GMO不正アクセス2件の時系列。infoQとデスクトップクラウド

結論：2件は別々の件。発表は報ごとに書き直されている

2026年10月、GMOインターネットグループの2つのサービスで、不正アクセスが続けて発表されました。

1. アンケートサイト「infoQ」。運営はGMOリサーチ&AIです
2. 「お名前.com デスクトップクラウド」。運営はGMOインターネットです

同じグループの会社ですが、発表は別々に出ています。サービスの中身も、分かった日も、持ち出されたものも違います。2つの件がつながっていると書いた発表は、私が読んだ範囲にはありません。この記事でも、別々の件として書きます。

先に、いちばん大事なことを書きます。

• infoQの会員の方は、infoQと同じパスワードを、ほかのサービスで使っていないかを確かめてください。使っていたら、そちらを変えてください
• デスクトップクラウドを使っていた方は、会社が10月26日の第6報で出した4つのお願いを確かめてください。端末の検査、データの控え、アカウントの守り、調査への協力です
• どちらの方も、会社を名乗ってパスワードや認証コードを聞く連絡には答えないでください。デスクトップクラウドの会社は、聞くことはないと書いています
• 「公開された情報」とされるサイトには、近づかないでください。会社は、見に行った人の情報が攻撃した側に取られていることを確認した、と発表しています

私は屋根職人です。屋根工事歴は20年以上です。いまは、職人や工事会社のホームページも作っています。

この件では、2つの会社の公式の発表を、第1報から順に開きました。2026年10月30日の時点で、infoQは2回、デスクトップクラウドは16回、発表が出ています。

この記事は、その発表を順に並べたものです。決めごとが3つあります。

1. 原因を推し量りません。発表に書かれていないことは、書かれていないと書きます
2. 数字は、発表の字のままにします。丸めて大きく見せません
3. 公式の発表を軸にします。報道にしか無いことは「報じられています」と書きます

ホームページを持つ会社として、ここから何を学ぶか。それは別のコラムに書きました。この記事は、事実の側だけを詳しく書きます。

infoQ：10月2日以降の不正アクセスと、2回の発表

どんなサービスか

infoQは、GMOリサーチ&AIが運営するアンケートサイトです。会員はポイントを持っています。そのポイントを、Amazonのギフトコードなどに交換できる仕組みがありました。

GMOリサーチ&AIは、10月5日に第1報、10月14日に第2報を出しています。10月30日の時点で、第3報は出ていません。

分かった日に、止めている

第1報と第2報から、流れを並べます。

• 10月2日（金）以降：第三者による不正アクセス。あとの調べで分かったことです
• 10月3日（土）午前：会員からの問い合わせを受けて調べ、不正アクセスを確認
• 10月3日11時24分：ポイントの交換を停止
• 10月3日14時15分：攻撃の経路を遮断
• 10月3日15時：外からのアクセスを遮断し、infoQを停止
• 10月5日（月）：個人情報保護委員会に報告。第1報。会員に順にメールで連絡
• 10月7日（水）：全会員のパスワードを無効に
• 10月14日（水）：第2報。持ち出された件数が確定

停止中のサイトには「緊急メンテナンス」と出ていました。会社は第1報で、実際にはこの件への対応で止めていた、と説明しています。

第1報（10月5日）で分かったこと

対象は「最大94万8,498件」です。10月5日の時点で、会社が個人情報を持っていた全件だと書かれています。どこまで持ち出されたかは、このあと第2報で確定します。だから、この時点では「最大」です。

情報の種類は、次のとおりです。

• 氏名、フリガナ、性別、生年月日
• メールアドレス、住所、電話番号
• パスワード（暗号化されたもの）
• 会員ID
• その他の登録情報（ニックネーム、持っているポイントの数、最後に答えた日などの利用の状況）

パスワードは「暗号化されたもの」と書かれています。どんな方式で暗号化していたかは、書かれていません。

クレジットカードの情報と、マイナンバーは、対象に入っていません。会社が、もともと持っていないからです。取引先の情報も、対象外とされています。infoQのほかの、同じ会社のサービスへの不正アクセスは、確認されていないとされています。

