GMOの事案は序章にすぎない――インフラのインフラを誰が守るのか

2026年11月4日 08:46

1. はじめに

2026年10月、GMOインターネット株式会社が提供する仮想デスクトップサービス「お名前.com デスクトップクラウド」が不正アクセスを受けました。同社は10月21日にサービスを停止して第1報を公表し、その後も第16報まで経過を公表しています。11月2日には、GMOインターネットグループの熊谷正寿代表らが記者会見を開き、約3時間40分にわたって経緯と対応を説明しました。

この記事は、この事案を一社のセキュリティインシデントとしてではなく、日本の重要インフラ全体がこれから直面する事態の序章として読み直すことを目的に書きました。

あらかじめお断りしておくと、この記事は、GMOの経営責任や補償の当否、攻撃者が誰なのかは扱いません。熊谷代表が会見で語った「サイバーイージス構想」をどう実現するかも、ここでは扱わず、次の記事で論じます。

この記事で皆さんと考えたいのは次の点です。攻撃者がまず狙ってくるのは、業種ではなく、多くの利用者が同時に依存する「結節点」ではないか。そうだとすれば、日本の重要インフラ制度が業種で線を引いていることは、その結節点を網の外に残していることにならないか。

この問いに答えるため、次のような順番でお話を進めていきたいと思います。まず、GMOの事案で何が起きたのかを、公表資料と会見の説明から整理します（2章）。次に、AIの最先端企業である米国の Anthropic が、上場のための届出書で自ら開示している脅威の具体的内容を紹介します（3章）。この二つを重ねて、攻撃者が狙う「結節点」とは何かを考えます（4章）。そのうえで、日本の制度がこの結節点をどう扱っているか（5章）、海外がどこに線を引いているか（6章）を確かめ、最後に現時点で僕が感じている課題を皆さんに共有してみたいと思います（7章）。

2. 何が起きたのか：一度の侵入が、数万の利用者と70を超える金融機関の口座に及んだ

公表資料で確認できる経緯

まず、GMOが公表している事実から整理します。GMOの公式のお知らせ（第2報以降の「これまでの経緯」）によると、10月19日に利用者からの問い合わせを受けて調査を始め、10月20日に、一部の利用者のサーバー環境に第三者による不正なプログラムが設置されていることを確認しました。10月21日にはサービスを停止して第1報を出し、同じ日に、攻撃者から約80億円を要求する脅迫メールを受け取っています。影響を受けた可能性があるサーバーは2万6,739件とされています。

会見で説明された侵入の経路

侵入の経路と時期は、11月2日の会見でGMOインターネットの山下副社長が説明されていました。

これによると攻撃者は、8月5日に利用者が使うリモートデスクトップのVPS（仮想専用サーバー）に侵入し、そこで管理者アカウントを窃取しました。8月17日には、その管理者権限を悪用してGMOの管理サーバーに侵入しました。そして、この管理サーバーを経由して、9月20日から10月14日にかけて、利用者のVPSにマルウェアを配布しました。対象になりえたのは最大2万6,739台です。GMOがこれを確認できたのは10月20日で、それまで「気づくことができませんでした」と山下副社長は述べられています。

つまり、最初の侵入から発覚まで2か月半、管理サーバーへの侵入から数えても2か月以上、攻撃者はGMOの環境の中にいたことになります。

利用者の手元まで

被害はVPSの中にとどまりませんでした。リモートデスクトップには、利用者の手元のパソコンとVPSの間でファイルをやりとりする「ドライブ共有」の機能があります。山下副社長は会見で、攻撃者がこの機能を悪用し、接続元の利用者のパソコンのファイルを窃取したことを確認していると説明しました（すべての端末を確認したわけではなく、被害の範囲は調査中としています）。この機能は利用者の利便性を考えて初期設定でオンになっており、設定の変更に至らなかったことを同社は反省点として挙げています。

一つのサービスの管理サーバーが破られたことで、その上の数万台の仮想サーバーに届き、さらにそこにつながる利用者の手元のパソコンにまで届いたわけです。

金融への波及

この事案で僕が最も重く見ているのは、被害が金融に及んだことです。

このサービスの利用者の多くは、VPSの上で、証券会社やFX会社の取引ツール（MT4/MT5など）を動かしていました。GMOが10月24日に公表した第4報は、攻撃者からの脅迫の内容として、「国内外の70を超える証券会社・FX会社等に開設されたお客様の取引口座に対する不正操作（不正な注文による口座残高の毀損）の継続」を挙げています。GMOは同じ第4報で、利用者の意思によらない取引で生じた実現損失を補償すると表明し、主要な取引所と証券会社に対して、このサービスを経由したアクセスの遮断、すべてのセッションの強制切断、不正取引の監視を要請したとしています。

ここで注目していただきたいのは、証券会社やFX会社のシステムそのものは破られていないことです。破られたのは、その顧客が取引ツールを動かしていた第三者のホスティングサービスでした。それでも、顧客の口座は操作され、損失が生じました。金融機関がどれほど自社のシステムを固めても、顧客がどこから取引しているかまでは管理できません。この事案は、その現実を示した実例の一つだと僕は考えています。

