GMOが能動的サイバー防御の初適用を要請｜10月施行の法律で国ができること

はじめに

2026年10月24日、GMO インターネットグループは、子会社の GMO インターネットが提供する「お名前.com デスクトップクラウド」への不正アクセスを受けて、「能動的サイバー防御」の適用を政府の関係機関に要請したと発表しました。能動的サイバー防御の関連法は、10月1日に主要な部分が施行されたばかりです。GMO は自ら、この件を「発動第1号」の事案と位置づけています。

この記事のゴールは、ニュースの見出しに出てくる「能動的サイバー防御」が、いま法律の上で何ができて、何がまだできず、誰が決めるのかを、自分で説明できるようになることです。そのうえで、今回の事案の経過と、個人と社会インフラがそれぞれ何をすればよいかを整理します。

1. 法律の基礎：2 本の法律、段階施行、無害化の手順と歯止め
2. 何が起きたか：GMO の公表文による経過、補償、攻撃者の脅迫
3. 社会的影響と放置の帰結：金融資産を狙う攻撃と、脅迫型の情報公開
4. 二層の対策：個人がすること、事業者と国がすること

先に要点を置きます。

この記事の事実は、GMO の公表文（10月29日20時50分の第16報と、10月30日のお客様へのご案内まで）と法令・政府資料にもとづきます。政府側の発言は報道によるもので、その旨を書き分けます。攻撃の手順や、攻撃者が公開した情報の中身には触れません。

🛡️ 1. 能動的サイバー防御とは

1-1. 2 本の法律と 3 本の柱

「能動的サイバー防御」は法律の名前ではありません。2025年5月16日に成立し、5月23日に公布された次の 2 本の法律で実現される仕組みの総称です。

• サイバー対処能力強化法：正式名は「重要電子計算機に対する不正な行為による被害の防止に関する法律」（令和7年法律第42号）
• 同整備法：強化法の施行に伴い、警察官職務執行法・自衛隊法・サイバーセキュリティ基本法などを改正する法律（令和7年法律第43号）

内閣官房国家サイバー統括室の説明資料は、中身を 3 本の柱に分けています。

報道で話題になる「無害化」は、3 本目の柱です。条文は強化法ではなく、整備法で改正された警察官職務執行法（警職法）第6条の2と自衛隊法にあります。

1-2. 段階施行：10月1日に何が始まったか

2 本の法律は、部分ごとに施行日が違います。強化法の附則第1条、e-Gov 法令検索の改正履歴、国家サイバー統括室の説明資料（2026年10月版）から確定できる日付を並べます。

e-Gov の改正履歴では、警察官職務執行法も令和7年法律第43号による改正が 2026年10月1日に施行されています。つまり 10月1日以降、警察が攻撃に使われているサーバーなどに対処する法律上の権限は、すでにあるということです。一方、国外が絡む通信の情報を国が取得して分析する仕組みは、まだ動いていません。

1-3. 無害化は誰が、どんな条件で行うのか

警職法第6条の2の手順を、流れ図にします。

条文の要点は次のとおりです。

• 主体は、警察庁長官が警察官の中から指名する「サイバー危害防止措置執行官」に限られる
• 要件は、攻撃に使われる通信やデータを認め、「そのまま放置すれば人の生命、身体又は財産に対する重大な危害が発生するおそれがあるため緊急の必要があるとき」
• 措置は、攻撃に使われているコンピューターの管理者に必要な措置を命じるか、執行官が電気通信回線を通じて自ら行う。説明資料は例として「不正プログラムの消去」「シャットダウン」「攻撃者の再ログイン防止のための設定変更」を挙げている
• 歯止めとして、原則はサイバー通信情報監理委員会の事前承認が要る。承認を得るいとまがない特段の事由があるときは、措置の後に速やかに通知し、委員会が適切だったかを確かめて勧告する
• 国外のサーバーが相手なら、警察庁の執行官だけが行え、事前に外務大臣と協議する

