GMOの悲痛な要請――日本の能動的サイバー防御に「魂」は注入されているのか

サイバーセキュリティー

米国との同盟、技術的な発動基準、そして犯罪被害者を責める社会への疑問

法律を作れば、サイバー攻撃を止められるのか

日本政府は、能動的サイバー防御の法制化を進めてきた。

2025年5月には関連法が成立し、2026年10月1日からは攻撃元へのアクセス・無害化措置を実施できる制度が運用段階に入った。

サイバー攻撃が国家の安全保障を脅かし、企業活動や国民生活に深刻な影響を与える時代である。

従来の受け身の防御から一歩踏み出すことには、私も基本的に賛成である。

しかし、ネット探検ラボでは、法制化の議論が進む過程で、以前から一つの疑問を抱いてきた。

法律を整備することと、その法律を実際に機能させることは、まったく別の問題ではないか。

サイバー攻撃は、法律を成立させたからといって止まるものではない。

攻撃者の活動を観測し、侵入の兆候を捉え、攻撃基盤を特定し、脅威の深刻さを評価する。

さらに、攻撃に使われているサーバーが本当に対象として適切なのか、第三者のシステムを誤認していないか、無害化措置が新たな被害を生まないかを検証しなければならない。

その技術的な裏付けがあって初めて、国家としての発動判断が可能になる。

では、日本政府は法制化と並行して、そうした判断を実行できる技術的な体制を、どこまで整備してきたのだろうか。

国家サイバー統括室は、関連法令やアクセス・無害化措置の運用指針を公開している。国会でも、官民連携や通信情報の分析、監理委員会による承認などが説明されてきた。

したがって、制度的な準備が全く存在しないという話ではない。

だが、攻撃基盤を特定するために必要な技術的確証の水準、誤認を防ぐ検証手順、脅威評価と発動判断を結び付ける具体的な基準について、国民はどこまで確認できるのだろうか。

機密性の高い運用情報をすべて公開せよという意味ではない。

日本自身の技術と情報によって判断できる体制が、実際に機能する水準まで整備されているのか。

ネット探検ラボが疑問視してきたのは、その実効性なのである。

日本の能動的サイバー防御は、誰のための制度なのか

この問題を考えるうえで、避けて通れないのが米国政府との関係である。

私は親米の立場である。

日米同盟の重要性を否定するつもりはないし、サイバーセキュリティの分野でも米国との情報共有や技術協力には大きな意義があると考えている。

しかし、親米であることと、米国政府の政策判断を無条件に支持することは違う。

日本のサイバー防衛は、誰のために存在するのだろうか。

当然、日本国民の生命と財産、そして日本企業の経済活動を守るためである。

ところが、法制化の経緯を振り返ると、どうしても気になることがある。

日米両政府は以前から、サイバー領域での協力強化を進めてきた。

2022年の日米首脳共同声明では、サイバーセキュリティや情報保全に関する協力の加速が確認されている。

その後の日米安全保障協議委員会、いわゆる「2プラス2」でも、サイバー防御に関する協力や情報共有が重要な議題となってきた。

そうした流れの中で、日本は能動的サイバー防御の法制化を進めた。

ここで、一つの疑問が浮かぶ。

日本の能動的サイバー防御は、日本自身の必要性と技術的検討から生まれた制度なのか。それとも、米国との安全保障協力を進めるため、まず法的な枠組みを整えたという側面が強いのだろうか。

もちろん、現時点で米国政府が日本に法制化を命じたという証拠が確認できているわけではない。

むしろ、日本政府は2025年3月18日の衆議院本会議で、関連法案について日本が主体的に判断して整備するものであり、日米ガイドラインを具体化したものではないと説明している。