GMO自身の落ち度

この先の議論に進む前に、はっきりさせておくべきことがあります。

会見での説明によると、2024年4月24日に、グループ会社のGMOサイバーセキュリティ byイエラエが、このサービスの改善点を指摘する診断結果を報告していました。GMOインターネットは4月26日から5月20日にかけて4回の緊急対応を行いましたが、山下副社長は「その対策は十分ではございませんでした。深さと速さの両面で不足しておりました」と述べています。この指摘は事業と技術の責任者までは上がっていましたが、熊谷代表には上がっていなかったことも、会見で明らかにされました。

この落ち度は、落ち度として認めなければなりません。そのうえで、この記事が扱うのは、落ち度の有無とは別に存在する、構造の問題です。仮にGMOが2024年の指摘に完全に対応していたとしても、同じ構造を持つ別の事業者が、別の入口から破られる可能性は残ります。問うべきなのは、その構造に社会がどう備えているかです。

3. 最先端の企業は何に備えているか：Anthropicのリスク要因

投資家に向けて書かれた脅威

ここでいったん視点を変えて、AIの最先端企業が、自社の置かれた脅威をどう見ているかを紹介します。GMOのインシデントはAIによって起きたものであることは現状、検証されていませんが、フロンティアAIの技術特性から、AIの最先端企業がなにをリスクとしてとらえているかを認識することは、後述の通り日本のサイバー防衛にとって大きな示唆を与えることになると考えるためです。

対話型AI「Claude」を開発する米国の Anthropic, PBC は、2026年10月26日に米国証券取引委員会（SEC）へ株式の登録届出書（Form S-1）を提出し、11月2日にその第1次訂正届出書（S-1/A）を提出しました。この記事で引用するのは、11月2日の第1次訂正届出書の「リスク要因（Risk Factors）」です。

リスク要因は、会社が投資家に対して、投資判断に重要なリスクを開示する部分です。記載に誤りや重要な欠落があれば、会社は証券法上の責任を問われます。ですから、ここに書かれた脅威は、宣伝でも警告でもなく、会社が法的な責任を負って「現に直面している」と認めたものです。その重みを踏まえて、主なものを紹介します。

国家が狙い、自社の防御は足りないかもしれない

届出書は、Anthropic社が国家や国家の支援を受けた攻撃者によるサイバー攻撃に過去に直面し、今後も直面しうるとしています。そのうえで、同社のモデルの重み（AIモデルの中核となる学習済みのパラメーター）や企業データは、国家の支援を受けたスパイ活動と窃取にとって「特に価値の高い標的」であり、セキュリティ研究者はフロンティアAI企業を外国の情報機関の優先的な標的と位置づけている、と書いています（S-1/A、p.89〜92）。

注目すべきは、自社の防御について書いている部分です。届出書は、同社のセキュリティ能力は「発展の途上」にあり、その一部は、潤沢な資源を持つ国家や国家の支援を受けた集団を含む最も高度な攻撃者に十分対処するには足りない可能性がある、と認めています。防御に既知の限界や欠陥を抱えたまま一定期間運用してきたことがある、とまで書いています。AIの最先端にいる企業が、法的な責任を負う書類で、自らこう書いているのです。

内部から、供給網から、物理的に

脅威の入口も多岐にわたります。届出書は、偽りの身元で就職しようとする者や、入社後に国家の支援を受けた攻撃者に勧誘・買収・強要される従業員といった内部の脅威を挙げています。業界全体にわたるソフトウェアのサプライチェーン（供給網）への攻撃や、Anthropic社のインフラを収容する第三者のデータセンターへの物理的な侵入にも触れています（S-1/A、p.89〜92）。

AIが攻撃を担う

さらに、Anthropic社のAIそのものが攻撃に使われた事例も開示されています。届出書によると、同社は2025年9月、中国の国家の支援を受けたハッカー集団が同社の Claude Codeを操作して、大手テクノロジー企業、金融機関、化学メーカー、政府機関を含む世界の約30の標的への侵入を試みさせ、少数ながら成功した事案を検知しました。同社はこれを、人間の実質的な介入なしに実行された大規模サイバー攻撃として記録された最初の事例だと考えている、としています（S-1/A、p.45〜46）。

届出書は、AIの利用によってサイバー攻撃が「増幅されてきており」、攻撃の自動化や規模の拡大に使われうるとも書いています。同社の高度な脆弱性発見の能力を持つモデルが、それ自体、国家の支援を受けた攻撃者の標的になりうるとも述べています（S-1/A、p.89〜92）。

同時に、多数に

僕がこの記事の文脈で最も重要だと考えるのは、被害の広がり方についての記載です。届出書は、同社のエージェント型の製品（利用者に代わって自律的に作業するAI）が攻撃されると、データの持ち出しや不正な取引が「複数の顧客の導入環境にわたって同時に」生じうると書いています（S-1/A、p.89〜92）。また、同社の直面するリスクの多くは相互に関連しており、あるリスク事象が別のリスク事象を誘発し、その影響が連鎖的に増幅されうる、とも書いています（S-1/A、p.87）。

