「攻撃者が顧客情報を公開すると脅している。自社の情報も、すでにインターネット上に公開されたのだろうか？」
サイバー攻撃のニュースで、攻撃者による脅迫や情報公開の予告が報じられることがあります。しかし、攻撃者が発表した内容と、実際に確認された被害は同じではありません。
2026年10月24日、GMOインターネット株式会社は「お名前.com デスクトップクラウド」へのサイバー攻撃に関する第4報で、攻撃者による追加の不正取引や情報公開などの脅迫について説明しました。一方、実際に確認された事実として、不正アクセスと顧客情報の外部持ち出しを公表しています。
ここで重要なのは、情報が外部へ持ち出されたことと、その情報が一般に公開されたことを区別することです。この記事では、攻撃者の発表をどう受け止め、自社への影響をどう確認すべきかを整理します。
- 攻撃者の脅迫と確認済みの事実の違い
- 情報流出と情報公開の違い
- 攻撃者の発表をうのみにしてはいけない理由
- 不審なリンクや公開データを扱う際の注意点
- 自社や顧客への影響を確認する手順
- 顧客・取引先への説明で注意したいこと
- 警察や専門機関への相談
- 経営者向けの確認チェックリスト
目次｜クリックで開閉できます
1．お名前.comの第4報で発表された脅迫
GMOインターネット株式会社は、2026年10月24日付の第4報で、攻撃者から追加の不正取引、顧客情報の公開などを示唆する脅迫を受けていることを説明しています。攻撃者からの要求には応じない姿勢を示し、警察への情報提供などを進めていると発表しました。
一方、同社が確認済みと説明した事実には、サービス環境への不正アクセスと顧客情報の外部持ち出しがあります。攻撃者が今後実行すると主張した行為については、実際に発生した被害として扱わないことが重要です。
「情報を公開する」という脅迫は、「情報が公開された」という確認結果とは異なります。公開の有無や対象情報が確認できていない段階で、顧客情報がすべて公開されたと断定してはいけません。
2．攻撃者の主張と確認済みの事実を分ける
サイバー攻撃者の発表には、事実、誇張、未確認の主張が混在する可能性があります。企業が判断する際は、攻撃者の言葉ではなく、事業者の公式発表や調査結果など、確認できる情報を優先する必要があります。
今回の事例でも、不正アクセスと情報の外部持ち出しは事業者が確認した内容です。一方、脅迫で予告された追加の行為が実際に発生したかどうかは、別に確認しなければなりません。
| 情報 | 確認状況 | 扱い |
|---|---|---|
| サービス環境への不正アクセス | 事業者が確認したと発表 | 確認済みの事実として扱う |
| 顧客情報の外部持ち出し | 事業者が確認したと発表 | 確認済みの事実として扱う |
| 攻撃者による情報公開の脅迫 | 事業者が脅迫を受けたと説明 | 脅迫があった事実と公開の実行を分ける |
| 追加の不正取引の予告 | 攻撃者の脅迫内容 | 実行されたと断定しない |
| 公開された情報の全容 | 第4報だけでは確定できない | 公式の追加調査を確認する |
3．情報流出と情報公開は何が違う？
情報流出とは、本来アクセスできない第三者へ情報が渡ることなどを指します。一方、情報公開は、情報がウェブサイトなどを通じて閲覧できる状態になることです。
例えば、攻撃者がデータを外部へ持ち出しても、そのデータを一般公開していない場合があります。反対に、一部の情報を公開したと主張していても、その内容が本物か、どの範囲の情報なのかは調査が必要です。
混同しやすい3つの状態
- 外部持ち出しが確認された状態
- 攻撃者が公開を予告している状態
- 情報が実際に公開されたと確認された状態
この3つを区別することで、顧客や取引先に誤った説明をするリスクを減らせます。
4．攻撃者が情報公開を予告する目的
攻撃者が情報公開を予告する理由の一つとして、企業に心理的な圧力をかけ、金銭の支払いや要求への対応を迫ることが考えられます。顧客情報や機密情報を公開すると主張することで、企業の信用への影響を強調する場合があります。
ただし、脅迫文の内容から、攻撃者が実際にどれだけの情報を保有しているか、公開する能力があるかを判断することはできません。脅迫の文面だけで被害規模を推測しないことが重要です。
攻撃者が大きな被害を主張することと、その被害が確認されていることは異なります。判断の根拠は、公式発表や調査で確認できた情報に置きましょう。
5．攻撃者の発表を確認する際の注意点
