金融インフラが止まる日 ― 不正アクセス事案のサジェスト推移・株価と、セキュリティ投資の一般論（速報版）

FX の自動売買を動かす VPS が止まり、利用者は「バックアップを取って PC の電源を切ってほしい」と呼びかけられた。顧客情報の持ち出しを確認した第 4 報（10/24）の翌営業日に、運営会社の親会社の株価は 15% 以上下がった。本稿は、その経過を公開情報だけで記録し、検索サジェストと株価がどう動いたかを追う。あわせて、本件の原因とは切り離した一般論として、セキュリティ投資を後回しにしたときに、どの事業者にも起こり得ることを整理する。速報版であり、以後は営業日ごとに数値を更新する（末尾の更新履歴を参照）。なお、攻撃者が 27 日の期限後に個人情報とみられる情報 1 件を公開し、以後毎日正午に公開すると表明したと報じられている（真偽は不明。§1）。

1. 何が起きたか（公開情報・2026 年 10 月 27 日 13 時時点）

対象は GMO インターネット株式会社の「お名前.com デスクトップクラウド」。FX の自動売買（MT4/MT5 の EA）を 24 時間動かすための Windows VPS で、影響の可能性があるサーバーは 26,739 件とされている。以下は、同社の公表と報道で確認できる範囲の時系列である。原因（侵入経路）は、10 月 27 日時点で公式には公表されていない。

日付	事実	出典（確認日 2026-10-27）
10/19	利用者からの問い合わせを受け、調査を開始	GMO 第2報（10/22）: https://group.gmo/info/alert/20261022/
10/20	一部の顧客サーバーで第三者の不正なプログラムの設置を確認。新規申込とコントロールパネルを停止	同上・第1報（10/21）: https://www.onamae.com/news/article/11584
10/21 04:00〜	被害拡大防止のため全プランのサーバーを順次停止（以後停止中）。第1報を公表	同上
10/22	第2報。サーバーに保存された取引ツールのログイン情報等が第三者に取得・不正利用された可能性があると公表。警察に相談	GMO 第2報
10/24	第4報。顧客情報が外部に持ち出された事実を確認。攻撃者から金銭要求と、情報公開・70 社超の証券・FX 会社での不正発注の継続・ランサムウェア実行を示唆する脅迫を受けていると公表（脅迫内容の真偽は未確認）。要求には応じない。見舞金一律 5,000 円、不正取引による実現損失の補償、代替環境の 6 か月無償を公表。政府に能動的サイバー防御の措置を要請	GMO 第4報: https://group.gmo/info/alert/20261024/ ／ Impress Watch: https://internet.watch.impress.co.jp/docs/news/2150991.html
10/25	熊谷正寿代表がブログを公開。社内のホワイトハッカーが事前に改善課題を指摘していたこと、対応の深さと速さが不十分だったこと、現場が可用性や他の対処との優先順位を考慮していたことを説明。約 80 億円（5,000 万ドル）の要求には応じておらず支払いもしていないと明言	熊谷氏ブログ: https://www.kumagai.com/?eid=19600 ／ GMO 告知: https://group.gmo/info/alert/20261025/ ／ ASCII: https://ascii.jp/elem/000/004/445/4445544/ ／ ITmedia: https://www.itmedia.co.jp/news/article/2610/26/2000002571/
10/26	東証で GMO インターネットグループ（9449）が前週末比 590 円（約 16%）安の 3,179 円。GMO インターネット（4784）は 73 円安の 418 円	日本経済新聞: https://www.nikkei.com/article/DGXZQOUB267FQ0W6A021C2000000/ ／ Reuters: https://news.infoseek.co.jp/article/26reutersJAPAN_KCN3W50XR/
10/26	攻撃者とみられる者が、27 日正午に顧客情報の公開と顧客 PC へのランサムウェア攻撃を行うと予告（攻撃者側サイトの要求額は約 100 万ドル）。GMO は利用者に、期限前にバックアップを取り、PC のケーブルを抜いて電源を切るよう呼びかけ。従業員が顧客宅を訪れて端末を預かり、ホワイトハッカーチームが解析中	Impress Watch（10/27）: https://www.watch.impress.co.jp/docs/news/2151375.html ／ ITmedia（10/27）: https://www.itmedia.co.jp/news/article/2610/27/2000002610/ ／ NHK（10/27）: https://news.web.nhk/newsweb/na/nd-20261027de66048
10/27 12:00	攻撃者の提示した期限。GMO は要求に応じない姿勢を維持	NHK（10/27 12:20 更新）
10/27 午後	攻撃者が、期限までに交渉に応じなかったとして、日本語サイトに個人情報とみられる情報 1 件（氏名・電話番号などを含む）を公開したと報道。情報の真偽は不明。攻撃者の新たな声明では、今後も毎日正午に個人情報を順次公開するとし、要求を受け入れれば活動を停止するとしている。GMO インターネットグループは、この声明の真偽について「個々の事象についてはコメントを差し控える」と回答	読売新聞オンライン（10/27 13:15）: https://news.yahoo.co.jp/articles/1ee8419ae44aad58464adb11d4a0ca32b9a9c059 ／共同通信（10/27 13:17）: https://news.yahoo.co.jp/articles/21ce54e7458ee2f0d2bb701e6719b7e688573a1c
10/30 まで	見舞金の連絡方法・支払時期を登録メールアドレスへ案内（予定）	GMO 第4報
11/6 まで	補償申請の詳細を案内（予定）	GMO 第4報