GMOの事案と混同しないために

繰り返しになりますが、GMOの事案で攻撃にAIが使われたという証拠はありません。熊谷代表も会見でそう述べています。この記事は「GMOがAIで攻撃された」と言いたいのではありません。言いたいのは、最先端の企業が投資家に対して開示している脅威の水準がここまで来ている、ということです。

4. 二つを重ねると見えるもの：攻撃者は「結節点」を狙う

脅威の対応表

Anthropic が開示している脅威と、GMOの事案で起きたことを並べてみます。

Anthropic は、内部の脅威、サプライチェーンへの攻撃、長く検知されない侵入、多数の顧客への同時の被害を挙げています。GMOの事案では、利用者の環境から管理サーバーへ入られ、2か月以上気づけず、数万の利用者とその手元のパソコン、さらに70を超える証券会社・FX会社の口座にまで被害が及びました。並べてみると、Anthropic が投資家に示した脅威の型の多くが、日本のインターネット基盤の一角で、すでに現実になっていることが分かります。

結節点の一つ目：侵入の経路になる層

ここから見えてくるのは、攻撃者がまず狙ってくるのは、個々の企業というより、多くの利用者が同時に依存している「結節点」だということです。この記事では、結節点を二つの型に分けて考えます。

一つ目は、侵入の経路になる層です。ホスティングやVPS、クラウド、ドメイン名の登録を担うレジストラとレジストリ、電子証明書を発行する認証局、ログインを一元化するID基盤、決済代行などがこれに当たります。これらは、多数の事業者と個人が同時に依存しているサービスです。一か所を破れば、その先にいる多数の利用者に届きます。GMOの事案は、この型の結節点が破られた例といえます。

結節点の二つ目：データの集積点

二つ目は、データが集まる層です。印刷・発送、事務の受託（BPO）、業務用のクラウドサービス（SaaS）など、多数の委託元から顧客データを預かる委託先がこれに当たります。一か所を破れば、多数の委託元のデータがまとめて流出します。

日本でも、この型の事案はすでに繰り返し起きています。個人情報保護委員会が2025年3月に公表した指導によると、自治体や金融機関から通知書の印刷・発送を受託していた株式会社イセトーは、2024年5月にランサムウェアの被害を受け、委託元41団体（再委託元を含めると約100団体）の約308万人分の個人データが流出しました。その中には、金融機関が送る確定拠出年金やローン残高の通知の情報も含まれていました。同委員会は、VPN機器が3年間更新されておらず、管理者のパスワードが7年間変えられず、多要素認証もなかったことを指摘しています。

ほかにも、社会保険労務士事務所向けのクラウドサービスを提供していた株式会社エムケイシステムが、2023年6月にランサムウェアの被害を受けています（個人情報保護委員会が受けた報告では約750万人分）。NTT西日本グループの委託先では、元派遣社員が約10年にわたって約928万人分の顧客情報を持ち出していました（委託元は69団体）。いずれも、委託先という一点から、多数の委託元の顧客の情報が流出した例です。

2026年10月以降、国内では不正アクセスやランサムウェアの公表が相次いでいます。10月1日から11月3日までに公表された200件余りのうち、3割近くは、委託先やクラウドサービスの事業者が破られた事案です。メール配信サービスのCuenote FCやアララ、クラウドのIDCFクラウドが破られた事案では、数百の委託元や数千万件のデータに影響が及び、その中には銀行や証券会社も含まれています。

なぜ結節点が狙われるのか

攻撃者にとって、防御を固めた大企業の本体を正面から攻めるより、その企業が依存している結節点を突くほうが効率がよいのは、考えてみれば当然です。一つの結節点を破れば、その先の多数に同時に届くからです。

そして、AIで攻撃の費用が下がれば、この傾向は強まると考えられます。Anthropic の届出書が書いているように、AIが攻撃の自動化と規模の拡大に使われるようになれば、攻撃者は多数の結節点を同時に探り、防御の薄いところから入ることができるようになります。防御の側も、自社の本体だけでなく、依存先の結節点まで含めて考えなければならなくなります。

金融は他人ごとではない

金融機関の皆さんにとって、これは他人ごとではありません。金融機関自身のシステムがどれほど堅牢でも、顧客の端末、自社が利用するクラウド、ドメイン名と電子証明書、決済代行、顧客データを預けた委託先のどこかが破られれば、損害は金融機関とその顧客に届きます。GMOの事案は、ホスティングを経由して証券会社とFX会社の顧客口座に届いた例であり、イセトーの事案は、委託先を経由して金融機関の顧客の情報が流出した例です。

僕は2018年に、フェイスブックの個人情報流出の問題について、これは従来のセキュリティの方法論では対処できない新しいアジェンダだと書いたことがあります。同じ構図が、いまインフラの層で起きているように思います。

