GMOの個人情報流出はどこで確認する？公式発表の読み方と利用者の対処法

GMOの個人情報に関するニュースを確認するときは、まず利用しているサービス名と、その運営会社の最新発表を照合してください。「GMO」という名称だけでは、どの会社・サービスの事案なのか、本人の情報が対象なのかは判断できません。

2026年10月には、GMOインターネットの「お名前.com デスクトップクラウド」と、GMOリサーチ＆AIのアンケートサービス「infoQ」で、それぞれ不正アクセスに関する発表がありました。この2件は別の事案であり、GMOグループの全サービスで同じ被害が発生したという意味ではありません。以下は2026年10月28日時点で確認できる公式資料を基にした実用ガイドです。

まず確認：GMO各社の公式発表で判明していること

出典は、GMOインターネットの10月24日付発表、infoQの10月14日付第2報、GMOグローバルサイン・ホールディングスの10月27日付お知らせです。各社の説明は、その発表時点の調査結果として読んでください。

お名前.com デスクトップクラウドの最新発表は何を意味する？

GMOインターネットは、2026年10月21日に「お名前.com デスクトップクラウド」の停止と不正アクセスについて公表しました。その後、顧客情報の外部持ち出しを確認したと説明しています。10月27日付第10報では、攻撃者とみられる者が同日12時30分に情報を公開したことを確認した一方、公開内容には事実と異なる情報が含まれる可能性があり、内容を精査中だとしています。

さらに、10月28日11時時点の第13報は、攻撃者側のサイトのドメインが同日午前4時ごろ（日本標準時・JST、UTC+09:00／10月27日19時ごろUTC）に停止されたことを確認したと報告しました。ただし、ドメインの停止は、外部に持ち出された情報の全てが消去されたことや、二次被害の可能性がなくなったことを示すものではありません。

第13報の発表基準時刻は2026年10月28日11時（JST、UTC+09:00／同日02時UTC）です。以後の調査や追加発表によって対象範囲・対応が変わる可能性があります。「公開された情報に自分の情報があるか」を確かめるために、攻撃者のサイトや転載リンクを開くことは避けてください。同社は、対象者と確認できた場合は個別に連絡する方針を示しています。10月27日付第10報も確認してください。

デスクトップクラウドを利用した人が優先する対応

1. 安全な別の端末で認証情報を変更する。 当該クラウド環境で証券会社・FX会社の取引ツールを使用した場合、取引口座や関連ツールのパスワードを、その環境ではないスマートフォンやPCから変更します。
2. ログイン中のセッションを終了する。 パスワードを変えても既存の接続が維持される場合があります。取引事業者の設定画面や窓口で全セッションの切断を確認します。
3. 取引履歴・残高を点検する。 身に覚えのない取引や操作があれば、利用先の証券会社・FX会社に速やかに連絡します。可能なら二要素認証も有効にします。
4. 端末を検査し、データを慎重に保全する。 自分の端末でセキュリティソフトのフルスキャンを行い、バックアップを取得します。不審なファイルを開いて検証しないでください。

これらは対象サービスの利用者向けに会社が示した措置です。手順の詳細は10月24日付の第5報を確認してください。相談窓口は公式発表に記載されたお名前.comお問い合わせフォーム、または電話03-5456-2560（24時間受付）です。

infoQの個人情報漏えいについて確認すべきこと

infoQについては、2026年10月3日に不正アクセスを確認したとの第1報に続き、10月14日に第2報が出ています。後者は、当初公表された「最大94万8,498件」を修正し、持ち出された個人情報を89万4,082件と確定しています。古い最大件数を現在の確定件数として引用しないことが重要です。

第2報にある対象情報には、氏名、メールアドレス、住所、電話番号、生年月日、会員ID、暗号化されたパスワード、ポイント残高などが含まれます。同社はクレジットカード情報とマイナンバーは保有していないと説明しています。また、611件、計286万9,500円相当のポイントが本人の意思によらず交換されたことを確認し、補填する方針を示しました。全会員のパスワードは10月7日に無効化されたため、サービス再開時には会社からの正規の手続き案内が必要です。

infoQ会員だった場合は、同じ、または似たパスワードを使っている他サービスを先に保護してください。過去のポイント交換履歴や運営会社からのメールも確認し、不審な交換があれば正規窓口に問い合わせます。2026年10月14日付のinfoQ公式第2報を基準にし、メール中のリンクからではなく公式ページから窓口を確認してください。

公式発表と自分への影響を確認する4つの手順

1. 契約サービスを特定する。 申込メール、請求明細、会員登録履歴などで「お名前.com デスクトップクラウド」「infoQ」など正確なサービス名を確認します。単に「GMO会員」では対象を特定できません。
2. 運営会社の公式ドメインから発表を開く。 検索結果やSNSの見出しだけで判断せず、internet.gmo、gmo-research.aiなど、上記の一次情報にあるサイトで確認します。偽のサポートページや不審な短縮URLを避けます。
3. 日付・第何報か・確定度を読む。 「可能性」「確認中」「確定」は意味が異なります。最新報で対象人数や調査結果が修正されていないかを確かめます。
4. 通知内容と自分の利用状況を照合する。 どの個人情報が対象か、過去の利用者を含むか、個別通知が来るか、ログインや決済に不審な動きがないかを確認します。通知がまだ届いていないことだけで、対象外と断定しないでください。

不審なメール・SMS・電話を受け取ったら

個人情報に関する事故の後は、「補償金の受け取り」「被害を取り戻すための手数料」「緊急の本人確認」などを口実にしたなりすまし連絡にも注意が必要です。GMOインターネットは、パスワードや認証コードを尋ねないこと、被害金回収などの名目で費用を要求する連絡に応じないことを案内しています。

• メールやSMSのリンク・添付ファイルを開かず、公式サイトを自分で入力または信頼できるブックマークから開く。
• パスワード、ワンタイムコード、本人確認書類を、突然の連絡相手に送らない。
• 不審なログイン通知、送金・決済・ポイント交換を確認し、関係する金融機関やサービス事業者に直ちに相談する。
• 流出情報を探すために攻撃者サイトへアクセスしたり、個人データをSNSで転載・拡散したりしない。
• 利用可能なサービスでは、多要素認証やパスキーを設定し、パスワードを使い回さない。

対応の一般原則は、独立行政法人情報処理推進機構（IPA）が2026年10月26日に公開した「自分の個人情報等が漏えいした際の『対処』と『日頃の対策』」でも確認できます。個人情報保護委員会の個人情報保護法ガイドラインには、一定の漏えい等に関する本人通知の考え方が示されています。ただし、個々の事故についての通知対象や時期を、この一般ルールだけから推測することはできません。

確認用チェックリスト

• 自分が利用したGMOの正式なサービス名・運営会社を確認した。
• 同じ会社の最新の公式発表と、その更新日を確認した。
• 「流出の可能性」「持ち出しを確認」「自分が対象」の違いを区別した。
• 関連するパスワードと使い回し先を見直し、必要なセッションを切断した。
• 決済・取引・ポイント履歴を確認し、異常があれば正規窓口に連絡した。
• 情報の転載サイトや不審な補償手続きのリンクにはアクセスしていない。

要点： GMOの個人情報に関する情報は、「企業グループ全体」ではなく「運営会社・対象サービス・発表日」で分けて確認します。最新報にない被害人数や情報項目を推測せず、自分の利用状況に応じて認証情報・金銭的被害の防止を優先してください。