はじめに――2024年の記録から、2026年の侵害へ
私たちネット探検ラボ／電脳追跡舎は、GMOインターネットグループに関連するサイバー攻撃について、これまで2本の調査記事を公開してきました。
【第1報】
2024年に地下フォーラムへ現れたGMO関連データセット――現在のGMOグループに残る横展開リスクを追う！！
第1報では、2024年に地下フォーラムで共有されていたGMO関連データセット3件を取り上げ、当時の投稿記録や情報流通の状況を調査しました。そして、2026年のGMOへのサイバー攻撃との関係に着目し、過去に流通した情報が現在のシステムに及ぼし得る危険性について考察しました。
【続報】
2024年、地下フォーラムに現れたGMO関連データセット――公開情報との照合で浮かび上がったデータベース基盤の実像
続報では、地下フォーラムで共有されていたGMO関連データセット3件について、ファイル名やホスト名などを手掛かりに、GMOが公開していた過去の公式資料と照合しました。
その結果、地下フォーラムで共有されていたデータセットが、実在したGMOのデータベース基盤に由来するものであることを、高い確度で確認しました。
これによって、2024年の地下フォーラムに残された記録の信憑性は大きく高まり、2026年のサイバー攻撃との関係を検討するための重要な手掛かりが得られました。
そして今回、新たに注目するのが、2024年4月にGMOサイバーセキュリティ byイエラエが行っていたセキュリティ上の指摘です。
この事実は、2026年11月2日に行われたGMOの記者会見で明らかになりました。
私たちは、イエラエが当時どのような攻撃手法を研究し、警鐘を発していたのかを調べました。その過程で、2023年以前から海外で確認されていた北朝鮮系のサイバー攻撃と、GMOグループの業務環境との間に、検討すべき共通点があることに注目しました。
今回の続報3では、2024年のイエラエによる指摘を起点に、北朝鮮系の既知の攻撃手法がGMOグループにも適用され得た可能性と、指摘を受けながら抜本的な改善が進まなかった背景について、私たちの推定を述べて参りたいと思います。
そして最後に、2024年に流通した可能性のある情報が現在も危険性を残しているとすれば、GMO自身にどのような調査と是正措置が求められるのかを考えてみました。
1．2024年4月、イエラエはGMOに問題を指摘していた
2026年11月2日のGMOインターネットグループの記者会見では、今回の侵害に先立つセキュリティ上の問題が明らかにされました。
報道によると、2024年4月24日、GMOサイバーセキュリティ byイエラエの専門家は、「お名前.com デスクトップクラウド」の診断結果として、システム上の課題と改善点を指摘していました。
ところが、その指摘は十分に生かされませんでした。
2026年の会見では、問題の優先順位付けやリスク分析が不十分だったこと、開発スケジュールとの兼ね合いから対応が後回しにされたこと、さらに同じ環境に対する追跡診断が実施されていなかったことが説明されています。
また、当時の指摘は事業責任者やシステム担当役員まで共有されていたものの、熊谷正寿代表には報告されていなかったとされています。
これは、技術的な問題だけでなく、経営上のリスク管理にも課題があったことを示しています。
また、2024年4月の診断報告書そのものは、私たちの調査では確認できていません。
イエラエが具体的にどの脆弱性を指摘したのか、どのような攻撃経路を想定していたのかについては、引き続き調査を進めています。
2．イエラエは、どのような攻撃を研究していたのか
ここで、2023年にさかのぼります。
2023年12月に開催された「IERAE DAYS 2023」では、イエラエの専門家による実践的なセキュリティ講習が企画されていました。
その一つが、Mac端末を対象としたペネトレーションテストの演習です。
公式の開催案内には、端末の遠隔操作を可能にする不正プログラムの開発、ブラウザやパスワードマネージャーからの情報窃取を学ぶ内容が記されています。
また、クラウド環境の設定不備や脆弱性を検証する演習も企画されていました。
これらの記録から、イエラエが2023年の時点で、端末侵害から認証情報の窃取に至る攻撃手法を具体的に研究し、防御技術の普及に取り組んでいたことが分かります。
私たちは、この事実に注目しました。
なぜなら、同じ時期に海外では、北朝鮮系とされる攻撃者によって、開発者や技術者を狙った侵害が実際に確認されていたからです。
3．海外では既に起きていた北朝鮮系の攻撃
2023年、北朝鮮系の攻撃活動として、開発者や企業の技術環境を狙う複数の事例が報告されました。
その一つが「Contagious Interview」と呼ばれる活動です。
この活動では、攻撃者が採用担当者を装い、求職中の開発者に悪意あるプログラムを実行させる手口が確認されました。
また、同年のJumpCloudへの攻撃では、ソフトウェア技術者を標的とした侵害から、企業の管理環境に被害が及んだことが報告されています。
