GMOインターネットの不正アクセス：公式発表の確認方法と利用者別の対策

「GMOインターネットが不正アクセスを受けたらしい。自分のアカウントや個人情報は大丈夫？」と心配になったときは、SNSで拡散された画像やメールのリンクよりも、利用中のサービス名を特定し、公式発表の発表日時と対象範囲を照合することが先決です。実際に不正アクセスが確認されたサービスと、同じ企業グループの別サービスを一括りにするのは適切ではありません。

2026年10月27日19時10分時点（日本標準時・JST、UTC+09:00。協定世界時では同日10時10分）、GMOインターネット株式会社は「お名前.com デスクトップクラウド」への不正アクセスに関する第12報を公表しています。本記事はその時点までに確認できた公式資料を基に、発表の読み方と利用者が選べる対応を整理します。状況は更新され得るため、実際の操作前にGMOインターネットの第12報（2026年10月27日）を再確認してください。

何が起きたのか：確認済みの事実と未確認の点

不正アクセスに関する第1報によれば、同社が提供する「お名前.com デスクトップクラウド」で第三者による不正アクセスが発生し、一部利用者のサーバー環境に不正なプログラムが設置されたことが確認されました。会社は2026年10月21日にサービス停止と第1報の公表を行い、その後も続報を出しています。

10月27日の発表では、攻撃者とみられる者が顧客に関係するとされる情報を公開したことを同社が確認しています。ただし、公開されたと称する内容がすべて正しいか、誰のどの情報が含まれるかは個別の確認が必要です。同社は、情報公開の対象となった顧客を確認できた場合に個別に連絡すると説明しています。「GMOの全利用者の情報が漏れた」と断言する根拠にはなりません。

また、10月27日11時59分（JST、UTC+09:00）時点で解析が完了した顧客端末からはランサムウェアを含むマルウェアが確認されなかった、とする端末の解析状況を伝える第9報もあります。ただし、すべての端末の安全が確認されたわけではなく、調査は継続中とされています。

公式情報はどこで、どの順番で確認する？

1. 利用サービスを確かめる。契約画面や請求書で「お名前.com デスクトップクラウド」を使用しているか確認します。「GMO」「お名前.com」という文字があるだけで今回の直接的な対象とは判断しません。
2. 公式サイトへ自分でアクセスする。検索結果の広告やSMS内のURLに頼らず、ブックマークや自分で入力した公式ドメインからGMOインターネットの第12報（2026年10月27日）を開きます。
3. 発表の「第○報」と時点を見る。過去の対策指示と最新の対応方針が異なる可能性があります。本文の更新時刻、対象、確認済み・調査中の区別を確認してください。
4. 対象者への個別案内と照合する。自分に関係するメールが届いた場合は、そのメールに書かれたリンクをそのまま開かず、お名前.comの公式お問い合わせ窓口から真偽を確かめます。

2026年10月26日のGMOペイメントゲートウェイの発表、10月27日のGMOグローバルサイン・ホールディングスの発表では、それぞれの会社のサービスについて、その発表時点で本件による不正アクセスや情報漏えい等の影響は確認されていないと説明しています。これは各社・各時点についての発表であり、今後も絶対に影響がないという保証ではありません。

どの対策を選ぶ？利用状況別に比較

対象サービスの利用者：安全確保を優先

GMOは利用者へのセキュリティ対策のお願い（第5報）で、手元のPCやスマートフォンのウイルス対策ソフトによるフルスキャンとデータのバックアップを利用者に呼びかけています。感染が疑われる端末でログインや送金を続けるのは避け、業務利用なら組織の情報システム担当者に知らせてください。バックアップ媒体も安全性を確認し、検査前に別のPCへ不用意に接続しないようにします。

10月27日正午を前にネットワーク切断やPCの電源断を求めた告知は、当時予告されていた攻撃への時点限定の対応です。いま同じ操作をすべてのGMO利用者に機械的に適用するのではなく、最新の公式指示と端末の状況に従ってください。該当サービスが使えず業務継続が必要なら、事業者が示す代替策と復旧状況を確かめてから切り替えましょう。

別サービスの利用者：過剰反応より基本対策

今回の直接的な対象サービスを使っていなくても、パスワードを複数サービスで使い回しているなら変更する価値があります。長く固有のパスワード、利用できる場合の多要素認証、ログイン履歴の確認が現実的な組み合わせです。これは特定の流出を前提とした判断ではなく、一般的なアカウント防御策です。IPAの不正ログイン対策も、使い回しを避けることと多要素認証の活用を勧めています。

全アカウントを急いで同時に変更すると、偽サイトへの入力や管理ミスにつながることもあります。まずメール、金融、クラウド管理など被害の大きいアカウントを優先し、公式画面から設定を確認してください。

不審なメール、SMS、電話が届いた場合

GMOの公式発表は、本件に便乗したフィッシングや詐欺への警戒を求め、同社がパスワードや認証コードを聞いたり、「被害金を取り戻す」ための費用を求めたりすることはないと明記しています。差出人名やロゴが本物らしくても安全性の証明にはなりません。

• リンク、添付ファイル、QRコードを不用意に開かない。
• 正規のブックマークまたは公式アプリから通知内容を確かめる。
• すでにパスワードを入力した場合は、安全な端末で変更し、同じパスワードを使う他サービスも保護する。
• カード・銀行情報を入力した、または送金した場合は、金融機関に速やかに連絡する。
• 怪しい連絡や利用履歴は、日時が分かる形で保存する。ただし第三者の個人情報は公開しない。

特に注意したいのは「流出した名簿を見れば自分の名前が分かる」と誘導するサイトです。GMOは攻撃者の情報公開サイトへのアクセスや転載を強く控えるよう求めています。自分の情報を調べる目的でもアクセスせず、事業者の個別案内を待つか公式窓口へ相談してください。

補償・相談の選び方と、最後の確認

第12報では、攻撃者により公開された情報に本人の情報が含まれると会社が確認した場合の「GMO特別お見舞金」や、被害状況に応じた支援が示されています。「最大300万円」は誰でも受け取れる定額ではなく、対象の確認や区分など条件がある制度です。SNSの申請代行や手数料請求に応じず、金額と条件は必ずGMOインターネットの第12報（2026年10月27日）で確認してください。

本件の問い合わせはお名前.comの公式お問い合わせ窓口、公式発表に記載された電話番号03-5456-2560（同発表では24時間受付）を利用できます。一般的な不正ログイン・ウイルス対策について技術的な相談が必要なら、IPA情報セキュリティ安心相談窓口も参考になります。実際の不正送金は金融機関、犯罪被害は警察など、問題に応じて連絡先を分けてください。

確認の締めくくり：（1）自分の契約サービスと対象範囲が一致するか、（2）最新の公式発表を読んだか、（3）不審なリンクを開いていないか、（4）重要アカウントと端末を点検したか、（5）被害が疑われる場合に証拠を残して適切な窓口へ連絡したか――この5点を順に確認すれば、未確認情報に振り回されず、必要な対策に集中できます。