GMOインターネット、サイバー攻撃で全利用者に5,000円を補償

要点

• GMOインターネットグループは、不正アクセスを受けた「お名前.com デスクトップクラウド」の利用者に、損失の有無にかかわらず一律5,000円（約32ドル）を支払います。
• この支払いとは別に、確認された不正取引による損失を、取引所が返金を拒んだ場合でも全額補償するとしています。
• 同社は攻撃者とみられる者から身代金要求のような脅迫を受けましたが、支払わず、警察と連携していると説明しています。
• カーシェアリング「タイムズカー」を運営するパーク24も、流出した本人確認書類画像1,464,800件に関連して3,000円の支払いを予定しており、55億円の特別損失を見込んでいます。
• 日本ではサイバー事案が過去最多のペースで続いており、高市早苗首相はサイバーセキュリティーの緊急対策パッケージをまとめる方針を示しています。

GMOインターネットの補償策は2本立てです。不正アクセスを受けた「お名前.com デスクトップクラウド」の全利用者に5,000円を支払い、不正取引による損失は確認後に全額を補償します。熊谷正寿最高経営責任者（CEO）が2026年10月25日（日）にブログで方針を明らかにしました。

今回の支払いにより、GMOはサイバー攻撃を受けて顧客に直接補償する日本企業の最新例となりました。ロイターは10月26日、国内各地の企業がハッキングの急増に対応するなかでのこの流れを報じています。以下では、GMOの支払い内容、対象者、パーク24の対応、そして相次ぐ補償の意味を整理します。

GMOインターネットの補償：利用者が受け取るもの

攻撃を受けたのは、GMOインターネットグループの子会社であるGMOインターネットが運営する仮想専用サーバー（VPS）サービス「お名前.com デスクトップクラウド」です。J-CASTニュースによると、多くの利用者が外国為替（FX）の自動売買ツールを稼働させるために利用していました。ロイターは標的をGMOのFX取引サービスと表現しています。

補償は次の3つで構成されています。

• お見舞い金：J-CASTニュースとロイターによると、損失の有無を問わず、対象サービスの全利用者に一律5,000円を支払います。
• 損失補償：GMOインターネットは、不正アクセスに起因する不正取引で確定した損失を、確認のうえ補償します。スポニチアネックスが引用した熊谷氏のブログによると、取引所や証券会社が返金に応じない場合でも、対象となる損失の全額を支払うとしています。
• 代替サービス：ロイターとJ-CASTニュースによると、新たな別基盤上の代替サービスを6カ月間無償で提供します。

熊谷氏は、5,000円で幕引きを図るものではないとしています。ITmediaやスポニチアネックスなど国内メディアは、これを迷惑をかけた利用者への第一歩と位置づけ、確認された損失の補償は別途対応すると伝えています。

対象者

これまでに報じられた会社の説明に基づけば、デスクトップクラウドの利用者であれば誰でも一律の支払いの対象になります。損失補償は、GMOが確認できる不正取引が取引口座で発生した利用者に限られます。GMOは損失の総額や影響を受けた利用者数を公表していません。J-CASTニュースは、最大26,739台のサーバーが影響を受けた可能性があると報じました。この数字はサーバーの台数であり、人数ではありません。

GMOへのサイバー攻撃の経緯

GMOが攻撃者の要求を拒否した理由

ロイターによると、GMOは攻撃の背後にいるとみられる者から要求を受け、会社と顧客の情報を流出させるとの脅迫も受けたと説明しました。GMOは支払いに応じず、警察などの当局と連携しているとしています。J-CASTニュースは、同社がこれらのメッセージを「悪質な脅迫」と表現し、警察に相談したと報じました。

GMOは、当局と連携していること以外に、拒否の詳しい理由を公表していません。支払ったとしても、盗まれたデータが削除される、あるいは公開されないという保証はありません。ロイターによると、同社は今回の攻撃が今月初めに公表されたPHPの深刻な脆弱性と関係しているかどうかを明らかにしていません。この脆弱性の背景については、PHPの緊急セキュリティーパッチに関する解説をご覧ください。