自衛隊は、国の機関や基幹インフラなどの重要なコンピューターに対して、外国の主体による特に高度に組織的・計画的な攻撃があり、自衛隊が対処する特別の必要があると内閣総理大臣が認めたときに、警察と共同で「通信防護措置」をとります。説明資料は、警察と自衛隊の措置を国家サイバー統括室が司令塔として調整すると書いています。

1-4. 民間企業はどこに立っているのか

法律の中で民間企業が出てくるのは、主に官民連携の柱です。基幹インフラ事業者は、重要なシステムのインシデントを事業所管大臣と内閣総理大臣に報告する義務を負い、国の協議会に加わって情報の共有を受けます。

一方、警職法第6条の2には、民間企業が無害化を申請する手続きは書かれていません。措置をとるかどうかは、執行官が要件に照らして判断し、委員会が承認します。日本経済新聞の報道によれば、国家サイバー統括室の幹部は「個別の企業からの要請を受け付ける仕組みはない」と説明しています。

ただし、無害化の要件は「人の生命、身体又は財産に対する重大な危害」で、基幹インフラへの攻撃に限っていません。基幹インフラ事業者でない企業の被害でも、要件にあたるかどうかが判断の対象になりうる、という作りです。GMO の要請は、この線引きを最初に問う形になりました。

🧾 2. 何が起きたか

2-1. 経過

GMO インターネットグループと GMO インターネットの公表文から、経過を並べます。

10月24日の開示では、調査の結果「本サービスのシステムにセキュリティ上の問題が存在し」、不正なアクセスと、利用者の情報が外部に持ち出された事実を確認したとしています。侵入の経路は公表されていません。影響の可能性がある情報は「サーバー内に保存されていた情報（取引ツール等に保存された取引口座のログイン情報等を含みます）」で、同社はクレジットカード情報を含む決済情報をこのサービスのサーバー上で保持していないと書いています。

2-2. 補償と支援

GMO が公表した利用者への対応をまとめます。

株式市場の反応も大きく、日本経済新聞によれば、GMO インターネットグループの株価は 10月26日に前週末比 16% 安の 3,179 円で取引を終えました。

2-3. 攻撃者の要求と脅迫

10月24日の開示によれば、同社は攻撃者とみられる者から金銭の要求を受け、応じなければ、利用者の取引口座への不正操作の継続、サービスと接続した利用者の PC に関する情報の公開とランサムウェア攻撃、同社のシステムに関する情報の公開に及ぶ、という連絡を受けていました。同社は「攻撃者からの要求には応じません」とし、理由を「要求に応じても、取得された情報の削除や不正利用の防止が保証されるものではないため」と説明しています。

10月27日には、予告されていた正午を前に、利用者に PC のバックアップをとったうえでネットワークを切り、電源を落とすよう呼びかけました。12時30分に情報と称するものの公開を確認し、ランサムウェア攻撃は 13時55分の時点で確認されていないとしています。同社は、公開された情報と称するものにアクセスしたり、拡散したりしないよう求め、そのサイトにアクセスした人の情報は攻撃者に取得されていることを確認したと書いています。

翌 10月28日の午前 4 時頃、同社は関係事業者などと連携した結果、情報が掲載されていたサイト（ミラーサイトを含む）のドメインが停止されたことを確認しました（第13報）。新しいサイトが立ち上がれば直ちにテイクダウンに動くとし、掲載された情報の悪質な投稿・転載・拡散には刑事告訴を含む法的措置をとると警告しています。同日夕方の第14報では、X 上の関連する投稿に累計 20 件の警告連絡をしたと報告しました。

予告されていたランサムウェア攻撃については、第14報が「現時点での調査では、お預かりした端末の解析では、マルウェアの感染やランサムウェア攻撃の痕跡は確認されておりません」と書いています。解析は続いており、PC を再び使うときは、事前のセキュリティスキャンとバックアップを求めています。

2-4. 政府側の動き

政府は、GMO の要請への対応を、10月31日の時点で公式には発表していません。一方、政府全体の動きとしては、10月26日に首相官邸で第 1 回の「サイバーセキュリティに関する関係閣僚会議」が開かれました。首相官邸の発表によれば、総理は相次ぐ情報漏えいと二次被害を「深刻な事態」とし、被害企業の支援体制、情報の集約と発信の強化などを指示したうえで、次のように述べています。会議の発言は特定の企業名に触れていません。

