GMOインターネットグループは、過去数年間にわたって複数のサイバー攻撃や情報流出事故を経験しています。本レポートでは、主要な不正アクセス・顧客情報流出事例を時系列で詳細に纏めます。
Gensparkのディープリサーチを使って、纏めてもらいました🔽
GMOインターネットグループ 不正アクセス・顧客情報流出 時系列レポート
TOP画像はGeminiで作りました。
2017年3月：GMOペイメントゲートウェイ 決済サイト不正アクセス
事件概要
2017年3月10日、GMOペイメントゲートウェイ（GMO-PG）が運営受託する2つの決済サイトで第三者による不正アクセスが確認され、約71.9万件の個人情報が流出した可能性が判明しました[GMOグループ]。
被害サイトと流出情報
| サイト | 被害件数 | 流出情報 |
|---|---|---|
| 東京都税クレジットカード お支払サイト |
676,290件 | クレジットカード番号・有効期限（61,661件）、 それに加えメールアドレス（614,629件） |
| 住宅金融支援機構 団体信用生命保険特約料 クレジットカード支払サイト |
43,540件 | クレジットカード番号・有効期限・セキュリティコード・ カード払い申込日・住所・氏名・電話番号・生年月日など |
原因
Apache Struts2の脆弱性（CVE-2017-5638 / S2-045）を突かれたことによる不正アクセスでした[thank-u.net]。
対応
- 2017年3月14日に外部専門家を交えた「再発防止委員会」を設置
- 2017年4月30日まで調査及び再発防止策の検討・実施
- 経済産業省はGMO-PGに対し、4月24日までに書面での報告を要求
2020年9月：GMOクリック証券 不正アクセスによる資産流出
事件概要
2020年9月7日、GMOクリック証券のお客様1名において、悪意ある第三者による不正アクセスにより、当該お客様の資産が流出する事案が発生しました[www.click-sec.com]。
被害内容
- 出金先銀行口座を不正な手段で開設された別の銀行口座に変更
- 1件149万円の出金が行われた
原因
第三者が何らかの方法で当該お客様の取引システムのログインIDやパスワード等を不正に取得した可能性があります。ただし、GMOクリック証券からのIDやパスワードの流出は確認されていませんでした。
対応
- 取引画面内での出金先銀行口座の変更受付を一時停止
- 本人確認済みの登録住所に書面を郵送する方法での変更手続のみを受付けることとした
- 出金先変更および出金手続等について二段階認証の仕組みを設定
- 不正アクセスに対するモニタリングをさらに強化
2025年6月：GMOグローバルサイン 設定ミスによる情報流出
事件概要
GMOグローバルサイン（GMOインターネットグループ子会社）が提供するID管理サービスで、約9年間にわたって設定ミスにより個人情報が外部から閲覧・取得できる状態になっていたことが判明しました。
被害規模
- 対象企業数：2,492社
- 流出件数：4万5,030人分
- 流出期間：2017年11月～2026年9月15日（約9年間）
- 流出情報：氏名、メールアドレスなど
発覚経緯
2026年9月14日に外部のセキュリティ研究者からの指摘で判明しました[www.jiji.com]。
原因
サービスのロゴ画像などを配信するために外部公開していたデータの保存領域に、個人情報を含むファイルも保存していたことが原因でした[www.asahi.com]。
2026年10月：GMOリサーチ&AI「infoQ」不正アクセス
事件概要
2026年10月3日、GMOリサーチ&AIが運営するアンケートサイト「infoQ」が第三者による不正アクセスを受け、最大94万8,498件の個人情報が外部に持ち出されました[gmo-research.ai]。
被害内容
| 項目 | 内容 |
|---|---|
| 発生日時 | 2026年10月2日（金）以降に不正アクセス開始 |
| 発覚 | 2026年10月3日（土）午前、会員からの問い合わせを受けて発覚 |
| 被害件数 | 最大94万8,498件の個人情報が外部に持ち出された |
| ポイント不正交換 | 一部会員（611件・2,869,500円相当）のポイントが不正にAmazonギフトコードに交換された |
流出した個人情報
- 氏名、フリガナ、性別、生年月日
- メールアドレス、住所、電話番号
- パスワード（暗号化済み）、会員ID
- ニックネーム、保有ポイント数、最終回答日等
※クレジットカード情報やマイナンバーは含まれていませんでした。
原因
第三者がサイトで使用していたソフトウェアの脆弱性を悪用して侵入したことが確認されました。
対応
- 同日11時24分にポイント交換を停止（Amazonギフトコード、GMOポイント）
- 同日14時15分に攻撃経路を遮断
