GMO vs ハッカー｜80億円の要求を拒否、懸賞金と独自調査で対抗した全経緯

01この記事でわかること

この記事では、次の5つを順に説明します。

• 攻撃者が何をしてきて、GMOがそれぞれにどう応じたか（日時つきの一覧）
• 約80億円の要求を「払わない」と決めた理由
• 懸賞金（犯人の特定につながる情報に払うお金）という、日本企業ではあまり見ない手段の中身
• 犯人サイトの停止、SNSへの対処、ホワイトハッカーの独自調査と警察への情報提供
• まだ分かっていないことと、中小企業が自社の備えに生かせること

使った資料は、GMOインターネットグループの「重要なお知らせ」（第4報〜第16報）と、親会社の適時開示です。適時開示とは、上場企業が株価に影響しうる出来事を、証券取引所のルールに沿ってすぐに公表することです。報道やSNSの情報は使っていません。

なお、この記事は犯人が誰かには触れません。GMOも犯人の名前や国籍などは公表していません。GMOは、根拠のない犯人捜しや名指しをしないよう呼びかけています。この記事もそれに従います。

02対立の全体像（攻撃者 vs GMO）

やりとりを大きく分けると、攻撃者は「お金を払え。払わなければ口座を荒らし、情報をばらまく」と迫りました。GMOは「払わない。そのかわり利用者を補償し、犯人を捕まえる側に回る」と応じました。

GMOの発表での呼び方も、途中で変わっています。第11報までは「攻撃者とみられる者」と書いていました。第12報（10月27日19時10分）からは「攻撃者とみられる者（以下、「犯人」と呼びます）」と書き、以後は「犯人」「犯人サイト」という言葉を使っています。この記事のタイトルの「ハッカー」は、分かりやすさのための言い方です。本文では、GMOの発表に合わせて「攻撃者」「犯人」と書きます。

ランサムウェアとは、データを使えなくしたり盗んだりして、元に戻すことや公開しないことと引き換えにお金を求める攻撃です（用語集：ランサムウェア）。今回は、攻撃者がランサムウェア攻撃をすると予告していました。ただしGMOは、10月27日13時55分（第10報）の時点で、ランサムウェア攻撃は確認されていないとしています。

03時系列：攻撃者の動きとGMOの一手

GMOの発表に書かれた日時です。「—」は、その欄に当たる発表がないことを示します。

1. 10月19日
   —

   利用者の問い合わせを受けて調査を開始

2. 10月20日
   —

   一部のサーバーで不正なプログラムの設置を確認。新規申し込みとコントロールパネルを停止

3. 10月21日 4:00
   脅迫メールを送付（約80億円の要求）

   全プランのサーバーを順次停止し、第1報

4. 10月22日
   —

   13:00に警察に相談。16:59に第2報

5. 10月24日 11:50
   要求に応じなければ、口座の不正操作の継続、情報の公開、ランサムウェア攻撃をすると連絡（第4報で公表）

   第4報。要求に応じない方針、お見舞金・損失補償・代替サービスを公表。通信記録などの証拠を警察に提出し、捜査を要請。政府に能動的サイバー防御の適用を要請

6. 10月25日
   —

   利用者に端末調査への協力を依頼

7. 10月26日 23:10
   10月27日12:00に情報の公開とランサムウェア攻撃をすると予告（第7報で公表）

   第7報で予告を公表。預かった端末の解析を開始

8. 10月27日 9:58〜11:59
   —

   第8・9報。12:00前にパソコンの電源を切るよう依頼。解析を終えた端末からマルウェアは見つかっていないと報告

9. 10月27日 12:30
   情報と称するものを公開（GMOが12:30に確認）

   13:55に第10報で発表。サイトを開かないよう警告

10. 10月27日 14:55
    —

    第11報。拡散をやめるよう依頼。悪質な拡散者への法的措置の準備

11. 10月27日 19:10
    —

    第12報。「永久に応じません」と表明。特別見舞金と懸賞金を公表

12. 10月28日 午前4時ごろ
    —

    関係事業者と連携し、犯人サイト（ミラーを含む）のドメインが止まったことを確認。11:00に第13報で発表

13. 10月28日 12:00
    —

    懸賞金の専用サイトを開設。同日、親会社が対応方針を適時開示

14. 10月28日 18:20
    —

    第14報。6時間で113件の情報。Xの関連投稿20件に警告。端末からマルウェアやランサムウェアの痕跡は見つかっていない

15. 10月29日 12:40
    —

    第15報。ホワイトハッカーチームの独自調査で犯人の特定につながると考える情報を入手し、同日に警察などへ提出すると発表

16. 10月29日 20:50
    —

    第16報。懸賞金への情報は18:00時点で累計321件

表を見ると、GMOの発表は10月27日だけで5本出ています。攻撃者が予告した「12時」をはさんで、2時間おきに状況を伝えていたことが分かります。

0480億円の要求と「払わない」判断

何を要求されたか

GMOによると、脅迫メールを受け取ったのは10月21日で、要求額は約80億円です。第4報（10月24日）では、要求に応じない場合に攻撃者がすると伝えてきた内容として、次の3つを挙げています。

