名古屋でAIシステムの開発をしている小嶋です。GMOインターネットの「お名前.com デスクトップクラウド」への不正アクセスは、FXの自動売買をしていた利用者に金銭の被害が出ていて、10月24日の第4報では、GMOが本件を能動的サイバー防御の「発動第1号」事案と位置づけ、政府関係機関へ緊急要請したと発表しました。
この「国への要請」に、違和感を持った人は少なくないと思います。私もその一人です。ただ、違和感を「国に責任を押しつけている」の一言で済ませると、どこがおかしいのかが曖昧になります。この記事では、公表された事実、攻撃者を名乗る声明の主張、国会の会議録に残る政府答弁を分けて、違和感の中身を整理します。
1. 公表されている事実
GMOの第1報から第5報（10月21日〜24日）で、確かめられる事実は次のとおりです。
- 一部の顧客のサーバー環境に、第三者の不正なプログラムが設置されていた（10月20日に確認）
- 影響の可能性があるサーバーは26,739台。全プランを停止中で、再開は未定
- サーバー内に保存されていた取引口座のログイン情報などが取得され、FX口座で身に覚えのない取引の報告がある
- 第4報で「本サービスのシステムにセキュリティ上の問題が存在し」、不正アクセスと、顧客情報の外部への持ち出しを確認した
- 攻撃者から金銭の要求と公開の予告があり、応じない。警察に証拠を提出し、刑事事件としての捜査を要請
- 不正取引に起因する実現損失を補償し、利用者全員に見舞金5,000円
- 本件を能動的サイバー防御の「発動第1号」事案と位置づけ、「国主導による攻撃基盤の追跡・遮断および無力化に向けた実効的な措置を講じていただくよう、政府関係機関へ強く具申（緊急要請）」
一方で、侵入の入口がどこだったかは、第5報の時点でも公表されていません。「セキュリティ上の問題」の中身は書かれていないままです。
2. 攻撃者を名乗る声明が挙げた「過失の証拠」
10月24日、攻撃したと自称するグループの声明が出回りました。攻撃者には会社の過失を大きく見せる動機があるので、そのまま事実とは扱えません。それを前提に、主張の中身だけを書きます。
声明は「過失の証拠」として、2点を挙げています。
- 設計の問題：VPS 群が1つの Active Directory で組まれ、1つの高い権限のサービスアカウントが全ての VPS の管理者権限を持っていた。VPS 同士が分離されておらず、1台を乗っ取る（あるいは1台を契約する）だけで、全台に広がる
- 既定の設定の問題：2019年ごろから、GMO が利用者に配る RDP（リモートデスクトップ）の接続ファイルが、ローカルのドライブ共有を既定で有効にしていた。乗っ取った VPS から、利用者の手元のパソコンのドライブまで手が届く
声明は「これは単純なミスではない。7年続いた組織的な怠慢であり、意図的に安全でない設計だ」と書いています。そして、GMO が支払いに応じなければ、次は利用者個人のパソコンを暗号化し、閲覧履歴などを家族や知人に送る、と脅しています。
この主張をどう見るか。私は「設計に大きな穴があった可能性は高い」と見ています。理由は3つです。
- 26,739台に同時に不正プログラムが置かれたという公表事実は、「1つの管理アカウントで全台を操作できた」という主張と整合します。個々のサーバーを1台ずつ破った規模ではありません
- RDP の接続ファイルのドライブ共有は、利用者が手元のファイルを開けば確かめられるもので、すでに利用者側から「公式の FAQ で配られた RDP ファイルは共有が有効だった」という指摘が出ています
- GMO 自身が「システムにセキュリティ上の問題」があったと認めています
3. 「社員のミス」ではなく「設計と点検の問題」
ここで言葉を一つ正しておきたいと思います。X では「社員の初歩的なミス」「社内教育が足りない」という言い方が見られますが、声明の主張が正しいなら、問題は社員の操作ではありません。
- 全 VPS に効く1つの管理アカウント
- VPS 同士を分離しない構成
- 危険な設定を既定にした接続ファイルを配り続けたこと
これらは、現場の社員が気をつければ防げる類のものではなく、サービスをどう設計したか、その設計を誰が点検していたかという、経営と技術管理の問題です。「教育」の話にすると、論点が社員個人に移ってしまい、「社員は悪くない」という反論で終わります。問われるべきは、設計の判断と、それを見直す体制です。
4. 能動的サイバー防御の法の対象は、国会でどう答弁されたか
能動的サイバー防御は、2025年5月に成立したサイバー対処能力強化法などで制度化されました。攻撃の基盤を追跡し、アクセスして無害化する仕組みです。では、その対象は何か。
2025年4月18日の参議院本会議で、当時の石破総理はこう答弁しています。
国、基幹インフラ事業者等に対する一連の重大なサイバー攻撃の発生又は予兆を認知し、アクセス・無害化措置を実施する必要があると認められる場合には、国家安全保障の観点からこれが適切に行われるよう、私自身が議長を務める国家安全保障会議で速やかに審議をした上で総論的な対処方針を定める
対象は「国、基幹インフラ事業者等に対する一連の重大なサイバー攻撃」です。FX の自動売買に使う民間の VPS サービスは、基幹インフラ事業者ではありません。金融への波及はありますが、それは利用者が取引口座のログイン情報を VPS に保存する使い方が広がっていた結果であって、法が想定する「基幹インフラへの攻撃」とは性質が違います。
