GMOが身代金1.5億を払わなかったのは正しい？被害者が増え続ける恐怖
2026年10月27日の正午、GMOのサービスを攻撃したとみられる側が、「被害者 第1号」という見出しのページをネットに出しました。
GMOがFXの自動売買向けに貸している「お名前.com デスクトップクラウド」の、利用者1人分の個人情報だとするものです。
そのページを見た人が、GMOの熊谷正寿社長の名前を挙げて書いた投稿がこちら。
GMO、一人目の個人情報や特性、契約情報、Web閲覧履歴が公開されています。これから数年かけて一人ずつ公開していくようです。
別のサイトで使っているIDとかも含まれています。
Web閲覧履歴は2年間分ですが量はかなり少なめのようです
とにかく恐ろしすぎる。これを止められるのは熊谷お前だけだ— あかんやつマン🥦 (@kabuakan) October 27, 2026
ページはこれから、毎日正午に1人ずつ増えていくと予告されています。
被害者が増え続ける恐怖は、ここから始まったばかりです。
並んでいた中には、家族の名前や子どものことまであった、と見た人たちは書いています。
子どもの名前は、GMOからお金を取るための話に、一行も要りません。
それでも載せたのはなぜなのか。
「たった1.5億なら払えば」という声もある中で、GMOが払わなかったのは正しかったのか。
正午に出た「被害者第1号」
攻撃したとみられる側は、10月24日の夜に「27日の正午までに100万ドルを払わなければ、利用者の情報を公開する」と予告していました（100万ドルは、日本円でおよそ1億5,000万円）。
GMOは払わないと言い続け、正午を過ぎると、予告どおりにページが出ました。
NHKは、攻撃側が「会社が交渉に応じなかった」として、1人分の個人情報を公開したと伝えています。
このサービスが10月21日に止まり、利用者のFX口座で勝手に取引されてお金が消えたところからの流れは、こちらの記事で。
家族の暮らしまで並んでいた
ページの中身を、ここに書き写すつもりはありません。
開いた人たちの投稿から、どんな種類の情報だったのかは伝わってきます。
GMOの個人情報の公開されてるのみた。
これ自殺者でてもおかしくないレベルでは。流出者の家族構成、利用サービス、利用金融機関、行動範囲、家族構成と名前
子どもの情報まで公開する必要あるか？
たった1.5億なら、さっさと払うべき。
— ココノ@NISA株 (@kokono_nisa) October 27, 2026
ほかの投稿もあわせると、書かれていた情報の種類は次のとおりです。
- 名前・生年月日・住所・電話番号
- 職業
- 家族構成と、家族や子どもの名前
- 取引している銀行や口座
- ふだん出かける範囲
- 別のサイトで使っているID
- 2年分のネットの閲覧履歴
ひとつのページには、本人がFXとは関係なく暮らしている部分までがまとめられていました。
本物かはまだ分からない
そこに並んだ情報が本物なのかは、まだ確かめられていません。
GMOは13時55分の第10報（この件で順に出しているお知らせの10本目）で、公開を12時30分に確認したと書き、「事実と異なる内容が含まれるおそれがあります」としています。
出回った画面の住所や日付に「でっち上げでは」と疑う声が出ていることと、それを確かめに行く危うさは、こちらで書いています。
ページには、攻撃した側が中身を調べ終えた利用者から順に、毎日正午に1人ずつ出していき、全員を出し終えるには「数年かかる」とも書かれているそうです。
公開した情報を、本人の知り合いにまで広めるつもりだとも書かれていると、セキュリティの専門メディアが伝えました。
27日の1人は、続きがある前提で出されたわけです。
なぜ子どもの情報まで
投稿を読んで、いちばん引っかかるのはここですよね。
GMOと契約していたのも、FXの口座を持っていたのも本人です。
子どもは、そのどちらにも関わっていません。
それなのに名前が載ったことで、こう書いた人もいます。
GMOハッカー、子供巻き込んだのは悪手だな。
初めてこの事件でGMOの自己責任論を超えてハッカー側に怒りを感じたわ。
流石に一線超えてきたし、今こそ官憲の出番やね。
GMOを守るための大義名分は無いが、国民を守る大義名分はある。— 大京暴威 (@oz_onpu) October 27, 2026