政府の公式説明は明確だ。

しかし、その説明を受け入れることと、実効性の検証を終えることは同じではない。

本当に日本が主体的に判断する制度であるならば、その判断を支える独自の技術的能力が必要なはずだ。

日本国内のサイバー攻撃について、日本の機関が自ら情報を収集し、分析し、攻撃基盤を特定できるのか。

そして、米国側から特定の要請がなくても、日本社会への重大な脅威を認識し、自らの責任で対応を判断できるのか。

逆に、米国側から協力を求められた場合でも、日本の国益と法的要件に照らして、独立した判断を下せるのか。

私が知りたいのは、そこなのである。

先日のカスペルスキー記事とつながる問題

先日、ネット探検ラボでは、米国政府によるカスペルスキー製品の排除について考察した。

米国政府は、ロシアとの関係に由来する国家安全保障上の懸念から、カスペルスキー製品に対して厳しい措置を講じてきた。

その政策判断には、米国政府なりの安全保障上の理由があるのだろう。

しかし、私は以前から、カスペルスキーのランサムウェア対策技術を高く評価している。

優れた防御技術を持つ製品を、国家安全保障上の判断によって市場から排除することが、利用者のサイバー防衛にどのような影響を及ぼすのか。

そこには検証すべき問題がある。

もちろん、カスペルスキー製品の排除によって米国のランサムウェア被害が増えたと証明できているわけではない。

また、製品の防御性能が優れていることと、国家安全保障上のリスクが存在しないことも同義ではない。

それでも、私が問いたかったのは、国家の安全保障政策と、国民や企業にとって実効的なサイバー防御が、常に同じ方向を向いているとは限らないという問題である。

今回の能動的サイバー防御にも、同じ問いが重なる。

米国と協力することは重要だ。

しかし、日本政府は米国の政策や技術的判断を参照するだけでなく、日本国民と企業の利益を守るという独自の目的に基づいて行動できなければならない。

同盟国の安全保障政策に協力するための制度と、日本社会を守るための制度。

両者は重なる部分があっても、決して同一ではない。

もし日本の能動的サイバー防御が、米国からの情報提供や要請を待たなければ実質的に動かせない仕組みであるならば、それは日本の自立した防衛能力として十分なのだろうか。

これは、現時点で確認された事実ではなく、ネット探検ラボが検証したい仮説である。

そして、その疑問を一層強く意識させる事件が発生した。

GMOへのサイバー攻撃である。

GMOを襲ったサイバー攻撃――狙われたのは顧客の金融資産

2026年10月、GMOインターネットが提供する「お名前.com デスクトップクラウド」がサイバー攻撃を受けた。

同社の10月24日付発表によれば、サービス環境に対する不正アクセスと、顧客情報の外部持ち出しが確認されている。

さらに、一部の利用者から、証券・FXなどの取引口座における身に覚えのない取引が報告された。

影響を受けた可能性があるサーバーは26,739件。

ただし、この数字は侵害や情報窃取が確認された件数ではない。調査対象となり得るサーバーの範囲である。

GMOはサービスの停止や通信遮断、取引所・証券会社との連携を進め、顧客への補償方針も明らかにした。

そして、攻撃者とみられる人物から金銭を要求されていることを公表した。

ここまでは、近年のサイバー犯罪で繰り返し見られてきた構図にも似ている。

しかし、今回の脅迫には、私が特に注目した点がある。

攻撃者が、GMOの顧客そのものを脅迫材料にしていることである。

データを人質にするだけではない――顧客を人質にする恐喝

従来の典型的なランサムウェア犯罪では、攻撃者は企業のシステムを暗号化し、業務を停止させる。

さらに、窃取した情報を公開すると脅迫し、金銭を要求する。

いわゆる二重恐喝である。

その後、顧客や取引先にまで脅迫を広げる三重恐喝も現れた。

したがって、顧客を巻き込む行為そのものが、今回初めて登場したわけではない。

しかし、GMOへの脅迫は、その構造が際立っている。

GMOの公式発表によれば、攻撃者とみられる人物は、金銭要求に応じなければ、顧客の取引口座に対する不正操作を継続することや、利用者のPCに関する情報の公開、ランサムウェア攻撃の実行などを予告している。

