GMOの不正アクセス被害と「能動的サイバー防御」要請
自分では操作していないのに、口座のお金が消えていく。しかも、わずか2秒で400万円以上もの金額。GMOのサービスを利用していた男性の被害が報じられている。預けた情報と資産が脅かされれば、一刻も早く止めてほしいと願うのは当然だろう。
問題が起きたのは、GMOインターネットが提供する「お名前.com デスクトップクラウド」。FX(外国為替証拠金取引)の自動売買を行うためのサーバー環境である。同社は10月24日、システムにセキュリティ上の問題があり、不正アクセスと顧客情報の持ち出しを確認したと公表した。不正取引による損失の補償も表明している。[1][2]
その一方で、GMOインターネットグループの熊谷正寿氏は、政府に「能動的サイバー防御」の適用を求めた。顧客を守るという説明は理解しやすい。しかし、国家にどのような権限の行使を求めているのか。それは利用者にどれほどの影響を与えるのだろうか。
警告を受けて、何を判断したのか
熊谷氏は10月25日、自身の公式サイトのブログで、社内のホワイトハッカーから、改善すべき課題が事前に指摘されていたと認めた。対策は進めていたが、サービスの継続への影響や他の対応との優先順位を考慮した結果、対応の深さと速さが十分でなかったという。[3]
この説明だけで「弱点を放置した」と断定はできない。ただ、危険の指摘がありながら対策が間に合わなかったのであれば、誰が、どの情報に基づいて、何を優先したのかが問われる。技術者の警告を経営判断に反映するしくみは機能していたのか。被害の補償とともに、検証可能な説明が必要である。
熊谷氏はAIによる攻撃の脅威も強調している。しかし、今回の侵入にAIがどう使われたのかは、その説明からは確認できない。一般的な脅威の増大を語ることで、今回防げなかった具体的な原因が見えにくくなってはならない。[3]
企業の要請で国はどこまで動くのか
国の制度の対象についても、整理をしておこう。「能動的サイバー防御」の対象である電力・通信・金融などの基幹インフラには民間企業も含まれる。また、指定事業者に課される報告義務と、警察が攻撃関係サーバーにアクセスして無害化する権限は、対象と要件が異なる。[4][5]
被害企業が捜査や支援を求めることは理解できる。そのうえで、国家が他者のサーバーに入り、プログラムを停止・削除する措置には、通常の被害相談とは異なる重みがある。攻撃に悪用された第三者のサーバーであれば、その所有者自身も被害者かもしれない。停止や削除が正当な利用に及ぼす影響も、判断に含めなければならない。
改正警察官職務執行法※は、人の生命・身体・財産に重大な危害が発生するおそれがあり、緊急の必要がある場合に措置を認めている。したがって、指定事業者でないという理由だけで対象外とは言い切れないし、企業が要請すれば利用できるサービスでもない。警察が法定の要件を満たすかを判断し、原則としてサイバー通信情報監理委員会の事前承認を得ることとなっている。[5]
※警察官職務執行法
職務質問、保護、立入り、武器の使用など、警察官が職務を行う際の権限と限界を定める法律。2025年成立のサイバー対処能力強化法整備法による改正で第6条の2が新設され、2026年10月1日から、重大な危害を防ぐ緊急の必要がある場合の攻撃関係サーバーへのアクセス・無害化措置が可能となった。
事業者の知名度や政府への働きかけの強さが、介入を左右してよいはずもない。どの被害を重大と判断し、なぜその手段が必要なのか。権限行使の公平性と必要性を検証することは欠かせない。
守られる資産と、差し出される情報
今回の要請に際し、熊谷氏は政府への証拠やログの提出と全面協力を表明している。そこに利用者の情報がどこまで含まれ、誰が、何の目的で扱うのかは確認すべき重要な点である。企業の協力意思と、利用者の権利の保障は、それぞれ問われなければならない。[3]
関わるのは、個人のプライバシーと、憲法が保障する「通信の秘密」である。その保護はメールやメッセージの本文だけでなく、誰が、誰と、いつ通信したかといった情報にも及ぶ。接続先や通信の時刻などを組み合わせれば、個人や組織の活動を推測できる場合がある。[7]
熊谷氏は今回の対応を「官民連携のモデルケース」にしたいとも述べている。そうであれば、今回提出する情報の範囲に加え、今後、国と企業がどこまで情報を共有するしくみを動かしていくのかも問われる。[3]
能動的サイバー防御には、通信情報の取得・分析という柱がある。政府資料によれば、アクセス・無害化措置などは今年10月に施行されたが、通信情報利用の規定は2027年秋からの施行予定となっている。今回のログ提出と、今後の法に基づく通信情報取得は、異なる手続である。[4]
ただし、制度全体をどう動かしていくかという問題は重要な課題としてあり続ける。法律は、一定の国外関係通信について、同意によらない取得を可能にする。政府は、攻撃に関係するIPアドレスなどの機械的情報を自動選別し、それ以外は直ちに消去すると説明している。[6]
通信の内容を読まないという説明だけでは、権利への懸念は解消しない。選別の誤り、目的外利用、情報漏えいをどう防ぎ、誤った措置を受けた人がどう気づき、異議を申し立てられるのか。監督機関があるという説明だけでは、この疑問への答えにならない。
被害への不安が強いときほど、強い国家権限への期待は高まりやすい。企業の安全管理の不備を検証する前に、その期待だけが膨らめば、利用者は情報を漏らされたうえに、権利侵害という新たな影響まで引き受けかねない。「国民の財産を守る」という言葉によって、企業の説明責任と国家権限の限界が曖昧になることを、警戒する必要がある。
参考資料
- [1] TBS NEWS DIG／news23（2026年10月24日）「『わずか2秒で400万円が…』GMOのFX取引に“ハック” 口座を“破壊”？」
- [2] GMOインターネット（2026年10月24日）第4報
- [3] 熊谷正寿公式ブログ（2026年10月25日、26日追記あり）
- [4] 内閣官房・内閣府「サイバー対処能力強化法等の施行について」（2026年9月）
- [5] サイバー対処能力強化法整備法・警察官職務執行法第6条の2関係（PDFの1～4頁）
- [6] 内閣府「法律概要説明資料」（通信情報利用：資料11～14頁）
- [7] 国家サイバー統括室「サイバーセキュリティ関係法令Q&Aハンドブック Ver.2.0」Q36「通信の秘密の保護」
