GMO脅迫事件を過去事例と比較｜情報公開型の4つの型と今後の展開

本記事は、2026年10月28日18:20時点のGMOインターネットグループ公式発表（第1〜14報）と、日本経済新聞・朝日新聞・毎日新聞などの報道をもとにしています。事案はまだ続いており、数字や状況は今後変わる可能性があります。攻撃者が公開した情報については、GMOの要請に従い、URLや内容の引用、人物を特定できる記述を載せていません。

GMO脅迫事件は2026年10月28日時点でどうなっている？

顧客1人分とされる情報が公開されました。10月28日には公開サイトのドメインが停止されましたが、事案はまだ続いています。

GMOインターネットグループの「お名前.com デスクトップクラウド」で不正アクセスが見つかったのは10月19日です。そこから約10日で、脅迫、情報の公開、公開サイトのドメイン停止、懸賞金の創設まで進みました。月内のほかのインシデントとあわせて見たい方は、2026年10月の不正アクセス事件一覧もご覧ください。事例を読む前に、AXの全体像をAXとは？DXとの違いと5層の構成要素で確認できます。

発生から情報公開まで、何が起きた？

利用者からの問い合わせで調査が始まりました。その2日後にはサービスが停止され、脅迫メールも届いています。主な経緯はGMO公式発表の時系列で次のとおりです。

10月24日の第4報によると、脅迫は3つの内容からなっていました。1つ目は、国内外70社を超える証券会社・FX会社などにある利用者の取引口座を、引き続き不正に操作すること。2つ目は、サービスと利用者のPCに関する情報を公開し、ランサムウェア攻撃を行うこと。3つ目は、GMOのシステムや運用体制に関する情報を公開することです。

一方、ランサムウェア攻撃は10月27日13:55時点で確認されていません。また第14報によれば、預かった端末の解析でも、マルウェア感染やランサムウェア攻撃の痕跡は見つかっていません。

数字はどう読むべき？

26,739件は「影響が及ぶ可能性がある範囲」です。流出した件数でも、被害者の数でもありません。要求額は、公式と報道で別の数字が出ています。

GMOが公式に記載した「約80億円」と、報道にある「100万ドル」の関係は、公式発表でも報道でも説明されていません。どちらが最終的な要求なのかは、現時点ではわかりません。

公開されたのは顧客1人分とされる情報です。日本経済新聞によると、氏名、生年月日、住所、電話番号、普段閲覧しているWebサイトなどが含まれていたといいます。ただし真偽はわかっていません。GMOも「事実と異なる内容を含むおそれがある」としています。さらに、公開サイトにアクセスすると閲覧者の情報が攻撃者に取られるおそれがあるため、アクセスしないよう呼びかけています。

ドメイン停止と懸賞金は何を意味する？

ドメイン停止で公開サイトは見られなくなりました。ただし、攻撃者が特定されたわけでも、排除されたわけでもありません。GMOは懸賞金を設け、犯人を追う段階に入っています。

第13報によると、GMOは関係事業者などと連携し、ミラーサイトを含む公開サイトのドメインを停止させました。朝日新聞は、登録事業者が利用停止の措置をとった記録をICANNの検索で確認できたと報じています。一方、ブログなどでは「サイトが見られなくなっただけで、攻撃者の特定や排除を意味するわけではない」との指摘も出ています。GMOも、新しいサイトが開設されれば、確認しだい直ちにテイクダウンに向けて対応するとしています。

第14報で創設された懸賞金は、総額の上限が100万米ドルです（1ドル＝150円で換算した参考額は約1億5,000万円）。受付は10月28日12:00に始まり、18:00時点の6時間で113件の情報が寄せられました。懸賞金は犯人の逮捕・国際指名手配まで続けるとしています。あわせて、X上の関連投稿に累計20件の警告連絡を行ったこと、刑事告訴を含む法的措置をとる方針であることも示しました。

GMOは、攻撃者の要求には「永久に応じない」としています。理由として、支払っても情報の削除や不正利用の防止が保証されないこと、犯罪組織に資金を渡すことになることを挙げています。

過去の脅迫・情報公開型事件はどんな経過を辿った？

4つの事件では、いずれも公開や拡散が長く続いたり、標的が広がったりしました。要求を拒否しても、それで終わりにはなっていません。

ここでは、フィンランド、オーストラリア、日本で起きた4つの事件を、各報道で報じられた事実に絞って振り返ります。数字は報道によって幅があるため、幅があるものはそのまま載せています。