一部の会員のポイントが、本人の意思によらず、Amazonのギフトコードに交換されていました。611件、2,869,500円分です。会社は、全額を補うとしています。補った分は、サービスを再開するときに、会員のアカウントに戻すと書かれています。

どこから入られたかについて、会社は第1報でこう書いています。

「第三者が、当社サイトで使用していたソフトウェアの脆弱性を悪用して侵入したことを確認しております。」

脆弱性とは、プログラムの穴のことです。ただ、どのソフトウェアの、どんな穴なのかは、第2報まで書かれていません。セキュリティの専門会社の協力で調べを続けている、とあります。この記事では、そのソフトウェアが何かを推し量りません。

第2報（10月14日）で確定した数

第2報で、持ち出された件数が確定しました。内訳はこうです。

• 個人情報が外に持ち出された件数：89万4,082件
• 持ち出されたが、個人情報を含まない記録：9,068件。退会から2か月以上たち、個人情報をすでに消してあった会員の記録です
• 持ち出されていない件数：4万5,348件

この3つを足すと、第1報の94万8,498件になります。

ここは、読み違えやすいところです。第1報の「最大94万8,498件」と、第2報の「89万4,082件」は、同じ会員を、違う時点で数えた数です。足し合わせる数ではありません。

もう1つあります。第1報のとき、会社は全会員に連絡しました。だから、持ち出されていない側の会員にも、連絡が届いています。第2報に、そう書かれています。

再開の時期と、再発を防ぐための対策は、まだ出ていません。調べた結果をもとに対策をとり、安全を確かめてから再開する。調べた結果と対策は、改めて知らせる。第2報は、そう結んでいます。

お名前.com デスクトップクラウド：9日間で16回の発表

どんなサービスか

お名前.com デスクトップクラウドは、GMOインターネットのサービスです。会社の発表では「Windowsデスクトップ環境」と書かれています。

報道では、こう説明されています。手元のパソコンから、ネットの向こうにある仮想のパソコンを操作する。24時間動かしておけるので、FXの自動売買のソフト（MetaTraderなど）を動かす使い方が多い。会社の発表にも、取引ツール（MT4やMT5など）を使っている人へのお願いが、何度も出てきます。

発表は、10月21日の第1報から、10月29日の第16報まで出ています。9日間で16回です。第1報はお名前.comのお知らせ、第2報からはGMOインターネットグループのお知らせに載っています。

ここからは、日付の順に、報ごとに何が増えたかを書きます。時刻は、第16報の経緯の表に合わせました。

10月19日〜21日：問い合わせから、全プランの停止まで

• 10月19日：利用者からの問い合わせを受け、調べ始める
• 10月20日：一部のサーバーに、第三者が不正なプログラムを置いていたことを確認。新しい申し込みと、管理画面（コントロールパネル）へのログインを止める
• 10月20日21時ごろ：緊急のメンテナンスを始める
• 10月21日4時：全プランのサーバーを、順に止め始める。第1報
• 10月21日：約80億円を求める脅迫のメールを受け取る

約80億円の脅迫のメールは、第1報には出てきません。のちの報の経緯の表に、10月21日のこととして載っています。

第1報（10月21日4時の時点）の中身は、こうです。

• 影響の可能性があるサーバーは、26,739件
• サーバーの中に置かれた情報が、見られた可能性がある
• 預かっている個人情報の漏えいや、見られた情報が悪用された事実は「確認されておりません」
• クレジットカードなどの決済の情報は、会社が持っていない
• サーバーの中にIDやパスワードを置いていた人は、変えてほしい。同じパスワードをほかで使っていたら、そちらも
• この件に便乗した偽のメールに気をつけてほしい。会社が、パスワードやカードの情報をメールや電話で聞くことはない

10月22日〜23日：取引口座のログイン情報へ

10月22日の13時、会社は警察に相談しました。16時59分に第2報を出しています。

第2報で、話が取引口座に広がりました。取引ツールに保存されていた、取引口座のログイン情報などが、「第三者に取得され、不正に利用された可能性」がある。10月21日からは、利用者から取引口座の不正な操作の報告を受け付けている、と書かれています。

お願いには、取引ツールと取引口座のパスワードの変更、取引の履歴と残高の確認、二段階認証の設定が入りました。パスワードは、このサーバーではない端末から変えるように、とあります。