高市総理も2025年11月4日の本会議で「サイバー対処能力強化法に基づく基本方針…を年内を目途に策定する」と答弁していて、対象の線引きはその基本方針で決まります。つまり、民間事業者が自ら「発動第1号」と名乗って決まるものではありません。
国会での「能動的サイバー防御」をめぐる質疑と答弁は、当社の国会議員 発言ログで日付と発言者つきで追えます。 https://xb4g.com/giin/search?q=%E8%83%BD%E5%8B%95%E7%9A%84%E3%82%B5%E3%82%A4%E3%83%90%E3%83%BC%E9%98%B2%E5%BE%A1#ref=vibeblog-gmo-acd
5. 違和感の中身は3つ
ここまでを踏まえると、違和感は次の3点に分けられます。
（1）法の対象と合っていない 自ら「発動第1号」と名乗るのは、法の枠を自社の事案に引き寄せた言い方です。対象は政府の基本方針で決まることで、事業者が宣言するものではありません。
（2）国が攻撃者の基盤を止めても、入口は直らない 能動的サイバー防御が効くのは攻撃の基盤に対してです。GMO のシステム側にあった「セキュリティ上の問題」は、国が何をしても直りません。情報はすでに持ち出され、口座の不正操作も起きています。
（3）順番が逆 入口の特定と公表、同じ穴が他のサービスに無いかの点検、設計の見直し。これらは自社にしかできないことで、本来はこれが先です。第4報は、原因を「セキュリティ上の問題」の一言にとどめたまま、同じ日に補償・見舞金と国への要請を出しました。読む側に、「自社の設計の問題」から「国の制度の問題」へ話の軸を移した印象を与えます。
付け加えると、GMO の代表は2024年12月に当時の石破総理へ能動的サイバー防御の提言をしていて、グループにはセキュリティ会社もあります。長年の主張と一貫してはいますが、自社の事故を長年の政策の後押しに使う形になるので、そう見られるのは避けられません。
6. ただし、国に頼むこと自体は間違いではない
公平に見ておきたい点もあります。
- 攻撃者の要求に応じない、警察に証拠を出す、実現損失を補償する、全員に見舞金を出す。被害企業としての対応は筋が通っています
- 声明を読むと、攻撃者は次の標的を利用者個人の手元のパソコンに向けています。GMO が身代金を払わない以上、利用者を守る手は「攻撃者の基盤を止める」ことしか残っていません。国や警察に追跡と遮断を頼むこと自体は、この法律がまさに想定した状況です
だから、批判の焦点は「国に頼んだこと」ではなく、「自社の設計の問題を『セキュリティ上の問題』の一言で済ませたまま、国の制度の話に移したこと」に絞るのが正確だと思います。
7. 中小企業が自分のこととして受け取るべき点
この事件は大企業の話ですが、設計の穴は規模に関係なく起きます。自社のサーバーやサービスで確かめておきたいのは、次の3つです。
- 1つのアカウントで全部に入れる構成になっていないか。管理の便利さのために作った共通の管理アカウントは、乗っ取られたときに全部が落ちる入口になります
- 既定の設定が危なくないか。利用者や社員に配る接続の設定ファイルは、作ったときのまま何年も使われます。「既定で有効」は「全員が有効」です
- 入口の点検を、作った人以外がしているか。設計した本人は、自分の設計の穴に気づきにくいものです
当社では、ホームページの外から見える守りを URL を入れるだけで診断するシステムを公開しています。今回の件のような内部の設計までは見えませんが、「まず自社の入口を確かめる」最初の一歩には使えます。
Kurage Security Check（デモ） https://proto.exbridge.jp/kseccheck/#ref=vibeblog-gmo-acd
サーバーの中の設計や権限の分け方まで含めた点検は、AI-IT顧問で引き受けています。
AI-IT顧問 https://exbridge.jp/ai-it-komon.html#ref=vibeblog-gmo-acd
よくある質問
お名前.com デスクトップクラウドの不正アクセスの原因は公表されていますか
2026年10月24日の第5報の時点では、公表されていません。GMOは「本サービスのシステムにセキュリティ上の問題が存在し」とだけ書いていて、侵入の入口は「調査中」のままです。攻撃者を名乗る声明は、全VPSに効く1つの管理アカウントと、RDPのドライブ共有の既定設定を挙げていますが、攻撃者側の主張であり、GMOは確認していません。
能動的サイバー防御は、民間企業が要請すれば発動されるのですか
いいえ。2025年4月の国会答弁では、対象は「国、基幹インフラ事業者等に対する一連の重大なサイバー攻撃」とされ、国家安全保障会議で対処方針を定めるとされています。対象の線引きは政府の基本方針で決まり、事業者が「発動第1号」と宣言して決まるものではありません。
GMOの対応は全部が間違っているのですか
いいえ。攻撃者の要求に応じないこと、警察への証拠の提出、実現損失の補償、見舞金は、被害企業として筋の通った対応です。問題は、原因の公表より先に国の制度の話を出した順番と、「発動第1号」という自己認定です。
中小企業が今すぐ確かめることは何ですか
1つのアカウントで全てのサーバーに入れる構成になっていないか、社員や利用者に配っている接続の設定ファイルの既定が危なくないか、入口の点検を設計した本人以外がしているか、の3つです。
