2026年10月27日の正午、GMOのサービスを攻撃した側が「被害者 第1号」と題して、利用者1人分の個人情報だとするページをネットに出しました。

FXの自動売買向けに貸し出されていた「お名前.com デスクトップクラウド」の利用者だとされています。

攻撃した側はGMOにお金を求めていて、応じなければこれから毎日正午に1人ずつ出していく、と予告しました。

その画面のスクリーンショットを添えて「住所表記が気になる」「架空とかの可能性もある？」と書いた個人の投稿も広がり、その日は一日じゅう、本物か作り物かで読みが割れていました（画面が写っているので、ここには貼りません）。

ところが日付が変わってすぐ、その答え合わせのような一文が、思わぬところから出てきます。

GMOのトップ、熊谷正寿代表のXです。

「本日、幹部がご家族の元に謝罪しにお伺いしました」。

謝りに行った先があるなら、画面の人は実在するGMOのお客さんで、家族もいる、ということになりますよね。

本物かどうかの答えは、本人にだけ届くはずのものでした。

それを外へ出したのが、拡散を止めようとしていた会社の側だったから、モヤモヤが広がっているんです。


社長の投稿が答え合わせに

熊谷代表がその一文を書いたのは、10月28日の0時9分でした。

攻撃した側のページが出てから、半日ほどたったころです。

そのわずか5時間前、19時10分に出たGMOのお知らせ（この件で順に出している第12報）は、確かめていない情報には「事実と異なる内容が含まれる可能性もあります」と書いたばかりでした。

会社としては、本物とも偽物とも言っていなかったわけです。

 

「謝罪に伺った」の一文

熊谷代表の投稿は、ニュース番組で解説をした人の投稿を引用する形で書かれています。

引用元は、流れてきた個人情報の存在をSNSでひけらかす人たちを問題にした投稿でした。

熊谷代表はそれに「激しく同感です」と応じ、お子さんの情報まで広めるのは「人として有り得ません」と怒っています。

続けて書いたのが、「本日、幹部がご家族の元に謝罪しにお伺いしましたが、報告を聞いて涙が止まりませんでした」。

最後は「明日以降、拡散をする方は刑事告訴いたします」で結ばれていました。

 

怒りも涙も、被害を受けた人を思ってのものなのでしょう。

ただ、その怒りの一文には、お子さんの年ごろまで書かれていたんです。

この投稿を取り上げて、こう書いた人がいます。

熊谷代表の投稿に、「本物です」という言葉そのものはありません。

どなたのご家族なのかも書かれていませんが、この日に名前を出されたのは「被害者 第1号」の1人だけでした。

それでも、謝りに行った家族がいることも、その家族に子どもがいることも、読めば誰にでも伝わります。

引用欄には「家族構成と年代バラしてる…」「被害者の方の家族構成をバラして答え合わせをしてしまうのはどうしてなの」という声が並びました。

拡散を止めたいはずの社長の投稿が、いちばんはっきりした答え合わせになってしまったのです。

 

熊谷代表は、謝罪の一文の50分前にあたる23時19分にも投稿していて、警視庁の捜査が始まったという報道を引いて、国際刑事警察機構（インターポール）にも相談ずみだと書き、笑顔の自撮り写真を添えています。

家族のもとへ謝りに行った日と同じ夜の投稿だったので、その明るさに戸惑った人もいたようです。

警視庁が不正アクセス禁止法違反などの疑いで捜査していることは、共同通信も27日の夜に伝えています。

 

本人にだけ届くはずだった

GMOは27日の14時55分に出した第11報で、確かめた結果の伝え方を決めていました。

「公開された情報にお客様の情報が含まれていることを確認した場合は、対象のお客様に個別にご連絡いたします」。

第12報では、そう確かめられた人に、前に決めたお見舞金とは別の「特別お見舞金」を払うことも決めています。

どちらも、答えは名前を出された本人にだけ届く作りです。

 

「本物でした」と外へ向けて言えば、画面の人が実在することを、世の中に認めることになります。

「偽物でした」と言っても、では写真や名前は誰のものなのか、という次の詮索が始まるでしょう。

会社の文書は、そのどちらも口にしないように書かれていました。

その決まりを、代表が自分のアカウントで破ってしまった形です。

攻撃した側が、なぜ家族の情報まで載せたのか。

その狙いは、こちらの記事でくわしく書きました。

顔の描かれていない人物の写真と、ぼかされた情報の欄が並ぶプロフィール画面のイラスト
GMOが身代金1.5億を払わなかったのは正しい？被害者が増え続ける恐怖2026年10月27日の正午、GMOのサービスを攻撃したとみられる側が、「被害者 第1号」という見出しのページをネットに出しました。 G...


