2年前の記録を掘り起こす
2026年、私たちはGMO関連のサイバーセキュリティ事案について調査を続けるなかで、2024年に地下フォーラムへ掲載されていたデータセットの記録に改めて注目しました。
そこには、GMOが提供する「お名前.com」に関連するとみられる、具体的なファイル名が残されていました。
私たちは当該データセットを入手していません。内部の実データも閲覧していません。
しかし、実物を持たなければ何も調べられないわけではありません。
当時の投稿記録と、現在公開されているネットワーク情報、さらにGMO自身が公表した公式資料を突き合わせることで、その信憑性を検証することにしました。
今回、その調査から新たな手掛かりが得られました。
2024年3月、2350件のSQLダンプをうたう投稿
2024年3月11日、ある地下フォーラムに、2350件のSQLダンプ、総容量250GBをうたう投稿が現れました。
そして3月14日、別の利用者によってファイル一覧が掲載されます。
私たちが注目したのは、その一覧に含まれていた次の2件です。
phpmyadmin8.onamae.ne.jp.sql.rar
phpmyadmin35.onamae.ne.jp.sql.rar
いずれも、GMOの「お名前.com」に関連するドメイン名を含んでいました。
ファイル名からは、phpMyAdminとSQLデータベースとの関連が読み取れます。
ただし、この段階では投稿者がそのような名称を掲げていたという事実しかありません。
そこで私たちは、ファイル名に含まれるホスト名そのものを追跡することにしました。
公開ネットワーク情報との照合
最初の手掛かりは、AbuseIPDBの公開情報でした。
同サービスのサブドメイン一覧には、次の名称が掲載されていました。
phpmyadmin8.onamae.ne.jp
phpmyadmin35.onamae.ne.jp
2024年の地下フォーラムで確認したファイル名と一致しています。
さらに、IPinfoおよびIPIP.NETを調べたところ、次の対応関係が確認できました。
ホスト名：phpmyadmin35.onamae.ne.jp
IPアドレス：118.27.99.13
これにより、地下フォーラムに掲載されていた名称を、実際のネットワーク情報と結び付ける具体的な手掛かりが得られました。
しかし、調査はここで終わりませんでした。
GMO自身の公式資料に、同じIPアドレスがあった
今回の調査で特に重要だったのは、GMOが公開したサーバーメンテナンス情報です。
2026年8月12日付の公式告知には、同月27日に実施するデータベースサーバー移行について、次の情報が掲載されていました。
変更前
ホスト名：mysql35.onamae.ne.jp
IPアドレス：118.27.99.13
変更後
ホスト名：mysql1056.onamae.ne.jp
IPアドレス：157.120.209.xxx(一部伏字）
ここで、重要な一致が確認されました。
IPinfoおよびIPIP.NETに掲載された phpmyadmin35.onamae.ne.jp のIPアドレスと、GMO公式資料に記載された mysql35.onamae.ne.jp の旧IPアドレスが、完全に一致したのです。
これは単なるドメイン名の類似ではありません。
地下フォーラムに掲載されたファイル名に含まれるホスト名と、GMOが公式に公表したデータベース関連インフラとの間に、具体的なネットワーク上の対応関係が確認されたことを意味します。
もう一つのホスト、mysql8
続いて、もう一つのファイル名に含まれていた phpmyadmin8.onamae.ne.jp を調べました。
GMOの2024年4月22日付の公式メンテナンス情報には、RSプランのデータベースサーバーとして、次のホスト名が登場します。
mysql8.onamae.ne.jp
さらに2025年の公式資料から、2025年8月6日に次のサーバー移行が実施されたことを確認しました。
変更前
mysql8.onamae.ne.jp
163.44.187.205
変更後
mysql1029.onamae.ne.jp
160.251.xxx.xxx（一部伏字）
これによって、2024年当時、GMOが mysql8 というデータベース関連ホストを運用していたこと、そして翌2025年にその移行が実施されたことが確認できました。
phpmyadmin8 と mysql8 のIPアドレスが同一であったことまでは確認していませんが、今回の調査によって、両者を照合するための公式な運用記録が得られました。
mysql8は、レンタルサーバー契約者のデータベース収容先だった
ここで、私たちが注目した重要な事実があります。
GMOが2024年4月22日に公表したメンテナンス情報には、対象として「レンタルサーバー RSプランをご利用の一部のお客様」と記載され、その条件として、データベースサーバーの収容ホストが mysql8.onamae.ne.jp であることが明示されていました。
つまり、mysql8.onamae.ne.jp は、GMOのレンタルサーバーサービスを契約する顧客のデータベースを収容する基盤として利用されていたのです。
この事実は、2024年3月に地下フォーラムで確認した phpmyadmin8.onamae.ne.jp.sql.rar の性質を考えるうえで重要な意味を持ちます。
仮に、このアーカイブが当該データベース収容基盤から取得されたものであった場合、その内容は単一の企業やWebサイトに限定されず、複数の契約者が運用するデータベースに関係していた可能性も考えられます。
私たちは今回、GMOの公式資料から、当該ホストが顧客向けデータベース収容基盤として使用されていた事実を確認しました。
これは、地下フォーラムに掲載されたデータセットの性質と、潜在的な影響範囲を検討するうえで、新たに得られた重要な手掛かりです。
出典：GMO公式メンテナンス情報（2024年4月22日）
IPアドレスの配置にも規則性
さらに、IPinfoの公開情報を調べると、同じIPアドレス帯に複数の関連ホストが存在していました。
| ホスト名 | IPアドレス |
|---|---|