これは、単に盗んだデータを公開するという話ではない。

顧客の金融資産に損害を与え、顧客の事業活動や生活にまで危険を及ぼすと脅しているのである。

しかも、顧客への攻撃を公然と予告することで、GMOと顧客との信頼関係を揺さぶることもできる。

実際に追加攻撃を実行できる能力を攻撃者が持っているかどうかは、別途検証しなければならない。

しかし、脅迫を受けた企業にとって、その可能性を無視することはできない。

攻撃者は、データだけでなく、顧客の安全と企業の信用を人質に取ろうとしている。

金銭目的であることは従来のランサムウェア犯罪と共通していても、その圧力のかけ方には注目すべき違いがある。

私は、こうした恐喝の悪質化を強く懸念している。

GMOが国家に助けを求めた理由

GMOは10月24日、政府関係機関に対し、能動的サイバー防御に関する措置の実施を緊急要請した。

同社は、今回の事件を単なる一企業のシステム障害ではなく、一般国民の金融資産が標的となった重大なサイバー犯罪として位置付けている。

そして、国が主導して攻撃基盤を追跡し、遮断・無力化するよう求めた。

私は、GMOがこうした要請に至った心理を理解できる。

自社のサービスが攻撃され、顧客情報が持ち出され、顧客の金融資産にまで被害が及んだ可能性がある。

さらに、攻撃者は顧客への追加攻撃を予告している。

企業として可能な対策を講じても、国境を越えて活動する攻撃者の基盤そのものを排除することには限界がある。

そのとき、国家にしか行えない措置に期待するのは、不自然なことではない。

ただし、ここには重要な区別がある。

被害企業が国家に助けを求めることと、国家がその要請に従って直ちにアクセス・無害化措置を実施することは別問題である。

能動的サイバー防御の発動は、企業の希望だけで決まるものではない。

脅威の重大性、措置の必要性、対象の特定、法的要件、第三者への影響などを、政府が独立して判断しなければならない。

政府関係者からも、個別企業の要請に応じて発動を決める制度ではないという説明が報じられている。

その説明自体には合理性がある。

しかし、そこで私の疑問が再び浮かび上がる。

では、日本政府は何を根拠に発動の可否を判断するのか。

今回のように、すでに不正アクセスが発生し、顧客の金融資産への被害が報告され、さらに追加攻撃が予告されている事案を、どのような技術的・法的基準で評価するのだろうか。

