GMO・佐川急便の漏えい相次ぎ、政府が閣僚会議を招集

1. 何が起きたか

GMOインターネットグループのFX自動売買向けVPS「お名前.com デスクトップクラウド」で、第三者による不正アクセスが起きました。同社は2026年10月21日付のお知らせで、一部のお客様のサーバー環境に不正なプログラムが設置されたこと、影響の可能性があるサーバーが26,739件であること、同日4時から全プランのサーバーを順次停止することを公表しています（お名前.com公式のお知らせ）。J-CASTニュースによると、同グループは10月22日に、サーバー内に保存されていた取引口座のログイン情報等が第三者に取得され、不正に利用された可能性があると発表しました。証券会社やFX会社の口座で第三者による不正な操作が行われたとの報告も寄せられ、約300万円を失ったと話す利用者もいます（J-CASTニュース（Yahoo ニュース配信））。

2. 国の動き

木原稔官房長官は10月26日の記者会見で、事業者を狙った攻撃による大規模な情報漏えいが相次いでいるとして、同日午後6時から首相官邸で「サイバーセキュリティに関する関係閣僚会議」を開くと発表しました。高市首相らが出席し、今後の対策を議論する予定ですが、具体的な対策は発表時点では示されていません。背景として、ビジネス＋ITは、佐川急便が10月23日に「お荷物問い合わせサービス」への不正アクセスで最大約5,323万件（重複を含む件数）の個人情報が流出した可能性があると発表したこと、GMOが政府に「能動的サイバー防御」の適用を要請したことを挙げています（ビジネス＋IT（Yahoo ニュース配信））。

GMOインターネットグループの熊谷正寿代表は10月25日、自身のブログで、社内のホワイトハッカーから改善すべき課題が事前に現場へ指摘されていたと明らかにしました。ITmediaによると、対応は「可用性への影響や他の対処事項との優先順位を考慮しながら慎重に進めた」結果だと説明し、指摘の内容や遅れた経緯は明らかにしていません。SNSでは「責任転嫁では」という批判が優勢だと同誌は伝えています。攻撃者が自称する侵入手口の真偽も、GMO側が詳細を明らかにしていないため分かっていません（ITmedia NEWS）。

3. なぜ中小企業に関係するのか

今回の件は、事故が起きた会社の名前よりも、どの会社でも同じ形で起こりうる点が重要です。VPS、荷物の追跡のような外部向けの照会画面、取引先に預けたデータは、どれも自社の外にある部品ですが、そこから漏れた情報は自社の顧客や資金の被害になります。報じられた範囲では、GMOの件はサーバー内に保存したログイン情報が悪用された可能性があり、佐川急便の件は荷物の依頼主と届け先の氏名、住所、電話番号が対象で、クレジットカード情報とパスワードは対象外とされています。ネット通販や発送の記録を持つ会社は、自社の顧客が同じ立場になるかもしれません。

当社の見方 「あとで直す」と判断した穴が、そのまま被害の日になる、というのが今回いちばん重い教訓です。GMOの代表自身が、指摘は事前にあったと認めています。中小企業でも、制作会社や社内の担当者から「パスワードの使い回しをやめましょう」「古いサーバーを閉じましょう」と言われながら、忙しさで先送りしている場面は多いはずです。先送りの代償は、事故のあとに顧客へ説明し、補償を考え、サービスが止まった期間の売上を失うことです。月内に、外部に預けているデータとサーバーの一覧を作り、パスワードの共有と使い回しをやめるかどうかで、次の1件を受ける側になるかどうかが変わると当社は考えます。

4. 中小企業がいま確認すること

VPSやレンタルサーバーなど外部に置いているサーバーのうち、使っていないもの、更新が止まっているものを洗い出し、不要なら契約を閉じる
サーバーや業務システムの中に、取引口座・クラウド・メールのログイン情報を保存していないか確認する。ある場合はいまのうちにパスワードを変更し、使い回しをやめる
お名前.com デスクトップクラウドを使っている場合は、取引口座の履歴と残高を確認し、パスワードを変更する。不正アクセスを名乗る者からのメールのURLやファイルは開かず、返信もしない（GMOの呼びかけ）
発送や顧客の記録を預けている会社（運送、EC、予約システム）が出した最新のお知らせを確認し、自社の顧客に連絡が必要か判断する
「更新を誰がいつやるか」「何かあったとき誰に連絡するか」を、制作会社・保守会社と紙に書いて決めておく

当社の展望

今回の一連の件は、取引先や顧客が中小企業に「情報の預け先と管理体制」を問う流れを強めると当社は見ています。6〜24か月のうちに、発注元からのセキュリティ確認シートが増え、提出できない会社が取引の比較で外れる場面が出てくると考えます。国もこの日に閣僚会議を開いており、事業者への求めは今後強まる可能性があります。AIが弱点探しを速めるほど、設定の不備を放置できる期間は短くなります。預けているデータと外部サーバーの一覧、パスワードの管理ルール、更新と連絡の担当を今のうちに整えておくことが、いまが布石を打つ時期という当社の判断です。

当社の総合判断

今回は「大企業だから起きた」のではなく、「あとで直す」が積み重なると、どの規模でも起きる事故でした。閣僚会議の結論は本稿の時点では出ておらず、国が何を求めるかは確認できていません。まずは外部サーバーの棚卸しとパスワードの見直しという、費用のかからない2点から始めることを当社はお勧めします。

この記事に関するよくあるご質問

お名前.com デスクトップクラウドの不正アクセスで、利用者は何をすべきですか

GMOの案内では、サーバー内に保存した認証情報を速やかに変更し、同じパスワードを他で使っている場合はそちらも変更します。取引口座の履歴と残高の確認も呼びかけられています。不正アクセスを名乗る者からのメールのURLやファイルは開かず、返信もしないでください。

取引先の大手が情報漏えいを起こしたとき、中小企業は何を確認すべきですか

まず相手企業の最新のお知らせで、自社の情報が対象かを確認します。次に、その相手に預けているデータの種類と、同じログイン情報を他で使っていないかを見ます。自社の顧客に影響しうる場合は、連絡が必要かを早めに判断してください。

参考

自社の業務で試したい場合

記事で取り上げた内容を自社の業務に当てはめた場合の進め方と費用は、お問い合わせフォームからご相談いただけます。

お問い合わせ記事一覧へ