さらに、北朝鮮系の活動には、偽の身元を用いてIT関連企業に就業しようとする手法も存在していました。
ここで重要なのは、攻撃者が単に公開サーバーの脆弱性を探していたわけではないということです。
技術者本人、開発環境、採用活動、認証情報、管理権限といった、企業の業務そのものが攻撃の入口になっていたのです。
私たちは、こうした海外事例とGMOグループの業務環境を比較しました。
4．GMOグループにも存在した技術評価の業務環境
GMOグループでは、以前からオンライン面接や、応募者の技術力を確認する採用活動が行われていました。
グループ企業の過去の採用関連資料には、応募者が作成したプログラムやGitHub上のソースコードを技術者が評価する事例が確認できます。
これは、技術者を採用する企業にとって、ごく自然な取り組みです。
応募者の実力を正確に把握するためには、履歴書や面接だけでなく、実際に作成したプログラムを確認することが有効だからです。
しかし、外部から提供されたプログラムを扱う以上、その取り扱いには慎重な安全管理が求められます。
ソースコードの閲覧と、実際のプログラムの実行では、危険性が大きく異なります。
特に、業務端末上で外部のプログラムを実行した場合には、認証情報の窃取や内部環境への侵入につながる危険性があります。
私たちの推定
私たちは、2024年4月のイエラエによる指摘が、海外で確認されていた北朝鮮系の攻撃手法と同様の危険性が、GMOグループの業務環境にも存在していたことを踏まえたものだったと推定しています。
具体的には、外部から提出されたプログラムの取り扱い、技術者端末の保護、認証情報の管理、管理者権限の分離など、攻撃者が企業内部へ侵入する際に悪用し得る問題です。
では、なぜイエラエから問題を指摘されながら、GMOは抜本的な改善を進められなかったのか。
私たちは、その理由が採用審査の仕組みそのものにあったのではないかと考えています。
技術者の採用では、応募者の知識だけでなく、実際にプログラムを設計し、開発する能力を正確に評価しなければなりません。
そのためには、応募者が作成したソースコードやプログラムを確認することが重要になります。
一方、外部から提出されたプログラムには、不正な処理が組み込まれている危険性があります。
私たちは、GMOが採用審査の精度を維持しながら、この危険性を十分に排除できる効果的な代替手段を見いだせず、従来の応募者の技術評価・採用審査手法を継続せざるを得なかったのではないかと推定しています。
つまり、セキュリティ上の問題を認識していても、採用活動の質を落とすわけにはいかず、従来の業務を変更できなかった。その結果、イエラエの指摘に対する抜本的な対応が著しく遅れたのではないかと考えています。
これこそが、私たちが考える改善遅延の背景です。
そして、このような組織的な事情が存在していたのであれば、北朝鮮系の攻撃者が海外で実践していた、採用活動や技術者を入口とする攻撃手法に対して、GMOグループも危険性を抱え続けていたことになります。
これが、私たちが現在検証している組織的な背景です。
5．リモート勤務の見直しという経営判断
2026年、GMOグループではリモート勤務体制の見直しが進められました。
熊谷代表は、その理由について対外的に説明していますが、私たちが検討している北朝鮮系の攻撃手法への対応を、その理由として明示したわけではありません。
それでも、出社を基本とする勤務体制には、企業が業務端末や認証環境、機密情報の取り扱いを統一的に管理しやすくなるという側面があります。
私たちは、この経営判断が、結果としてセキュリティ上の危険性を低減する方向に働いた可能性に注目しています。
リモート勤務の廃止だけで、外部から提出された不正なプログラムの危険性が解消されるわけではありません。採用試験で使用するコードの隔離実行、権限管理、業務端末の保護など、技術的な対策は引き続き必要です。
そして、ここで時間の問題が浮かび上がります。
仮に2024年以前に認証情報や内部情報が持ち出されていたのであれば、2026年に勤務体制を変更しても、既に外部へ渡った情報を取り戻すことはできません。
将来の侵入を防ぐ対策と、過去の侵害によって残された危険性を解消する対策は、どちらも必要だと考えます。
6．2026年の侵害で明らかになったこと
2026年11月2日の記者会見では、今回の侵害について、より具体的な経緯が説明されました。
報道によると、攻撃者は8月5日に顧客のリモートデスクトップ環境へ侵入し、管理者アカウントを奪取しました。
その後、8月17日にはGMO側の管理サーバーへの侵入に至ったとされています。
さらに9月20日以降、顧客環境への不正プログラムの配布が行われ、GMOが異常を確認したのは10月20日でした。
ここで明らかになったのは、顧客環境から管理者権限を奪い、サービスの管理基盤へ到達する攻撃が実際に発生していたことです。
私たちは、2024年の地下フォーラム掲載記録との関係に注目しています。
もし過去に流出した情報の中に、認証情報、接続先情報、管理構成などが含まれていた場合、それらが後年の攻撃に利用される可能性があります。