発動しないという判断にも、発動するという判断にも、根拠が必要である。

その判断を日本自身の能力で下せるのか。

これこそ、法制化の実効性を問う具体的な試金石なのである。

CTF世界一の技術者がいても、侵入は防ぎきれない

GMOグループには、高度な技術力を持つホワイトハッカー集団が存在する。

脆弱性診断やセキュリティ研究、CTFなどで実績を持つ技術者たちである。

ところが、今回の被害を受けて、SNSでは「世界的な競技で実績を上げる技術者がいるのに、なぜ侵入を防げなかったのか」といった批判も見られた。

私は、こうした議論には強い違和感を覚える。

サイバー攻防には、攻撃者と防御側の間に根本的な非対称性が存在する。

攻撃者は、侵入する時期を選べる。

攻撃する対象を選べる。

数多くの侵入口の中から、突破できそうな一つを探せる。

一方、防御側は、膨大なシステムや運用環境を継続的に守り続けなければならない。

もちろん、多層防御や監視によって攻撃を検知し、侵害を封じ込めることはできる。

しかし、優秀な技術者が存在するという理由だけで、あらゆる侵入を完全に防げるわけではない。

CTFは技術力を競う場であり、企業の防御運用は、それとは異なる複雑な条件の下で行われる。

侵入されたという結果だけで、技術者の能力不足や経営上の怠慢を証明することはできない。

当然、GMOのセキュリティ管理体制や侵害の原因は、今後厳しく検証されるべきだ。

しかし、それは証拠に基づいて行うべきことである。

GMOは今、犯罪者から攻撃と脅迫を受けている被害者なのだ。

その事実を忘れてはならない。

KADOKAWA事件を思い出してほしい

今回、SNSで見られる被害企業への批判を目にして、私はKADOKAWAのランサムウェア事件を思い出した。

大規模なサイバー攻撃を受けた企業は、事業の復旧、顧客への説明、情報漏えいへの対応、捜査機関への協力など、膨大な作業を抱える。

そこへ、外部から憶測や批判が集中する。

経営陣の説明責任を問うことは必要である。

セキュリティ管理上の問題があったなら、その原因を究明し、再発防止につなげなければならない。

しかし、犯罪被害者の責任を検証することと、被害者を責め立てることは違う。

ましてや、攻撃者が顧客への追加攻撃を予告している最中である。

今、GMOの技術者や経営陣に求められているのは、顧客の保護、被害拡大の防止、証拠保全、そして安全な復旧であろう。

外野の私たちが、その仕事を増やしてしまっては本末転倒だ。

私は、GMOの経営責任を免除すべきだと言っているのではない。

攻撃者の責任と、被害企業の管理責任を混同してはならないと言っているのである。

そして、この問題には、さらに深刻な社会的な側面がある。

被害者を責め続ける社会の、その先に待つもの

もし、サイバー攻撃を受けた企業が、常に結果論で責め立てられる社会になったら、どうなるだろうか。

どれほど対策を講じても、一度侵入を許せば非難される。

どれほど優秀な技術者を揃えても、被害が発生すれば能力を疑われる。

国家に助けを求めれば、それすら揶揄される。

そんな社会の中で、企業は何を考えるようになるだろうか。

「攻撃されてからでは遅い」

「国家の対応を待っていては顧客を守れない」

「ならば、攻撃される前に脅威を排除するしかない」

こうした発想が広がる可能性はないだろうか。

もちろん、攻撃の兆候を監視し、脆弱性を修正し、不審な通信を遮断するなど、合法的な予防的サイバー防御は積極的に進めるべきである。

問題は、その一線を越えた場合だ。

本来、国家の厳格な法的統制の下で行われるべき攻撃元へのアクセスや無害化を、民間企業が秘密裏に実行し始めたらどうなるのか。

攻撃者のサーバーだと思っていたものが、第三者に乗っ取られた正規のサーバーだったら。

企業が自衛のつもりで行った行為が、別の企業に対する不正アクセスになったら。

攻撃と報復が繰り返され、誰が加害者で誰が被害者なのかさえ曖昧になったら。

その先に待っているのは、どのような社会なのだろうか。

これは、現に日本企業がそのような行為を広く実施しているという主張ではない。

国家による保護が十分に機能せず、被害者ばかりが責められる状況が続けば、民間による過剰な自衛を誘発する危険はないのか、という問題提起である。

国家が担うべき責任を果たさなければ、その空白を誰かが埋めようとする。

だからこそ、能動的サイバー防御という制度には、実効性と法的統制の両方が必要なのである。

日本政府には、日本社会を守り抜く気概があるのか

ここで、日本政府に改めて問いたい。

日本国民の生命と財産、そして日本企業の自由な経済活動を、サイバー犯罪から守り抜くという気概があるのだろうか。

法律を成立させることは、国家の仕事の始まりにすぎない。

その法律を実際に機能させるためには、技術的な能力が必要である。

攻撃者を観測する能力。

複数の侵害事案を関連付けて分析する能力。

攻撃基盤を正確に特定する能力。

誤認や第三者被害を防ぐ能力。