細かすぎる中身の出どころ

画面には、名前や住所のほかに、顔写真や家族のこと、ふだんの暮らしの細かいところまで書かれていた、と見た人たちは伝えています。

名前と住所くらいなら、どこかの名簿から寄せ集めることもできるかもしれません。

けれど、家族のことや暮らしぶりまでとなると、話が違ってきます。

そこまで細かい情報を、攻撃した側はどこから手に入れたのでしょうか。

 

持ち出しはGMOも認めた

まず、情報が外へ出たこと自体は、GMOが早くから認めていました。

10月24日の第4報で、サービスの環境に不正なアクセスがあり、「お客様の情報が外部に持ち出された事実を確認しております」と書いています。

写真まで載っていたことについては、こう見る人もいました。

実際このサービスは、利用者が自分専用のパソコンのように、ファイルを置いて使う仕組みだったんです。

だとすると、申し込みの書類に書いた情報だけでなく、パソコンの中に置いていたものまで外へ出ているおそれがあります。

このサービスが10月21日に止まり、FXの口座で勝手に取引されたところからの流れは、こちらの記事で。

お名前.comデスクトップクラウドの不正アクセスがヤバすぎる件2026年10月22日の朝、FX（外国のお金を売り買いする取引）の自動売買をしている人たちから、「寝ているあいだに口座のお金が消えていた...


全部が本物とは限らない

画面の人が実在することと、画面に並んだ中身が全部正しいことは、別の話です。

GMOも第12報で、確かめていない情報には事実と違う内容が含まれる可能性がある、とくり返していました。

28日の朝の時点で、この一文は取り消されていません。

 

疑われた住所と日付

27日の昼から夜にかけて、スクリーンショットを見た人たちが挙げていたのは、主に次の2つでした。

  • 住所の途中にあるはずの地名が、抜けているように見える
  • 手続きの「登録完了日」が、まだ来ていない日付になっている

どちらも、画面の人が誰かではなく、データとしての書かれ方についての指摘です。

地名については、集めた側が住所をいくつかの欄に分けて持っていて、画面に並べるときに1つが落ちた、ということもありえます。

日付も、申し込んだ日と手続きが終わる日が別々にある手続きなら、終わる予定の日を書き写しただけかもしれません。

27日の昼の時点では、こんな強い声も。

まるごと作り物、という見方は、謝罪に伺ったという投稿で成り立ちにくくなりました。

それでも、うのみにしない構えまで要らなくなったわけではありません。

実在の人の情報に、間違いや書き足しが混ざっている、ということもありえるからです。

 

GMOに登録しない情報

引っかかる点のもうひとつは、並んでいた情報の種類です。

返信欄には、家族のことまでGMOに登録する人はいないだろう、という声がありました。

ふだん出かける範囲のような情報も、サーバーを借りるときの申し込みには書かないものです。

パソコンの中から読み取ったのか、別のところから集めたのか、それとも書き足したのか。

そこは、外からは分かりません。

攻撃した側が「大量の生データをAIにぶち込んで整理させてる」だけなら、まとめた時点で間違いが混ざることもある、という見方もありました。

 

同じ月のタイムズカー

本物の流出が起きたことと、出回っているデータが全部本物かどうかは、別の話。

そのことがよく分かる例が、同じ10月にも起きています。

本当に顧客情報の流出があったカーシェアのタイムズカーで、10月23日ごろ、海外の掲示板に「利用者約420万件を売る」という投稿が出ました。

専門メディアの「セキュリティ対策Lab」が見本のデータを調べると、侵入の経路がふさがれたあとの日付の利用記録が入っているなど、不自然な点がいくつも見つかっています。

それでも記事は「偽造と断定できない」として、作ったり加工したりしたデータの可能性がある、という言い方にとどめていました。

本物の流出のあとに、それに便乗した「本物っぽいもの」が出回るわけです。

便乗はデータだけでなく、メールでも起きています。

「お名前.com」を名乗って届くメールへの気のつけ方は、ドメインだけを借りている人に向けた記事にまとめました。

夜の部屋の机に置かれたノートパソコンと銀色の鍵と封筒、窓の外に街の明かり
お名前.comの不正アクセス｜ドメインだけ使っている人は大丈夫？2026年10月21日の未明、「お名前.com」が不正アクセスのお詫びを出しました。 対象は「お名前.com デスクトップクラウド」とい...

