GMOハッキングの犯人は元社員？内部告発に見える犯行声明が怖い
GMOの「お名前.com デスクトップクラウド」を攻撃した犯人は、中の事情を知る元社員なのではないか。
2026年10月24日の夜から、Xではそんな見方が広がっています。
FXの自動売買に使うこのサーバー貸しサービスは、不正アクセスが見つかって、10月21日から全プランが止まったまま。
利用者からは身に覚えのない取引でお金が消えたという声が相次ぎ、攻撃者は利用者の自宅のパソコンにまで入り込んだと主張しているんです。
その攻撃者がネット上に出した「GMOインターネットへ」というページ（いわゆる犯行声明）には、こんな予告まで並んでいました。
【注意喚起】スマホやパソコンに一度入られると、中身を丸ごと抜かれて「脅しのネタ」にされる模様。
GMOが運営するお名前.com（FX用クラウドPC）の不正アクセスで、犯人側がこう予告しています。
— 三日前 (@expokun) 2026年10月24日
閲覧履歴を家族や仕事の連絡先へ送る、とまで書かれていて、読んでいて背筋が寒くなります。
元社員ではないか、日本人ではないか、という説はどちらもこのページが手がかりで、株の空売りで儲けているのでは、という声も上がりました。
そして24日の夜、そのページに「27日正午までに100万ドルを支払え」という要求が書き足されています。
GMOは払わないと言い続け、期限の正午を過ぎた10月27日、攻撃者は利用者1人分の個人情報だとするページまで出してきました。
その日の夜、GMOは攻撃者が求めたのと同じ100万ドルを、今度は犯人を捕まえるための懸賞金に回す、と発表したのです。
28日の夜からは、犯人は大阪の若者ではないかという説まで、Xで一気に広がりました。
元社員だから詳しいのか
このページを読むと、たしかに「中の人が書いたのでは」と感じます。
GMOさ、噂なんだけどIT界隈の見立てでは
攻撃側が実は元社員等の可能性が囁かれてる理由は内部事情に詳しすぎるからとの事
もしかしたら内部告発に
近い可能性もあるのかもしれない— あおい みゆ (@japan_miyu_) 2026年10月25日
ページの冒頭には「なぜこうなったのか、これから何が起きるのかを説明する」とあり、サーバーどうしのつながり方から、すべてのサーバーに入れる管理者のアカウント、解約したサーバーの扱いまで、外からは見えにくい話が細かく書かれているからです。
そして、そのうちのいくつかは、GMO自身の資料とも重なっていました。
ページは、借りたサーバーにつなぐと利用者の自宅のパソコンの中まで攻撃者の側から見えてしまう危ない設定が「少なくとも2019年時点ですでに設定されていました」と書いています。
実際にGMOは、公式サイトの案内に「あらかじめファイルの共有についても設定されております」と書いていて、2019年はこのサービスが今の仕組みに切り替わった年でした。
攻撃者の言い分とGMOの案内がどこで同じなのかは、別の記事でひとつずつ見比べています。
ページはさらに、2025年1月までは親会社のGMOインターネットグループが直接運営していたので、この設定をしたのは親会社だ、とまで書いていました。
2025年1月は、このサービスを含むサーバーの事業が、親会社から今の運営会社のGMOインターネットへ移った月です。
GMO自身も、24日に出した第4報（この件で順に出しているお知らせの4本目）で、システムに「セキュリティ上の問題が存在し」たと認めています。
ただ、設定のことも、2019年のことも、2025年1月のことも、中の人でなければ知らない話ではありませんでした。
この設定は、GMOのサイトからダウンロードできる接続用のファイルを開けば分かる設定で、ページ自身も「確かめることができます」と書いています。
サービスが今の仕組みになった年も、事業が移った月も、会社が自分でお知らせに出していました。
「解約したサーバーが次の注文まで動き続け、いつも数千台が動いていた」という話のほうは、攻撃者がそう書いているだけで、GMOの発表には出てきません。
確かめられる話は外の人でも書けるもので、確かめられない話は攻撃者がそう言っているだけ。
日本人ではないか、という声の手がかりは、ページの日本語でした。
ページは日本語で書かれていて、朝日新聞によると、FX口座で600万円を超える損を出した神奈川県の男性のもとにも、「Hacking Team」を名乗る人物から日本語のメールが届いていたそうです。
