GMO事案、情報公開は誰への圧力なのか――支払拒否後も続く恐喝

GMOは10月27日の第10報で、攻撃者とみられる者による情報の公開を、同日12時30分に確認したと発表しました。「お名前.com デスクトップクラウド」の利用者に関する情報と称するものです。公開内容の真偽や被害の範囲が、すべて確認されたという意味ではありません。[1]

攻撃者側は、今後も毎日正午に情報を順次公開すると予告しています。一方で、要求に応じれば活動を停止するとも主張しています。[2] 情報を公開し、企業の評判を傷つける行為は、金銭を得る目的と両立します。私は今回の動きを、支払拒否後も利用者や世論を介して圧力をかける恐喝として見ています。

本稿は10月27日14時55分時点のGMO第11報までを踏まえた整理です。公式発表で確認できること、攻撃者側の主張、私の分析を分けて考えます。[3]

公開されたのは交渉の全容ではない

攻撃者側は、GMOに送ったとするメールの画像や、自らまとめた経過を公開しています。ただし、これらは攻撃者側が選んで示した資料です。確認した資料から、双方の交渉の全容を再現することはできません。

攻撃者側は、GMOから返信がないと主張しています。[2] その主張と、実際に接触や返信が一切なかったことは別です。送信したとする文面があっても、相手への到達や、その後の対応まで証明するものではありません。

この区別は、攻撃者の動機を読む際にも必要です。返事が来なかったから金額を下げた、ほかに手段がなくなったから公開した、とまでは言えません。外から見えるのは、攻撃者側が示した要求と予告、そしてGMOが発表した対応です。

前回の記事では、利用者の口座を人質にした構図と身代金の値付けを扱いました。[4] 今回は、情報公開が始まった局面で、誰に圧力をかけようとしているのかを考えます。

要求額の差と二つの期限

GMOグループ代表のブログは、10月21日に届いた要求額を5,000万米ドル、約80億円と説明しています。[5] 一方、攻撃者側がその後に示した要求額は100万米ドルです。10月26日の声明でも、当初の5,000万米ドルから減額したと主張しています。[2]

二つの金額を米ドルで比べると、100万ドルは5,000万ドルの50分の1です。ただし、確認できるのはこの金額の差です。減額を決めた事情や途中の条件変更まで確認できているわけではなく、交渉の巧拙や資金事情を断定する材料にはなりません。

期限も分けて読む必要があります。攻撃者側が10月24日正午に予告していたのは、GMO側の過失とする内容の公表です。100万米ドルの支払いについて掲げた10月27日正午の期限とは異なります。[2]

GMO第4報は10月24日11時50分に公表され、要求に応じない方針を示しました。[6] これを単に「支払期限の10分前の拒否」とまとめると、異なる予告を混同してしまいます。

GMOが示している不払いの理由

GMOは、利用者に関する情報と称するものの公開を確認する前から、要求に応じない方針を公表していました。したがって、今回の情報公開によって初めて支払いができなくなった、という因果関係は確認できません。[1][6]

10月27日の第11報では、要求に応じても情報の削除や不正利用の防止が保証されないことに加え、犯罪組織への資金提供を避け、新たな攻撃や被害を助長しないという社会的責任を、不払いの理由として説明しています。[3]

これはGMOが公表した判断理由です。外部から取締役会の議論まで分かるわけではありません。「上場企業だから方針変更は不可能」といった説明を加える必要もないと考えます。

攻撃者が停止を約束していることと、その約束を信頼できることは別です。情報の複製や、その後の不正利用を支払側が確実に管理できないという問題は、約束の文面だけでは解消しません。

情報公開は利用者を介した圧力にもなる

ここからは私の分析です。

攻撃者側は、利用者の訴訟を支援すると述べ、証拠の保管を呼びかけています。また、GMOグループ代表の説明に反論し、企業側の責任を強調しています。[2] これらは、利用者や世論からGMOへの批判を強めようとする動きとして読むことができます。ただし、攻撃者が述べる責任論を、そのまま調査結果として受け取ることはできません。