1. 国内外の70を超える証券会社・FX会社などにある利用者の取引口座で、不正な注文を続ける
2. サービスと、サービスに接続した利用者のパソコンの情報を公開し、ランサムウェア攻撃をする
3. GMOのシステムや運用体制などの情報を公開する

このように、盗んだ情報や人質にしたデータと引き換えにお金を求めることを「身代金の要求」と呼びます（用語集：身代金の支払い）。今回は、会社だけでなく利用者の口座やパソコンまで脅しの材料にされた点が特徴です。GMOも第12報で、利用者の資産と情報を脅迫の手段とする行為を「極めて重大に受け止めています」と書いています。

払わない理由として挙げたこと

GMOは第4報から一貫して「攻撃者からの要求には応じません」としています。理由は、発表が進むにつれて書き足されました。

• 第4報（10月24日）：要求に応じても、取得された情報の削除や不正利用の防止が保証されるものではない
• 第11報（10月27日）：上に加えて、払えば犯罪者や犯罪組織への資金提供につながり、さらなるサイバー攻撃を助長し、新たな被害を生み出すおそれがある。そうした犯罪行為を助長しないという社会的責任から払わない
• 第12報（10月27日）：「要求には永久に応じません」と書き、「卑劣な犯罪行為を助長せず、撲滅する社会的責任」と言葉を強めた

親会社の10月28日の適時開示も、「当社グループは、攻撃者からの要求には永久に応じません」と同じ方針を示しています。つまり、子会社のお知らせだけでなく、上場企業としての正式な開示でも同じことを約束した形です。

払わないかわりに何をしたか

「払わない」だけでは、利用者は不安なままです。GMOは同じ第4報で、お見舞金、損失の補償、代替サービスをまとめて発表しました。さらに「不正取引の遮断」として、主要な取引所や証券会社に、サービス経由のアクセスの遮断、ログイン中の接続の強制的な切断、不正取引の監視を求めたとしています。払わない判断と、利用者を守る手当てを同時に出したことが、この件の対応の土台になっています。

05懸賞金という異例の一手

どんな制度か

懸賞金とは、犯人の特定や逮捕につながる情報を寄せた人に払うお金です。GMOは第12報で「GMOサイバー犯罪撲滅・懸賞金」（GMO Cybercrime Bounty）を作ると発表し、10月28日12時に専用サイトを開きました。

身代金とは違うと明記

GMOは、この報奨金は「犯人への身代金や、盗まれた情報の買い取り代金ではありません」と書いています。あくまで、適法な情報提供による捜査への協力に払うものという位置づけです。

また、一般の人に「独自の侵入調査、犯人との接触、容疑者の追跡・拘束、攻撃や報復を求めるものではありません」とも明記しています。賞金ほしさに勝手な調査や犯人捜しが広がらないよう、してはいけないことを並べています。

• 許可のないシステムやアカウントへのアクセス
• 漏えいした情報や認証情報を不正に手に入れたり、買ったりすること
• 犯人と独自に交渉したり、お金を払ったりすること
• 特定の人を脅す、追いかける、個人情報を公開すること

単なる推測や、根拠のない個人・国・組織の名指しは、原則として報奨金の対象にならないとしています。犯人や共犯者、違法な手段で情報を手に入れた人も対象外です。

集まった情報の件数

GMOは、寄せられた件数を平日18時に公表するとしています。この更新は、犯人の逮捕か国際指名手配まで続けるとしています。

• 10月28日18:00：113件（開設から6時間）
• 10月29日11:30：270件
• 10月29日18:00：累計321件（前日から208件増）

件数は集まった情報の数で、そのうち何件が役に立ったかは公表されていません。親会社は、懸賞金の支払額は審査を経て決まるため未定だとしています。

06犯人サイトの停止とSNSへの対処

公開された情報への対応

GMOは10月27日12時30分に、攻撃者とみられる者が情報と称するものを公開したことを確認しました。第10報では、公開された内容には事実と違うものが含まれるおそれがあるとしています。さらに、そのサイトを開いた人の情報は攻撃者に取得されていると書き、【危険】として開かないよう求めました。すでに開いた人には、ウイルス対策ソフトでのフルスキャンを求めています（第11報）。

公開された情報に自分の情報が含まれていると確認できた利用者には、GMOから個別に連絡するとしています。また、報道機関に対しても、利用者に二次被害をもたらしうる過度な報道を控えるよう求めました。

