GMOが能動的サイバー防御を要請 AI時代に攻撃元の無力化が必要な理由

2026-10-24 コメント投稿する ▼

GMOインターネット株式会社が提供するFX自動売買向けの仮想サーバーで不正アクセスが起き、同社は2026年10月24日、不正取引の損失を補償する方針と、能動的サイバー防御の政府への緊急要請を発表しました。政府関係者は個別企業の求めで発動する制度ではないと説明しています。一方で、AIが攻撃側の道具にもなり、修正プログラムの公開前から悪用が始まる例が日常的になるなど、脆弱性対策だけでサーバーやサイトを守るのは難しくなっています。英国では悪意あるサイトを素早く削除する取り組みが成果を上げており、攻撃元を無力化する手段と透明性のある運用の必要性を解説します。

GMOが能動的サイバー防御を政府に緊急要請した経緯

GMOインターネット株式会社が提供するFX自動売買向けの仮想サーバーサービス「お名前.com デスクトップクラウド」で、不正アクセスが起きました。同社は2026年10月20日に一部のサーバーで不正なプログラムを確認し、2026年10月21日の午前4時以降、全プランを順次停止しています。影響の可能性があるサーバーは26,739件で、サーバー内に保管された情報が閲覧された可能性があるとして、利用者にはFX口座などのパスワード変更を求めました。

2026年10月24日、同社は不正アクセスが原因で個人投資家らのFX取引に生じた不正取引の損失や手数料を補償する方針を発表しました。市場の変動による損失や逸失利益などの間接的な損害は対象外ですが、全利用者に一律5,000円の見舞金も支払います。攻撃した側とされる相手から金銭を要求されたものの、同社は応じない方針です。応じなければ国内外70社超の顧客口座への不正操作を続けるとも脅されたと説明しています。

FX口座を不正に操作されて数百万円の被害が出たという報告を見て、ひとごとではないと背筋が寒くなりました。

同日、同社は2026年10月1日に本格施行された能動的サイバー防御関連法に基づき、本件を「発動第1号」事案と位置づけ、攻撃基盤の追跡や遮断、無力化といった実効的な措置を政府に緊急要請したことも明らかにしました。民間企業が自ら、国の強い権限の発動を求めた異例の動きです。

政府が個別企業の要請では発動しないと説明する理由

能動的サイバー防御のうち無害化措置は、警察や自衛隊が攻撃元のサーバーに入り、攻撃プログラムの停止や削除を行って機能を止め、被害を防ぐ仕組みです。実施できるのは、放置すれば人の生命、身体または財産に重大な危害が生じるおそれがある場合や、外国政府が関係する組織的で計画的な攻撃の場合に限られます。実施には独立機関の「サイバー通信情報監理委員会」の事前承認が原則として必要で、緊急の場合は事後通知も認められています。海外のサーバーが対象なら、外務大臣との事前協議も必要です。

一方、政府関係者は2026年10月24日、「要請は法的根拠がなく、個別企業の求めに応じて発動を決める制度ではない」と強調しました。本来は攻撃の兆候を把握して未然に被害を防ぐ措置でもあり、別の政府関係者は「被害発生後では意義が乏しい」と説明しています。要請が公表されたことで、無害化を実施した場合に「手の内をさらすことになる」と懸念する政府高官もいます。政府は、実施したかどうかを事案ごとに公表しない方針で、同社の対応への戸惑いも広がっています。

国が個別の会社の要請では動かないのは分かりますが、被害が出てからでは遅いという気持ちも正直あります。

国の安全に関わる強い権限を扱う以上、政府が自ら重大性や緊急性を見極めるという立場には、もっともな面があります。ただし、民間の大企業でも単独では防ぎきれない攻撃が現実に起きています。強い権限だからこそ、使う条件と手順を国民に分かる形で整えることが、次の課題です。

AIで攻撃が速くなり脆弱性対策だけでは守りきれない現実

サーバーやサイトを守る基本が脆弱性対策であることは、今も変わりません。脆弱性とは、プログラムの弱点や欠陥のことで、見つかった弱点を修正プログラムで塞ぐのが基本の守り方です。しかし、その前提が崩れ始めています。

米国のセキュリティ企業が2026年5月に公表した報告書は、AIを使って開発したと同社が判断する、未知の弱点を突く攻撃手法を、攻撃者が実際に使っているのを初めて確認したと明らかにしました。さらに同じ報告書は、中国や北朝鮮に関係する攻撃グループが、AIを使って脆弱性の調査や攻撃の検証を進めていることにも触れています。

GMOほどの会社でも突破されるなら、自力だけでサイトやサーバーを守るのは無理があると感じます。

別の米国企業が2025年に実施した50万時間超の侵入調査をまとめた2026年3月の報告書では、攻撃者が弱点を悪用し始めるまでの平均時間が、推計で「マイナス7日」まで縮んだとされています。報告書はこれを、修正プログラムの公開前から悪用が日常的に起きていることの表れだと説明しています。最初の侵入口として脆弱性の悪用が全体の32%を占め、6年連続で最多でした。

国内でも、警察庁によると2025年のランサムウェア（身代金を要求するウイルス）の被害報告は226件で、前年の222件を上回りました。国の専門機関が2026年1月に発表した組織向けの脅威ランキングでも、「AIの利用をめぐるサイバーリスク」が初めて3位に入っています。

修正を急いでも、公開前から悪用されるのであれば、受け身の対策だけでは追いつきません。AIが攻撃側の道具にもなった今、脆弱性対策は欠かせないものの、それだけでは十分ではなくなっています。

攻撃元の無力化を急ぐべき理由と海外の先行例

攻撃元を止める取り組みは、すでに海外で成果を上げています。英国の政府機関は、悪意のあるウェブサイトを、サーバーを貸す事業者と連携してほぼリアルタイムで削除する仕組みを運用しています。2025年10月に公表された年次報告によると、削除したサイバー攻撃の事案は約120万件と報告されました。政府機関を狙った攻撃の半数は1時間未満で削除され、前年は約4時間でした。

パッチを当てても間に合わない時代なら、攻撃してくる側を止める手段が国にあってほしいです。

日本の無害化措置は、警察や自衛隊が攻撃元に入って機能を止められる点で、さらに踏み込んだ仕組みです。守る側だけが対策を重ね続けると、攻撃側には費用も危険もほとんど生じません。攻撃元の無力化は、攻撃が割に合うという構図を崩す力になり得ます。

高市早苗氏（首相）は2026年10月23日、サイバーセキュリティの強化を急ぐ考えを示し、国民の不安はこれまでとは格段に違う深刻な状態だとの認識を述べたと報じられています。能動的サイバー防御を実効性のある制度に育てることは、国民の財産と暮らしを守るために欠かせません。

最後に必要なのは、運用の透明性と迅速さの両立です。委員会による事前承認という歯止めを保ちながら、事業者からの情報提供を受け付け、緊急時に素早く判断できる体制を整えることが求められます。GMOの今回の要請は、制度の使い方を社会全体で考えるきっかけになりました。