GMOインターネットが、サイバー攻撃への対応を政府に求めた。同社は10月24日、「お名前.com デスクトップクラウド」に対するサイバー攻撃について、政府関係機関に「能動的サイバー防御」の実施を緊急要請したと発表した。

能動的サイバー防御は、重大なサイバー攻撃による被害を未然に防ぎ、拡大を食い止めるため、国が攻撃に利用されるシステムへの対処などを行う仕組みだ。

2025年5月に関連法が成立し、2026年10月1日には一部の規定が施行された。今回のGMOの要請は、制度が具体的にどのような攻撃に適用されるのかを考える契機となっている。

GMOが政府に「発動第1号」を要請、何が起きたのか

GMOインターネットによると、同社が提供する「お名前.com デスクトップクラウド」に対する不正アクセスが発生し、利用者の情報が外部に持ち出されたことを確認したという。

10月24日に公表された第5報によると、影響を受けた可能性のあるサーバは2万6,739件に上る。ただし、これは実際に不正アクセスや情報取得が確認された件数ではない。

同社は、主要な証券会社やFX会社などに対し、サービス経由のアクセス遮断や取引の監視を要請するとともに、対象サーバの稼働やネットワーク接続を停止するなど、被害拡大を防ぐ措置を講じている。

また、一部の利用者からは、FXなどの取引口座で身に覚えのない取引が行われたとの報告が上がっている。今回の不正アクセスに起因すると認定した取引については、確定した損失を補償する方針を示した。

さらに、攻撃者とみられる人物から金銭の支払いを要求されていることも公表された。攻撃者は、国内外の証券会社やFX会社などの取引口座に対する不正操作の継続や、追加攻撃も予告しているという。同社は金銭の要求には応じず、警察に証拠を提出して捜査を要請している。

こうした状況を踏まえ、GMOインターネットは今回の事案を、能動的サイバー防御の「発動第1号」として位置付けるよう政府に要請した。

同社は、民間事業者による個別の防御や事後対応だけでは、国境を越えて活動するサイバー犯罪集団への対処には限界があると主張。国が主導して攻撃基盤を追跡し、遮断・無力化する措置を求めている。

ただし、これはGMOインターネット側の要請であり、政府が実施を決定したことを意味するものではない。

能動的サイバー防御とは？ 従来の対策との違い

従来のサイバーセキュリティ対策は、企業や行政機関が自らのシステムを守り、攻撃を受けた場合には侵入経路の遮断や復旧、捜査機関への通報などを行うことが中心だった。

しかし、高度化するサイバー攻撃では、被害が発生してからの対応だけでは十分とは限らない。攻撃者が複数の国に設置されたサーバなどを経由する場合、個々の企業だけで攻撃基盤を特定し、活動を止めることは難しい。

こうした課題に対応するため、日本政府が導入を進めているのが能動的サイバー防御だ。

政府は2022年12月に決定した国家安全保障戦略で、重大なサイバー攻撃を未然に排除し、被害の拡大を防止するための能力を整備する方針を示した。その具体化に向け、2025年5月に「サイバー対処能力強化法」と、その施行に伴う関係法律の整備法が成立した。

能動的サイバー防御は、大きく3つの柱から構成される。

  • 攻撃に利用されるサーバへのアクセスと、不正プログラムの消去などによる無害化措置のイメージ（出典：内閣官房）

    攻撃に利用されるサーバへのアクセスと、不正プログラムの消去などによる無害化措置のイメージ（出典：内閣官房）

第1は「官民連携の強化」だ。政府と重要インフラ事業者などがサイバー攻撃に関する情報を共有し、被害の未然防止や拡大防止につなげる。

第2は「通信情報の利用」だ。攻撃に利用されるサーバなどを検知するため、法律に基づいて通信情報を取得・分析する仕組みを整える。通信の秘密やプライバシーの保護に配慮しながら、攻撃の兆候を把握することを目指す。

第3は「アクセス・無害化措置」だ。重大なサイバー攻撃を防ぐため、警察や自衛隊が法令上の要件と手続きに従い、攻撃に利用されるシステムにアクセスし、攻撃を停止させるなどの措置を講じる。

2026年10月1日には、このうち「官民連携の強化」と「アクセス・無害化措置」に関する規定が施行された。一方、「通信情報の利用」に関する規定は今後施行される予定だ。

