期設定、脆弱性の悪用などを主張しているが、未検証だ。侵入経路は確認されていない。

　数字の読み方にも注意したい。影響の可能性があるとされた「2万6739」という数字は「サーバの数」であり、被害者や被害口座の数ではない。また、攻撃者の金銭要求と、GMOが情報提供者向けに設けた懸賞金は別のものだ。

（図表1枚目：GMO不正アクセスはどう進んだ？ 事案の経過（左：GMOなどの公表、右：攻撃者の主張・報道で未検証）） 日付 GMO・各社・当局の公表 攻撃者の主張・報道（未検証））

日付	GMO・各社・当局の公表	攻撃者の主張・報道（未検証）
10/19～20	問い合わせを受け調査を開始（19日）。不正プログラムの設置を確認し、新規申し込みと管理画面を停止（20日）	―
10/21	午前4時から全プランのサーバを順次停止（第1報）	約80億円の金銭要求のメールを受信した、とGMO側が後に説明
10/22～23	不正操作の報告、警察へ相談、パスワード変更とログオフを呼びかけ（22日・第2報）。端末の確認と全セッションの切断を依頼（23日・第3報）。金融庁は22日付で、金融先物取引業協会を通じてFX事業者に緊急通知（FinTech Journalによる）	―
10/24	顧客情報の外部持ち出しを確認（種類・件数は未記載）。見舞金5000円、損失補償、代替サービスを案内（第4報）。端末のフルスキャンを依頼（第5報）	金銭を要求し、応じなければ70社超の証券会社・FX会社などの口座への不正操作を続けると通告（GMO側が公表）
10/25～26	端末調査への協力を依頼（25日）、再掲（26日・第6報）。端末の解析を開始（26日・第7報）。GMOインターネットグループの熊谷正寿代表がブログで約80億円の要求の拒否と、社内の事前指摘を説明	27日12時に顧客情報の公開とランサムウェア攻撃を行うと予告（第7報で公表）。専門家（セキュリティ会社のS&J）の分析として、27日正午までの100万ドル（約1億5,000万円）の支払い要求も報じられた。GMOはこの金額を公表しておらず、約80億円との関係は不明
10/27	解析済みの端末にマルウェアは未確認（第9報）。12時30分に情報の公開を確認（第10報）。夜、特別お見舞金を発表（第12報）。警視庁の捜査が報じられる	12時ごろ、GMOと顧客に関する情報と称するものを公開。声明では、100万ドルの要求に応じないため公開したと主張。支払えば活動を停止するとも記載（共同通信、テレビ報道による）。ランサムウェア攻撃は13時55分時点で未確認
10/28	4時ごろに攻撃者側サイトのドメイン停止を確認（第13報）。12時に総額100万ドルを上限とする懸賞金の窓口を開設。18時時点で113件の情報提供（第14報）	―
10/29（14時時点）	犯人の特定につながると考えられる有力情報の入手と、同日中の警察などへの提出方針を公表。刑事告訴を含む法的対応をとる方針（第15報）。日本経済新聞は14時、提出したと報道。情報提供は11時30分時点で270件	―

　27日には、「当社およびお客様に関する情報と称するもの」が公開されたと、GMOが確認した。GMOは、顧客に関係すると思われる情報が公開されたとしつつ、事実と異なる内容が含まれるおそれもあると説明している。

　29日には、GMOが犯人の特定につながると考えられる有力情報の入手を公表した。ただし、公表されている範囲では、その情報の中身は明らかになっていない（注3）。


　政府は26日、関係閣僚会議を開くと発表するなど、対応を進めている（注4）。総務省が27日付で通信分野の業界団体に、攻撃者側サイトへの接続遮断を要請したとも報じられている（注5）。


　捜査やサイトの停止が進んでも、すでに持ち出された情報による二次被害への備えは残る。では、なぜサーバを止めても被害は止まらないのか。そこには、多くの企業が見落としがちな“抜け穴”がある。 【次ページ】パスワードを変えても…被害が続く“ある抜け穴”