実態を解明したサイバー攻撃に対しては、「アクセス・無害化措置」も含め、あらゆる「対処オプション」を戦略的に選択し、実行いたします。

総理は「来週中を目途に」政府の『緊急対策パッケージ』を取りまとめるとも述べており、11月の第 1 週が次の節目になります。

報道ベースの受け止めもあります。日本経済新聞（10月24日）は、政府高官の「防御のための支援はする。無害化につながるかは解析を進めなければいけない」という発言と、サイバー対策を担う高官の「まだ発動する事態ではないと判断している」という見方を伝えています。また、国家サイバー統括室の幹部は、無害化を公表することは「攻撃相手に手の内を明かすことになる」と述べたと報じています。措置がとられたとしても、すぐに公表されるとは限らないということです。

🌐 3. 社会的影響

3-1. 金融資産を直接狙う攻撃

GMO は具申の文書で、今回の攻撃を「一般国民の取引口座（金融資産）を標的とした不正操作・資産毀損」と表現しています。攻撃者は、国内外の 70 を超える証券会社・FX 会社などの取引口座への不正操作の継続を脅迫の材料にしていました（GMO の開示）。

ここで効いているのは、取引口座のログイン情報が、利用者の取引ツールとともにクラウド上のデスクトップに保存されていたという構図です。1 つの事業者の基盤が破られると、その上に置かれた多数の金融機関の口座に被害が広がります。GMO が主要な取引所・証券各社に、このサービス経由のアクセスの遮断やセッションの強制切断、不正取引の監視を要請したのは、被害が事業者をまたぐからです。

3-2. 脅迫型の情報公開と二次被害

もう一つの影響は、盗んだ情報の公開を交渉の材料にする手口です。公開された情報は、本人へのフィッシングや詐欺に使われるおそれがあります。GMO は、本件に便乗した同社や関係機関を装うメール・SMS・電話への注意を呼びかけ、「被害金を取り戻す」などとして費用を求める連絡には応じないよう求めています。公開された情報を転載・再投稿する行為は、被害を広げる側に回ることになります。

3-3. 法の初適用が持つ意味

GMO の要請は、施行から 1 か月足らずの制度に、具体的な問いを投げかけました。

報道では、制度は被害の未然防止を目的としているため、被害が起きた後の適用には法解釈の課題があるとの指摘や、要請を公表したことで攻撃者が警戒し、効果が損なわれうるとの見方も紹介されています。一方で、警職法の要件は「財産」への危害を含み、被害の拡大を防ぐための措置も想定しています。どちらの見方をとるにせよ、判断するのは国で、企業ができるのは、持っているログや侵害の情報を捜査機関に渡すことです。GMO も、保有する全ログと侵害情報の提供を惜しまないと書き、10月29日には、グループのホワイトハッカーチームが独自の調査で得た、犯人の特定につながると考えられる情報を警察と関係各所に提出すると公表しました（第15報）。懸賞金の窓口に寄せられた情報も、同社が確認・精査しています。

独立機関による承認と、国会への報告がある仕組みは、捜査機関がネットワーク越しに他人のコンピューターに手を入れる権限に歯止めをかけるためのものです。民間が国に「無害化してほしい」と公に頼めるようになったいま、その歯止めが実際にどう働くかが、今後の運用で問われます。

⏳ 4. 放置するとどうなるか

今回の事案そのものが、放置の帰結を示しています。GMO の公表文によれば、攻撃者は 10月21日に要求を送り、要求に応じない場合の行為を予告し、10月27日にその一部（情報と称するものの公開）を実行しました。利用者の側で放置すると、次のことが起こりえます。

事業者の側では、侵入された基盤をそのまま再開すれば、同じ穴から再び入られるおそれがあります。GMO が現行の基盤を再開せず、「抜本的なセキュリティアーキテクチャの刷新」を選んだのはそのためです。