5. 日本の制度は誰を守ろうとしているか

では、日本の制度は、この結節点をどう扱っているのでしょうか。日本には、重要インフラのサイバーセキュリティにかかわる枠組みが大きく三つあります。順に見ていきます。

重要インフラは「業種ごと」に指定されている

一つ目は、サイバーセキュリティ基本法に基づく重要インフラの枠組みです。2026年10月1日から、サイバーセキュリティ戦略本部が7月31日に決定した「重要インフラのサイバーセキュリティ対策のための統一基準」と、9月14日に改定された「重要インフラのサイバーセキュリティに係る行動計画」の体系に移りました。対象は、情報通信、金融、航空、空港、鉄道、電力、ガス、行政サービス、医療、水道、物流、化学、クレジット、石油、港湾、郵便の16分野です。

この記事にとって重要なのは、分野の定義です。行動計画は、重要インフラ分野を「業種ごとに指定する分野」と定義しています。そして、情報通信分野の対象として例示されているのは、「主要な電気通信事業者」「主要な地上基幹放送事業者」「主要なケーブルテレビ事業者」の三つです。

クラウドはどう扱われているか。行動計画は、クラウドサービスなどの外部サービスを提供する事業者を、重要インフラ事業者ではなく「サイバー空間関連事業者」として定義しています。重要インフラのサービスに必要な情報システムのサプライチェーンにかかわる、供給する側の主体という位置づけです。その役割は、情報共有体制への「協力」と、内閣官房への情報連絡にとどまります。レジストラやレジストリ、認証局、ID基盤、ホスティングについては、行動計画と統一基準の本文に明示的な言及は見当たりません。

基幹インフラも業種で線を引いている

二つ目は、経済安全保障推進法に基づく基幹インフラの制度です。国が特定社会基盤事業者を指定し、重要な設備を導入するときや、その維持管理を委託するときに、事前の届出と審査を求めます。対象は、電気、ガス、石油、水道、鉄道、貨物自動車運送、外航貨物、港湾運送、航空、空港、電気通信、放送、郵便、金融、クレジットカードの15の事業で、政府の説明では258事業者が指定されています。2026年6月の法改正で医療が加わりましたが、医療の部分はまだ施行されていません。

ここでも、クラウドは事業の一つとして挙げられていません。指定事業者が重要な設備にクラウドを使う場合に、届出書にリージョンとクラウド事業者の名前を書くことが求められる、という形で現れるにとどまります。

能動的サイバー防御も同じ線の上にある

三つ目は、2026年10月1日に本体が施行されたサイバー対処能力強化法（重要電子計算機に対する不正な行為による被害の防止に関する法律）です。いわゆる能動的サイバー防御の法律で、重要な設備への侵害が起きたときの政府への報告などを義務づけています。

この法律で義務を負う特別社会基盤事業者は、基幹インフラの特定社会基盤事業者のうち、重要な電子計算機を使用する者と定義されています。つまり、基幹インフラの指定にそのまま連動しています。

この法律は、クラウドを利用者の側から捉えています。政府の解説は、指定事業者が「使用する」電子計算機には、ベンダーが所有する機器やクラウドサービスも含まれうるとし、クラウド事業者が管理する機器が侵害された場合も報告の対象になるとしています。ですから、指定事業者が使っているクラウドで起きた侵害は、報告の網に入ります。しかし、指定事業者が使っていないクラウド、たとえば今回のように個人や中小事業者が使うVPSで起きた侵害は、網の外に残ります。

委託先も、委託元の側から捉えられている

結節点の二つ目、データの集積点である委託先も、同じ構造で扱われています。

金融機関の場合、委託先は、委託元である金融機関の管理義務を通じて捉えられています。たとえば銀行法12条の2第2項は、銀行が業務を委託するときに、その業務を的確に遂行させるための措置をとること（委託先管理体制の整備）を銀行に義務づけています。金融庁が2024年10月に公表した「金融分野におけるサイバーセキュリティに関するガイドライン」も、サードパーティ（委託先などの第三者）のリスク管理を金融機関に求めています。

金融庁が委託先に直接届く手段は限られています。銀行法24条2項は、銀行の業務の委託先に報告を求めることを認めていますが、その範囲は銀行の業務や財産の状況の参考になる事項に限られ、委託先は正当な理由があれば拒むことができます。委託先への立入検査は、銀行への立入検査に付随して行う場合に限られます（25条2項）。金融庁の監督指針は、多数の他の金融機関が同種の外部委託を行っている場合や、決済システム全体に影響を及ぼしかねない場合には、委託先に直接報告を求めるとしていますが、委託先を恒常的に直接監督する権限はありません。個人情報保護法でも、委託先の監督は委託元の義務として定められています。

金融庁自身は、この問題を認識しています。2023年4月の「オペレーショナル・レジリエンス確保に向けた基本的な考え方」は、多くの金融機関が同じクラウドや通信に依存することで生じる集中のリスクを論じ、英国やEUが重要な第三者を直接監督する仕組みを作っていることにも触れています。2025年6月の金融庁のレポートは、クラウド事業者と「対話」していることを記載しています。問題意識はあるものの、手段は対話にとどまっている、というのが現状です。

