この記事の要点
- GMO事件では、攻撃者の主張をもとにした手口の解説、犯行声明サイトの観察や分析、SNSでの犯人探しが、公式発表を上回る勢いで広がっている
- 第三者の分析には、他社や利用者が自分の環境を見直すきっかけになるという価値がある
- しかし、検証されていない主張の拡散、注目そのものを燃料にする攻撃者への加担、被害者や無関係な人への二次被害、捜査の妨げといった危うさも大きい
- GMOは懸賞金の募集要項で、システムへの侵入、攻撃者への接触、漏えい情報の購入、SNSでの犯人の推測、攻撃者サイトの閲覧などを明確に禁じた。これは第三者が守るべき線引きとして参考になる
- あるべき姿は「見ない・広めない・決めつけない・正規の窓口につなぐ」。技術者やメディアには、主張と事実を分け、被害者の情報を扱わない規律が求められる
「お名前.com デスクトップクラウド」への不正アクセスは、攻撃者が約80億円を要求し、10月27日からは利用者の情報とするものを「毎日正午に」公開すると予告するなど、異例の展開をたどっています。GMOインターネットグループは要求を拒否し、10月28日には攻撃者の特定につながる情報に総額上限100万ドルの懸賞金を設けました。
この事件では、当事者でも捜査機関でもない第三者の動きが目立っています。攻撃者の声明を読み解いて侵入の手口を解説する記事、攻撃者のサイトを観察して分析する投稿、そしてSNSでの犯人探し。関心の高さは、それだけ多くの人がこの事件を「自分ごと」と感じている表れでもあります。
一方で、この盛り上がりは本当に被害者や社会のためになっているのでしょうか。この記事では、第三者による分析の価値と危うさを整理し、立場ごとにどう関わるのがよいのかを考えます。
いま、第三者は何をしているのか
報道やSNS、技術ブログで見られる第三者の動きは、大きく4つに分けられます。
| 動き | 具体的な内容 | 主な問題点 |
|---|---|---|
| 手口の解説 | 攻撃者が公開した「侵入経路の説明」や画像をもとに、共通の管理者権限、Active Directoryの構成、リモートデスクトップのドライブ共有などを技術的に解説する記事が相次ぐ | GMOは侵入経路を公表しておらず、元になっているのは攻撃者の一方的な主張。解説が重なるほど、主張が事実のように受け取られていく |
| 攻撃者サイトの観察・分析 | 犯行声明サイトの構成や更新を追い、サイトに訪問者を記録する仕組みがあったように見える、といった分析が出ている | 分析するには攻撃者のサイトにアクセスする必要がある。記録は攻撃者側のサーバー上のもので、改ざんされている可能性もある |
| SNSでの犯人探し | 「元社員ではないか」「日本人ではないか」「空売り目的ではないか」などの推測が広がる | どれも決め手がなく、外部から確かめる方法もない。無関係な人が名指しされるおそれがある |
| 公開情報の閲覧・拡散 | 攻撃者が公開した「被害者」のページを見に行き、内容やスクリーンショットを共有する | 被害者を二重に傷つける。GMOは閲覧者の情報も攻撃者に取得されているとしている |
犯人像をめぐる個々の説がなぜ確かめられないのかは、前回のコラムで詳しく検証しています。
第三者の分析には価値もある
最初に強調しておきたいのは、第三者による分析そのものが悪いわけではない、ということです。
- 他の人が自分の環境を見直すきっかけになる：たとえば「リモートデスクトップのドライブ共有は、接続先が乗っ取られると手元のPCへの通り道になりうる」という指摘は、今回の真偽とは関係なく、同じ仕組みを使う多くの企業や個人に役立つ一般的な教訓です。
- 情報の空白を埋める：被害企業が調査中で語れないことは多く、利用者は「自分は何をすべきか」を知りたがっています。公式情報を整理し、分かりやすく伝える役割は、メディアや専門家にもあります。
- 防御側の知見が共有される：攻撃の痕跡や手口の情報を専門家同士で共有し、検知や対策に生かすことは、セキュリティ業界が長く続けてきた営みです。
問題は、分析するかどうかではなく、何を材料に、どこまで踏み込み、どう発信するかにあります。
それでも「あるべき姿」とは言えない5つの理由