犯人サイトのドメインが止まった

第13報（10月28日11時）によると、GMOは関係する事業者などと連携し、犯人サイト（ミラーサイトを含む）への対応を進めました。その結果、日本時間10月28日午前4時ごろ、犯人サイトのドメインが止まったことを確認したとしています。ミラーサイトとは、同じ内容を別の場所に複製したサイトのことです。

サイトを止めることを「テイクダウン」と呼びます。GMOは、同じようなサイトが新しく作られた場合も、確認しだいテイクダウンに向けて動くとしています。誰がどの手続きで止めたのかなど、具体的な方法は公表されていません。

X（旧Twitter）の投稿への警告

第13報では、犯人サイトへのリンクの掲載やリポスト、引用投稿を「厳にお控えください」と警告しました。理由として、軽い気持ちの拡散でも被害を広げ、犯人の活動を助ける結果になりかねないと説明しています。問題のある投稿は、内容・URL・日時・アカウントを記録して保全し、Xへの通報と警察への情報提供をするとしています。悪質な場合は、発信者情報開示請求（投稿した人の情報を明かすよう求める手続き）、損害賠償請求、刑事告訴を含む法的措置をとるとしています。

第14報（10月28日18時20分）では、X上の関連する投稿に累計20件の警告連絡をしたと報告しました。あわせて、リンクの共有を控えている人や、自発的に拡散を防いでいる人へのお礼も述べています。

新しい犯人サイトや、個人情報が不正に公開されているサイトを見つけた場合の通報先として、お名前.comの通報フォームが案内されています。

07ホワイトハッカーの独自調査と警察との連携

ホワイトハッカーとは

ホワイトハッカーとは、攻撃者と同じような知識や技術を、守る目的で使う専門家のことです。GMOグループには、セキュリティを専門にする会社と人材がいます。今回の発表では「GMOインターネットグループのホワイトハッカーチーム」と書かれています。

利用者の端末を預かって解析

GMOは10月25日、利用者に端末の調査への協力を求めました。第7報によると、全国から申し出があり、GMOのパートナー（従業員）が各地に出向いて端末を預かりました。預かった端末はホワイトハッカーチームが順に解析し、マルウェアが実際に仕掛けられているかどうかを調べています。マルウェアとは、持ち主の知らないうちに悪さをするソフトのことです（用語集：マルウェア）。

結果について、GMOは次のように報告しています。

• 第9報（10月27日11時59分）：解析を終えた端末からは、マルウェア（ランサムウェアを含む）は見つかっていない。ただし、すべての端末の安全を確かめたわけではない
• 第14報（10月28日18時20分）：預かった端末の解析で、マルウェアの感染やランサムウェア攻撃の痕跡は今のところ見つかっていない。調査は続ける

第8報では、トレンドマイクロ株式会社などのセキュリティ企業や、AI企業から協力の申し出を受け、内容を調整していることも明かしています。

警察などへの情報提供

警察とのやりとりは、発表の中で段階を追って書かれています。

1. 10月22日13時：警察に相談
2. 10月24日（第4報）：脅迫について、通信記録などの全証拠を警察当局（サイバー犯罪対策部門）に提出し、刑事事件として捜査を求めた。警察と所管官庁に初報を入れた
3. 10月27日（第10報）：把握できた情報は、捜査機関や関係当局などに適時伝えているとした
4. 10月29日（第15報）：ホワイトハッカーチームの独自調査で、犯人の特定につながると考えられる情報を得た。早期解決のため、同日に警察と関係各所に提出するとした

第15報が伝えているのは「情報を出す」という段階までです。その情報の中身や、提出を受けた警察の動きは公表されていません。GMOは第16報でも、攻撃と脅迫に対して刑事告訴を含む「断固たる法的対応」をとるとしています。

政府への要請

GMOは第4報で、政府の関係機関に「能動的サイバー防御」の適用を求めたとも発表しています。能動的サイバー防御とは、被害が深刻になる前に、国が主導して攻撃者の拠点や侵入経路を突き止め、無害化する考え方です。GMOは今回の件を、その「発動第1号」として扱うよう強く求めたと書いています。この要請に政府がどう応じたかは、GMOの発表には書かれていません。

08利用者を守るための補償と案内

攻撃者とのやりとりと並行して、GMOは利用者への手当てを段階的に増やしてきました。くわしい金額や手続きはGMOの不正アクセスまとめにあるので、ここでは「攻撃者の動きに合わせて何を足したか」に絞ります。

案内のしかたにも工夫があります。GMOは、自社がパスワードや認証コードを尋ねることはないと何度も書いています。また「被害金を取り戻す」などとして費用を求める連絡に応じないよう、くり返し注意しています。事件に便乗した詐欺から利用者を守るためです。相談窓口は、土日・祝日を含め24時間受け付けています。

