GMOの能動的サイバー防御要請とは？制度でできること・できないことを解説

本記事は2026年10月26日時点の報道・公表に基づいています。事案は現在も進んでおり、数字や状況は今後変わる可能性があります。本文の事実は、GMOインターネットグループの公式お知らせ（第4報・第5報、2026年10月24日）と、熊谷正寿代表のブログ（2026年10月25日）、および Impress Watch（10月24日）、ASCII、ITmedia NEWS、ビジネス+IT、Yahoo!ニュース（Masumi氏の解説）、時事通信、日本経済新聞の報道によります。推測や評価は、事実と分けて書いています。なお、この記事は報道・公表資料と一般的な実務知識に基づく解説であり、当メディアや運営会社が事案に対応した経験に基づくものではありません。

GMOインターネットグループは2026年10月24日、「お名前.com デスクトップクラウド」で起きた不正アクセス事案について、政府に「能動的サイバー防御」の適用を緊急に要請しました。同制度では、2026年10月1日から無害化措置を実行できるようになったばかりです。本記事では、GMOが何を求めたのかを、制度の仕組み（対象・発動の原則・無害化の中身）と並べて整理します。そのうえで、制度にできること・できないことを確認し、経営層と企業のセキュリティ責任者が今から取れる備えを示します。

GMOが政府に要請した「能動的サイバー防御」とは？

GMOは本件を能動的サイバー防御の「発動第1号事案」と位置づけ、攻撃基盤を国主導で追跡・遮断・無力化するよう求めました。

通常、企業が不正アクセスを受けたときは、自社システムの封じ込めと復旧、警察への相談・被害届が中心になります。今回の要請は、そこから踏み込んでいます。国の権限で攻撃者側のインフラに手を入れてほしい、という内容です。民間企業がこうした要請をしたことを「異例の要請」と報じる媒体もあります。

要請の中身は「国主導での攻撃基盤の無力化」

要請の中心は、民間では手が届かない攻撃者側の基盤を、国の権限で追跡・遮断・無力化してほしいという点です。

報道とGMOの主張から、要請の要素は次のように整理できます。

民間企業が自力で攻撃元のサーバーに介入することは、法的にも実務的にも難しいのが実情です。自社の防御をどれだけ固めても、攻撃基盤が残っていれば、盗まれた認証情報を使った不正は続くおそれがあります。要請の理由として、GMOもこの限界を挙げています。

GMOが挙げた要請の理由

GMOは、一般国民の金融資産を狙った前例のない手口であり、民間単独の防御や事後対応では根絶できないと主張しています。

GMOによれば、今回の攻撃は「民間サービスのシステム障害や暗号化・情報窃取」では終わっていません。一般の国民の取引口座、つまり金融資産そのものが標的になりました。そのため「民間単独の防御や事後対応では、国民資産の略奪を根絶できない」というのがGMOの立場です。被害が1社の中で完結せず、国内外の証券会社やFX会社の口座へ広がっている点が、要請の根拠として強調されています。

GMOの不正アクセス事案では何が起きたのか？

FX自動売買専用VPSに第三者の不正プログラムが置かれ、保存されていた取引口座のログイン情報が悪用された可能性があります。

対象は「お名前.com デスクトップクラウド」で、中でもFX（外国為替証拠金取引）の自動売買に特化した「FX自動売買専用VPS」です。クラウド上のWindows環境を遠隔で操作するサービスで、自動売買ツールを動かす用途に使われています。同じ時期に起きた他の事案は、2026年10月の不正アクセス事件一覧にまとめています。

経緯：10月19日の問い合わせから第4報まで

利用者からの問い合わせで調査が始まり、サーバーの停止、顧客情報の外部流出の公表へと、1週間ほどで事態が進みました。

被害の範囲と脅迫の内容

影響の可能性があるサーバーは26,739件です。攻撃者とみられる者からは、不正操作の継続などを示した金銭の要求がありました。

数字の性質は、出典の書き方のとおりに区別しておく必要があります。

GMOの第4報（公式）によれば、脅迫の内容は次の3点です。

1. 国内外の70超の証券会社・FX会社等で、利用者の取引口座への不正操作（不正注文による口座残高の毀損）を続ける
2. サービスや、接続した利用者PCに関する情報を不正に公開し、ランサムウェア攻撃を実行する
3. GMOインターネットのシステムや運用体制などに関する情報を不正に公開する