 

28日の朝の時点で分かっていることを並べると、次のようになります。

  • 27日正午：攻撃した側が「被害者 第1号」のページを出す
  • 27日の昼〜夜：住所や日付のおかしさから、本物か作り物かで読みが割れる
  • 27日19時10分：GMOの第12報「事実と異なる内容が含まれる可能性」
  • 28日0時9分：熊谷代表のX「幹部がご家族の元に謝罪しにお伺いしました」

実在のお客さんだということは、代表の投稿で外に伝わりました。

けれど、画面のどこまでが正しいのかは、まだ誰も外へ向けて答えていません。


確かめに行かない理由

答えが半分見えたいま、「じゃあ残りは自分で確かめよう」と思う人もいるでしょう。

GMOは第12報で、そこにもはっきり釘を刺しています。

「SNS等での憶測に基づく犯人捜しや、被害者の個人情報、流出したとされるデータの拡散もお控えください」。

同じ日に作った懸賞金の仕組みについても、一般の人に追跡や独自の調査を求めるものではない、と書き添えていました。

 

答えを探しはじめた人たち

それでも27日のうちに、「住所表記が気になる」の投稿にも、でっち上げ説の投稿にも、自分で確かめようと動いた人たちの書き込みが並んでいます。

  • 画面の住所や写真をもとに、画面の人が誰なのかを調べはじめた書き込み
  • 「家行って本人に確認すれば？」という書き込み

どれも、答えを知りたい気持ちから出た動きです。

でも、やっていることは、画面の人が誰なのかを探すことそのもの。

そして実在の人だと伝わったいま、たどった先にいるのは、ふつうに暮らしている本当の家族です。

画面の写真を添えて回す投稿について、こう書いた人もいました。

開いた人の情報も取られる

確かめに行くことには、もう1つ、自分の身に返ってくる危なさがあります。

GMOは第11報で、公開されたページについて「当該サイトにアクセスした方の情報は、攻撃者に取得されていることを確認しています」と書きました。

すでに開いてしまった人には、ウイルス対策ソフトでパソコン全体を調べるよう頼んでいます。

「被害者第1号」を名乗るリンクについては、こんな呼びかけも広がっていました。

先ほどのセキュリティ対策Labは、攻撃した側が、公開した情報を本人の知り合いにまで広めるつもりだと書いている、と伝えています。

見に行く人、確かめる人、回す人が増えるほど、その狙いに近づいていくわけです。

 

使っていた人がすること

デスクトップクラウドを使っていた人がすることは、ページを開いて自分の名前を探すことではありません。

サーバーに保存していたIDやパスワードを変え、GMOからの個別の連絡を待つことです。

情報が出ていたと確かめられた人には、第12報で決まった特別お見舞金があり、出ていた情報の種類ごとに額が決まっています（上限300万円）。

不安なときは、GMOの相談窓口（03-5456-2560・24時間）でも話を聞いてもらえます。

前に決まったお見舞金や、FXの損の補償を受けられる条件は、こちらの記事で。

お名前.comの被害は自己責任と言われる理由｜補償される条件を解説
お名前.comの被害は自己責任と言われる理由｜補償される条件を解説「お名前.com デスクトップクラウド」は、FXの自動売買ソフト（MT4・MT5）を24時間動かすために、GMOインターネットから借りる...

いっぽう、使っていなかった人にできることは、もっと短くて、見に行かない、回さない、調べない、の3つです。

 

疑うことと、決めつけることは別のこと。

そして、答えを知ることと、答えを広めることも別のことです。

拡散を止めようとしていた社長でさえ、怒りの一文で家族のことを伝えてしまいました。

だからこそ、画面の向こうの家族のために、見ている私たちのほうは、その3つを手放さずにいたいですね。