1. 攻撃者の「劇場」に観客として参加してしまう
今回の攻撃者は、期限を区切り、情報を毎日少しずつ公開すると予告しています。少しずつ出して注目を保ち、被害企業に圧力をかけ続けるのは、リークサイトを使う恐喝の典型的な手法です。注目が集まるほど、攻撃者の交渉材料は強くなります。サイトを見に行き、更新を実況し、話題として盛り上げることは、意図せず攻撃者の演出に協力することになります。
2. 検証されていない主張が「事実」になっていく
攻撃者が語る侵入経路や内部の事情は、技術的にもっともらしく見えます。しかし、被害企業の弱点を具体的に語るのは、不安をあおって信頼を揺さぶり、支払いに追い込むための常とう手段でもあります。その説明を元にした解説記事が増えるほど、出発点が「攻撃者の主張」だったことは忘れられ、もっともらしさと事実の区別がつかなくなっていきます。誤った原因が広まれば、本当に必要な対策から目がそれることにもなります。
3. 被害者と無関係な人を傷つける
攻撃者は個人名を掲げたページを作りました。名前が載っていることは、その人が本当に被害者であることの証明にはなりません。名前や内容を広めることは、被害者本人や、たまたま同じ名前の無関係な人を深く傷つけます。犯人探しも同様で、根拠のない名指しは取り返しのつかない被害を生みます。
4. 捜査と被害企業の対応を妨げうる
攻撃者のサイトに大勢が出入りしたり、攻撃者に接触したりすれば、捜査機関が追う痕跡に雑音が混ざり、攻撃者に警戒されるきっかけにもなりえます。GMOが懸賞金の募集要項で、証拠となりうる記録を改変しないことや、攻撃者と交渉しないことを求めているのは、そのためだと考えられます。
5. 調べる側にも法的・技術的なリスクがある
相手が犯罪者のシステムであっても、認証を突破したり、漏えいしたIDとパスワードでログインしたりすれば、不正アクセス禁止法に触れるおそれがあります。根拠のない名指しは名誉毀損に問われる可能性があり、GMOは悪質な拡散者に対して発信者情報の開示請求や刑事告訴などの法的措置を準備しているとしています。技術的にも、攻撃者が用意したサイトやファイルは、閲覧者の情報を集めたり不正なプログラムを仕込んだりする罠である可能性を否定できません。
GMOが懸賞金で示した「線引き」
GMOが10月28日に公開した懸賞金の募集要項には、情報提供者に対して次のような行為をしないよう明記されています。第三者が事件に関わるときの線引きとして、そのまま参考になる内容です。
- 許可なくシステムやアカウントにアクセスしない。不正なプログラムの使用や攻撃をしない
- 漏えいしたデータや認証情報を不正に入手したり、購入したりしない
- 攻撃者と交渉したり、支払ったりしない
- 個人を脅したり、追跡・拘束したり、個人情報を公開したりしない
- 証拠となりうる記録を改変・削除・ねつ造しない
- SNSで容疑者について推測したり、被害者の個人情報や漏えいしたとされるデータを共有したりしない
- 新たに作られたものも含め、攻撃者のサイトを閲覧しない
一方で、要項は情報を提供する際に「事実と推測を分けること」「いつ、どのように入手したかを説明すること」「出典と確認日時を示すこと」「アカウントや IP アドレスを特定の人物と結びつける根拠を説明すること」を求めています。生成AIが作った未検証の情報は対象外とも明記しました。これは、責任ある分析に求められる作法そのものと言えます。
立場ごとの「あるべき関わり方」
| 立場 | やってよいこと | やめるべきこと |
|---|---|---|
| 一般の利用者・SNS利用者 | 公式発表を確認する。自分のアカウントや端末の対策を進める。便乗した詐欺に注意を呼びかける | 攻撃者のサイトを見に行く。被害者の名前や公開情報を共有する。犯人を推測して投稿する |
| セキュリティ技術者・研究者 | 公式情報や合法的に得られる情報を分析する。主張と事実を分けて書く。一般化できる防御策を発信する。攻撃の痕跡などの情報は当事者、警察、JPCERT/CCなどの正規の窓口に届ける | 攻撃者のシステムへの侵入や接触。漏えいデータの入手。被害者の情報を含む資料の再掲。注目を集めるための断定的な発信 |