Vastaamo（フィンランド・2020年）はどう展開した？

センターが支払いを拒否すると、攻撃者は患者一人ひとりに直接脅迫を始めました。その後センターは事業を閉じています。

2020年10月、攻撃者は心理療法センターVastaamoから盗んだ患者の面談記録を「公開しない代わりに」と、40ビットコインを要求しました（報道では約45万ユーロ、約50万ドルと表記に幅があります）。センターが拒否すると、攻撃者は患者本人にメールを送り、1人あたり約500ユーロを要求しました。報道によると、自分への脅迫を警察に届け出た人は約2万2,000人です（2万4,000人超とする報道もあります）。検察は、約20人が支払ったと説明しています。

面談記録の一部はネット上に公開されました。センターは財務上の義務を果たせなくなり、事業を閉じています。元CEOも、顧客データを守らなかったとして、執行猶予つきの有罪判決（3か月）を受けました。実行犯として起訴された当時26歳のフィンランド人は、2024年4月に1審で懲役6年3か月の判決を受けました。控訴審では約7年とされ、最高裁もこれを維持したと報じられています。

Medibank（オーストラリア・2022年）はどう展開した？

Medibankは支払いを拒否しました。すると攻撃者は、盗んだデータを複数回に分けて公開し、圧力をかけ続けました。

攻撃者が最初に要求したのは1,000万米ドルです。その後、要求は「顧客1人あたり1ドル」（約970万ドル）に変わりました。Medibankが拒否すると、2022年11月9日から、盗んだ顧客データがダークウェブに何回にも分けて公開されました。「good list」「naughty list」と名づけたファイルもあったと報じられています。影響を受けた顧客は約970万人で、うち約48万人分の健康保険の請求データ（診断や治療の内容を含む）が盗まれたとされています。

Optus（オーストラリア・2022年9月）はどう展開した？

攻撃者は謝罪して「データを削除した」と主張しました。しかし、すでに他の人がコピーを入手しており、拡散は止まりませんでした。

攻撃者はフォーラムにデータの一部を載せ、100万米ドル（約150万豪ドル）を暗号資産で要求しました。約1万人分（1万200件とする報道もあります）を公開したあと、「要求を取り下げる」「データを削除した」と謝罪しています。Optusは支払っていません。しかし、削除の前にコピーを入手した人がおり、情報はその後も広がり続けました。

KADOKAWA（日本・2024年6月）はどう展開した？

国内の大手企業でも、犯行声明のあとにダークウェブでデータが公開されました。公表された漏えいは約25万人分です。

2024年6月、KADOKAWAはランサムウェア攻撃を受け、ニコニコ動画などのサービスが止まりました。ロシア系とされるランサムウェア集団BlackSuitが犯行声明を出し、盗んだデータをダークウェブ上に公開しています。KADOKAWAは、約25万人分の個人情報が漏えいしたと公表しました。

GMO事案と過去事例を「脅迫の型」で比べると何が違う？

GMO事案には「企業への身代金要求」と「小分け公開」の2つの型がはっきり表れています。個人への直接脅迫は、まだ確認されていません。

この節の分類や評価は、公開された事実をもとにした編集部の分析です。

4つの型に分けると、どの事件がどれに当たる？

脅迫の型は4つに分けられます。企業への身代金要求、被害者への直接脅迫、小分け公開、公開後の撤回・削除です。1つの事件に複数の型が重なることもあります。

KADOKAWAの事例は、犯行声明のあとにデータが公開された国内の例として参考にしています。

企業の対応と補償は、過去事例とどう違う？

GMO、Medibank、Optusは、いずれも支払いを拒否しています。そのうえでGMOは、公開された情報の種類ごとの見舞金と懸賞金という、過去事例ではあまり見られない対応をとりました。

第12報の「GMO特別お見舞金」は、情報が公開されたと確認できた顧客に、公開された情報の区分ごとに支払うものです。

複数の区分にまたがる場合は合計額が支払われ、上限は300万円と報じられています。第4報で発表した一律5,000円の見舞金や損失補償とは別のものです。

データの機微性にも違いがあります。Vastaamoは面談記録、Medibankは診療を含む健康情報で、もともと機微性の高いデータでした。GMO事案で公開された1人分には、「閲覧しているWebサイト」まで含まれていたと報じられています。これは、利用者の端末側の情報が取られた可能性を示すものとの見方もできます。ただし取得経路はGMOが調査中で、現時点では断定できません。