10月23日の第3報で、26,739件の意味がはっきり書かれました。これは「対象となり得るサーバー数」で、「不正アクセスまたは情報取得が確認された件数ではありません」。この数を、被害に遭った数と読むのは間違いです。会社自身が、そう書いています。

第3報では、注意も1つ増えました。取引先によっては、ログインしたままの状態（セッション）が、しばらく保たれることがある。だから、すべてのセッションを切ってほしい。取引先に頼む必要がある場合もある、という内容です。

どこから入られたかは、第2報で「セキュリティ専門会社と調査中」、第3報で「侵入経路および影響範囲の調査を進めております」とされています。

10月24日：「持ち出された事実を確認」と、3つの手当て

10月24日の第4報から、題に「サイバー攻撃」の言葉が入りました。中身も大きく変わっています。

「これまでの調査により、本サービスのシステムにセキュリティ上の問題が存在し、本サービスの環境に対する不正なアクセスと、お客様の情報が外部に持ち出された事実を確認しております。」

第1報は、漏えいの事実は「確認されておりません」でした。3日後の第4報で、「持ち出された事実を確認」に変わっています。どんな情報が何件か、は書かれていません。「システムにセキュリティ上の問題」が何だったかも、書かれていません。

同じ第4報で、会社は3つの手当てを決めています。

1. お見舞金：いまこのサービスを使っているすべての利用者に、被害の有無を問わず、一律5,000円。支払いの方法と時期は、10月30日23時59分までに、登録のメールアドレスに知らせる
2. 損失の補償：会社が、不正アクセスが原因だと認めた不正な取引で、実際に出た損失（取引の差損や手数料など）。相場の動きによる損失、得られたはずの利益などは対象外。申請の方法は、11月6日までに案内する
3. 代わりのサービス：Windowsのデスクトップ環境を使い続けたい人に、別のクラウドの基盤で動くサービスを案内する。移ってから6か月は無料。本人の同意なしには移さない。始まる時期や申し込みの方法は、10月30日までに知らせる

お見舞金は、損失の補償とは別に払われます。

あわせて、会社はこう書いています。いまのシステムの基盤を、そのまま再開することはしない。セキュリティの仕組みを、根本から作り直す。

脅迫のことも、第4報に書かれました。攻撃した者とみられる相手から、お金を求められている。応じなければ情報を公開する、と脅されている。脅しの中身の1つは、「国内外の70を超える証券会社・FX会社等」にある利用者の口座への、不正な操作を続けることです。これは攻撃した側の言い分です。確かめられた被害の数ではありません。

会社は、要求に応じない方針です。通信の記録などを警察に出しています。さらに、この件を国の「能動的サイバー防御」の「発動第1号」の事案と位置づけ、政府の関係機関に緊急に要請した、と書いています。

同じ日の第5報は、端末のウイルス検査（すみずみまで調べるフルスキャン）と、データの控えを急いでほしい、という念押しです。

10月25日〜27日の朝：端末の解析と、正午の予告

10月25日、会社は利用者に、端末の調査への協力を頼みました。

10月26日21時の第6報は、お願いを4つにまとめ直したものです。中身は、次の章のチェックリストに入れました。

同じ日の23時10分、第7報が出ます。預かった端末の解析を始めた、という知らせです。会社の従業員が全国を回って、利用者の端末を預かったと書かれています。解析するのは、グループのホワイトハッカーのチームです。

第7報には、もう1つ大きなことが書かれています。攻撃した者とみられる相手から、予告を受けた。10月27日の正午に、利用者の情報を公開し、ランサムウェアの攻撃をする、という予告です。ランサムウェアは、データを使えなくして、元に戻す代わりにお金を求める攻撃のことです。

会社は、ここでも応じないとしています。理由も書かれています。応じても、取られた情報が消されるとは限らない。悪用されないとも限らない。

10月27日の9時58分、第8報が出ました。正午の前にしてほしいことは、4つです。

1. 端末のウイルス検査を、フルスキャンで
2. データの控えを取る
3. 控えを取ったら、ネットワークを切り、電源を落とし、パソコンにつながっているコードを抜く
4. アカウントを守る手当て（第6報のとおり）