補足:

要求額は、熊谷氏のブログと GMO の説明では 5,000 万ドル（約 80 億円）、攻撃者側のサイトに出ている予告では 100 万ドル（約 1.6 億円） と報じられている。初回の要求と期限付きの再要求で額が異なる可能性があるが、本稿では両方を出典付きで併記するにとどめる。
攻撃者を名乗る者の声明に含まれる侵入経路や内部構成に関する主張は、本稿では扱わない。公表されている事実ではないためである。攻撃者集団の名称も、複数の報道で確認できていないため書かない。
金融担当大臣は、FX 業者 5 社から本件に関連すると考えられる顧客被害の報告があったと述べている（報道）。被害を受けた事業者名・利用者は本稿では特定しない。

2. 利用者にとって何が死活問題か

FX の自動売買は、建玉（ポジション）を持ったまま 24 時間動き続ける。VPS が止まれば、損切りも建玉の調整もできない。相場が動けば、損失はそのまま確定する。今回の事案で、利用者が最初に直面したのはこれだった。サーバー停止は被害拡大を防ぐためと GMO は説明しているが、その瞬間に「取引ができない」という状態が利用者側に生じる。

次に来たのが、「バックアップを取って、PC のケーブルを抜き、電源を切ってほしい」という呼びかけである。サービスにつながっていた PC は、多くの人にとって仕事と生活の道具でもある。電源を切るという指示は、取引だけでなく、業務や生活の一部を止めることを利用者に求めるものだ。従業員が顧客宅を訪れて端末を預かるという対応も報じられている。利用者にとって、これは「自分の PC が手元から離れる」ことを意味する。

見舞金と損失補償が公表されたことは重要だが、第 4 報が補償対象とするのは不正取引による実現損失（取引損失と手数料）であり、相場変動による損失や逸失利益は対象外とされている。建玉を動かせなかったことによる機会損失や、電源を切っている間の業務の停止は、この範囲に入らない。

これは本件に限らない。一般に、侵害が起きたあとの費用の一部は、利用者が時間と機会損失で支払う。 事前の投資が足りなかった場合、その差額を払うのは利用者になる。

3. サジェストの推移

検索サジェストは、人が何を不安に思って検索しているかを映す。エゴサる（gstudio1.com）で、GMO グループの各ブランド名に続く語句を 10 月 27 日から 1 日 2 回収集している。見ているのは「不正アクセス」「情報漏洩」「補償」「解約」「大丈夫」といった語が、どのブランド名に、どの順で付いていくかである。

１．図1 障害語サジェスト出現数・Google Trends と 9449・7177 の相対株価（10/23=100）

速報版の時点では、10 月 27 日 12:17〜12:40 の初回収集（基準点）しかない。初回の Google（日本語）のサジェストで、事案に固有の語が付いていたブランドは次のとおりである。

「GMO インターネットグループ」: 「不正アクセス」「情報漏洩」「株価下落理由」
「GMO インターネット」: 「不正アクセス」「漏洩」「株価下落」
「お名前.com」: 「ランサムウェア」「危険」「大丈夫」
「GMO クリック証券」: 「不正アクセス」「全額補償」「大丈夫」
「GMO ペイメントゲートウェイ」「GMO グローバルサイン」: 「漏洩」「株価下落理由」
「ConoHa」: 「不正アクセス」

事案の対象サービス名そのもの（「お名前.com デスクトップクラウド」）には、候補が 28 件と少なく、事案固有の語は付いていなかった。一方で、本件と直接関係のない GMO クリック証券・GMO ペイメントゲートウェイ・GMO グローバルサイン・ConoHa に「不正アクセス」「漏洩」「株価下落」が付いている。ただし、これらの語が事案の前から付いていたかは、この基準点だけでは判断できない。10/24〜25 に先行して取得していた「GMO コイン」「GMO あおぞらネット銀行」では、「不正アクセス」「情報漏洩」「危険」が事案公表前の時点で既に付いており、10/27 も同じだった。つまり、サジェストに「不正アクセス」が付いていることは、それだけでは本件の影響を意味しない。障害語の集計（図 1 の上段）には、平時から付く「ログイン」「解約」も含まれるため、絶対値ではなく基準点からの増減で読む。注目しているのは次の 2 点だ。