2024年の掲載記録と2026年の侵害を技術的に結び付ける情報については、引き続き調査を進めています。
7．過去の負の影響を清算できるのは誰か
今回の調査を通じて、私たちは一つの結論に至りました。
リモート勤務体制の見直しや新たなセキュリティ対策は、将来の危険性を低減するために重要です。
しかし、過去に情報が持ち出されていたのであれば、その影響は現在も残されている可能性があります。
私たちが2024年の地下フォーラムで確認したGMO関連データセットの掲載記録は、その危険性を検討するうえで重要な手掛かりと考えています。
そして、仮に当該データベースが実際に流出していたのであれば、そこに含まれていた情報が現在も悪用可能な状態にないか、徹底的に調査する必要があります。
その実態を最も詳細に調べ、必要な是正措置を講じられる立場にあるのは、システムの管理主体であるGMO自身です。
求められるのは、単なる設定変更や部分的な修正ではありません。
過去の侵害可能性を起点として、認証情報の失効と再発行、管理権限の再点検、接続経路の検証、関連システムの侵害痕跡調査、さらには顧客環境への影響確認まで含めた、徹底的なセキュリティ検査とクリーニングです。
GMOが保有する内部ログ、過去のシステム構成、アクセス記録、認証情報の管理履歴などは、外部の調査者には確認できないものです。
私たちが公開情報を調べることによって提示できるのは、調査すべき手掛かりと、そこから導かれる仮説です。
過去に何が持ち出され、それが現在どのような危険を生み出しているのか。その問いに正面から向き合い、負の影響を断ち切ることこそ、GMOに求められる最も重要な対応だと私たちは考えます。
私たちの目的は、GMOを非難することではありません。
2024年に残された記録と、2026年に発生した侵害を検証し、同じ危険が今後も繰り返されることを防ぐために、必要な問題を提起することです。
次回・最終報予告
北朝鮮によるGMOサイバー攻撃の可能性――攻撃者の行動から、その実像に迫る
今回の調査では、北朝鮮系による開発者や企業の技術環境を狙った攻撃手法と、GMOグループの業務環境との共通点を検討しました。
次回の最終報では、視点を攻撃者自身の行動へ移します。
私たちは、2026年の攻撃者が残した脅迫、情報公開、連絡手段、地下フォーラムでの動き、そして一連の活動の時系列を分析してきました。
その中には、高度な技術力をうかがわせる行動がある一方、金銭を目的とした犯罪としては不可解な振る舞いも見られました。
私たちは冗談交じりに、こんな疑問さえ抱いています。
「今回の攻撃者は、北朝鮮のサイバー工作員の新人教育課程における卒業試験でも受けていたのではないか？」
これは、現時点での私たちの仮説を象徴する比喩です。
最終報では、そのような評価に至った理由を、実際に観測した攻撃者の行動と具体的な資料から検討したいと思います。
技術力と犯罪遂行能力の落差、情報公開の方法、金銭要求の進め方、攻撃基盤の扱い、そして北朝鮮系の既知の活動との共通点。
これらを一つずつ検証し、攻撃者の実像に迫りたいと考えています。
参考資料・出典
- GMOサイバーセキュリティ byイエラエ「IERAE DAYS 2023」公式開催記録
https://gmo-cybersecurity.com/event/ieraedays23/ - GMOインターネットグループ「IERAE DAYS 2023」開催発表（2023年11月）
https://prtimes.jp/main/html/rd/p/000004220.000000136.html - ＠IT「『ネットのセキュリティもGMO』の実態 イエラエの事前指摘はなぜ放置されたか」（2026年11月3日）
https://atmarkit.itmedia.co.jp/ait/articles/2611/03/news014.html - 東京報道新聞「GMOクラウド情報流出、グループ会社が2024年に脆弱性を指摘」（2026年11月）
https://tokyonewsmedia.com/archives/29814 - 東洋経済オンライン「最初の侵入口も原因も不明…GMOグループ3時間半謝罪会見で判明した『優先順位の倒錯』と『組織の重大欠陥』」（2026年11月3日）
https://toyokeizai.net/articles/-/963394 - Palo Alto Networks Unit 42による2023年の「Contagious Interview」「Wagemole」に関する調査報告。
- Mandiant／Google Cloudによる2023年のJumpCloud侵害調査報告。
- ネット探検ラボ／電脳追跡舎による2024年地下フォーラム掲載記録の調査資料、GMO関連ホスト名の照合記録、2026年の攻撃者公開資料の観測記録。
※本記事における「私たちの推定」は、公開資料と独自の観測記録に基づく考察です。2024年のイエラエの診断報告書原本、および地下フォーラムに掲載されたデータセットの実体は、今回の調査では確認していません。
コメント