そこには「アカウントの残高をすべて破壊しました」と書かれていたとのことですが、この送り主がページを書いた攻撃者と同じなのかは、はっきりしていません。
一方で、このページが出る前には、GMOに宛てた英語の声明文とされる画像も出回っていて、日本語で書いてあるからといって日本人だとは言い切れなさそうです。
GMOは第4報で、相手を「国境を越えて暗躍する高度なサイバー犯罪集団」と呼び、脅しのやり取りを含む通信記録をすべて警察へ出して、刑事事件として捜査するよう求めているとのこと。
GMOの熊谷正寿社長が国に助けまで求めたことや、社長がどんな人なのかは、こちらの記事にまとめています。
空売りで儲けたいのか
24日の朝には、お金の専門家として発信しているファイナンシャルプランナーが、Xで「株価が下がるほどハッカーは大儲け」と書き、ここまで目立とうとする理由はほかに考えにくい、という見方を出していました。
空売りというのは、株を借りて先に売っておき、値下がりしたところで買い戻して、その差で儲けるやり方のこと。
サービスを運営するGMOインターネットの株は、全プランを止めた10月21日の510円から、23日には491円へ。
週明けの26日には、補償の費用や業績への影響を心配した売りが広がり、終値は418円まで下がったと共同通信が伝えています。
誰が空売りをしているのかは外からは見えないので、この説を確かめる手立ては、今のところありません。
はっきりしているのは、攻撃者が自分からお金を要求していること。
GMOは24日の第4報で、攻撃者からお金を要求されていることを明かし、「当社は、攻撃者からの要求には応じません」と書きました。
そして同じ24日の夜8時半、攻撃者のページに「声明」が書き足されます。
「27日正午（日本時間）までに、我々が要求する100万ドル（$1M）を支払えば、顧客に対するランサムウェア攻撃や、その他の情報公開は行わない」
ランサムウェアは、パソコンの中身を勝手に暗号化して開けなくし、元に戻すのと引き換えにお金を求めるウイルスのことで、100万ドルは日本円にすると約1億5,000万円です。
GMOが払わないと言い切ったその日に脅しが書き足されたことには、こんな声も。
GMOは身代金を1円も払わないと宣言しているからか、めっちゃ犯人に脅されてるよね。
でも他の会社は全く脅されてないってことは・・・そういうことだよな
だから日本の会社狙われるんだろうね。テロリストと交渉してくれるありがたい存在。
— 吉田製作所 (@netatank) 2026年10月25日
しかも、お金の要求はその前からありました。
GMOが26日の夜に出したお知らせによると、サービスを止めたその日には、もう約80億円を求める脅迫のメールが届いていたそうです。
攻撃者も同じ26日の夜、ページに書き足した「見解」で、GMOと利用者にもう大きな損害が出ているので、要求を100万ドルに引き下げた、と書いています。
同じ「見解」では、21日からの株の値下がりまで、要求を断ったから「GMOが自ら招いた経済的損失」だと言っていました。
株で儲けるまでもなく、攻撃者ははじめからGMOに直接お金を求めていたのです。
証拠を残せと書く攻撃者
24日の夜に書き足された「声明」には、利用者に向けた呼びかけも入っていました。
GMOから接続用のファイルを消すように言われた人がいるようだが、使わなくていいから大切に取っておいてほしい、という中身です。
理由として書かれていたのは、「皆さんが集団訴訟で勝訴するための強力な証拠となるから」。
攻撃した側が、攻撃された会社を訴えるための証拠の残し方を、被害にあった利用者に教えていることになります。
GMOが24日の午後に出した第5報（利用者へのお願い）を見ても、ファイルを消すようにという一文は見当たりません。
元社員の告発のように見えたのは、このページがはじめから「なぜこうなったのか」を利用者に説明するように書かれていて、責めている相手がいつもGMOだったからです。
「我々を止めることは可能か？」という問いにも、「はい、可能です。GMOにはそれができます。」と答えています。
けれど同じページには、払われなければ利用者のパソコンを暗号化し、閲覧履歴を家族や仕事の連絡先へ送るという、冒頭で紹介した予告も並んでいるんです。
攻撃者がわざわざ公開の場でお金を求めていることを、こう読んだ人も。
コンサルで人の行動動機を深読みする癖ついているから分かるけど、「公開でGMOに金銭要求したら応じてもらえる可能性減るやんｗ」との感想をもっている人がいたら、それは正しいけど、深読みすると、将来、日本中で恐喝が行われる可能性が示唆されて、震えるほど恐ろしいんよな