費用の総額について、親会社の適時開示は「現時点では算定できておりません」としています。対象となる利用者の数、公開された情報の範囲、補償の対象となる取引の確認が決まっていないためです。

09まだ分かっていないこと

2026年10月29日20時50分（第16報）時点で、公式には明らかになっていないことです。この記事では推測で埋めません。

• 犯人が誰か：GMOは、犯人の特定につながると考える情報を警察などへ提出すると発表しました。しかし、犯人の特定や逮捕は発表されていません
• 侵入の方法：第4報は「本サービスのシステムにセキュリティ上の問題が存在し」と書いていますが、問題の中身は公表されていません
• 公開された情報の範囲と人数：公開された情報に含まれる利用者の数や項目は公表されていません。GMOは、該当する利用者に個別に連絡するとしています
• 被害の総額と業績への影響：親会社は算定でき次第知らせるとしています
• 懸賞金が払われるかどうか：審査で決まるため、支払額は未定です
• ランサムウェア攻撃の有無：予告はありましたが、第10報の時点で確認されていません。端末の解析も続いています
• 政府への要請の結果：能動的サイバー防御の適用を求めたことは発表されましたが、その後の動きは発表にありません

10ほかの会社が学べること

GMOは大企業で、専門の部隊も資金もあります。1億5,000万円の懸賞金をそのまま真似できる会社はほとんどありません。それでも、考え方の多くは中小企業にも当てはまります。5つに分けて整理します。

1. 「払わない」を理由とセットで早めに示す

GMOは脅迫を受けてから3日後の第4報で、払わない方針と理由を公表しました。理由は「払っても消してもらえる保証がない」「犯罪の資金になり、次の被害を生む」の2つです。ランサムウェアの被害を受けた会社が身代金を払うかどうかは、その場で考えると迷いが出ます。前もって社内で方針を決め、経営者が言葉にしておくと、いざというときにぶれにくくなります。

2. 時刻つきの「第何報」で、分かったことから出す

GMOの発表には、すべて「何時何分時点」が書かれています。毎回、末尾に「これまでの経緯」を付け、前の発表へのリンクも並べています。日付の誤りを直したときは、どこを直したかも書いています。全部分かってから出すのではなく、「開示できる範囲」で出し、あとから足していくやり方です。中小企業でも、お客様や取引先への連絡を「第1報・第2報」と番号を振って出すだけで、読む側は追いかけやすくなります。

3. 犯人捜しは「窓口を一つにして」任せてもらう

懸賞金そのものより参考になるのは、その設計です。GMOは情報の受付窓口を一つにまとめ、勝手な調査や犯人との接触、根拠のない名指しをはっきり禁じました。事件が起きると、善意の人がSNSで犯人を推理したり、漏れた情報を広めたりしがちです。自社の事件でも、「情報はここへ」「これはしないでください」を最初に示しておくと、二次被害を減らせます。

4. 証拠を残し、早めに警察へ相談する

GMOは脅迫を受けた翌日に警察に相談し、通信記録などの証拠を提出しています。脅迫メールやログ、画面の写しは、消さずに残すことが大切です。中小企業なら、都道府県警察のサイバー犯罪の相談窓口に早めに相談できます。事故のときに頼める会社を前もって決めておくと、証拠の残し方も含めて助言を受けられます（インシデント対応）。

5. 利用者の不安に、具体的な手当てで応える

GMOは、被害の有無を問わない一律のお見舞金、損失の補償、新しいパソコンの提供と、利用者の心配ごとに一つずつ手当てを出しました。同時に「パスワードは聞かない」「費用を求める連絡に応じない」と、便乗詐欺への注意をくり返しています。小さな会社でも、「何をしてくれるのか」「何に気をつければいいのか」を具体的に伝えることはできます。

事件が起きたときの全体の流れは、被害にあったときの対処でも説明しています。

11よくある質問

12この記事の更新方針

この記事は、GMOインターネットグループの「重要なお知らせ」と親会社の適時開示が新しく出たときに更新します。犯人が誰かについては、警察などの公的機関の発表があるまで書きません。推測や報道だけの情報も書きません。

次の点に動きがあれば、優先して反映します。

• 警察などへの情報提供のその後と、犯人の特定・逮捕の発表
• 懸賞金の情報件数（平日18時に更新）と、報奨金の支払いの有無
• 新しい犯人サイトの出現と、テイクダウンの状況
• 侵入の方法と再発防止策の公表
• 費用の総額と業績への影響

利用者が今すぐやることや補償の手続きは、GMOの不正アクセスまとめで更新しています。最新の公式発表は、GMOインターネットグループの「重要なお知らせ」（https://group.gmo/info/alert/）で確かめてください。