過去事例から見て、GMO事案で今後起こりうる展開は？

過去の事例から見ると、公開が長く続くこと、個人を狙った接触やなりすまし、サイトの再開設による「いたちごっこ」の3つが考えられます。

以下は過去事例をもとにした見通しで、確定した事実ではありません。

公開が長期化する可能性は？

攻撃者は「毎日正午」に順次公開し、全件の公開には「数年かかる」と主張していると報じられています。Medibankと同じく、長期化する可能性があります。

Medibankでは、公開が1回では終わりませんでした。公開そのものが、要求に応じない企業への圧力として使われました。GMO事案でも同じ手口がとられれば、1日ごとの公開が報道や不安を絶えず生み出すことになります。また、公開情報を関係者の知人にも広める意向を示したとも報じられており、拡散の範囲が広がるおそれもあります。

顧客個人への直接接触やなりすましは起きる？

確認はされていません。ただ、Vastaamoでは企業が拒否したあと、攻撃者の矛先が個人に向きました。同じような動きに備える必要があるとみられます。

心配されるのは、攻撃者本人による脅迫だけではありません。事件に便乗して、GMOや補償窓口を名乗る詐欺メール・SMSが出回ることも考えられます。見舞金や懸賞金という「お金の話」が公表されているだけに、便乗の口実にされやすいとの指摘もあります。連絡を受けた個人は、GMOの公式お知らせと照らし合わせて確認するのが基本です。

ドメイン停止で拡散は止まる？

止まるとは言い切れません。Optusのように、削除の前に取られたコピーは消えません。GMOも、新しいサイトが開設されればテイクダウンに対応するとしています。

ドメインの停止（テイクダウン）は、攻撃者が公開に使う場所を減らす手段です。攻撃者本人を特定したり、排除したりするものではありません。新しいドメインやミラーが立ち上がれば対応が繰り返されることになり、そのたびに懸賞金や法的措置といった「攻撃者を追う」手段の重みが増すとみられます。

AXを進める企業はこの事件から何を読み取るべき？

ここで考えたいのは「認証情報が集まる場所が標的になる」という一般的な教訓です。今回の事件の原因がAIや自動化にあるという意味ではありません。

攻撃の原因（脆弱性や設定の不備など）について、GMOは詳細を公表していません。以下は事件の事実から離れた、AX推進の立場から見た一般論としての意見です。

AI基盤や自動化ツールに認証情報が集まると、何が起きる？

AXを進めると、顧客データやAPIキー、外部サービスの認証情報が、AI基盤や自動化ツールに集まります。そこを狙われたときの被害は大きくなります。

「お名前.com デスクトップクラウド」はFXの自動売買用のVPSで、サーバー上に取引口座の認証情報が置かれていました。生成AIを使った業務自動化やAIエージェントも、SaaSや社内システムを横断して動かすために、多くの認証情報を一か所に持ちがちです。この「集まった場所」を棚卸しし、権限を最小限にすること、認証情報を定期的に入れ替えること、アクセスを監視することを、AX推進の段階で組み込んでおくことが現実的だと考えます。

「払わない」と決めるなら、事前に何を決めておくべき？

支払いを拒否すると、公開が長引いたり、顧客個人が狙われたりするおそれがあります。顧客への連絡方法、補償、法的対応の方針を先に決めておくことが大切です。

GMOの対応からは、次の3点が読み取れます。①要求に応じない方針と、その理由をはっきり示すこと。②公開された情報の区分に応じて補償を設計すること。③関係事業者と連携したテイクダウンや、懸賞金・法的措置で攻撃者を追うこと。

能動的サイバー防御の要請と、それが制度上どういう位置づけにあるかは、GMOの能動的サイバー防御要請の解説で詳しく整理しています。AX推進の担当者は、自社で生成AIや自動化を広げる計画と並べて、「どこに認証情報が集まり、そこが破られたら誰に何を伝えるか」を一度書き出しておくとよいでしょう。

姉妹メディアの関連記事