GMOは要求に応じない方針を示しています。理由は、支払っても取得された情報の削除や不正利用の防止が保証されないためです。

GMOの対応と補償

GMOは、契約中の全利用者への一律5,000円の見舞金に加え、不正取引による損失を別に補償する方針を示しています。

熊谷代表はブログで、利用者と関係者に謝罪しました。ASCIIの報道によると、社内のホワイトハッカーがサービスのセキュリティ上の改善課題を事前に指摘していました（指摘の具体的な内容は報道では明らかになっていません）。熊谷代表の説明は次のとおりです。現場は指摘を受け止めて対策を進めていた。ただ、サービスを止めないことや他の優先事項への懸念から、慎重に進めていた。その結果、対応の深さとスピードが足りず、攻撃者にその隙を突かれた。

能動的サイバー防御の制度では何ができるのか？

重大なサイバー攻撃に対して、警察や自衛隊が攻撃者のサーバーや侵入経路を特定し、無力化するための枠組みです。

関連法（通称：能動的サイバー防御法）は2025年5月に成立し、2026年10月1日から無害化措置を実行できるようになりました。GMOの要請は、実行できるようになってから1か月もたたないうちに出されたことになります。

無害化措置の中身と発動の原則

無害化の中身はマルウェアの削除や攻撃指令機能の無効化などです。実施には監理委員会の事前承認が原則として必要です。

官民連携の対象は15分野の基幹インフラ

官民連携の対象は電力・金融など15分野の特定社会基盤事業者です。GMOインターネットグループはここに含まれていません。

制度上の官民連携は、電力・ガス・水道・金融・通信・放送・交通・物流など15分野の基幹インフラ事業者（特定社会基盤事業者）が対象です。ただし政府は、無害化措置を検討する際に業種を絞っていないと説明しています。官民連携の対象外であることが、そのまま無害化措置の対象外を意味するわけではない、と読めます。

GMOの要請と制度を対比すると、次のように整理できます。

GMOの要請は制度上適用されるのか？

適用されるかどうかは、現時点で決まっていません。政府は防御の支援を表明していますが、無害化まで進むかは解析次第とされます。

政府側の反応

政府高官は要請を受けたことを認め、支援すると述べました。一方でNCO幹部は、企業の要請を受け付ける仕組みはないと説明しています。

Yahoo!ニュース（Masumi氏の記事）によると、政府側の反応は次のとおりです。

• 政府高官はGMOから要請を受けたことを認め、防御のための支援を行うと述べた
• 無害化につながるかどうかは、解析が進んだ後に決まる
• GMOが提供した攻撃の痕跡や通信記録を警察などと共有し、攻撃元のサーバーを特定できるかを調べる流れ
• 国家サイバー統括室（NCO）の幹部は、個別企業からの要請を受け付ける仕組みはないと説明している
• 無害化措置が実施されても、内容や対象を公表しない可能性が高いと同記事は指摘している

ここから読み取れるのは、「企業が要請したから発動される」という順序ではないことです。政府が事案の重大性・緊急性を判断し、監理委員会の承認を経て実施する流れになります。企業にできるのは、判断材料と証拠を渡すことです。

適用を巡って指摘されている論点

被害が出た後に適用できるかという法解釈、要請を公表したことによる影響、結果が公表されない可能性が論点になっています。

なお、この要請には批判もあります。ITmedia NEWSによれば、SNSでは「国への責任転嫁では」といった批判が目立ちます。GMOが特定社会基盤事業者にあたらないことも指摘されています。熊谷代表はブログで、その点を理解したうえで要請したと述べ、「決して自社の責任を国に転嫁し、救済を懇願しているわけではない」としています（ITmedia NEWSの報道による）。