トレンドマイクロ株式会社などから、協力の申し出があったことも書かれています。

11時59分の時点の第9報では、解析の途中の結果が出ました。解析を終えた端末からは、マルウェア（ランサムウェアを含む）は見つかっていない。ただし、「すべてのお客様の端末の安全を確認したものではありません」。ランサムウェアの被害に遭った人には、同じくらいの性能の新しいパソコンを渡す、とも書かれています。

10月27日の午後：情報の公開と、特別お見舞金

13時55分の時点の第10報です。12時30分に、攻撃した者とみられる相手が、会社と利用者に関する情報だと称するものを公開したのを確認した。中身は確認している途中で、事実と違う内容を含むおそれがある。13時55分の時点で、ランサムウェアの攻撃は確認されていない。そう書かれています。

14時55分の時点の第11報で、会社は強く呼びかけています。

「当該サイトにアクセスした方の情報は、攻撃者に取得されていることを確認しています。」

見に行かない、広めない、という呼びかけです。中身は次の章にまとめました。悪質に広める人には、法的な措置の準備を進めているとも書かれています。

19時10分の時点の第12報で、手当てが2つ増えました。

1つ目は「GMO特別お見舞金」です。公開された情報に、本人の情報が入っていると会社が確かめた場合に払われます。金額は、情報の区分ごとです。

• 氏名や連絡先などの基本的な情報：10,000円
• 取引口座のIDやパスワードなど、お金と認証に関する情報：15,000円
• 機微な情報、要配慮個人情報など：25,000円

いくつかの区分にあてはまれば、合計します。上限は300万円です。第4報の一律5,000円と、損失の補償とは別に払われます。支払いの時期と方法は、第12報には書かれていません。

2つ目は「GMOサイバー犯罪撲滅・懸賞金」です。犯人の特定と検挙につながる情報に、制度全体で総額100万米ドルまでを払う、というものです。1ドル150円で約1億5,000万円という参考の額も添えられています。受付は10月28日の正午からです。懸賞金を目当てに、自分で侵入を調べたり、犯人と接触したりしないよう、あわせて呼びかけています。

10月28日〜29日：犯人のサイトの停止と、情報提供

10月28日11時の時点の第13報です。28日の午前4時ごろ、犯人のサイトのドメインが止められたことを確認した、という知らせです。写しのサイト（ミラーサイト）も含まれる、とあります。NHKも、ドメインの停止を伝えています。新しく同じようなサイトができたら、確認しだい止めるよう動く。悪質な投稿や転載には、刑事告訴を含む法的な措置をとる。そう書かれています。

10月28日の正午、懸賞金のサイトが開きました。18時20分の時点の第14報によると、開いてから6時間で、情報の提供は113件。X（旧ツイッター）の関連の投稿には、累計20件の警告の連絡をしたとあります。

第14報には、解析の結果も1行あります。預かった端末からは、「マルウェアの感染やランサムウェア攻撃の痕跡は確認されておりません」。詳しい調べは続ける、としています。

10月29日12時40分の時点の第15報です。グループのホワイトハッカーのチームが独自に調べ、犯人の特定につながると考えられる情報を手に入れた。その日のうちに、警察と関係するところへ出す予定だ、という内容です。情報の提供は、11時30分の時点で270件でした。

10月29日20時50分の時点の第16報が、この記事を書いた10月30日の時点の最新です。情報の提供は、29日18時の時点で累計321件。これからは平日の18時に件数を書き足す、としています。

16回の発表で、変わったことと、変わっていないこと

報ごとに読むと、書き方が少しずつ変わっています。

• 被害の書き方：「漏えいの事実は確認されていない」（第1報）から、「不正に利用された可能性」（第2報）、「持ち出された事実を確認」（第4報）へ
• 利用者へのお願い：パスワードの変更（第1報）から、セッションを切る・二段階認証（第2報、第3報）、端末の検査と控え（第5報、第6報）、電源を落とす（第8報、第9報）、見に行かない・広めない（第10報から）へ
• 会社の手当て：お見舞金・補償・代わりのサービス（第4報）に、特別お見舞金と懸賞金（第12報）が加わる

