セキュリティ

80億円を要求されて「応じない」と決める。二重脅迫への対応は、何を比べて決まるのか

ランサムウェアの対応を「払うか払わないか」の二択で語ると、実務の大半が抜け落ちます。実際に決めているのは、どの被害を確定させ、どの被害を不確定のまま引き受けるかです。2026年10月のGMOの事案は、要求額と方針の両方が公表された珍しい例でした。この記事では、公表されている事実を足場に、判断の構造を分解します。

公表されている事実

GMOインターネットグループの第4報・第7報から、確認できる範囲です。

• 10月21日／サービス停止と第1報。同日、脅迫メールを受信。要求額は約80億円
• 10月22日／警察に相談
• 10月24日／能動的サイバー防御の適用を政府関係機関に要請
• 攻撃者の予告期限／10月27日12:00に顧客情報の公開とランサムウェア攻撃

攻撃者が主張した内容は3点です。国内外70社を超える証券・FX会社等の口座への不正操作の継続、本サービスと接続した顧客PCに関する情報の公開およびランサムウェア攻撃、GMOのシステムや運用体制に関する情報の公開。

これに対する同社の方針は「攻撃者からの要求には応じません」。理由として、要求に応じても削除や不正利用の防止は保証されない、と説明しています。

攻撃者の主張の真偽、持ち出された情報の内容と件数は、本記事の執筆時点でいずれも確認されていません。

二重脅迫では「復旧」が交渉材料にならない

古典的なランサムウェアは暗号化だけでした。この場合、払う理由は明快です——復号鍵を買う。バックアップから戻せるなら払わない、という判断基準も明快でした。

二重脅迫（暗号化＋窃取して公開を予告）では、この構造が崩れます。データはすでに相手の手元にある。払って買えるのは「公開しないという約束」だけで、それは履行を確認できません。

• 買えるもの／復号鍵（復旧の時間短縮）、公開しないという約束
• 買えないもの／持ち出されたデータの消去の証明、別の攻撃者へ転売されないこと、再度要求されないこと
• 増えるもの／次に狙われる確率。支払い実績は攻撃側の評価情報になる

GMOの説明にある「応じても削除や不正利用防止は保証されない」は、この構造をそのまま述べたものです。判断は倫理ではなく、対価として何が手に入るかの確認から始まります。

何と何を比べているのか

実務で比べられているのは、おおむね次の4本です。

1. 停止期間のコスト。サービスが止まっている間の売上と、顧客が離れる分。復号鍵で短縮できるのはここだけ
2. 復旧の確実性。バックアップが無事か、どの時点まで戻せるか、戻した構成に同じ穴が残っていないか
3. 公開された場合の損害。何が持ち出されたかが確定していない段階では、この見積もりが最も粗くなる
4. 支払いそのもののリスク。相手が制裁対象の組織であれば、支払いが別の法的問題を生む。資金の流れを説明できるかという問題も残る

4番目は日本でも無視できません。米国財務省の制裁対象に関係する相手への支払いは、国際的に事業を行う企業にとって追加のリスクになります。払うという選択は、技術の問題から法務と資金の問題に移る。この移動が、意思決定の難度を一段上げます。

払わないと決めた後にやること

方針を決めたら、やることは「公開されても被害が小さくなる状態」を作ることです。GMOが実際に取った対応は、その教科書的な並びになっています。

• 接続の遮断／影響を受けたシステムのネットワーク接続を停止し、外部からの不正アクセス経路を遮断
• 下流の防御／主要な取引所・証券会社に対し、本サービス経由のアクセス遮断、全アクティブセッションの強制切断、不正取引の緊急監視を要請
• 利用者側の対処依頼／接続に使ったPC・スマートフォンのフルスキャン、重要データのオフライン・バックアップ、アカウントの見直し
• 捜査機関／通信記録等の証拠を提出し、刑事事件としての捜査を要請
• 基盤の作り直し／現行基盤は再開せず、セキュリティアーキテクチャを刷新。代替サービスへの移行者は6か月間無償
• 金銭面／不正取引の実現損失を補償（市場変動・逸失利益・間接損害は対象外）。別枠で利用顧客全員に一律5,000円の見舞金