情報の公開予告は、利用者に「次は自分かもしれない」と思わせます。その不安が企業への問い合わせや抗議につながれば、攻撃者は企業との直接の接触だけに頼らず、圧力をかけられます。私は、毎日正午という予告にも、不安を長引かせる狙いがあり得ると見ています。

ただし、日々の公開が予告どおり実行されたことや、毎日一定件数が公開されることまで確認できたわけではありません。予告と実行を分けて追う必要があります。

ここで見落とせないのが、10月27日の声明でも、攻撃者側が要求への対応と引き換えに活動を直ちに停止すると主張している点です。[2] 情報公開を、金銭獲得を諦めた証拠とみるには、この主張が反証になります。

企業の評判への攻撃、利用者を介した圧力、身代金の要求は同時に成り立ちます。見せしめや報復という動機が混ざる可能性はありますが、公開文面だけで重心が金銭から移ったと断定することはできません。現時点では、公開も支払いを求める圧力の一部として捉える方が、確認できる材料に合っています。

公開行動から攻撃者像を考える

私は、今回の攻撃者には、金銭回収に向けた交渉設計の未熟さと、GMOを非難し、屈服させたいという感情が混在している可能性を見ています。以下は、公開された言動からの私の読解であり、攻撃者の経歴や内心を確認したものではありません。

身代金を得ることを優先するなら、相手が要求を受け入れる余地を残す必要があります。非公開の接触を続けるよりも、自らメールを公開し、企業への批判を強める方が、その余地を狭める場合があります。

GMOはすでに不払いを公表しています。その後に方針を変更するなら、利用者や社会への説明が必要です。攻撃者が送信文面を公開している以上、支払った事実まで公表されるのではないかという懸念も生じます。公開によって圧力が増す一方、応じる側の障壁も上がる。この両面を十分に考えた交渉なのか、私は疑問を持っています。

ただし、公開を使った恐喝は、職業的な攻撃集団も行う手法です。英国国家犯罪対策庁（NCA）のLockBitに関する発表も、情報公開を使って支払いを迫る手口を説明しています。[7] 公開したから非プロだとは言えず、攻撃者が利用者からの圧力を重視している可能性も残ります。

後に示した100万米ドルは、当初の5,000万米ドルの50分の1です。[2][5] この大きさは、初期要求の値付けが粗かった可能性を考えさせます。一方、最初の高額提示を交渉上のアンカーにした、途中で回収を優先した、という説明も可能です。Sophosの調査にも、当初要求額を下回る支払いの例があります。[8] 減額自体は非プロの証明にはなりません。

私が私情の混在を感じるのは、金額よりも相手への言葉の向け方です。攻撃者側は代表の説明を名指しで取り上げ、AIとの関係を否定し、GMOの責任を繰り返し追及しています。利用者の訴訟を支援すると呼びかけ、予告を実行する姿勢も示しています。[2] 私には、金銭取引にとどまらず、GMOに非を認めさせ、見せしめにしたいという敵意や報復感情もうかがえます。

もっとも、個人的な恨みが実在することや、過去にGMOとの関係があったことは確認できません。強い敵意を演出して、支払いを迫る戦術でも同じ文面は成り立ちます。内部者かどうか、国籍や所属などを推定する根拠にはしません。

現時点では、世論への働きかけを重視し、敵意を前面に出す一方、金銭回収の交渉には粗さがある可能性がある、という攻撃者像です。技術力は別の評価軸です。交渉が未熟に見えても、情報を取得・悪用する能力が低いとは限りません。

今後は、要求額や停止条件の一貫性、予告と確認された行動の対応、企業への非難と金銭要求の比重を見ます。その変化を追うことで、感情的な報復なのか、回収のための演出なのかという仮説を検証していきます。

次に見るべき兆候

今後は、攻撃者の予告だけでなく、GMOや関係機関が何を確認したかを見ます。公開されたとする情報の真偽、実際の不正利用、利用者への追加の脅迫は、それぞれ別に確認すべき事柄です。