— ソロ忍者くん＠伴走支援サービス「ニンジャ☆週報」をお届け (@soloninjakun) 2026年10月25日
この人は長い投稿の続きで、被害者に訴え方を教えるのも、自分たちを「話の分かる相手」に見せるための手ではないかと書き、犯人を名乗るメールが届いている人は、早めに警察に相談したほうがいいとも添えていました。
GMOも26日の夜に、利用者へのお願いを改めてまとめています。
- 接続に使ったパソコンやスマホを、時間のかかるフルスキャンで、すみずみまで調べる
- 大事なデータを、ネットにつながっていない外付けの機器へバックアップする
- 別の安全な端末から、すべての端末をログアウトさせ、パスワードを変え、多要素認証（パスワードのほかにもう1つ確認を足す仕組み）を設定する
- メールやSMSのリンクは使わず、「被害金を取り戻す」と費用を求める連絡にも応じない
正午を過ぎて起きたこと
期限の日の朝、GMOは新しいお知らせで、利用者にこう頼みました。
正午になる前に、バックアップを取ったうえで「ネットワークを切断、電源を落とし、PCにつながっているコードを抜いてください」。
正午の直前に出したお知らせでは、利用者から預かって調べ終えたパソコンからは、ランサムウェアを含むウイルスは見つかっていない、と書いています。
協力を申し出た利用者のもとへ社員が端末を受け取りに行き、グループのホワイトハッカー（会社の側に立って攻撃の手口を調べる専門家）が中を調べているそうです。
ただし、すべての利用者のパソコンが安全だと確かめたわけではない、とも。
時間を少し戻すと、その前の晩の7時、攻撃者は「見解」の中にこんなことを書いています。
【ハッカー要求】GMOへの公開メッセージですが、更新されておりますね。
＞顧客が苦しむような事態は望んでいない。
＞我々はこれまで嘘をついたことはなく、言った通りに行動してきた。
＞我々にも守るべき信用があり、慈愛に満ち、誠実で社会的信用もある脅迫犯かあ。。。🤔🤔🤔🤔
— 哀しみの貴公子、2026 (@naive_prince) 2026年10月27日
正午を過ぎると、攻撃者は「GMOが交渉に応じなかった」として、利用者1人分の個人情報だとするページを出しました。
NHKや共同通信も、すぐあとにこのことを伝えています。
セキュリティの専門メディアによると、ページの見出しは「被害者 第1号」。
調べ終えたものから毎日正午に順に出し、全員を出し終えるには数年かかる、本人の知人にも広める、と書かれているそうです。
「顧客が苦しむような事態は望んでいない」と書いてから、17時間後のことでした。
そこに並んだ情報が本物なのか、GMOから持ち出されたものなのかは、まだ確かめられていません。
名前を出された人は報道陣に「書かれていることはほとんどでたらめ」と話し、読売新聞によると、GMOのクラウドを使ったことも「一度もない」と述べたそうです。
使ったことのない人の情報が、なぜ「1人目」として並んだのかは、GMOのお知らせにも書かれていないまま。
一方で東京新聞には、契約の書類のような本人しか持っていないはずの資料が含まれていて、作り話にするのは難しい、と見る専門家の話も載っています。
本人の話と専門家の見立てのどちらが当たっているのかを確かめる材料は、まだ出ていません。
同じ正午に予告されていた利用者のパソコンへの攻撃のほうは、起きたという発表がないまま。
28日の夕方にGMOが出した第14報でも、預かった端末からウイルスやランサムウェアの痕跡は見つかっていないそうです。
1人目のページに並んだもの
正午に出たページを開いたある人は、その日のうちにXで中身を書いていました。
電話番号や住所はもちろん、パートナーのことから暮らしぶり、口座の情報、子どもの情報まで並んでいたそうです。
その人は、まだ1人目なのに、数百万円の損害賠償では償いきれないほどの情報が出ている、とも書いていました。
なかでも引っかかるのが、FXをしているので「リスク許容度が高い」という書き込みです。
リスク許容度は、損をする覚悟でどこまで大きく賭けられるかの度合いのこと。
FXをしていて損を恐れない人、と書かれたページは、投資のもうけ話で人をだます詐欺グループから見れば、そのまま連絡先の名簿になってしまいます。
GMOが注意を呼びかけている「被害金を取り戻す」という連絡も、こうした名簿をたどって届きかねません。
名前を出された人のもとに、これから何が届くのかを思うと、胸が苦しくなります。
同じ人はさらに、GMOは潰れてでも支払いに応じるべきかもしれない、とまで書いていました。