🛍️ 5. 同じ週のもう一件：グッドスマイルカンパニー

同じ週には、フィギュアなどを販売する グッドスマイルカンパニーの公式ショップでも不正アクセスが公表されました。10月23日の第 1 報の時点では、閲覧された可能性のあるカード情報はブランド・下 4 桁・有効期限で、カード番号の全桁とセキュリティコードは含まれないとしていました。ところが 10月28日 18時30分過ぎに、クレジットカード決済ページに不正なプログラムが設置されていたことが判明し、10月29日の第 3 報と 10月30日の第 4 報（第 3 報の一部修正）で内容が大きく変わりました。第 4 報の要点です。

認識のきっかけは、システム開発・保守の委託先からの連絡でした。外部の決済サービス経由の注文については、同社のサーバーにカード情報は保持されていないとしています。サイトの再開時期は、安全が確認でき次第案内するとしています。

決済ページに入力された番号をその場で抜き取る手口は、データベースに保存されていないカード情報まで盗めるのが特徴です。最初の告知で「全桁は含まれない」とされていたものが、調査の進展で覆ったことになります。

2 件は業種も手口も違いますが、狙われたのは、EC と金融取引にまつわる個人の情報という点で共通しています。どちらの会社も、漏れた情報を悪用した、会社や公的機関を名乗る連絡への注意を呼びかけています。グッドスマイルカンパニーは、カード情報の漏えいの連絡を受けた人に、身に覚えのない利用がないか確かめ、あればカード発行会社に連絡するよう求めています。

👥 6. 個人と社会インフラ：二層の対策

無害化は国の仕事ですが、利用者の手元に保存された鍵を守るのは、利用者自身と事業者の仕事です。層ごとに分けます。

利用者が GMO の補償を申請する際、同社は取引履歴を確認するための閲覧専用のパスワードの提示を求めることがあるとしていますが、それ以外のパスワードや暗証番号を尋ねることはないと明記しています。この区別を知っておくことも、便乗した詐欺への備えになります。

🔭 7. 今後

サイバー通信情報監理委員会は、無害化措置の承認の求めや通知の件数などを含め、所掌事務の処理状況を国会に報告し、その概要を公表することになっています。今回の要請がどう扱われたかは、その報告で初めて見えてくる可能性があります。

🔧 技術者の所感

✅ まとめ

• GMO インターネットグループは 10月24日、お名前.com デスクトップクラウドへの不正アクセスを受けて、能動的サイバー防御の適用を政府関係機関に要請した。同社はこれを「発動第1号」の事案と位置づけている
• 能動的サイバー防御は、サイバー対処能力強化法と整備法の総称。2026年10月1日に、基幹インフラの報告義務などの官民連携と、警察・自衛隊のアクセス・無害化措置が施行された。通信情報の利用は 2027年11月22日までの政令で定める日に施行される
• 無害化は、警察庁長官が指名した執行官が、生命・身体・財産への重大な危害を防ぐ緊急の必要があるときに行う。原則として独立機関の事前承認が要り、国外のサーバーなら外務大臣と協議する。民間企業が申請する手続きはない
• GMO は全利用者への一律 5,000 円の見舞金、不正取引の実現損失の補償、代替サービスの 6 か月無償化、情報が公開された利用者への特別見舞金、懸賞金を公表した。攻撃者の要求には応じない方針。10月28日には情報公開サイトのドメインの停止を確認し、29日には犯人の特定につながると考えられる情報を警察などに提出すると公表、30日に見舞金と代替サービスの手続きの連絡を始めた
• 政府は 10月26日に関係閣僚会議を開き、総理が無害化措置を含むあらゆる対処の選択肢をとると述べた。GMO の要請への判断は、10月31日の時点で公表されていない
• 個人は、該当する場合は認証情報の変更・セッションの切断・二要素認証・PC の検査を行い、補償をかたる連絡や公開された情報には近づかない。事業者と国は、基盤の作り直し、ログの提供、要件に照らした判断と歯止めを受け持つ