| phpmyadmin35 | 118.27.xx.xx |
| mail35 | 118.27.xx.xx |
| phpmyadmin38 | 118.27.xx.xx |
| mail38 | 118.27.xx.xx |
| phpmyadmin41 | 118.27.xx.xx |
| mail41 | 118.27.xx.xx |
| phpmyadmin44 | 118.27.xx.xx |
| mail44 | 118.27.xx.xx |
これらには一定の配置規則が認められます。(IPアドレスは一部伏字）
phpMyAdmin系ホストとmail系ホストは、同じ番号を持つ組み合わせでIPアドレスが3ずつ異なります。
また、phpMyAdmin系ホストのIPアドレスは、番号35、38、41、44の順に64ずつ増加しています。上記では一部伏字になっておりますので分かり難いところですが、関連ホストのIPアドレスに一定の配置規則が確認されたのは間違い有りません。
こうした規則性は、GMO関連インフラの構成を読み解くうえで興味深い手掛かりとなります。
4月には別形式のアーカイブも登場
2024年4月14日、別の地下フォーラム投稿には、782GB、600件以上のデータベースをうたう一覧が掲載されていました。
その中に含まれていたのが、
onamae.ne.jp.7z
というファイル名です。
3月に掲載された2件は、個別ホスト名を含む .sql.rar 形式でした。
一方、4月のファイルは、ドメイン名を用いた .7z 形式です。
私たちは、この違いに注目しています。
3月のSQLアーカイブが、地下フォーラム内で収集、再編成、再圧縮され、4月に別形式で共有された可能性が考えられるからです。
これは、元のデータの取得経路と、地下フォーラム内での二次流通を区別して調べる必要があることを示しています。
データセットの中には何があったのか
今回、私たちはGMOのデータベース関連インフラについて、公開資料から調査を進めました。
その結果、RSプランなどのレンタルサーバーサービスでは、利用者がMySQLデータベースを運用できることも確認しました。
この種のデータベースには、WordPressなどのCMS情報、Webサイトのユーザー情報、会員情報、注文履歴、各種業務データなどが格納され得ます。
ただし、今回のアーカイブに具体的に何が含まれていたのかは、まだ特定していません。
対象となる可能性のあるデータの範囲は広く、現段階で無理に推定を重ねることは、調査の精度を損なうと考えています。
そのため、私たちは今回確認した情報を保全し、新たな手掛かりが得られるまで、この点の深掘りを保留することにしました。
実データを入手せず、どこまで検証できたのか
私たちは、地下フォーラムで配布を主張した人物からデータを受け取っていません。
したがって、SQLアーカイブの内部を確認したわけではありません。
しかし、今回の調査では、別の方法によってその信憑性を検証しました。
地下フォーラムの投稿記録、公開ネットワーク情報、GMO公式資料という異なる情報源を照合した結果、2024年に掲載されたファイル名と、GMOが実際に運用していたデータベース関連インフラとの具体的な対応関係を確認しました。
この成果から私たちは、2024年当時、GMO関連の実データが地下フォーラムで流通していた可能性は、今回の調査によって一段と高まったと評価しています。
これは、単にファイル名が掲載されていたという段階から、実際のインフラとの整合性を検証する段階へ進んだことを意味します。
最後に――GMO自身による「身体検査」を
今回の調査で、私たちが最も伝えたいことがあります。
それは、GMO自身が、過去のシステム運用について徹底した「身体検査」を行う必要があるということです。
私たちが2024年の地下フォーラム記録から発掘した情報は、単なる噂話として片付けるべきものではないと考えています。
ファイル名に残されたホスト名は、公開ネットワーク情報と整合し、さらにGMO自身が公表したデータベースサーバーの運用記録とも具体的な接点を持っていました。
私たち外部の調査者が確認できるのは、公開情報と保存された観測記録までです。
しかしGMO自身であれば、当時のサーバー構成、契約者の収容状況、管理権限の設定、アクセス記録、バックアップ履歴、障害・保守記録など、内部に残された情報を照合できる立場にあります。
2024年当時、何が起きていたのか。
不審なアクセスや、想定外のデータ取得はなかったのか。
当時のデータベース管理基盤に、見落とされていた問題はなかったのか。
そして、過去の運用上の問題が、現在のサービス環境にまで引き継がれていないか。
これらをGMO自身の手で検証することが重要だと考えます。
私たちの目的は、GMOを糾弾することではありません。
過去に残された痕跡から、現在の安全性を考え、将来の被害を防ぐことにあります。
外部の調査者が発見した痕跡を、内部の運用記録と照合すること。それこそが、企業自身にしかできない「身体検査」です。
私たちは、その必要性を強く訴えたいと思います。
参考資料
GMO公式資料
2024年4月22日付メンテナンス情報
https://www.onamae.com/news/article/6494
2025年データベースサーバー移行情報
https://www.onamae.com/news/article/11101
2026年8月12日付メンテナンス情報
https://www.onamae.com/news/article/11523/
公開ネットワーク情報
AbuseIPDB
https://www.abuseipdb.com/whois/150.95.219.208
IPinfo
https://ipinfo.io/ips/118.27.99.0/24
IPIP.NET
https://whois.ipip.net/cidr/118.27.99.0/24
地下フォーラム観測資料
2024年3月11日・14日、4月14日の投稿記録および保存済みスクリーンショット。
※地下フォーラムの名称は公開記事では記載していません。
ネット探検ラボ／電脳追跡舎
2026年11月4日
コメント