払っても公開が止まるわけではないと分かったうえで、それでも「ファイトポーズを見せるだけでは当然許されない」と。
GMOが払わないのは、応じても情報の削除や不正利用を防げる保証はないからです。
払えば止まるという話の裏づけも、前の晩の「我々はこれまで嘘をついたことはなく」という攻撃者の一言のほかに見当たりません。
払わないと決めたこと自体は、まちがっていないと思います。
それでも、名前を出された人をどう守るのかは、払う払わないとは別に聞かせてほしいところです。
正午までに出たGMOのお知らせには、ランサムウェアの被害を受けた人へ同じくらいの性能の新しいパソコンを渡すことは書かれていましたが、名前や暮らしを出された人に何をするのかは、まだ何も書かれていませんでした。
その答えが出たのは、同じ日の夜のこと。
100万ドルの行き先
10月27日の夜7時すぎ、GMOは第12報を出しました。
まず書かれていたのは、攻撃者の要求には「永久に応じません」という言葉です。
そのうえで、名前を出された利用者へのお見舞金と、犯人につながる情報への懸賞金を、同時に打ち出しています。
- 情報の公開が確かめられた利用者に「特別お見舞金」。1回の公開につき上限300万円
- 金額は出された情報の種類で決まり、氏名や連絡先は1万円、取引口座のIDやパスワードは1万5,000円、プライバシー性の高い情報は2万5,000円
- これまでの一律5,000円のお見舞金や、不正な取引で出た損の補償とは別に払う
- 犯人の特定と逮捕につながる情報に、総額100万ドル（約1億5,000万円）の懸賞金。受付は10月28日の正午から、犯人が捕まるまで
攻撃者が「27日正午までに払え」と求めたのと同じ100万ドルを、GMOは犯人を捕まえるための懸賞金にしたのです。
お知らせには、これは身代金でも、盗まれた情報の買い取り代金でもない、とわざわざ書き添えてあります。
同じ夜には、警視庁が不正アクセス禁止法違反などの疑いで捜査を始めたと、共同通信などが伝えました。
木原官房長官も会見で「卑劣な行為は断じて許されるものではない」と述べています。
第12報には、利用者へのお願いも足されていました。
出回っている情報を見かけても、転載や再投稿、リンクの共有はしないこと。
攻撃者のページを開いた人の情報は犯人に取られていることを確かめているので、のぞきに行かないこと。
すでに開いてしまった人には、ウイルス対策ソフトでのフルスキャンを頼んでいます。
悪質な広め方をした人には、開示請求や刑事告訴の準備を進めている、とも書かれていました。
日付が変わるころには、熊谷正寿社長が自分のXで、広まっている情報の中身に触れています。
幼稚園や小学校に通うお子さんの情報まで広められていて、「人として有り得ません」。
この日、会社の幹部がその家族のもとへ謝りに行き、報告を聞いて「涙が止まりませんでした」とも書いています。
子どもまで巻き込まれたことで、怒りの向きが変わったという人も。
GMOハッカー、子供巻き込んだのは悪手だな。
初めてこの事件でGMOの自己責任論を超えてハッカー側に怒りを感じたわ。
流石に一線超えてきたし、今こそ官憲の出番やね。
GMOを守るための大義名分は無いが、国民を守る大義名分はある。— 大京暴威 (@oz_onpu) 2026年10月27日
社長の笑顔に集まった声
ところが同じ夜、社長本人への批判も強くなります。
警視庁の捜査を伝える記事を引いて、国際刑事警察機構（インターポール）にも相談している、と書いたこの投稿がきっかけでした。
日本だけではありません「国際刑事警察機構INTERPOL」にも相談済みです。
【速報】GMO不正アクセス問題、警視庁が捜査
#47NEWS 47news.jp/15147499.html?… @47news_officialより
— 熊谷正寿【GMO】 (@m_kumagai) 2026年10月27日
添えられていたのは、旗の並ぶ建物の中で撮った笑顔の自撮りです。
この写真には「さすがに正気とは思えん」という声が上がり、社長の印象は最悪だ、と書く投稿も広がりました。
もうひとつ批判を集めたのが、情報を広めている投稿への返し方。
社長は、ある投稿を自分で引用して「指定の時間までに削除されないと刑事告訴をいたします」と書きました。
その投稿には被害を受けた人の画像（モザイクつき）が載っていたため、引用したことで、かえって多くの人の目に触れさせているという指摘も出ています。
社長は、遊び半分で被害者の情報を広めることは許さない、と書いていました。