この記事で、能動的サイバー防御の施行済みの部分と未施行の部分、無害化の手順と歯止め、今回の事案の経過を整理しました。次の一手は、政府の判断と、サイバー通信情報監理委員会の報告が出たときに、要件・承認・公表の 3 点で運用を確かめることです。手元では、自分の PC や試作機に置いている鍵の場所を、一度棚卸ししてみてください。

よくある質問（FAQ）

Q. 能動的サイバー防御とは何ですか？

A. 2025年5月に成立したサイバー対処能力強化法と同整備法で実現される仕組みの総称です。基幹インフラ事業者の報告などの官民連携、国外が絡む通信情報の利用、警察と自衛隊による攻撃サーバーなどへのアクセス・無害化措置の 3 本の柱からなります。

Q. 2026年10月1日に何が施行されたのですか？

A. 基幹インフラ事業者のインシデント報告義務、情報共有の協議会、国からの情報提供といった官民連携の仕組みと、警察官職務執行法第6条の2などによるアクセス・無害化措置です。独立機関のサイバー通信情報監理委員会は 2026年4月1日に設置済みです。通信情報の利用は未施行で、2027年11月22日までの政令で定める日に施行されます。

Q. 民間企業は国に無害化を求めることができますか？

A. 法律に、企業が無害化を申請する手続きはありません。措置をとるかどうかは、警察庁長官が指名した執行官が法律の要件に照らして判断し、原則として独立機関の承認を得て行います。企業ができるのは、被害の情報やログを捜査機関などに提供することです。

Q. GMO の要請で、国は無害化措置をとったのですか？

A. 2026年10月31日の時点で、政府が措置をとったという公式の発表はありません。10月26日の関係閣僚会議で、総理は「実態を解明したサイバー攻撃」には無害化措置も含めて対処すると述べましたが、GMO の件には触れていません。報道によれば、政府高官は「防御のための支援はする。無害化につながるかは解析を進めなければいけない」と述べています。国家サイバー統括室の幹部は、無害化の公表は攻撃者に手の内を明かすことになるとも述べており、措置がとられてもすぐに公表されるとは限りません。

Q. お名前.com デスクトップクラウドを使っていた場合、何をすればよいですか？

A. GMO の案内では、取引に使っていない端末から取引口座と取引ツールの認証情報を変更し、ログイン中のセッションを切断し、取引履歴と残高を確認し、二要素認証を設定することが求められています。接続していた PC のフルスキャンとバックアップも求められています。同社がパスワードや認証コードを尋ねることはないとしているので、それを求める連絡には応じないでください。

Q. グッドスマイルカンパニーの件は GMO の件と関係がありますか？

A. 両社の公表文に、2 件の関係は書かれていません。グッドスマイルカンパニーは、公式ショップへの不正アクセスで管理者権限が取得され、10月21日 13時55分から 23日 7時まで決済ページに不正なプログラムが設置されていたと公表しました（10月30日の第 4 報）。この間にカード情報を入力した可能性のある 2,800 名は、番号の全桁とセキュリティコードを含むカード情報が漏えいした可能性があります。原因の脆弱性は、近時報告された PHP の脆弱性ではないとしています。

関連記事

• 日本企業はどこから破られたのか｜2025〜2026年の侵入口とAI時代の守り方 — 2025〜2026年の国内の事例と統計、能動的サイバー防御法の概要
• PHP に重大な RCE 2件｜8.4.27 などへ今夜更新・自分のサーバーの確かめ方 — 同じ週の Web サーバーの脆弱性
• 国産WAF SiteGuard の穴が KEV 入り｜証拠を残して更新・個人と組織の対応 — 証拠を残して更新する考え方

参考

• GMO インターネットグループ 開示資料（2026年10月24日）
• 「お名前.com デスクトップクラウド」への不正アクセスに関する現在の対応について（第16報）（GMOインターネット・2026年10月29日）
• サイバーセキュリティに関する関係閣僚会議（首相官邸・2026年10月26日）
• 重要電子計算機に対する不正な行為による被害の防止に関する法律（e-Gov 法令検索）
• サイバー対処能力強化法及び同整備法について（内閣官房国家サイバー統括室）