従来の防御との大きな違いは、攻撃を受ける側のシステムを守るだけでなく、一定の条件の下で、攻撃に使われているシステム自体に対処することを想定している点にある。

警察や自衛隊は何ができる？ 攻撃基盤へのアクセス・無害化措置

能動的サイバー防御の特徴的な仕組みが、攻撃に利用されるサーバなどへのアクセス・無害化措置だ。

例えば、重大なサイバー攻撃に使われているサーバを特定し、法律で定められた要件と手続きに従ってアクセスすることで、攻撃に使われるプログラムの停止や削除などを図ることが想定されている。

  • アクセス・無害化措置の実施に向けた政府内の意思決定と、警察・自衛隊などの役割（出典：内閣官房）

    アクセス・無害化措置の実施に向けた政府内の意思決定と、警察・自衛隊などの役割（出典：内閣官房）

こうした措置を担うのは、法律上の権限を与えられた警察や自衛隊だ。ただし、両者が自由に攻撃元へ侵入できるわけではない。

警察による措置は、サイバー攻撃に用いられる通信などが認められ、放置すれば重大な危害が発生するおそれがあり、緊急の必要がある場合などに限定される。原則として独立機関の承認が必要となり、国外のサーバなどを対象とする場合には、外務大臣との事前協議も求められる。

自衛隊による措置についても、法律上の要件が設けられている。例えば、外国政府を背景とする主体による高度なサイバー攻撃に対し、自衛隊が対処する特別の必要がある場合などが想定されている。

政府は2025年12月、アクセス・無害化措置の運用に関する指針を決定した。同指針では、国家安全保障会議による対処方針の審議や、国家サイバー統括室による関係機関の総合調整などを定めている。

また、攻撃に利用されているシステムが第三者の正規のサービスを兼ねている可能性もあり、措置による影響を考慮する必要がある。

つまり、民間企業から要請があった場合でも、政府が直ちに攻撃サーバを無害化できるわけではない。攻撃の重大性や措置の必要性、法令上の要件などを踏まえた判断が求められる。

なお、能動的サイバー防御は、サイバー攻撃を受けた企業が攻撃者に反撃することを認める制度ではない。民間企業が自ら他者のシステムに侵入する行為とは、明確に区別される。

民間企業への攻撃にも適用できる？ GMOの要請が投げかける問い

今回のGMOインターネットの要請で注目されるのは、民間企業が提供するサービスへの攻撃が、国によるアクセス・無害化措置の対象となるのかという点だ。

能動的サイバー防御は、国民生活や経済活動の基盤、国家および国民の安全をサイバー攻撃から守ることを目的としている。民間企業への攻撃であっても、重大な危害が発生するおそれがあるなど、法律で定められた要件を満たす場合には、アクセス・無害化措置の対象となり得る。

ただし、民間企業が被害を受けたという事実だけで、直ちに国が攻撃基盤へのアクセス・無害化措置を実施するわけではない。

GMOインターネットは、今回の攻撃が利用者の金融資産を標的とし、継続的な不正操作や追加攻撃の脅迫も伴っていることを重視している。

GMOインターネットグループの熊谷正寿代表は10月25日に公開したブログで、同社が法律上の「特定社会基盤事業者」に該当しないことや、能動的サイバー防御の実施は政府が主体的に判断するものであることを理解したうえで、今回の要請を行ったと説明した。

そのうえで、電力やガスなどの従来の重要インフラ事業者に該当するかどうかだけではなく、国民の金融資産や生活への実質的な影響を踏まえ、制度の適用可能性を検討してほしいとの考えを示した。

一方、政府が実際に措置を講じるかどうかは、攻撃の性質や重大性、被害拡大のおそれなどを踏まえ、法令上の要件に照らして判断される。また、攻撃に利用されるサーバが海外にある場合には、他国の主権や国際法との関係も考慮する必要がある。

現時点で重要なのは、企業からの要請と、政府による措置の実施を区別することだ。

GMOインターネットの事案は、能動的サイバー防御が民間企業やその利用者を守るうえで、どのような役割を果たせるのかを問う事例となった。制度の実効性を考えるうえでも、政府が今後どのように対応するのかが注目される。