ただ、名前を出された人とその家族がいちばん願っているのは、自分たちの情報が、これ以上ひとの目に触れないことではないでしょうか。
29日の朝、社長は笑顔の写真について、この投稿で謝りました。
【御礼】【中間報告】【お詫び】
おはようございます。
被害者の皆様に関する情報の拡散防止にご協力いただいている関係者の皆様に、心より御礼申し上げます。…
— 熊谷正寿【GMO】 (@m_kumagai) 2026年10月29日
「被害者の皆様のお気持ちへの配慮が不足しておりました」と認めながら、脅迫に屈しない姿勢を示すため、写真は当面そのまま載せておくとも書き添えています。
自撮りへの批判から29日の朝の謝罪まで、社長の投稿にどんな声が集まったのかは、こちらにまとめました。
大阪の若者説はどこから
元社員説のあとには、犯人は大阪にいるという見方も広がりました。
GMOのクラッカーが大阪在住説。
金より承認欲求を優先して手掛かりを増やしてるから、大阪の若者でGMOのサービス契約者とだんだん絞られて来てる模様。 https://t.co/ACzopOFnRT— ひろゆき (@hirox246) 2026年10月29日
ひろゆきさん（掲示板「2ちゃんねる」の開設者）が引用していたのは、攻撃者のサイトに残っていたアクセスの記録などを調べたという、ある個人の投稿です。
その投稿の主が、サイトを動かしていた人の作業場所としていちばん怪しいと見ていたのは、大手の個人向け光回線からのアクセスで、どの地域かまでは書かれていません。
大阪の中心部かもしれないとされたのは別の1件のアクセスで、投稿した本人も、当たっている見込みを2〜3割と書いていて、あとからさらに低く言い直しています。
「若者」という言葉は元の投稿には見当たらず、ひろゆきさん自身の見立て。
この分析を検証したブログサービスnoteの記事は、サイトを見張っていた研究者のアクセスを攻撃者と取り違えているおそれがある、と注意しています。
アクセスの記録から分かるのは、回線の設備がある地域のおおよその範囲までで、本人が住んでいる場所と同じとは限りません。
GMOも第14報で、自分で犯人を特定しようとしたり、確かでない情報を投稿したりするのは控えてほしい、と呼びかけています。
見知らぬ誰かを「犯人かもしれない人」にしてしまえば、名前を出された人と同じ目にあわせかねません。
住んでいる場所の話とは別に、専門家のあいだでは、攻撃者は「プロではないのでは」という見方が出はじめています。
セキュリティ会社S&Jの三輪信雄社長は、ABCの取材に「金銭目的にしては効率が悪い」と話し、ひろゆきさんと同じく、承認欲求の強さがうかがえるとも述べました。
日本ハッカー協会の杉浦隆幸代表理事も、FNNの取材に、侵入の仕方が素人っぽく脅迫が丁寧すぎるとして、AIに聞きながらやっているのではないかと見ています。
2人とも元社員かどうかには触れていませんが、中の人でなくても書けた、という元社員説への見方とは重なるんですよね。
攻撃者のサイトは28日の朝4時ごろ、アドレス（ドメイン）ごと使えなくなり、GMOも第13報でそれを確かめています。
朝日新聞によると、総務省も27日付で、通信の業界団体を通じて、サイトをつながらなくするよう通信会社に求めていました。
TBSやFNNによると、28日の正午に予告されていた2人目の情報は出ないまま。
杉浦さんは、サイトが止まって出す手順を踏めなかったのではないか、とも話しています。
同じ正午に始まった懸賞金の窓口には、29日の昼前までに270件の情報が寄せられたそうです。
29日には、グループのホワイトハッカーのチームが犯人の特定につながると考えられる情報をつかみ、警察などへ出すとGMOが発表しました。
同じ29日には、犯人は北朝鮮のハッカー集団ではないかという説までXで広がっていて、その出どころはこちらで追っています。
大阪説にも北朝鮮説にも根拠が薄いと見ていた大学生の研究者が、そのあと犯人側の自作自演とみられる「被害者フォーラム」を見つけた話は、こちらで。
攻撃者が元社員なのか、大阪の若者なのか、海外の集団なのかは、29日の昼の時点でも分かっていません。
確かなのは、サービスを止めたその日に、もう約80億円を求めるメールが届いていたこと。
そして期限の正午に名前を出されたのは、GMOの誰かではなく、サービスを使ったことすらないと話す1人の人と、その家族でした。
誰が書いたのだとしても、人の暮らしを差し出して会社からお金を取ろうとする文章を、告発と呼ぶのは難しいのではないでしょうか。