一方で、変わっていないこともあります。どこから入られたのかは、第16報まで、どの報にも書かれていません。

使っていた人へ：持ち出されたもの、頼まれていること、近づかないもの

何が持ち出され、何が持ち出されていないか

2つに分けて並べます。どちらも、発表に書かれていることだけです。

infoQは、こうです。

• 持ち出された（確定）：個人情報 89万4,082件。項目は、前の章の「第1報で分かったこと」のとおり
• 持ち出されたが、個人情報を含まない記録：9,068件
• 持ち出されていない：4万5,348件
• もともと持っていない：クレジットカードの情報、マイナンバー
• 対象外：取引先の情報
• 別の被害：611件、2,869,500円分のポイントが、本人の意思によらず交換された。全額を補う方針

デスクトップクラウドは、こうです。

• 持ち出された事実を確認：利用者の情報（第4報）。どの情報が何件かは、書かれていない
• 取られて悪用された可能性：取引ツールに保存されていた、取引口座のログイン情報など（第2報、第3報）
• 影響の可能性があるサーバー：26,739件。確認された件数ではない
• もともと持っていない：クレジットカードなどの決済の情報
• 公開されたとされる情報：中身は会社が確かめている途中。事実と違う内容を含むおそれがある
• ランサムウェア：第10報の時点で、攻撃は確認されていない。第14報の時点で、預かった端末に痕跡は確認されていない

infoQの会員の方が確かめること

第1報と第2報のお願いを、確かめる順に並べました。

1. infoQと同じパスワードや、似たパスワードを、ほかのサービスで使っていないか。使っていたら、そちらを変える
2. そのサービスに、身に覚えのないログインが無いか
3. infoQのパスワードは、10月7日に会社が無効にしています。再開のときの設定し直しは、会社からの案内を待つ
4. 身に覚えのないポイントの交換に気づいたら、infoQの窓口に知らせる
5. 会社やinfoQを装った、怪しいメール、SMS、電話に気をつける

デスクトップクラウドを使っていた方が確かめること

第2報、第3報、第6報、第14報のお願いを、1つにまとめました。

1. このサービスにつないでいた端末（パソコンやスマホ）を、ウイルス対策ソフトのフルスキャンで調べる。短いクイックスキャンではなく
2. 大事なデータの控えを、ネットワークから切り離した外付けのディスクなどに取る
3. 別の安全な端末から、公式のサイトを通して、すべての端末とセッションからログアウトする
4. パスワードを変える。取引口座と取引ツール、メール、Googleなど。変えるのは、取引に使っていない端末から
5. 多要素認証（二段階認証）を入れる
6. 心当たりのない連携アプリ、メールの転送設定、ブラウザの拡張機能、登録された端末を消す
7. 点検が終わるまで、ブラウザの同期を入れない
8. 取引の履歴と残高を確かめる。身に覚えのない取引は、まず取引先に知らせる
9. サービスをまた使う前に、検査と控えをもう一度

損失の補償の申請の方法は、11月6日までに案内される予定です。補償や手続きのことは、私には答えられません。公式のお知らせに載っている窓口に聞いてください。

偽の連絡に答えない

2つの会社とも、発表の中で呼びかけています。

• infoQ：会社やinfoQを装った、怪しいメール、SMS、電話に気をつける
• デスクトップクラウド：会社が、パスワードや認証コードを聞くことはない
• デスクトップクラウド：「被害金を取り戻す」などと言って、費用を求める連絡には応じない
• デスクトップクラウド：不正アクセスをした者を名乗るメールやメッセージのリンクや添付は開かず、返信もしない

1つ、細かいけれど大事な点があります。第4報によると、損失の補償の手続きで、会社が取引ツールの閲覧専用のパスワードを見せてほしいと頼むことがあります。閲覧専用のパスワードは、取引の中身を見るためだけのものです。会社が手続きで聞くと書いているのは、この閲覧専用のものだけです。それ以外のパスワードや暗証番号は聞かない、としています。