この人にとっては、子どもの名前が出たところが、越えてはいけない線でした。
交渉には要らない名前
GMOが払うかどうかを決めるのに、利用者の子どもが誰なのかは関係ありません。
だから、子どもの名前を足しても、GMOに向けた脅しとしては何も増えていないんです。
役に立つとしたら、それはページを見た人に対してでしょう。
FXをしていない人でも、子どもの名前まで載っていたと聞いただけで、胸がざわつきます。
「もうやめて」「払ってでも止めて」と思うのは、晒された家族を案じる、当たり前の気持ちです。
相手は、まさにそこにつけこんでいる。
毎日正午に1人ずつ
まとめて一度に出さず、毎日正午に1人ずつという出し方も、同じ向きを向いています。
出されるたびに話題になり、次は誰なのかと待つ空気が続く。
利用者からすれば、自分の番かもしれない正午が、毎日やってきます。
子どもの名前は、見ている私たちに「払え」と言わせるために置かれた、と私は読みました。
子どもの名前を脅しの道具にするのは、どんな理由があっても許されないやり方です。
1.5億払えば止まるのか
「たった1.5億なら、さっさと払うべき」。
名前を出された家族のことを思えば、それで止まるなら安いと感じてしまいますよね。
1人目の中身を見たあとなら、なおさらです。
ただ、「子どもの情報まで」と書いたあのポストの返信欄には、「払えば止まると思ってるのか」「払っても終わる保証はない」という声もすぐに並びました。
払う派と払わない派に分かれたように見えて、どちらも願っていることは同じで、これ以上だれの名前も出てほしくない、ということです。
払っても消えないコピー
払っても止まらない理由は、GMOが第10報にそのまま書いていました。
「要求に応じても、取得された情報の削除や不正利用の防止が保証されるものではない」。
情報は、一度コピーされたら、払っても相手の手元に残ります。
消したかどうかを確かめる手段も、払った側には何ひとつないままです。
攻撃側は24日に「払えば公開しない」と書いていましたが、その約束を守らせる仕組みはどこにもありません。
GMO、恐らく身代金の支払いには応じないだろう。支払ったとしても本当に脅迫をやめてくれるのか分からないのもあるが、それ以上にGMOは支払うという実績を作ると他のハッカーも次々と攻撃をしかけてくる。
結果、影響は長引くし被害者個人への賠償も膨大になると予想。— miki 投資 (@keibamusume_) October 27, 2026
この人が書いているように、一度払ったという前例そのものが、次の攻撃を呼ぶおそれもあります。
額は相手が決めている
もうひとつ、1.5億という数字は、相手がそのつど付けている値段です。
GMOの第10報にある経緯によると、サービスを止めた10月21日に届いた最初の脅迫メールは、約80億円を求めるものでした。
それが24日の予告では100万ドルになり、日本円でおよそ1億5,000万円まで下がっています。
下げたのも、また上げられるのも、相手の側。
「1.5億で止まる」は、止まってほしい私たちの願いで、相手と交わした約束ではないんですよね。
払ってでも止めてと願った気持ちが、間違っているわけではありません。
そのうえで、払っても止まらない以上、GMOが払わないと決めたことは正しいと私は思います。
GMOの13時55分の答え
では、名前を出された人を、GMOはどう守るのか。
正午の公開から約2時間後の13時55分、GMOは第10報を出しました。
払わないという方針は変えず、そのうえで、情報を公開された人に向けた対応を書いています。
その内容を伝えた投稿がこちらで、添えられているのは第10報の画面です。
GMO、顧客情報が公開されたことを確認、悪質性の高い情報拡散者には法的措置を検討、情報が公開された人には見舞金５０００円とは別の見舞金を検討 pic.x.com/vgMzcjmdQc
— ありゃりゃ (@aryarya) October 27, 2026
第10報に書かれたこと
書かれていたのは、次の5つ。
- 公開された情報に利用者の情報が含まれていると確かめたら、その人に個別に連絡する
- 公開された人には、全員に払う見舞金（一律5,000円）とは別のものを、緊急会議で検討しはじめた