無視しているのではなく、利用者の側からしか見ていない

ここまでをまとめると、日本の制度は、クラウドや委託先を無視しているわけではありません。正確に言えば、利用者や委託元の側からしか見ていないのです。

クラウドは、重要インフラの枠組みでは「サイバー空間関連事業者」という供給する側の主体として、基幹インフラと能動的サイバー防御の枠組みでは指定事業者が利用する先として扱われています。経済安全保障推進法の別の仕組みでは、「クラウドプログラム」が特定重要物資に指定され、国が整備を補助する対象にもなっています。委託先は、委託元の管理義務の対象として扱われています。しかし、どの枠組みでも、結節点そのものが、守るべき主体として名指しされてはいません。

GMOはどこにも入っていない

GMOの事案に当てはめると、このことがはっきりします。

2026年7月1日時点の内閣府の一覧、8月3日時点の金融庁の一覧、総務省の一覧を確かめましたが、GMOグループの会社は、特定社会基盤事業者として一社も指定されていません。熊谷代表は会見で、能動的サイバー防御について、GMOは金融という意味では対象分野の中にあるが、指定を受けていないので、申請をして政府が動く制度ではないと説明しました。

しかし、問題は「指定されていない」ことの手前にあります。今回被害を受けたのは、GMOインターネットのクラウド（VPS）事業です。クラウドは、重要インフラの16分野にも、基幹インフラの15の事業にも入っていません。仮にGMOグループの銀行や証券会社が金融分野で指定されていたとしても、今回のクラウド事業は対象になりません。そもそも、指定を受けるための分野がないのです。

誤解を避けるために

一点、誤解を避けるために付け加えておきます。指定を受けていないことと、政府が攻撃者のサーバーに対してアクセス・無害化措置をとれるかどうかは、法律上は別の問題です。同じ10月1日に施行された警察官職務執行法6条の2は、警察が措置をとる要件として、被害者が指定事業者であることを求めていません。ですから、「GMOが指定されていなかったから、政府は動けなかった」とは言えません。政府が今回の事案で措置をとったかどうかは、公表されていません。

なお、政府の公表資料で確認できるのは、10月26日に高市総理大臣の主宰で第1回の「サイバーセキュリティに関する関係閣僚会議」が開かれ、総理がアクセス・無害化措置を含む対処の選択肢に言及したことです。官邸の公表資料に個社の名前は出てきません。

6. 海外は「機能」と「依存度」で線を引いている

NIS2：デジタルインフラを機能で列挙する

海外はどうでしょうか。まずEUです。

EUは2022年に、サイバーセキュリティに関するNIS2指令（Directive (EU) 2022/2555）を定めました。NIS2は、規律の対象を「Digital infrastructure（デジタルインフラ）」という独立のセクターとして立て、その中身を機能ごとに列挙しています。インターネット相互接続点（IXP）、DNSサービス事業者、トップレベルドメイン（TLD）のレジストリ、クラウドコンピューティングサービス事業者、データセンターサービス事業者、コンテンツ配信網（CDN）事業者、トラストサービス（電子証明書など）事業者、公衆電気通信のネットワークとサービスの事業者です。マネージドサービス事業者とマネージドセキュリティサービス事業者も、別のセクターとして対象にしています。

NIS2は、原則として中規模以上の事業者を対象にしていますが、DNSサービス事業者、TLDのレジストリ、トラストサービス事業者、公衆電気通信の事業者は、規模にかかわらず対象にしています。ドメイン名の登録サービスも、規模にかかわらず対象です。小さな事業者でも、そこが破られれば影響が広く及ぶ機能だからです。

日本との違いは明らかです。日本は「電気通信」という業種で線を引き、その外にあるクラウドやDNS、認証局を「供給する側」に置いています。NIS2は、インターネットが機能するために何が必要かという観点から、その機能を担う事業者を直接対象にしています。

DORAと英国：依存度で個社を指定する

もう一つの型が、依存度で個社を指定するやり方です。

EUは、金融分野のデジタル・オペレーショナル・レジリエンス規則（DORA、Regulation (EU) 2022/2554）で、金融機関が依存する重要なICT第三者事業者を欧州の監督当局が指定し、直接監督する仕組みを作りました。2025年11月18日、欧州の監督当局は最初の19社を指定しました。大手クラウド事業者のほか、通信会社やシステム会社が含まれ、そのリストにはNTTデータの名もあります。日本の企業グループの会社が、欧州では「金融システムが依存する事業者」として指定を受けているわけです。

英国も、2023年の金融サービス・市場法で同様の制度を設け、2026年7月に、財務省が大手クラウド事業者4社を「Critical Third Parties（重要な第三者）」に指定しました。

三つの型

整理すると、線の引き方には三つの型があることになります。

一つ目は、業種で線を引く型です。日本の重要インフラと基幹インフラはこれに当たります。二つ目は、機能で線を引く型で、EUのNIS2がこれに当たります。三つ目は、依存度で個社を指定する型で、EUのDORAと英国の制度がこれに当たります。二つ目と三つ目は、どちらも結節点そのものを名指しする仕組みです。