事案の対象は「お名前.com デスクトップクラウド」という一つのサービスだが、不安語が「お名前.com」全体、さらに「GMO」というグループ名に広がるか。
本件と無関係なグループ各社のサービス（レンタルサーバー、ドメイン、決済、証券）にまで「大丈夫」「解約」が付くか。付けば、不安語が事案の範囲を超えてグループの他サービスにも及んだことを示す（関心の指標であり、評価ではない）。

図 1 上段の Google Trends（日本・直近 90 日内の最大を 100 とした相対値）では、「GMO インターネット」の検索関心が 10/24 の公表後に上がり、10/26〜27 に最大になっている。「お名前.com」も 10/26 以降に上がった。ロリポップには 10/22 に別の山があるが、本件の公表前であり、本件との関係は確認できない。

サジェストは関心の指標であって、事実の指標ではない。「解約」というサジェストが出ることは、解約が増えたことを意味しない。この点は図を更新するたびに繰り返し書く。

4. 株価の推移

銘柄	10/23 終値（第 4 報前の最終営業日）	10/26 終値（第 4 報後の最初の取引日）	10/27 終値	10/23 比	出来高（10/26 → 10/27）
9449 GMO インターネットグループ	3,769 円	3,179 円（−15.7%）	3,159 円	−610 円（−16.2%）	386 万株 → 592 万株（10/23 の 3.2 倍 → 4.9 倍）
7177 GMO フィナンシャルホールディングス	1,128 円	1,045 円（−7.4%）	1,046 円	−82 円（−7.3%）	225 万株 → 92 万株
4784 GMO インターネット	491 円	418 円（−14.9%）	409 円	−82 円（−16.7%）	847 万株 → 725 万株

出典: Yahoo!ファイナンス（各銘柄の日足、2026-10-27 大引け後に確認）。10/27 は前場に戻した後、後場に安値 3,040 円まで下げて 3,159 円で引けた（前日比 −0.63%）。同日の日経平均は 10/23 比で上昇している。

２．図3 グループ上場各社の時価総額減少額（10/23 比）

10/27 終値ベースでは、9449 の時価総額は 10/23 比で約 567 億円（16.2%）、7177 は約 97 億円（7.3%）、4784（GMO インターネット）は約 250 億円（16.7%）、3769（GMO ペイメントゲートウェイ）は約 311 億円（4.7%）減っている（発行済株式数は Yahoo Finance の値、自己株式は考慮していない）。グループ上場 8 社（9449・7177・3769・3633・3788・4051・6180・4784）の単純合計は約 1,261 億円（9.0%）減で、4784 を除く 7 社では約 1,011 億円（8.1%）減である。親会社（9449）と上場子会社（4784 など）の時価総額は重複を含むため、この合計は保有関係を調整していない。図 3 は同じ終値ベースの値である（3695 は社名の確認が取れないため除外した）。

第 4 報後の最初の取引日に親会社の株価が 10/23 比で 15.7% 下がり、翌 10/27 の終値でも 16.2% 安の水準にあることは、公開情報としての事実である。これは市場全体の動きを含む数字であり、事案だけの影響を切り出したものではない。FX 関連の子会社を持つ持株会社（7177）にも売りが及んだが、その理由は公開情報からは確認できない。

見舞金の規模を公開数値だけで概算すると、一律 5,000 円を、影響の可能性があるサーバー数 26,739 件を上限として掛けても約 1.3 億円である。株価の下落で失われた企業価値とは桁が異なる。補償が小さいと言いたいのではない。一般に、侵害が起きたときの費用は、補償額よりも企業価値の減少として大きく現れることがある、ということである。

本稿は投資助言ではない。株価は「何が起きたか」の記録として扱い、売買の推奨や予想は行わない。

5. 一般論: セキュリティ投資を後回しにすると、何が起きるか

ここからは本件を離れ、過去の事例と制度から一般に言えることを整理する。本件の原因は公表されておらず、以下を本件に当てはめるものではない。

３．図4 一般論: 対策の後回しが招き得る連鎖（特定の事案を指すものではない）

5-1. 信用の変化は数日で検索行動に現れる

過去の事案では、公表から数日のうちに検索サジェストに不安語が付き、ブランド名での検索の性質が変わる例が観測されている。本件については §3 で追跡し、データが揃った時点で更新する。