並べると、「止める」「下流を守る」「利用者に手を動かしてもらう」「証拠を残す」「作り直す」「金銭で区切る」の6つです。払わない判断は、この6つを実行できる前提とセットでしか成立しません。

期限が切られるということ

二重脅迫には、ほぼ必ず予告期限が付きます。GMOの事案では、攻撃者は10月27日12:00に顧客情報の公開とランサムウェア攻撃を行うと予告しました。

この期限は、交渉の道具として設計されています。効果は3つあります。

1. 調査を終わらせない。何が持ち出されたかを把握する前に判断を迫ることで、被害の見積もりを不可能にする
2. 社内の合意形成を阻む。取締役会を開き、法務と保険を確認し、捜査機関と相談する——これらを数日でやらせる
3. 外部への説明を先行させる。期限が報道されれば、顧客と取引先からの問い合わせが先に来る

だから、期限に合わせて判断しようとすると必ず負けます。実務上やるべきことは、期限とは無関係に進む作業を先に全部やることです。

• 遮断／期限とは関係なく、いますぐできる
• 下流への連絡／同上。GMOは主要な取引所・証券会社にアクセス遮断とセッション強制切断を要請した
• 利用者への依頼／同上。接続に使った端末のフルスキャン、オフラインでのバックアップ、アカウントの見直し
• 証拠保全／同上。通信記録等を捜査機関へ
• 補償の枠組み／被害の全容が分からなくても、対象範囲と除外範囲は先に決められる

これらを先に終えてしまえば、期限が来たときに新たに失われるものはすでに持ち出された情報の公開だけになります。払っても止められないものです。

補償の線を、どこで引くか

金銭での解決は、攻撃者に払うか否かだけの話ではありません。利用者に対していくら、どこまで払うかの設計が必要になります。GMOが公表した枠組みは、この点で参考になります。

• 補償の対象／不正アクセスに起因すると会社が認めた取引で生じた実現損失（取引の差損、手数料等）
• 補償の対象外／市場変動による損失、逸失利益、間接損害
• 見舞金／利用中の全顧客に、金銭的被害の有無にかかわらず一律5,000円。補償とは別枠
• 基盤の扱い／現行基盤は再開せず、セキュリティアーキテクチャを刷新。代替サービスへの移行者は6か月間無償

線の引き方には理屈があります。実現損失は計算できるが、逸失利益は計算できない。「あのまま運用していれば儲かったはず」の額は、被害者ごとに無限に主張できてしまいます。

一方、見舞金を一律にしたのは被害の有無を確定させずに配れるからです。調査に数か月かかる前提で、「何も受け取っていない」状態の顧客を減らす設計と読めます。ただし金額については批判も報じられており、この設計が万人に受け入れられたわけではありません。

実務的な教訓は、補償の線引きは事故の最中に考えると必ず揉める、ということです。実現損失か、逸失利益を含むか。一律か、被害額に応じるか。約款と保険の両方に関わるため、平時に法務と詰めておく領域です。

平時に決めておけること

インシデントの最中に決めようとすると、ほぼ確実に間に合わないものがあります。

1. 支払いの可否を、平時に方針として決めておく。決裁者、相談先（捜査機関・法務・保険）、判断の基準を文書にしておく
2. バックアップの復元を、実際にやってみる。「取れている」と「戻せる」は別。戻すのに何時間かかるかが停止コストの前提になる
3. 下流に連絡する先のリストを作る。GMOの例で効いたのは、取引所・証券会社へセッション切断を要請できたこと。連絡先と要請内容を事前に持っているかで、初動の速さが変わる
4. 何を預かっているかの棚卸し。顧客が自分で保存したデータは、事業者側が中身を把握していないことが多い。「把握していない」こと自体を、事故時の説明に含められるようにしておく

この4つはいずれも、攻撃を受ける前にしかできません。そしてどれも、新しい製品の導入を必要としない。投資判断の対象になりにくく、だからこそ後回しにされやすい領域でもあります。