そのまま輸入すればよいわけではない

ただし、EUの制度をそのまま日本に持ち込めばよい、ということにはなりません。NIS2は、経営陣の責任、24時間以内の早期警報を含む報告義務、売上高に応じた高額の制裁金を伴う重い制度です。EUの加盟国でも国内法への置き換えが遅れ、欧州委員会が2026年7月に一部の加盟国を欧州司法裁判所に付託しています。

制度は、目的に合わせて設計するものです。日本の法体系と、日本の事業者の規模や実情に合わせて、どこに線を引き、どの程度の義務を課すかを考えることになります。

7. 課題

事案が起きてから分野を足す日本の型

日本はこれまで、事案が起きてから対象を足すやり方をとってきました。

港湾がよい例です。2023年7月、名古屋港のコンテナターミナルのシステムがランサムウェアの被害を受けました。国土交通省の資料は、この事案を受けてターミナルの運営システムを精査し、港湾運送を基幹インフラに加えたと明記しています。改正法は2024年5月に公布され、2025年4月に施行されました。事案から施行まで約1年9か月です。

政府自身も、このやり方の限界を意識しています。経済安全保障法制に関する有識者会議に2024年1月に示された資料は、サイバーセキュリティの事案が起きた事業を事後的に追加するのではなく、あらかじめ予防的に指定すべきではないか、という問題提起を載せています。

同じ線上にあるさくらインターネット

ここで、GMOと並んで、さくらインターネットの名前を挙げたいと思います。

さくらインターネットは1996年に創業し、1999年に大阪でデータセンターを開いて以来、レンタルサーバーとデータセンターで日本のインターネットを支えてきた事業者です。2011年には北海道に石狩データセンターを開き、「さくらのクラウド」の提供を始めました。2023年11月には、国内事業者として唯一、デジタル庁のガバメントクラウド（政府と自治体が共通して使うクラウド）に条件付きで選ばれ、2026年3月27日に、デジタル庁がすべての技術要件を満たしたことを確認しています。経済安全保障推進法の特定重要物資「クラウドプログラム」の供給確保計画でも、GPUクラウドの整備について国の認定と助成を受けています。

つまり国は、さくらインターネットに行政のシステムとAIの計算資源を委ね、その整備を補助もしています。GMOインターネットグループも、同じ仕組みで2024年4月に最大19.25億円の助成の認定を受けています。それでも、両社とも、重要インフラにも基幹インフラにも指定されていません。国が頼り、補助もしている事業者が、守るべき主体の一覧には入っていないのです。

問われるべきこと

ですから、問うべきなのは「GMOやさくらインターネットは重要インフラか」ではありません。「社会はどこに依存しているか」です。その答えに沿って線を引き直すべきように思います。

業種で線を引くやり方は、電力や鉄道のように、事業者と社会機能が一対一で対応していた時代にはよく機能しました。しかし、インターネットの上では、一つの結節点が多数の業種の事業者と個人に同時に使われています。業種で線を引く限り、結節点は「どの業種にも属さない」という理由で網の外に残ります。

日本の課題

今回のインシデントを起点に、最先端AIによって脅威の質がガラッと変わってしまったインターネット環境と、海外の法制を踏まえると、日本のサイバー防衛の強靭性を高めるために、以下の３つの課題があるように思います。

第一に、重要インフラと基幹インフラの指定の基準に、業種に加えて、依存度と波及範囲の軸を入れるのが良いように思います。対象の候補は、ホスティングとクラウド、DNSとドメイン名のレジストリ・レジストラ、認証局、ID基盤、決済代行、そして大量の顧客データを預かる委託先です。どの事業者を対象にするかは、利用者の数、利用者の業種の広がり、代替の難しさといった指標で判断することが考えられます。

第二に、金融については、金融当局が、委託元の管理義務を通じた間接的な把握にとどまらず、多くの金融機関が依存する重要なICT第三者事業者を把握し、必要に応じて直接監督できる仕組みを検討するのが良いように思います。金融庁はすでに集中のリスクを認識し、クラウド事業者との対話を始めています。DORAや英国の制度は、その対話に法的な裏付けを与える一つの参考になると考えられます。

第三に、指定は義務を伴います。指定される側の負担が過大になれば、事業者の競争力を損ないます。義務は規模と依存度に比例させ、指定された側を支える仕組み、たとえば政府との情報共有や、サイバー対処能力強化法が予定している当事者協定（政府と事業者の協定。2027年秋に施行予定）と組み合わせるのが良いように思います。

重要インフラ事業者ができること

制度の見直しには時間がかかります。それを待つ間にも、金融機関をはじめとする重要インフラ事業者の皆さんにできることがあります。

一つは、委託先管理体制というフレームを超えてサプライチェーンリスクという観点から、自社の依存先と委託先を棚卸しすることです。自社のシステムだけでなく、顧客が自社のサービスにどこからアクセスしているか、自社のデータがどこに預けられているかまで含めて、結節点を把握することです。もう一つは、侵入される前提で、侵入を早く見つけ、回復するまでの体制（サイバーレジリエンス）を整えることです。GMOの記者会見で熊谷代表が述べておられましたが、日本の事業者に対するサイバー攻撃はまだ序章に過ぎません。韓国の金融機関への攻撃に悪用されたと報告されているARTEXは、10月8日にGitHubでの公開・更新を停止していますが、公開停止後も12,000超もの複製・派生版が野放しになっているとの話を聞きます。こうしたものをノンプロの人を含めた攻撃者が悪用し、金銭の詐取を目論む攻撃がなされないと考えるほうが難しいです。