- 同日15時に外部からのアクセスを遮断（サービス停止）
- 10月5日に個人情報保護委員会へ報告
- 不正交換ポイントの全額補填
2026年10月：お名前.comデスクトップクラウド ランサムウェア攻撃
事件概要
2026年10月21日、GMOインターネットが提供する「お名前.comデスクトップクラウド」（FX自動売買向けVPSサービス）が大規模なサイバー攻撃を受けました。これはGMOグループにとって最も深刻なサイバー攻撃となりました[GMOインターネットグループ]。
事件の経緯
| 日時 | 内容 |
|---|---|
| 10月20日 | 一部のお客様のサーバー環境で、第三者による不正なプログラムが設置されたことを確認 |
| 10月21日（水）4:00 | 本サービスの停止と不正アクセスの第1報発表。攻撃者から約80億円の要求を伴う脅迫メールを受信 |
| 10月22日（木）13:00 | 警察に相談 |
| 10月24日（土）11:50 | お見舞金の支払い、損失の補償、代替サービスの提供を決定 |
| 10月24日（土） | 能動的サイバー防御の適用を政府関係機関に要請 |
| 10月27日（火）12:00 | 攻撃者からの予告期限 |
| 10月27日（火）13:55 | 攻撃者による情報の公開を確認 |
被害規模
- 影響の可能性のあるサーバー数：26,739件
- 被害の種類：
- サーバー内に保管されている情報が閲覧された可能性あり
- お取引口座で第三者による不正な操作が行われたとの報告あり
- 攻撃者から約80億円の身代金要求
攻撃者の要求
攻撃者は10月27日（火）12:00に、お客様の情報の公開とランサムウェア攻撃を行うと予告し、約80億円の身代金を要求しました。GMOは要求に応じない方針を示し、10月27日13:55に攻撃者による情報の公開が確認されました[GMOインターネットグループ]。
公開された情報の種類
GMOは、公開が確認された情報を以下の3種類に分類しました：
| 種類 | 内容 | お見舞い金額 |
|---|---|---|
| 氏名・連絡先などの基本的な情報 | 個人を特定できる基本情報 | 10,000円 |
| 取引口座のID・パスワードなど | 金融・認証に関する情報 | 15,000円 |
| 機微情報、要配慮個人情報 | プライバシー性の高い情報 | 25,000円 |
重要な背景情報：2024年4月の脆弱性指摘
2026年11月2日の記者会見で明らかになった重大な事実として、GMOサイバーセキュリティbyイエラエ（グループ子会社）の専門家が、2024年4月24日に「お名前.comデスクトップクラウド」のセキュリティ上の課題を報告していたことが判明しました[テレビ朝日ニュース]。
しかし、この指摘をサービスの運営に活かすことができなかったことが、今回の被害拡大につながったとされています。
11月2日の記者会見での謝罪
GMOインターネットグループの熊谷正寿会長兼社長は11月2日の会見で以下の内容を述べました：
- 謝罪：サービス「お名前.com」デスクトップクラウドへの不正アクセスにより顧客情報が流出し、悪意ある者によって顧客資産が棄損された事故について、被害者と関係者に心より謝罪
- 脆弱性指摘の放置を認め：システムにセキュリティ上の問題があったこと、およびグループのセキュリティ専門家から課題指摘を受けていたが、それをサービス運営に活かせなかったことを事実として認めた
- SNSでの不適切発言を謝罪：
- 被害者に関わる事柄に触れたこと
- 笑顔の写真を投稿したこと
- 陸上部に関する不適切なコメントをしたこと
- 被害者の気持ちへの配慮が欠けていたと謝罪
- 補償対応：情報が公開されたお客様に対し、上限300万円のお見舞金を支払うことを発表
- 懸賞金制度：犯人の特定につながる有力な情報を求め、総額100万ドルの懸賞金を設定
まとめと分析
主要な傾向
- 対象サービスの多様化：決済サイト、アンケートサイト、VPSサービスなど、グループの様々なサービスが対象となっている
- 攻撃手法の変化：
- 2017年：既知の脆弱性（Apache Struts2）の悪用
- 2020年：個別の認証情報の窃取
- 2026年：ソフトウェアの脆弱性悪用、ランサムウェア攻撃
- 被害規模の拡大：2017年の約72万件から2026年の最大94万件以上へと、被害規模が拡大している
- 内部対応の課題：2024年4月にセキュリティ専門家からの脆弱性指摘があったにもかかわらず、2026年10月の重大な被害が発生した点は、内部対応の見直しが必要であることを示している
対応の改善
- 2017年：外部専門家を交えた「再発防止委員会」を設置
- 2020年：二段階認証の導入、モニタリング強化
- 2026年：能動的サイバー防御の適用を政府関係機関に要請、懸賞金制度の設置、上限300万円のお見舞金支払い