それ以外を聞かれたら、答える前に止まってください。届いたメールのリンクからではなく、自分で公式のサイトを開いて、窓口を確かめてください。

「公開された情報」に近づかない

公開されたとされる情報について、会社が発表していることをまとめます。

• 中身は確かめている途中で、事実と違う内容を含むおそれがある
• そのサイトにアクセスした人の情報は、攻撃した側に取られていることを確認した
• すでにアクセスした人は、ウイルスの検査をフルスキャンで
• 転載、再投稿、リンクの共有をしない
• 自分の情報が入っていると会社が確かめた人には、会社から一人ずつ連絡する
• 新しい犯人のサイトを見つけたら、お名前.comの通報の窓口へ

自分の情報が入っていないか、確かめたくなる気持ちは分かります。でも、確かめに行くこと自体が、新しい被害につながります。確かめるのは、会社の仕事です。会社は、入っていると確かめた人には連絡する、と書いています。

この記事にも、そのサイトの名前やアドレスは書きません。私も、見に行っていません。

まだ分かっていないことと、これから見る発表

分かっていないこと（2026年10月30日の時点）

• デスクトップクラウドに、どこから入られたのか。第16報まで書かれていません
• 第4報の「システムにセキュリティ上の問題」が、何だったのか
• 持ち出された事実を確認した情報が、どんな種類で、何件なのか
• 公開されたとされる情報の中身と、件数の確認の結果
• 不正な取引が、何件で、いくらだったのか
• infoQで悪用されたソフトウェアの名前と、穴の中身
• infoQの、再発を防ぐ対策と、再開の時期
• 2つの件に、つながりがあるのかどうか。どちらの会社の発表にも、書かれていません
• 犯人がだれか。第15報で、特定につながると考えられる情報を警察などに出す予定、とあるだけです

同じ月に話題になった、ほかのソフトウェアの穴と結びつける話を見かけることがあるかもしれません。2つの会社の発表には、そうは書かれていません。

私ならこう読む：第1報で決めない

屋根の雨漏りを調べるときも、天井を開ける前の見立てと、開けてから分かることは違います。染みが出ているのは1か所でも、水は別のところから回ってきていることがあります。だから、最初の見立てだけで直す範囲を決めるのは危ない、と私は考えます。

発表も同じです。デスクトップクラウドでは、第1報の「漏えいの事実は確認されていない」が、第4報で「持ち出された事実を確認」に変わりました。infoQでは、第1報の「最大94万8,498件」が、第2報で「89万4,082件」に確定しました。どちらも、会社が調べを進めて書き直したものです。

だから私なら、第1報だけを読んで「大したことはない」とも、「全部やられた」とも決めません。最新の報を読みます。その数字が、いつの時点のものかを見ます。「可能性」と「確認」を分けて読みます。そして、もし自分が使っていたなら、読み込むより先に、会社が頼んでいることを済ませます。

これから見る発表

これから出ると書かれているもの、出てほしいものを並べます。

1. お見舞金（一律5,000円）の支払いの方法と時期。10月30日23時59分までに知らせる予定
2. 代わりのサービスの始まる時期と、申し込みの方法。10月30日までに知らせる予定
3. 損失の補償の申請の方法。11月6日までに案内する予定
4. デスクトップクラウドの侵入の経路と、調べた結果
5. 公開された情報の確認の結果と、特別お見舞金の対象の人への連絡
6. infoQの第3報。再発を防ぐ対策と、再開の時期

私が10月30日に公式の一覧を確かめた時点では、デスクトップクラウドの最新は第16報、infoQは第2報でした。この記事を読む日には、新しい報が出ているかもしれません。数字や中身は、それぞれの会社の公式のお知らせで確かめてください。下の出典に、開いた発表を全部並べています。

ホームページを持つ小さな会社として

2つとも、大きな会社のサービスで起きたことです。それでも、小さな会社のホームページに置き換えて考えられることがあります。

私がこのニュースから決めたことは、教訓をまとめたコラムに書きました。持っていない情報は、持ち出されない。鍵を置かない。偽の連絡に備える。止めて、戻して、知らせる。この4つです。

これから作るサイトに入れる対策は、セキュリティ対策のページの、標準で組み込む対策の章に、項目ごとに書いています。同じページに、10月の出来事をまとめた章もあります。

最後に1つだけ。デスクトップクラウドの会社は、9日間で16回、発表を出しています。どこまで分かって、何が分かっていないかを、報ごとに書いています。何かが起きたとき、知らせ続けることの重さを、私はこの16回の発表から受け取りました。