熊谷氏は不備も認めました。社内のホワイトハッカーがすでにセキュリティー上の問題を指摘していたものの、対応の深さとスピードが足りなかったと記しています。J-CASTの報道によると、熊谷氏は攻撃者に「その隙を突かれた」という趣旨を記しました。ロイターによると、同氏は今月導入された新たな能動的サイバー防御の仕組みを、敵対的なサーバーへの攻撃などの措置も含めて活用するよう政府に求めました。

市場の反応

ロイターによると、同社の株価は10月23日（金）に約16%下落し、4カ月ぶりの安値を付けました。同じ日に東京市場の主要株価指数は0.2%上昇しています。ロイターは金曜終値時点のGMOの時価総額を約26億ドルとしています。GMOは、支払いと補償が業績に与える影響はまだ見積もれないとしています。

パーク24もデータ流出でタイムズカー利用者に支払い

補償に動いたのはGMOだけではありません。ITmediaと日本経済新聞によると、カーシェアリング「タイムズカー」を運営するパーク24は10月23日、現金または金券で3,000円相当のお詫びを支払うと発表しました。対象は、運転免許証などの本人確認書類の画像に社外へ送信された痕跡がある利用者です。

ITmediaとBleepingComputerによると、パーク24は9月25日に不正侵入を検知し、9月28日に約660万件のアカウント情報の流出を公表しました。氏名、住所、生年月日、電話番号、メールアドレス、運転免許証の情報が含まれます。同社は本人確認書類の画像は暗号化されていたものの、将来復号される可能性を否定できないとしており、それが支払いを決めた理由です。

出典：ロイター、J-CASTニュース、ITmedia、日本経済新聞。ドル換算はロイターによる1ドル＝156.81円。

ITmediaによると、パーク24は通期の純利益予想を440億円から385億円に引き下げました。対象となる各件がそれぞれ別の人物のものだとすると、支払いだけで約44億円になります。パーク24は支払いの方法をまだ明らかにしておらず、対象者に個別に連絡する予定です。MLexは、日本の弁護士がこの流出をめぐる集団損害賠償訴訟を準備していると報じています。

日本企業が顧客への補償に動く理由

相次ぐ補償の背景には、日本国内でのサイバー事案の増加があります。ロイターはTrendAIのデータを引用し、10月20日までの1年間で723件のサイバーセキュリティー事案があったと報じました。これはすでに2025年と2024年の年間件数を上回っています。ESET Japanの社長であるSatoshi Nagano氏はロイターに対し、以前なら検知や公表がされなかった事案が見えやすくなったことも、この数字に一部反映されている可能性があると述べました。

カプコンも大規模なアカウント情報の流出を公表しており、CAPCOM IDのデータ流出に関する記事で取り上げています。ロイターが引用した専門家によると、AIツールが脆弱性のスキャンやフィッシングを自動化しており、攻撃がより速く、より安く実行できるようになっています。

政策も動いています。ロイターによると、高市早苗首相は来週中にもサイバーセキュリティーの緊急対策パッケージをまとめる方針を示しました。日本政府は金曜日、AIを使ってサイバー攻撃を模擬し、技術システムの弱点を見つけるチームを設置することも明らかにしました。

影響と意味

利用者にとって、2つの事例は目に見える基準となります。企業は不便や情報流出のリスクに対して少額を一律に支払い、そのうえで実際に証明された損失を別途補償しています。取引所が返金を断った場合でも確認された損失を補償するというGMOの約束は注目に値します。そうでなければ、被害を受けたトレーダーは各証券会社にそれぞれ自力で請求しなければならないからです。

企業にとって、コストは支払い額だけにとどまりません。岩井コスモ証券の有沢正一氏はロイターに対し、標準的な対策を超えて防御を強化するには、相当な追加コストがかかる可能性があると述べました。パーク24の55億円の損失計上は、1件の情報流出がいかに速く企業の利益を直撃するかを示しています。GMOは自社の負担額をまだ示していません。

どちらかの事案で自分の情報が流出した可能性があると考える読者は、自分のデータが流出したかを確認する方法のガイドの手順を参考にしてください。関連記事はJapanのトピックページでご覧いただけます。