一方で、脅迫には不正操作の「継続」が含まれていました。この点は拡大防止の観点で論点になりうると、編集部は考えます。ただし、制度の解釈に関わる問題で、最終的な判断は政府と監理委員会に委ねられます。企業としては、「要請すれば国が動く」という前提で事業継続計画を組まないほうがよいでしょう。

企業のセキュリティ責任者は今何を備えるべきか？

能動的サイバー防御は「最後の砦」に近いものです。日々の被害を減らすのは、企業と利用者それぞれの足元の対策です。

解説者のMasumi氏は、今回の件を「大手企業の災難」で終わらせるべきではないと述べています。クラウドやVPSを仕事や副業で使う人なら、誰にでも起こりうるという見方です。また、能動的サイバー防御は攻撃元を断つ「最後の砦」に近く、日々の被害を減らす役目は利用者と企業の足元の対策が担う、と指摘しています。

指摘された課題を「止めずに直す」体制をつくる

脆弱性の指摘を受けても、サービスを止めたくないという判断で対応が遅れる構図は、多くの企業に共通する課題です。

熊谷代表の説明では、現場は指摘を受け止めて対策を進めていました。それでも、サービスを止めないことや他の優先事項とのバランスから、対応の深さとスピードが足りなかったとされています。これは特定の企業に限った話ではなく、「止められないサービス」を抱える組織では起こりうることです。事前に決めておきたいのは、次の3点です。

1. 社内外からの脆弱性の指摘を、重大度ごとに対応期限つきで管理する
2. 「サービスを止めてでも直す」判断を誰が下すのか、経営層を含めて権限を明確にする
3. 止めずに直せない場合の代替策（機能の一部停止、隔離された新基盤への移行など）を、あらかじめ設計しておく

AX推進の現場でも、同じ論点が出てきます。今回の事案では、クラウド上で動く自動売買ツールのそばに取引口座のログイン情報が保存されており、取得されて不正に利用された可能性があるとGMOは第2報で示しています。生成AIを使った業務自動化やAIエージェントでも、外部サービスの認証情報を実行環境に置く構成が考えられます。「自動で動かすために、認証情報を常駐させる」設計の便利さとリスクを、見直すきっかけにしてください。

点検すべき項目のチェックリスト

アカウント権限、ログの保存、バックアップ、緊急連絡先の4点は、今すぐ点検できる基本項目です。

Masumi氏の提言をもとに、立場ごとの対策を整理します。

GMOが金銭の要求に応じなかった理由（支払っても削除や不正利用の防止が保証されない）は、ほかの企業がランサムウェアや脅迫を受けたときの判断軸としても参考になります。要求を受けてから慌てずに済むよう、誰がどの順番で警察・専門機関・経営層に連絡するのかを、インシデント対応手順に書いておくことが望まれます。

顧客への影響を見越した広報・補償の準備

被害が顧客の資産に及ぶ事業では、補償の枠組みや代替サービスの方針を、事前に検討しておく価値があります。

今回GMOは、一律の見舞金、損失の補償、独立した新しい基盤での代替サービスの提供という3段階で対応を示しました。自社サービスが顧客の金融資産や業務の継続に直結する場合は、同じような事態を想定しておくのが現実的です。補償の考え方、代替環境への移行手順、申請時に顧客に提出してもらう証跡の範囲を、平時から整理しておきましょう。あわせて、補償を装ったフィッシングへの注意喚起を最初の発表に含めておけば、二次被害を減らしやすくなります。

能動的サイバー防御は、国が攻撃元に対処するための新しい手段です。ただ、発動は政府の判断で、結果が公表されない可能性もあります。企業は、指摘された課題を期限内に直し、権限・ログ・バックアップ・連絡体制を整え、顧客への影響を想定した準備を進めておく必要があります。

この記事はいつ時点の情報ですか？

2026年10月26日時点の報道・公表に基づいています。事案は進行中のため、GMOの公式お知らせや政府の発表に更新があれば、数字と状況を見直します。主な更新は、次の一覧に追記します。

• 2026年10月26日：公開

姉妹メディアの関連記事