攻撃者の投稿を見つけた場合、興味本位でリンクを開いたり、添付ファイルをダウンロードしたりしないでください。攻撃者が示すサイトやファイルには、別の不正プログラムや詐欺につながる危険がある可能性があります。
企業として確認が必要な場合も、社員が個別に調査するのではなく、情報システム担当者や専門家へ連絡してください。公式発表で確認できる内容を優先し、危険なサイトへ直接アクセスすることを避けましょう。
安全に情報を確認するための基本
- 事業者の公式サイトを確認する
- 攻撃者が示すリンクを不用意に開かない
- 不審なファイルをダウンロードしない
- 社内チャットで危険なURLを拡散しない
- 確認が必要な場合は専門家へ相談する
6．公開されたとされる情報を扱うリスク
攻撃者が公開したと主張するデータには、個人情報、取引先情報、認証情報などが含まれる可能性があります。しかし、実際の内容や真正性が確認できていない場合、推測で情報の種類を断定してはいけません。
また、公開されたとされるデータを社員がダウンロードし、社内で共有すると、機密情報や個人情報を不必要に拡散させるおそれがあります。確認作業が必要な場合は、専門家や関係機関と相談し、適切な手順で実施してください。
「自社の情報があるか調べたい」という理由で、出所不明のデータを社員同士で配布することは避けてください。情報の再拡散や不正プログラムへの接触につながる可能性があります。
7．自社への影響を確認する手順
利用しているクラウドサービスが攻撃を受けた場合、まず自社が対象サービスを利用しているか、どの情報を保存していたかを整理してください。事業者の公式発表だけで自社の影響範囲が分からない場合は、公式窓口へ確認する必要があります。
顧客情報や取引情報を保存していた場合は、どの種類の情報が影響を受ける可能性があるかを整理します。事業者の調査結果が出ていない段階では、「流出していない」とも「すべて流出した」とも断定しないことが重要です。
| 確認事項 | 具体的な確認内容 |
|---|---|
| サービス利用状況 | 対象サービスの契約と利用期間 |
| 保存情報 | 顧客情報、取引情報、社内資料などの種類 |
| 利用者 | アクセスできた社員や外部委託先 |
| 公式発表 | 影響範囲、調査状況、利用者への案内 |
| 社内の異常 | 不審なログイン通知や問い合わせ |
| 今後の対応 | 追加確認、連絡、専門家への相談 |
情報流出が疑われる場合の初動については、対象サービスの公式案内と、自社で保存していた情報の一覧を照らし合わせることが出発点になります。
8．顧客・取引先への連絡をどう判断するか
自社が管理する顧客情報に影響が及んだ可能性がある場合、顧客や取引先への連絡が必要になることがあります。ただし、連絡の対象や時期は、情報の種類、被害の状況、法令上の義務などによって異なります。
個人データの漏えい等については、一定の要件に該当すると個人情報保護委員会への報告や本人への通知が必要になります。自社が対象になるかは、事実関係を整理し、必要に応じて専門家へ確認してください。
連絡前に整理したい事項
- 確認できた事実と未確認の事項
- 影響を受ける可能性がある情報の種類
- 対象となる顧客や取引先の範囲
- 現在実施している安全確保の措置
- 問い合わせ先と今後の案内予定
未確認の内容を断定して伝えることは避けつつ、法令上必要な報告や通知を遅らせないよう注意が必要です。詳細は個人情報保護委員会の公式情報を確認してください。
9．脅迫への対応と警察への相談
攻撃者から直接脅迫を受けた場合は、担当者が独断で交渉したり、金銭を支払ったりしないようにしてください。経営責任者、情報システム担当者、必要に応じて弁護士やセキュリティ専門家と対応を整理することが重要です。
脅迫メールやメッセージを受け取った場合は、日時、送信元、内容などを安全に保存し、警察へ相談することを検討してください。記録の保存方法や危険なファイルの扱いについても専門家の助言を受けるとよいでしょう。
今回のお名前.comの第4報では、会社が警察へ情報提供し、攻撃者の要求には応じない姿勢を示しています。ただし、個々の企業が取るべき対応は状況によって異なるため、専門家や関係機関との連携が重要です。
事故発生後に連絡先を探すと、対応が遅れる場合があります。警察、システム保守会社、セキュリティ専門家、顧問弁護士など、必要な相談先を整理しておきましょう。
10．社内で誤情報を広めないための対策
