GMO不正アクセスで“SNSをやめたくなった” 攻撃者の仕掛ける情報戦に企業と報道はどう向き合うべきか？：SNS時代の危機対応を考える（1/2 ページ）

GMOインターネットのVPSサービスへの不正アクセスは、顧客情報の漏えいだけでなく、攻撃者による情報公開、企業の対抗措置、SNSでの真偽不明情報の拡散を招いた。攻撃者が仕掛ける「劇場型」の情報戦に、企業も報道も巻き込まれていないか。SNSをやめたくなった記者が、事件の経緯を振り返りながら考える。

[田渕聖人，＠IT]

　昨今続出している不正アクセス被害の中でもひときわ注目されているのが、GMOインターネット（以下、GMO）が提供するFXの自動売買（システムトレード）に特化した仮想専用サーバ（VPS）サービス「お名前.com デスクトップクラウド」の事件だ。

　同社は2026年10月21日に不正アクセスを確認後、サービスを停止。その後の調査で、システムのセキュリティ問題と顧客情報の外部流出が判明。一部の顧客からは、取引口座で身に覚えのない取引があったとの報告も寄せられた。同年10月27日には攻撃者とみられる人物が、漏えいした顧客情報と称するデータを公開した。同社は、これに先立って身代金を要求されていたことも明らかにしている。また、同社は今回の事件に伴い、情報の拡散防止や被害者への補償、犯人特定に向けた情報提供の呼び掛けなど、対応を拡大している。

　本稿執筆時点（2026年10月29日）に公開されたリリースの第16報で、犯人特定に向けた専用情報提供サイトには321件の投稿が集まっており、GMOは同日に公開した第15報で、ホワイトハッカーチームの独自調査などを駆使して「犯人の特定につながると考えられる有力な情報を入手した」と発表している。

　また、総務省が2026年10月27日付で通信事業者の業界団体に対し、攻撃者側のサイトへの接続遮断（ブロッキング）を要請していたことも明らかになった。個人情報の拡散による二次被害を防ぐための措置だが、要請と実際の遮断措置は区別する必要がある。このように不正アクセス発覚から約1週間が経過し、進展が見られている。

　このコラムでは、GMOによる情報発信、攻撃者による“劇場型の犯行”、同事件によって加熱した報道やSNSについて記者の所感を書く。記事の最後には、現状までの事件の一連の流れをまとめたので理解の助けにしてほしい。

“SNSをやめたくなった”　劇場型ランサムにうんざりした記者の所感

　2026年7月以降、不正アクセス被害報告が相次ぐ中、日本企業のセキュリティ対策が改めて問われている。それは当然と言えば当然なのだが、記者がもう一つ問題だと感じているのは、「X」（旧Twitter）といったSNSで拡散される根拠不明の情報の氾濫だ。

　多くの人々がサイバーセキュリティに関心を持ち、情報を発信している点は素直に喜ばしい。実際、GMOの事件でも多くのセキュリティエンジニアがOSINTを駆使して、攻撃者の特定につながるような分析結果を公開しているし、初期侵入経路の特定につながる脆弱（ぜいじゃく）性情報の深掘りをしている投稿もあり、記者も大いに参考にさせてもらっている。

　ただ、これらの情報の中には偽情報や誤情報、単に被害企業に対する恨み節ではないかと思うようなものも混じっている。もちろん公開情報を基にした推測を投稿するのを否定するわけではないし、複数の情報を積み上げて一つの仮説を提示することは間違っているとは思わない。（記者も自分の番組でやっているし、その線引きは難しい）。

　企業への恨み節だって情報漏えいの被害者であれば当然持つべき感情だし、シンプルな脆弱性やお粗末なセキュリティホールを突かれて侵入されたのであれば、小言の一つでも言いたくなる。ただGMOの件では特にそれが（記者のタイムラインでは）目立ち、一時SNSをやめたくなった。

　ただ、真偽不明の情報が“バズって”拡散され、それがさらなる真偽不明の情報を招く現状は、正しくSNSにおける偽・誤情報拡散の典型的なケースだ。多くのセキュリティエンジニアが善意で発信する情報は有益だが、裏取りも不十分なものもあったり、意図しない誤りも含まれる。これによって現場対応に当たるセキュリティ担当者が混乱・疲弊する事態は避けなければならないだろう。

　特にGMOの事件では、攻撃者が「毎日1件ずつ被害者情報をリークサイトに公開する」という“劇場型の情報発信”をしたことでSNSで注目が集まり、これに対して企業側も「攻撃者に屈しない」という姿勢を見せるためか、情報発信がヒートアップ。関連した有益な情報提供だけでなく、偽・誤情報、被害企業への悪口・擁護などが飛び交いカオスな様相を呈している。

　ランサムウェアグループをこれまで追ってきて思うのは、攻撃者にとって侵害による被害の大きさを声高に主張するのは、身代金支払いのプレッシャーを高めるための基本戦略だ。攻撃者が情報公開を交渉上の圧力として利用していたとすれば、公開日時を予告し、社会の注目を集めること自体が戦術の一部だった可能性がある。

　GMOのセキュリティ技術力そのものについては、今回の事案だけで評価することはできない。一方、情報発信については、攻撃者に屈しない姿勢を示すことと、顧客に必要な情報を届けることの境界が、必ずしも明確ではなかったように感じる。顧客への注意喚起や被害対応に関する情報に加え、攻撃者との対決を強く印象付ける発信も目立った点は、情報発信の在り方について考えさせられる部分があった。

　顧客の安全確保や被害拡大の防止に必要な情報発信まで否定するつもりはない。むしろ問題にしたいのは、攻撃者が情報公開の日時を予告し、世間の注目を集める中で、企業側がその動きに即応するほど、結果的に攻撃者が設定した時間軸に沿って事件が語られることになりかねないという点だ。攻撃者の発信に注目が集まるほど、企業の対応もその動きに左右されやすくなる。

　インシデント対応では、顧客が今すぐ取るべき行動を伝えることと、調査の途中経過を公表すること、攻撃者への姿勢を示すことは、それぞれ目的が異なる。だからこそ、発信の頻度そのものを問題にするのではなく、誰に何を伝えるための発信なのかを明確にする必要がある。今回の事案は、攻撃者との対決姿勢を示すことが、顧客への情報提供や被害対応とどう両立するのか、企業の危機対応に問いを投げ掛けたものだと感じる。

　また、この“劇場型ランサム”を成立させた要因の一つとして、報道の在り方も検証する必要がある。攻撃者による情報公開の予告や公開されたデータそのものをセンセーショナルに扱えば、結果的に攻撃者の宣伝を後押しし、顧客情報への関心や拡散を促しかねない。一方で、被害の実態や顧客が取るべき対策を伝える報道には重要な役割がある。問われるのは報道の量だけではなく、何を伝え、何を拡散しないかという判断だ。

　この先も不正アクセス被害がなくならないなら、今回のような事件はまた起きるだろう。記者としては企業には、普段のセキュリティ対策の重要性もさることながら、発信する情報の制御や発表の仕方、顧客への補償といった“情報漏えいのその先”を考えてほしいと切に願っている。

　過剰化した果てしない情報戦の行き着く先で喜ぶのは、攻撃者たちだ。