そして、得られた情報を法的な発動判断につなげる能力。

私は、日本国内で発生するサイバー攻撃の情報を、個別の被害企業の中だけで終わらせてはならないと考える。

侵入経路、悪用された脆弱性、攻撃ツール、通信先、ログなどの情報を、被害者の権利や営業秘密を保護しながら収集する。

それらを横断的に分析し、攻撃キャンペーンや攻撃基盤の共通性を探る。

同じ攻撃者が複数の企業を狙っていないか。

異なる事件の背後に、共通する攻撃インフラが存在しないか。

こうした情報を積み上げることによって、個別企業には見えない脅威の全体像が浮かび上がる。

その分析を国家としての判断につなげる。

私は、これこそ能動的サイバー防御の実効性を支える重要な基盤だと考えている。

政府は、官民連携や通信情報の分析を制度の柱としている。

では、それらが現実の脅威に対して、どの程度機能するのか。

今回のGMO事案のように、顧客の金融資産への被害が発生し、さらなる攻撃が予告されているとき、日本政府は何を把握し、どのように判断するのか。

措置を実施するかどうかは、法的要件と客観的な証拠に基づいて決められなければならない。

だが、その判断を可能にする能力が国家に備わっているのかという問いまで、秘密の一言で片付けてよいわけではない。

すべての技術情報を公開する必要はない。

しかし、制度の目的、判断の原則、監督の仕組み、実効性を検証する方法については、国民に説明できるはずである。

国家の専権に属する能動的サイバー防御という法制度に、日本国民と企業を守るための「魂」は注入されているのだろうか。

ネット探検ラボは、そこに甚だ疑問を抱いている。

ネット探検ラボの「非能動的サイバー防御支援」

さて、国家の役割について論じてきたが、私たちのような外野にも、できることはある。

ネット探検ラボでは、それを少々冗談めかして「非能動的サイバー防御支援」と呼んでみたい。

もっとも、何もしないという意味ではない。

公開情報を丁寧に観測する。

攻撃者の主張を検証する。

過去の事件と比較し、共通する手口や特徴を探す。

事実、推定、仮説を区別しながら、状況証拠を積み上げる。

そして、被害の拡大防止に役立つ確かな手掛かりが得られたときだけ、適切な窓口を通じて情報を提供する。

被害企業のシステムには手を出さない。

顧客環境にも立ち入らない。

攻撃者への不用意な接触によって、捜査や被害対応を妨げることもしない。

有益な情報が見つからなければ、静かに見守る。

それもまた、被害企業を支える方法の一つだろう。

GMOグループには、優秀なホワイトハッカーたちがいる。

今回の事件は、彼らにとっても厳しい実戦経験になるはずだ。

その経験が、GMOだけでなく、日本のサイバーセキュリティ全体の向上につながることを期待したい。

私たち外野は、彼らの仕事を増やすのではなく、彼らの目が届きにくい公開情報を観測する。

被害者を責めることより、被害者を守ることに知恵を使いたい。

それが、ネット探検ラボ流の「非能動的サイバー防御支援」である。

結び――日本のサイバー防衛は、日本自身の意思で動くのか

先日のカスペルスキー記事で、私は国家安全保障上の判断と、国民や企業にとって実効的なサイバー防御との関係を問いかけた。

今回のGMO事案は、その問題をさらに深いところまで考えさせる。

日本政府は、能動的サイバー防御という新しい法制度を整備した。

その制度は、米国との安全保障協力を進めるうえでも意味を持つだろう。

しかし、日本のサイバー防衛は、日本国民と企業を守るためのものでなければならない。

米国と協力することは重要だ。

だが、米国からの情報や要請を待たなければ動けないのであれば、日本自身の防衛能力として十分とは言えない。

もちろん、現時点でそのような従属関係が存在すると証明されたわけではない。

だからこそ、日本政府には、独立した判断を支える能力と制度の実効性を示してほしいのである。

そして、もう一つ。

GMOのように、犯罪者から攻撃され、顧客へのさらなる被害まで脅迫されている企業が、国家に助けを求めた。

その要請をどう評価するかは、法的要件と客観的な証拠に基づいて判断すべきである。

しかし、被害企業が助けを求めること自体を揶揄する社会には、私は強い違和感を覚える。

被害者を責め続ける社会の先に、民間企業による過剰な自衛や、秘密裏のサイバー実力行使が広がる未来が待っているとしたら。

それは、私たちが望んだサイバー社会なのだろうか。

法律はできた。組織もできた。

では、日本国民と企業を守るために、その法律を自らの判断で動かす技術と意思は備わっているのか。

国家の専権事項である能動的サイバー防御に、果たして「魂」は注入されているのか。

ネット探検ラボは、これからもその実効性を問い続けたい。

そして今は何より、GMOとその顧客に対する被害が、これ以上拡大しないことを願っている。

参考資料・出典

日本の能動的サイバー防御と法制度

日米安全保障協力

GMOへのサイバー攻撃

コメント

タイトルとURLをコピーしました