攻撃者の発表がSNSやニュースで広がると、社員が不安になり、未確認の情報を社内外へ共有してしまうことがあります。これを防ぐためには、公式情報を確認する担当者と、社内へ知らせる窓口を決めておくことが重要です。
例えば、情報システム担当者が公式発表を確認し、経営者や責任者が社内への案内内容を決める運用が考えられます。社員には、未確認の情報を顧客へ伝えず、問い合わせを指定窓口へつなぐよう周知してください。
社内で共有したいルール
- 公式発表と未確認情報を区別する
- 情報の確認日時を記録する
- 社員が独断で被害規模を説明しない
- 攻撃者のリンクやファイルを共有しない
- 顧客からの問い合わせ窓口を統一する
11．情報公開が確認された場合の対応
実際に情報が公開されたと確認された場合は、公開された情報の種類、対象者、公開範囲などを整理し、被害拡大を防ぐための対応を検討する必要があります。ただし、情報の確認作業自体が危険を伴う場合もあるため、専門家との連携が重要です。
認証情報が含まれている可能性がある場合は、関連するアカウントの保護を優先します。個人情報が含まれる場合は、報告や本人通知の要否を確認し、必要な措置を進めてください。
| 確認された状況 | 検討したい対応 |
|---|---|
| 認証情報の公開 | アカウント保護、認証情報の変更、接続の無効化 |
| 顧客の個人情報 | 影響範囲の確認、法令上の報告・通知の判断 |
| 取引先の機密情報 | 契約上の義務確認、取引先との連絡調整 |
| 業務資料の公開 | 業務上の影響確認、追加対策の検討 |
| 公開内容が未確認 | 推測で断定せず、公式調査と専門家の確認を待つ |
公開された情報を消去できるかどうかは、公開先や拡散状況によって異なります。削除依頼などを検討する場合も、証拠保全と安全性に配慮して対応してください。
12．経営者向け確認チェックリスト
攻撃者による脅迫や情報公開の予告が報じられた際、自社として何を確認するかを整理してください。まずは公式情報の確認と、自社への影響の把握から始めることが重要です。
| 確認 | チェック項目 |
|---|---|
| □ | 事業者の公式発表を確認した |
| □ | 攻撃者の主張と確認済みの事実を分けた |
| □ | 情報流出と情報公開を区別した |
| □ | 自社が対象サービスを利用しているか確認した |
| □ | 保存していた情報の種類を整理した |
| □ | 顧客や取引先への影響を検討した |
| □ | 不審なリンクやファイルを開かないよう周知した |
| □ | 公式情報の確認担当者を決めた |
| □ | 社内外への連絡窓口を整理した |
| □ | 脅迫や不審な連絡の記録を保存した |
| □ | 警察や専門家への相談先を確認した |
| □ | 個人情報の報告・通知の要否を確認した |
| □ | 追加の公式発表を確認する予定を決めた |
自社で利用しているクラウドサービスについて、公式発表を確認する担当者を一人決めてください。そのうえで、異常が発生した際の連絡先と、顧客への説明を判断する責任者を確認しましょう。
13．まとめ｜脅迫と事実を区別して行動する
サイバー攻撃者が情報公開を予告しても、その内容がすべて事実とは限りません。企業が重要視すべきなのは、攻撃者の言葉に振り回されることではなく、公式発表と確認済みの情報を基に、自社への影響を判断することです。
お名前.comの第4報では、不正アクセスと顧客情報の外部持ち出しが確認された一方、追加の不正取引や情報公開については攻撃者の脅迫として説明されています。この違いを正確に理解することが重要です。
自社への影響が疑われる場合は、保存情報の確認、関係先への連絡の判断、証拠の保全、警察や専門家への相談を進めてください。未確認の情報を拡散しないことも、顧客や取引先を守るための大切な対応です。
攻撃者の脅迫を目にしたとき、誰が公式情報を確認し、誰が顧客への説明を判断しますか。担当者と緊急連絡先を決め、未確認の情報を社内外へ広めない体制を整えましょう。
公式情報・参考資料
※本記事は、2026年10月24日付のお名前.comの第4報を基に作成しています。攻撃者の脅迫内容は、実際の情報公開や追加被害が確認されたことを意味しません。最新の被害状況については公式発表をご確認ください。
コメント Comments
コメント一覧
コメントはありません。
トラックバックURL
https://risk.pakira-izu.co.jp/2026/10/24/cyber-attacker-threat-data-disclosure-risk-response/trackback/