GMO、2年前に子会社が脆弱性を指摘と報道【2026年10月】

お名前.com デスクトップクラウドへの不正アクセスをめぐり、GMOのセキュリティ子会社が約2年前にシステムの脆弱性を指摘していたと、2026年10月31日に日本経済新聞・NHKなどが報じました。

日本経済新聞の報道によると、指摘したのは子会社の GMOサイバーセキュリティbyイエラエ で、時期は 2024年4月 とされています。NHKによると、GMOは 11月2日に会見を開く予定 です。

重要なお知らせ

ただし、GMOは現時点でこの報道について公式に発表していません（日本時間11月1日0時30分時点。GMOの「重要なお知らせ」とニュース一覧で確認）。この記事では、報道されていることと、GMOが公式に発表していることを分けて整理します。

※ 報道の内容は、各社の記事のうち一般に公開されている部分にもとづいています。会見や公式発表があれば、この記事を更新します。

今回の報道とは？一言でまとめると

「今回不正アクセスを受けたシステムの弱点は、2024年の時点でグループ内のセキュリティ会社から指摘されていた」 という報道です。いずれも報道機関の取材にもとづく内容で、GMOの公式発表ではありません。

これまでの経緯：デスクトップクラウドへの不正アクセス

報道の前提になっている事件は、GMOインターネットの「お名前.com デスクトップクラウド」への不正アクセス です。ここまでの流れは、GMOの公式発表で確かめられます。

• 10月20日: 一部のサーバー環境に、第三者による不正なプログラムの設置 を確認（第2報）
• 10月21日: 4:00からサービスを停止。約80億円を要求する脅迫メール を受信（第16報の経緯）
• 10月24日: 「本サービスのシステムにセキュリティ上の問題が存在」 したことと、客の情報の外部への持ち出しを確認したと発表。お見舞金・損失補償・代替サービスを発表（第4報）
• 10月27日: 攻撃者とみられる者による 情報の公開を確認（第10報）
• 10月30日: お見舞金の受け取り手続きと代替サービスについて、契約者への直接の連絡を開始

GMOは第4報で、現行のシステム基盤をそのまま再開せず、セキュリティの仕組みを抜本的に作り直す としています。

攻撃と脅迫の経緯、補償の内容、ConoHa などの新規申し込みの停止は、前回の記事で詳しくまとめています。

あわせて読みたい

GMOにサイバー攻撃・脅迫、ConoHa等の新規申込は停止中【2026年10月】

日本経済新聞・NHKが報じていること

① 2024年4月に脆弱性を指摘していた

日本経済新聞は、GMOの幹部への取材として、子会社のセキュリティ企業が2024年4月にシステムの欠陥（脆弱性）を指摘していた と報じています。NHKも、関係者への取材として、2年前に子会社のセキュリティー企業が脆弱性を指摘していた と伝えています。

どのシステムの、どんな脆弱性だったのか は、公開されている範囲の報道では分かりません。

② 抜本的な見直しを求めたが、対応は不十分だったとの報道

日本経済新聞の報道によると、子会社は システムの抜本的な見直し を求めていました。そのうえで同紙は、十分な対応がとられないまま今回の被害につながった と報じています（見出しは「子会社指摘も対策後手」）。

これは 日本経済新聞の取材にもとづく報道 です。指摘を受けて GMO が何をしたのか、何をしなかったのかについて、GMOの公式な説明はまだありません。

③ 指摘したのはグループのセキュリティ会社

日本経済新聞によると、指摘したのは GMOサイバーセキュリティbyイエラエ（東京・渋谷）です。同紙は、同社が 2022年2月にGMOの傘下に入った と報じています。この点は、同社の公式サイトの沿革でも確かめられます（次の節）。

④ 11月2日に会見の予定

NHKは見出しで、GMOが 11月2日に会見を開く予定 だと報じています。会見の時間・場所・出席者・説明する内容は、GMOの公式サイトには掲載されていません（日本時間11月1日0時30分時点）。

指摘したGMOサイバーセキュリティbyイエラエとは

GMOサイバーセキュリティbyイエラエは、企業のシステムの弱点を調べる「脆弱性診断」を主な事業とするセキュリティ会社 です。公式サイトの会社情報で確かめられることは次のとおりです。