誰が決めるのか

払う／払わないは、技術部門が決められる事項ではありません。ところが判断に必要な情報は、ほぼすべて技術部門にあります。この非対称が、インシデント対応で最も揉める部分です。

関与する立場と、それぞれが持っている情報を整理します。

• 技術部門／何が起きたか、どこまで取られた可能性があるか、復旧にどれだけかかるか。ただし「可能性がある」までしか言えない
• 経営／停止期間のコスト、顧客への影響、ブランドへの影響。支払いの最終決裁
• 法務／支払いが別の法的問題を生まないか。約款上の補償義務の範囲。開示義務の有無
• 広報／公表のタイミングと範囲。確定していない事実をどう書くか
• 保険／付保範囲、免責、事前の承諾が必要な支出かどうか
• 捜査機関／証拠保全の要請、同種事案の情報。ただし捜査の内容は共有されない

6者が揃わないと決まらない一方、攻撃者は数日の期限を切ってきます。平時に集まったことがない6者が、事故の最中に初めて集まる——これが最悪の形です。

GMOの時系列を見ると、10月21日に脅迫メールを受信し、翌22日に警察へ相談、24日に補償と見舞金の枠組みを決定しています。3日で金銭面の方針まで出している。この速度は、事前に枠組みがなければ出ません。

技術部門の側でできるのは、「可能性がある」の粒度を上げることです。

1. 影響が及び得る範囲と、実際に侵害が確認された範囲を分けて示す。GMOも26,739件を「対象となり得るサーバー数」とし、不正アクセスや情報取得が確認された件数ではないと明示している
2. 「分からない」ことを、分からないまま正確に伝える。推測を確度の表示なしに混ぜない
3. 追加で何時間あれば、どこまで確定できるかを示す。決裁者が「いま決めるか、待つか」を選べるようにする

国に頼る、という選択肢

GMOは2026年10月24日、能動的サイバー防御の適用を政府関係機関に要請しました。内容は、国主導での攻撃基盤の追跡・遮断・無力化など実効的な措置の実施で、同社はこれを「発動第1号」事案と位置づけています。

この選択肢が現実にどこまで使えるのかは、制度の施行状況によります。

• 根拠法／サイバー対処能力強化法（令和7年法律第42号）。成立は令和7年5月16日、公布は同年5月23日
• 2026年10月1日に施行されたもの／官民連携の強化（協議会の設置、資産の届出、インシデント報告）
• アクセス・無害化措置／10月1日付のプレスはタイトルに含めているが、前日9月30日の関係省庁会議資料では「来年秋より施行」と図示されている

つまり、狭義の能動的サイバー防御——攻撃基盤に対して能動的に手を出す措置——がすでに発動できる状態なのかどうかは、公開されている一次資料だけでは断定できません。

ただし、現行の枠組みでできることもあります。警察のサイバー犯罪捜査、国際的な法執行連携、関係省庁からの注意喚起。GMOも10月22日に警察へ相談し、通信記録等の証拠を提出して刑事事件としての捜査を要請しています。

実務的に言えるのは、「国に止めてもらう」を初動の前提にしてはいけないということです。要請は出せますが、受理されるか、いつ動くか、何ができるかはこちらでは決められません。自社でできる6つ——止める、下流を守る、利用者に動いてもらう、証拠を残す、作り直す、金銭で区切る——を先に終えたうえで、追加の手段として置くのが現実的な位置づけです。

出典

• GMOインターネットグループ／「お名前.com デスクトップクラウドサービスに対するサイバー攻撃について」第4報（2026年10月24日）・第7報（2026年10月26日）／要求額約80億円、攻撃者の主張3点、「要求には応じません」との方針、遮断・下流への要請・捜査機関への提出・基盤刷新・補償と見舞金
• piyolog（2026年10月23日作成・24日更新）／お名前.com デスクトップクラウドへの不正アクセスについてまとめてみた／時系列、利用者への依頼事項、補償の範囲

本記事は2026年10月27日時点で公開されている情報に基づいています。攻撃者の主張の真偽、持ち出された情報の内容と件数、被害総額はいずれも未確認です。制裁や支払いの可否に関する記述は一般的な整理であり、個別の判断は法務・捜査機関にご確認ください。