5-2. 事後に生じる金額の大きさ

ベネッセ（2014 年）: 顧客情報の漏えいで、補償費用 200 億円と調査・対策費用 60 億円の計 260 億円を特別損失として計上し、2014 年 4〜6 月期は最終赤字となった。副会長と CIO が辞任した（出典: ScanNetSecurity 2014-08-01 https://scan.netsecurity.ne.jp/article/2014/08/01/34611.html、同 2015-02-10）。
Equifax（米、2017 年）: 約 1 億 4,700 万人の情報が漏えいし、2019 年に FTC・CFPB・50 州との包括和解で少なくとも 5 億 7,500 万ドル、最大 7 億ドルを支払うことで合意した（出典: FTC プレスリリース 2019-07-22 https://www.ftc.gov/news-events/news/press-releases/2019/07/equifax-pay-575-million-part-settlement-ftc-cfpb-states-related-2017-data-breach）。
Colonial Pipeline（米、2021 年）: ランサムウェアで米東海岸の燃料パイプラインが停止。CEO は上院で、約 440 万ドル相当の身代金を支払ったと証言した（出典: AP 通信 2021-06-08 https://www.bangordailynews.com/2021/06/08/nation/pipeline-ceo-defends-paying-ransom-amid-cyberattack/）。

各事例で事後に生じた金額は上記の通りである。事前の対策費用との比較は公開情報では確認できないが、事後の金額が大きいことは共通している。

5-3. 株主訴訟と取締役の責任

日本では、取締役は会社法 423 条の善管注意義務を負い、経済産業省の「サイバーセキュリティ経営ガイドライン」は、サイバーセキュリティを経営課題として取締役会が監督することを求めている。金融庁の監督指針も、システムリスク管理を経営陣の責任としている。米国では SEC が 2023 年に重大なサイバー事案の開示規則を導入した。国内外で、サイバーセキュリティは技術部門だけの問題ではなく、取締役会が監督する事項として位置付けられている。

5-4. 利用者の制約と理不尽

補償が来ても、建玉を動かせなかった機会損失は戻らない。「電源を切ってほしい」という呼びかけは、対策費用を後回しにしたときに、利用者が時間と機会で支払う代償の一つの形である。この社会的コストは、事業者の損益計算書には載らない。

6. 事業者・経営者が今すぐできること（一般論・公的ガイドラインに基づく）

取締役会にサイバーリスクの報告線を置く。 四半期ごとに、未対応の指摘事項と、その優先順位の判断理由を取締役会が受け取る。
安全性の指摘に期限を付ける。 社内外の専門家から出た指摘は、「対応する／しない」ではなく「いつまでに、どの深さで」を決め、期限を過ぎた指摘は経営会議の議題に上げる。
基本項目を点検する。 特権アカウントの分離と多要素認証、リモートアクセス経路の制限、利用終了後の環境と認証情報の確実な消去、バックアップの隔離、ログの監視。いずれも経済産業省・IPA のガイドラインに載っている、どの事業者にも当てはまる項目である。
インシデント時の利用者コミュニケーションを事前に設計する。 「何を、いつ、どの窓口で」伝えるかを決めておく。利用者に行動を求める呼びかけは、求める負担の大きさに見合う説明を添える。
自社の外から見える状態を確認する。 サーバーが外部に名乗っているバージョンやセキュリティヘッダーは、誰でも確認できる。筆者が公開した「セキュリティ露出統計調査 2026」（https://sitescouter.net/articles/security-exposure-statistics-2026）では、日本のサイトは対策 8 指標すべてで 10 リージョン中最下位だった。

7. 限界と注意

本稿は公開情報（GMO の公表、熊谷氏のブログ、報道、株価、サジェスト）のみに基づく。侵入経路や原因は公式の調査報告を待つ。
攻撃者を名乗る者の主張は未検証であり、本稿では事実として扱わない。
サジェストは関心の指標であり、事実や解約数の指標ではない。
株価は市場全体の影響を含む。事案の影響だけを切り出したものではない。
被害を受けた FX 業者・利用者個人は特定しない。

8. 結語: 責任を取る役員を置く

熊谷氏は 10/25 のブログで、社内のホワイトハッカーから事前に改善課題の指摘があったこと、現場が可用性や他の対処との優先順位を考慮していたこと、対応の深さと速さが不十分だったことを説明している（出典: https://www.kumagai.com/?eid=19600）。安全性の指摘が、可用性・売上・納期と優先順位を争う構造は、どの事業者にもある。その判断の代償は、指摘から対処までの期間に比例して大きくなる。

一般論として、足りないのは指摘ではない。指摘を受け止め、可用性と安全性の優先順位を決め、その結果に責任を負う役員である。上場企業には、情報システムに責任を負う役員（CIO）と、セキュリティに責任を負う役員（CISO）を置き、誰が責任を取るのかを明確にする必要がある ― 筆者の上司がかねて提案していることだが、今回の事案はその必要性を示している。その役員がいなければ、同じ構図はどの上場企業でも繰り返される。