8. おわりに

GMOの事案は、日本のインターネット基盤の一角で起きた出来事です。しかし、同じことは、金融機関や電力会社が依存している他のクラウドや委託先でも起こりえます。Anthropicが目論見書で開示している同社が法的責任を伴って発生しうると判断している脅威は、すでに日本の結節点にも届いていることがこの事案から明らかになりました。この事案を一社のインシデントとして片づけるか、日本の重要インフラの線引きを問い直すきっかけにするかは、今回発生した事案をどれだけ「自分事」として受け止められるかにかかっているように思います。

線を引き直したとしても、攻撃は止まりません。次の問いは、結節点が攻撃を受けたときに、政府と事業者がどう即応するかです。熊谷代表が会見で示した「サイバーイージス構想」を、技術と制度の両面から、次の記事で考えてみたいと思います。

注：筆者はGMO AI & Crypto株式会社の社外取締役を務めていますが、本稿は個人としての見解です。

参考資料

GMOの事案

お名前.com「お名前.com デスクトップクラウド」不正アクセスに関するお知らせ（第1報、2026年10月21日）：https://www.onamae.com/news/article/11584
GMOインターネットグループ同第2報（2026年10月22日）：https://group.gmo/info/alert/20261022/
同第4報（2026年10月24日）：https://group.gmo/info/alert/20261024/
GMOインターネットニュース：https://internet.gmo/news/article/246/
2026年11月2日の記者会見（朝日新聞社のYouTubeチャンネルによる全編）：https://www.youtube.com/watch?v=_TbUj3kFkvY

Anthropic

Anthropic, PBC, Amendment No. 1 to Form S-1 Registration Statement（2026年11月2日提出）：https://www.sec.gov/Archives/edgar/data/2130357/000162828026068676/anthropicpbc-sx1ax1.htm
SEC EDGAR 提出書類一覧（Anthropic, PBC）：https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=2130357&type=S-1

AIを使った攻撃ツール（ARTEX）

Wiz, ARTEX in the Wild: Storm-0940 Expands Targeting of IT and Software Vendors（2026年10月22日）：https://www.wiz.io/blog/artex-in-the-wild-storm-0940-expands-targeting-of-it-and-software-vendors
SBS（韓国）, The "Fearful AI Tool" That Shook Financial Sectors... "Not Our Responsibility," But Development Halts：https://news.sbs.co.kr/english/article.do?news_id=N1008791153
Korea JoongAng Daily, Chinese AI tool linked to Korean bank hacks halts public updates as suspect denies involvement：https://www.koreajoongangdaily.com/business/chinese-ai-tool-linked-to-korean-bank-hacks-halts-public-updates-as-suspect-denies-involvement/12913376

委託先からの流出事案

個人情報保護委員会「株式会社イセトーに対する個人情報の保護に関する法律に基づく行政上の対応について」（2025年3月19日）：https://www.ppc.go.jp/files/pdf/250319_houdou.pdf
個人情報保護委員会「株式会社エムケイシステムに対する個人情報の保護に関する法律に基づく行政上の対応について」（2024年3月25日）：https://www.ppc.go.jp/files/pdf/240325_houdou.pdf
個人情報保護委員会 NTTマーケティングアクトProCX・NTTビジネスソリューションズに対する勧告等（2024年1月24日）：https://www.ppc.go.jp/files/pdf/240124_shiryou-1-1.pdf
IDCフロンティア「IDCFクラウド」に関するお知らせ：https://www.idcf.jp/news/topics/20261027001
Cuenote（ユミルリンク）不正アクセスに関するお知らせ：https://www.cuenote.jp/information/news/unauthorizedaccess2.html
アララ株式会社不正アクセスに関するお知らせ（2026年11月2日）：https://www.arara.com/dcms_media/other/arara_20261102__.pdf
ブラストメール不正アクセスに関するお知らせ（2026年10月21日）：https://info.blastmail.jp/information_20261021.html
Studio 不正アクセスに関するお知らせ（2026年10月）：https://studio.design/ja/whats-new/unauthorized-access-2026-10