| メディア・情報発信者（当サイトを含む） | 公式発表を軸に伝える。攻撃者の主張は「主張」と明記する。読者が取るべき行動を示す | 個人名やリークサイトの所在を載せる。「犯人は○○か」といった見出しで推測をあおる。攻撃者の声明を検証なしに大きく扱う |
| 企業（従業員の行動として） | 業務端末で攻撃者のサイトや漏えい情報にアクセスしないルールを決める。気になる情報は情報システム部門に報告させる | 従業員が業務端末で「調べてみた」をすることを放置する。社内チャットで真偽不明の情報を回覧する |
当サイトも、この事件を報じる側の一員です。個人名と攻撃者のサイトの所在を掲載しないこと、攻撃者の主張は主張として扱うことを、編集の方針としています。
被害企業の側にできること
憶測は、公式情報の空白に入り込みます。GMOは10月21日の第1報から27日の第12報まで、1週間で12回の報告を出し、利用者への依頼や補償の内容を具体的に示してきました。それでも、侵入経路のように調査中で語れないことは残ります。そこに攻撃者の主張が入り込み、第三者の解説で増幅されたのが今回の構図です。
自社が被害を受けたときに備え、「分かっていること」「調査中のこと」「利用者にしてほしいこと」を分けて、決まった時刻に発信する体制を平時から整えておくことが、憶測の広がりを抑えるいちばんの手段になります。あわせて、攻撃者の主張が出回ったときに、どこまで認め、どこを否定するかの判断手順も決めておくとよいでしょう。
よくある質問
Q. 攻撃者のサイトを見るだけなら、違法ではないのですか？
閲覧すること自体が直ちに違法になるとは限りません。しかし、GMOは閲覧者の情報が攻撃者に取得されているとしており、閲覧した人が新たな標的になるおそれがあります。また、そこで得た個人情報などを広めれば、法的な責任を問われる可能性があります。見ないことが最も安全です。
Q. 手口の解説記事は読まないほうがよいのですか？
読むこと自体は問題ありません。大切なのは、内容が公式発表に基づくのか、攻撃者の主張に基づくのかを見分けることです。主張を元にした記事でも、「ドライブ共有を無効にする」「共通の管理者アカウントをなくす」といった一般的な対策は、自社の点検に役立ちます。
Q. 攻撃者について有力な情報を持っている場合は、どうすればよいですか？
SNSに投稿せず、GMOが設けた懸賞金の窓口か警察に届けてください。その際は、事実と推測を分け、入手の経緯と日時を添えることが求められています。攻撃者に接触したり、自分で調べを進めたりしないでください。
Q. 犯人に関する投稿を、確認せずにシェアしてしまいました。
気づいた時点で投稿を削除し、必要に応じて「根拠のない情報だった」と訂正してください。拡散した人も責任を問われる場合があります。
まとめ：見ない・広めない・決めつけない・正規の窓口につなぐ
大きな事件に関心を持ち、仕組みを理解しようとすることは、セキュリティ意識の高まりとして歓迎すべきことです。しかし、今回のように攻撃者が注目を武器にしている事件では、善意の分析や好奇心が、攻撃者の演出や被害者への二次被害に結びついてしまいます。
第三者にできる最も確かな貢献は、攻撃者のサイトを見ないこと、被害者の情報を広めないこと、根拠なく決めつけないこと、そして本当に役立つ情報は正規の窓口につなぐことです。技術者やメディアには、主張と事実を分け、被害者を守る側に立った発信が求められています。そして企業にとっての本当の教訓は、犯人が誰かではなく、自社の環境に同じ弱点がないかを点検することにあります。
あわせて読みたい
自社が「渦中の企業」になったとき、最初の72時間に何をするか決めていますか
サイバーセキュリティ総研では、端末の24時間監視と初動対応を担うMDRや、外部から狙われやすい弱点を洗い出す脆弱性診断を提供しています。「何から備えればよいか分からない」という段階からご相談いただけます。
参照：GMOインターネットグループ 第12報（2026年10月27日）／GMOサイバー犯罪撲滅・懸賞金（募集要項）／ITmedia NEWS（2026年10月27日）／CNET Japan（Yahoo!ニュース、2026年10月27日）