GMOインターネットグループの「お名前.com デスクトップクラウド」への不正アクセスで、攻撃者は2026年10月27日正午、顧客のものだとする個人情報を公開しました。読売新聞は、公開された情報と氏名などが同じ人物が、GMOのクラウドサービスの利用は「一度もない」と答えたと報じています。
公開された1人目がクラウドを使っていないのだとしたら、何が原因なのでしょうか？
名前が公開されても、その人がGMOの顧客だとは限らない
10月27日の第12報で、GMOは攻撃者が公開したものを「公開された情報と称するもの」と呼び、「当社グループによる確認を経ていない情報には、事実と異なる内容が含まれる可能性もあります」と書いています。攻撃者が公開した時点では、GMOはそれが自社の顧客の情報かどうかを確かめていません。
GMOが個別に連絡するのは、公開された情報に「ご自身の情報が含まれていることを当社が確認した場合」です。公開された人が顧客かどうかは、GMOが手元の顧客データと突き合わせて初めて分かります。
攻撃者は、情報の公開を材料にGMOへ金銭を要求している
ITmedia NEWSによると、GMOインターネットグループの熊谷正寿代表は10月26日のブログで、攻撃者が当初、21日午後5時を期限に5,000万ドルを要求していたことを明らかにしました。攻撃者はその後、27日正午までに100万ドルを払わなければ、顧客情報の公開やランサムウェア攻撃を行うと要求を変えています。
個人情報の公開は、GMOが支払わなかった場合に行うと、攻撃者が予告していたものです。同じ記事によると、GMOは金銭の要求に応じない方針で、攻撃者は予告した27日正午のあとに情報を公開しました。
1人目がクラウドを使っていなくても名前が公開される原因は、3つ考えられる
いま公表されている事実から考えられる原因は、以下のとおりです。3つとも、本人がクラウドを一度も使っていなくても、名前が公開されることがあります。
| 考えられる原因 | 何が起きたか | 根拠になる公表 |
|---|---|---|
| 攻撃者が、GMOから持ち出したものではない情報を混ぜた | GMOの顧客の情報として公開したものに、別の情報が入っていた。その情報をどこから手に入れたかは公表されていない | GMOは公開の前から、攻撃者が公開するものに事実と異なる内容が含まれるおそれがあると注意していた（第4報） |
| 利用者がサーバーに置いていた他人の情報 | 利用者が自分のサーバーに保存したファイルに、利用者ではない人の情報が入っていた | 利用者が自分でサーバーに保存した情報は、影響範囲に含まれる（第3報） |
| 本人の名義が別の人に使われていた、または同姓同名 | 本人以外が本人の名義で契約していた。または、別の人と情報の一部が重なった | 報道は、公開された情報と「氏名など」が同じ人物としている |
よくある疑問
Q：自分の名前が出ていないか、情報が公開されたサイトで確かめてもよいのでしょうか？
A：GMOは、そのサイトにアクセスしないよう呼びかけています。サイトにアクセスした人の情報は攻撃者に取得されていることを確認したとしており、既にアクセスした人には、ウイルス対策ソフトでパソコン全体を検査するよう求めています。顧客の情報が含まれていた場合は、GMOから個別に連絡が来ます。
GMOは、公開された情報が顧客のものかをまだ公表していない
10月28日時点で、公表されていることと、されていないことは以下のとおりです。
| 項目 | 公表されていること | 公表されていないこと |
|---|---|---|
| 公開された情報が顧客のものか | 顧客の情報が含まれていると確認した人には、個別に連絡する（第12報） | 公開された情報のうち、顧客の情報と一致したものがあるか |
| 持ち出された情報 | 顧客の情報が外部に持ち出された（第4報） | 持ち出された情報の種類と件数 |
| 影響の範囲 | 影響の可能性があるサーバーは26,739件で、不正アクセスが確認された件数ではない（第3報） | 実際に情報を取られた利用者の数 |
| 侵入経路 | サービスのシステムにセキュリティ上の問題があった（第4報） | 攻撃者がどこから侵入したか |
| GMOの対応 | 情報が公開された顧客に、1公開につき上限300万円とする特別見舞金を払う。関与した人の特定につながる情報に、総額100万ドルを上限とする懸賞金を設ける（第12報） | 公開された人のうち、特別見舞金の対象になる人数 |
3つのどれが原因かは、GMOが公開された情報と顧客データを突き合わせた結果を出すまで判断できません。その結果が公表されたとき、1人目の件はどの原因に当てはまるのでしょうか。