日本の制度

国家サイバー統括室「重要インフラのサイバーセキュリティ対策のための統一基準」（2026年7月31日決定）：https://www.cyber.go.jp/pdf/policy/infra/jyuhurakijun_2026.pdf
国家サイバー統括室「重要インフラのサイバーセキュリティに係る行動計画」（2026年9月14日改定）：https://www.cyber.go.jp/pdf/policy/infra/koudoukeikaku_20260914.pdf
内閣府「特定社会基盤事業者として指定された者」（2026年7月1日現在）：https://www.cao.go.jp/keizai_anzen_hosho/suishinhou/infra/doc/infra_jigyousya.pdf
内閣府「基幹インフラ制度に関する法令等の改正（概要）」：https://www.cao.go.jp/keizai_anzen_hosho/suishinhou/infra/doc/infra_setsumeikai_2.pdf
金融庁「特定社会基盤事業者の指定について」：https://www.fsa.go.jp/news/r5/economicsecurity/231117infrastructure.html
総務省経済安全保障推進法に基づく特定社会基盤事業者の指定：https://www.soumu.go.jp/menu_seisaku/kokumin/keizaianzenhosho/index_00001.html
国土交通省港湾局資料（2024年11月）：https://www.mlit.go.jp/kowan/content/001843335.pdf
経済安全保障法制に関する有識者会議資料4（2024年1月）：https://www.cas.go.jp/jp/seisaku/keizai_anzen_hosyohousei/r5_dai9/siryou4.pdf
内閣官房・内閣府「サイバー対処能力強化法等の施行について」（2026年9月）：https://www.cao.go.jp/cybersecurity/pdf/sekousetsumei.pdf
内閣府「特別社会基盤事業者による特定侵害事象等の報告等に関する制度の解説」（2026年10月1日）：https://www.cao.go.jp/cybersecurity/pdf/cyber_kaisetsu_202610.pdf
重要電子計算機に対する不正な行為による被害の防止に関する法律（e-Gov法令検索）：https://laws.e-gov.go.jp/law/507AC0000000042
同法の施行に伴う関係法律の整備等に関する法律条文：https://www.cao.go.jp/cybersecurity/pdf/seibi_houritsu.pdf
内閣官房第1回サイバーセキュリティに関する関係閣僚会議（2026年10月26日）：https://www.cas.go.jp/jp/seisaku/cybersecurity_kakuryokaigi/dai1/gijishidai.html
首相官邸総理の一日（2026年10月26日）：https://www.kantei.go.jp/jp/105/actions/202610/26kaigi_cyber.html
金融庁「金融分野におけるサイバーセキュリティに関するガイドライン」（2024年10月4日）：https://www.fsa.go.jp/news/r6/sonota/20241004/20241004.html
金融庁主要行等向けの総合的な監督指針：https://www.fsa.go.jp/common/law/guide/city/index.html
金融庁「オペレーショナル・レジリエンス確保に向けた基本的な考え方」（2023年4月27日）：https://www.fsa.go.jp/news/r4/ginkou/20230427.html
金融庁「金融分野におけるITレジリエンスに関する分析レポート」（2025年6月）：https://www.fsa.go.jp/news/r6/sonota/20250630-2/01.pdf
銀行法（e-Gov法令検索）：https://laws.e-gov.go.jp/law/356AC0000000059

さくらインターネットとクラウドへの助成

デジタル庁ガバメントクラウド：https://www.digital.go.jp/policies/gov_cloud
デジタル大臣記者会見（2026年3月27日）：https://www.digital.go.jp/speech/minister-260327-01
さくらインターネット会社概要：https://www.sakura.ad.jp/corporate/corp/profile/
さくらインターネットニュースリリース（2023年6月16日）：https://www.sakura.ad.jp/corporate/information/newsreleases/2023/06/16/1968211860/
さくらインターネット適時開示（2024年4月19日）：https://www.sakura.ad.jp/corporate/wp-content/uploads/2024/04/240419-ir_2.pdf
GMOインターネットグループニュースリリース（クラウドプログラムの供給確保計画の認定）：https://group.gmo/pdf/news/gmo_news_8933.pdf
内閣府経済安全保障推進法特定重要物資の安定的な供給の確保：https://www.cao.go.jp/keizai_anzen_hosho/suishinhou/supply_chain/supply_chain.html

EU・英国

Directive (EU) 2022/2555（NIS2）：https://eur-lex.europa.eu/eli/dir/2022/2555/oj/eng
Regulation (EU) 2022/2554（DORA）：https://eur-lex.europa.eu/eli/reg/2022/2554/oj/eng
ESMA, European Supervisory Authorities designate critical ICT third-party providers（2025年11月18日）：https://www.esma.europa.eu/press-news/esma-news/european-supervisory-authorities-designate-critical-ict-third-party-providers
ESAs, List of designated CTPPs：https://www.esma.europa.eu/sites/default/files/2025-11/List_of_designated_CTPPs.pdf
European Commission, NIS2の国内法化に関する欧州司法裁判所への付託（2026年7月8日）：https://digital-strategy.ec.europa.eu/de/news/commission-refers-ireland-spain-france-and-netherlands-court-justice-failing-transpose-rules
HM Treasury, UK financial system strengthened with new safeguards for major technology providers（2026年7月10日）：https://www.gov.uk/government/news/uk-financial-system-strengthened-with-new-safeguards-for-major-technology-providers
The Critical Third Parties (Designation) Regulations 2026（SI 2026/777）：https://www.legislation.gov.uk/uksi/2026/777/made

筆者の過去記事

フェイスブック問題の真のアジェンダとは（2018年3月24日）：https://note.com/masamasujima1976/n/ncbc75a56f6bc