GMO Incident Watch 解説
GMOの流出情報はどこまで確認されたか 26,739台と被害者数を混同しない
第1・3・4・10報の表現の変化を比較。影響の可能性があるサーバー数、情報の持ち出し、公開されたデータの真正性を別々に確認する。
公開： ／ 更新： ／ 出典確認日：
26,739は「被害者の人数」ではない
お名前.com デスクトップクラウドの不正アクセスで示された26,739件は、影響の可能性があるサーバーの数だ。お名前.com掲載の23日付第3報は、不正アクセスや情報取得が確認された件数ではないと明記している。被害人数や流出が確定した口座数に、そのまま置き換えることはできない。
サーバー、利用者、取引口座は別の集計単位だ。一人が複数の環境や口座を使うこともあり、サーバー数から被害額を推計する前提も示されていない。海外のBleepingComputerの21日付記事には最大26,739サーバーへのマルウェア設置を示す強い表現があるが、当サイトは公式資料の「影響の可能性」という範囲を採用する。
21日の未確認から、24日の持ち出し確認へ
21日4時時点の第1報は、一部サーバーで不正なプログラムを確認し、保存情報が閲覧された可能性を公表した一方、その時点では個人情報の漏えいや情報の悪用を確認していないとしていた。その後の第4報でGMOは、顧客情報が外部へ持ち出された事実を確認したと説明した。
この経過を示さず、初報の「漏えい未確認」だけを現在の説明として使うと、調査の進展が欠落する。逆に、24日に持ち出しを確認したからといって、21日の時点で会社が同じ範囲を把握していたと推定することもできない。公表日と、その時点で会社が確認した内容を対にして読む必要がある。
決済情報の説明には対象となる環境がある
第3報は、会社が利用者のクレジットカード情報などの決済情報を本サービスのサーバー上では保有していないと説明する。ただし、利用者自身がサーバーに保存した情報は影響範囲に含まれるとも記している。「カード情報は一切関係ない」とだけ要約すると、この区別が消えてしまう。
取引ツールに保存されたログイン情報などは、影響の可能性がある情報として挙げられた。これは、すべての取引口座が不正操作されたという意味ではない。実際の口座操作については、取引会社の記録・告知と照合する必要がある。
公開データの全部が本物と確認されたわけではない
27日の第10報は、攻撃者とみられる者による情報公開を確認したとする一方、内容の真偽は調査中だと説明した。会社が確認した持ち出しと、外部に並んだ個々の情報の真正性は別の問題である。
掲載された人を契約者や被害者と断定したり、名前を探して転載したりする行為は、新たな被害につながりうる。本記事では、流出を称するデータそのものではなく、公表資料が何を確認し、何をまだ確認していないと述べているかを比較している。
出典・確認した一次資料
- お名前.com：第1報（2026年10月21日）
- お名前.com：第3報（2026年10月23日、集計単位と保存情報の範囲）
- GMOインターネット：第4報（2026年10月24日）
- GMOインターネット：第10報（2026年10月27日）
- BleepingComputer・Bill Toulas：2026年10月21日、初期報道の表現との比較
本記事は公開資料を整理した一般情報です。GMO各社、行政機関、法律事務所の公式サイトではなく、個別の法律助言や補償申請・訴訟参加の受付を行うものではありません。発表後の変更は、リンク先の公式情報でご確認ください。