- 悪質性の高い拡散者には、証拠を保全したうえで、開示請求や刑事告訴などの法的措置の準備を進めている
- 攻撃側のページを開いた人の情報は、攻撃者に取られている
- 利用者のパソコンへのランサムウェア（中身を開けなくして身代金を求めるウイルス）の攻撃は、第10報の時点では確認されていない
デスクトップクラウドの利用者全員に24日に決まった見舞金5,000円と、FXの損の補償がどんな条件で受けられるのかは、こちらで確かめられます。
「検討」の先が見えない
公開された人への見舞金は、まだ「検討を開始」の段階です。
何を、いつまでに、という中身は書かれていません。
「子どもの情報まで」と書いたあのポストの人は、そのあと自分で書き足した投稿で、こんな心配もしていました。
「誘拐やトクリュウのリストにされてしまうリスクすら感じます」。
トクリュウは、SNSで人を集めて動く犯罪グループのことで、家族の名前と行動範囲が出れば、そういう相手の目に入りかねません。
同じ投稿は、引っ越しせざるをえない人も出てきそうだ、とも書いていました。
自分や家族の情報かもしれないと不安で眠れない人は、GMOの相談窓口（03-5456-2560・24時間）のほか、こころの健康相談統一ダイヤル（0570-064-556）でも話を聞いてもらえます。
GMOが払わない理由は、払っても情報の削除や悪用を防げる保証がないから、でした。
それなら、名前を出された家族の暮らしをどう守るのかを、「検討」の2文字で止めずに早く見せてほしいところです。
ページを開く前に
第10報には、GMOのサービスを使っていない人にも関わる一文がありました。
「当該サイトにアクセスした方の情報は、攻撃者に取得されています」。
あのページを開いただけで、開いた人の側の何らかの情報まで向こうに渡ってしまうわけです。
GMOは「【重要】【危険】」の印をつけて、ページにアクセスしないこと、広めないことを頼んでいます。
見てしまった人へ
このお願いが出たのは13時55分で、正午から2時間近くたってからでした。
その前に開いてしまった人を責める話ではありません。
「子どもの情報まで」と書いたあのポストも、並んでいた情報の種類を書いただけで、名前や中身はひとつも書き写していないんです。
開いてしまった人にできるのは、見覚えのない連絡に応じないこと。
GMOも、「被害金を取り戻す」など費用を求める連絡には応じないでほしい、と書いています。
「お名前.com」を名乗るメールが届いたときに確かめたいことは、こちらに。
2年前のKADOKAWAで
子どもの情報が出回った例は、日本でもすでに起きていました。
2024年6月、出版社のKADOKAWAがランサムウェアの攻撃を受け、身代金の期限だった6月末を過ぎると、7月から情報が出回りはじめたと報じられています。
その中には、グループの学校法人が運営する通信制のN高などの、生徒や保護者の情報も含まれていたそうです。
このときKADOKAWAは、掲示板やSNSで情報を広めた人のうち悪質性の高い人に対して、証拠を保全したうえで刑事告訴などの法的措置に向けた作業を進める、と発表しました。
8月2日までに悪質と判断された拡散は、900件を超えていたとのこと。
生徒の情報を遠くまで運んだのは、攻撃した側だけではありませんでした。
27日のGMOの第10報も、拡散した人への法的措置を、KADOKAWAとほとんど同じ言葉で書いています。
子どもの名前を運ばない
見た人の中には、どこで公開されているのかを書かずに伝えている人もいました。
GMO 12時なってハッキングチーム達がガチで個人情報公開し始めてるぞ
これ止めないとやばい
公開先はここには書かないけど名前
生年月日
住所
電話番号
職業
家族構成
活動範囲
など詳細にアップしてるエグすぎる
— 見える男🔻fourtheye (@mieruotoko1) October 27, 2026
お願いが出たあとも、スクリーンショットを回したり、名前を検索して確かめに行ったりすれば、子どもの名前は少しずつ遠くへ運ばれていきます。
払うかどうかを決めるのは、GMOです。
見ている私たちにできるのは、見に行かず、回さず、子どもの名前を自分のところで止めておくことなんですよね。