第10報でGMOは、予告されていた利用者PCへのランサムウェア攻撃について、10月27日13時55分時点では確認されていないとしています。[1] これは確認状況の説明であり、攻撃が行われなかったことや、攻撃者に実行能力がないことの証明ではありません。ここから動機の変化を読み取るのも早いと思います。

攻撃者側は、利用者の知人や家族、取引先への情報送付も予告しています。[2] 仮に利用者本人への金銭要求が確認された場合は、恐喝の相手が広がった可能性を検討する必要があります。ただし、その場合もGMOへの要求が終わったとは限りません。

利用者の被害と称する内容を、攻撃者の宣伝のまま広めないことも重要です。GMOは、公開内容に事実と異なるものが含まれるおそれを指摘しています。[1] 内容を検証する作業と、不特定多数に再配布する行為は分けなければなりません。

読み手が取る行動

漏えい情報の公開先にはアクセスせず、画像や内容を転載しないでください。GMO第11報は、転載・再掲載に加え、当該サイトへのアクセスを誘導するリンクの共有も控えるよう求めています。すでにアクセスした人には、セキュリティソフトによるフルスキャンを呼びかけています。[3] 本稿にも、漏えい情報の公開先や利用者を特定できる情報は載せません。

GMOは、被害金の回収などを名目に費用を求める便乗の連絡にも注意を促しています。[1] 被害への不安を利用する相手は、元の攻撃者だけとは限りません。利用者は、公式の案内を確認しながら対応する必要があります。

企業の側は、不払いの判断と、利用者への支援や説明を切り離さずに準備しておくべきだと考えます。身代金への対応を誰が判断し、どの専門家や関係機関に相談するか。公開された情報の検証結果をどう伝え、利用者からの相談をどこで受けるか。事故が起きてから一つずつ決めるのでは、対応が遅れます。

要求を拒否した後にも、恐喝は続きます。本件から考えるべきなのは、攻撃者がなぜ支払いを受けられなくなったかではなく、情報公開を使った圧力の中で、どう利用者を守り、確認できた事実を伝え続けるかです。

出典

[1] GMOインターネットグループ／GMOインターネット「『お名前.com デスクトップクラウド』への不正アクセスに関する現在の対応について（第10報）」2026年10月27日13:55時点 https://group.gmo/info/alert/2026102703/

[2] satoru.net「GMO不正アクセス犯の犯行声明文ビュアー」（攻撃者側の声明の書き起こし。2026年10月27日掲載分まで参照。内容は攻撃者側の主張であり、事実認定の根拠とは区別） https://satoru.net/hacker/gmo/261025-seimei.html

[3] GMOインターネットグループ／GMOインターネット「『お名前.com デスクトップクラウド』への不正アクセスに関する現在の対応について（第11報）」2026年10月27日14:55時点 https://group.gmo/info/alert/2026102704/

[4] 前回記事「人質は利用者の口座、身代金は100万ドル　GMO恐喝事案は何が違うのか」 https://note.com/foxglove2024/n/n47a51f228eb3

[5] 熊谷正寿公式ブログ（身代金要求額に関する2026年10月26日の追記） https://www.kumagai.com/?eid=19600

[6] GMOインターネットグループ／GMOインターネット「『お名前.com デスクトップクラウド』への不正アクセスに関する現在の対応について（第4報）」2026年10月24日11:50時点 https://group.gmo/info/alert/20261024/

[7] 英国国家犯罪対策庁（NCA）「The NCA announces the disruption of LockBit with Operation Cronos」（公開を利用する恐喝手法の一般的な背景） https://www.nationalcrimeagency.gov.uk/the-nca-announces-the-disruption-of-lockbit-with-operation-cronos

[8] Sophos「Ransomware Payments Increase 500% In the Last Year, Finds Sophos State of Ransomware Report」（2024年調査。要求額と実際の支払額の関係を参照） https://www.sophos.com/en-us/press/press-releases/2024/04/ransomware-payments-increase-500-last-year-finds-sophos-state