同社の公式サイトにも、今回の報道に関するお知らせは掲載されていません（10月31日時点）。

公式に発表されていること・報道されていること

ここまでの内容を、GMOが公式に発表していること と 報道だけの内容 に分けると、次のようになります。

GMOの公式発表はまだ

日本時間11月1日0時30分の時点で、GMOはこの報道について公式に発表していません。GMOインターネットグループの「重要なお知らせ」とニュース一覧、GMOインターネットのニュース一覧で確認できる最新の発表は、10月30日の「お客様へのご案内」 です。

GMOが公式に認めているのは、第4報の 「本サービスのシステムにセキュリティ上の問題が存在」 した、というところまでです。

• その問題が いつから分かっていたのか
• 2024年の指摘と今回の不正アクセスが同じ弱点なのか
• 指摘のあと どんな対策をとったのか

——といった点は、公式にはまだ説明されていません。NHKが報じた11月2日の会見で、これらが説明されるかが焦点になりそうです。

利用者がいまやること

今回の報道で、利用者がやるべきことが新しく増えたわけではありません。GMOが公式に呼びかけている内容は次のとおりです。

① デスクトップクラウドの利用者

• 別の安全な端末から、公式サイトで 取引口座などのパスワードを変更し、全セッションをログアウトする。多要素認証を有効にする（第6報）
• 接続していた PC を ウイルス対策ソフトでフルスキャン し、ネットワークから切り離してバックアップを取る（第6報）
• お見舞金・代替サービスの案内は 10月30日から契約者に直接連絡 されています。相談は 24時間の窓口（電話 03-5456-2560） か、お名前.com の問い合わせフォームへ（第16報）

② すべての人

• 攻撃者が情報を公開したとされるサイトにアクセスしない・転載や拡散をしない。GMOは、アクセスした人の情報が攻撃者に取得されているとしています（第10報・第11報）
• 便乗した詐欺に注意 する。GMOは パスワードや認証コードを尋ねることはない とし、「被害金を取り戻す」などと費用を求める連絡には応じないで と呼びかけています（第6報）

GMOは10月28日の開示で、デスクトップクラウド以外のサービスでは、本件による不正アクセスや情報漏えいなどの影響は確認されていない としています。

10月は国内で不正アクセスが相次ぎ、JPCERT/CC も注意喚起を出しています。サイトを運営している人が確認しておきたい点はこちらです。

あわせて読みたい

相次ぐ不正アクセス、JPCERTがAI悪用の手口を追記【2026年10月】

IT Picks的な所感

今回の報道は、「指摘を受けていたのに、なぜ防げなかったのか」 という、利用者にとって最も気になる点に関わる内容です。一方で、公開されている範囲の報道では、指摘された脆弱性の中身や、その後に何が行われたのか までは分かりません。

GMOはこれまで、第1報から第16報まで、時刻つきで発表を積み重ねてきました。会見では、補償や犯人への対応だけでなく、2024年の指摘を受けて何を判断したのか を、利用者に分かる形で説明してほしいと考えています。

一般論として、脆弱性診断は 指摘を受けたあとにどう直すか までがセットです。これは GMO に限らず、サービスを運用するどの会社にも当てはまる点だと思います。会見で説明が出たら、この記事を更新します。

まとめ

GMOの脆弱性の指摘をめぐる報道のポイントをまとめます。

• 報道の内容：子会社が2024年4月にシステムの脆弱性を指摘していた（日本経済新聞・NHK）
• 指摘した会社：GMOサイバーセキュリティbyイエラエ（2022年2月にGMOの子会社に）
• 報道されている対応：抜本的な見直しを求めたが、十分な対応がとられなかった（日本経済新聞）
• GMOの公式発表：報道へのコメントはまだない。公式に認めているのは「システムにセキュリティ上の問題が存在」まで（第4報）
• 会見：NHKによると 11月2日 の予定（公式サイトに告知なし）
• 利用者がやること：変わらず。攻撃者が情報を公開したとされるサイトにアクセス・拡散しない、便乗詐欺に注意

11月2日の会見とGMOの「重要なお知らせ」で、報道された内容が公式にどう説明されるか を確認しておきましょう。

IT Picks 編集部

ITツール・Webサービス紹介メディア

IT Picks 編集部。VPS・クラウド・AIツール・SaaSを中心に、実際に検証した情報を届けるITメディアです。「本当に使えるか」を基準に、初心者からエンジニアまで役立つ記事を制作しています。