GMO攻撃も北朝鮮ハッカーか、政府に報告、「凶器の核武装国家」がサイバー空間で暴れる背景と脅威
今回のＧＭＯインターネットグループへのサイバー攻撃は、日本企業が直面するサイバー脅威の深刻さを示す事件となった。金融取引を支えるサービスが侵入され、顧客情報の公開や不正取引が発生したことで、企業の情報管理と経済活動の安全性が同時に問われている。
現状（2026年11月時点）
2026年11月、日本のインターネット関連大手、ＧＭＯインターネットグループを標的とした大規模なサイバー攻撃で、北朝鮮と関係するハッカー集団が関与した可能性が浮上した。同社が攻撃に使用された悪意あるプログラムや通信記録などを分析した結果、北朝鮮系の攻撃集団との関連を示す複数の痕跡が確認されたという。
共同通信が11月1日に報じたところによると、同社は北朝鮮系ハッカー集団が攻撃に関与した可能性が高いと判断し、政府側にも情報を報告したとされる。さらに、犯行声明を掲載したウェブサイトには米国、日本、中国、ロシアなど複数の国に関係する痕跡が残されており、攻撃者の特定を困難にするための偽装工作が行われた可能性も指摘されている。
ただし、現段階で北朝鮮政府の直接的な指示や、特定の国家直属ハッカー部隊による犯行が公的に確定したわけではない。サイバー攻撃の帰属判定は、通信経路、使用されたプログラム、攻撃手法、過去の事件との共通性などを総合的に評価する必要があり、単一の痕跡だけで国家の関与を断定することはできない。
11月2日には熊谷正寿社長らが記者会見を開く予定となっており、被害の全容、攻撃者の分析、利用者への補償、システムの再構築などについて説明が注目される。今回の事件は、単なる民間企業への不正アクセスにとどまらず、日本の金融関連サービスの安全性と国家のサイバー防衛体制を問う問題に発展している。
事件の概要と北朝鮮関与浮上の背景
今回の攻撃では、ＧＭＯインターネットグループが提供する外国為替証拠金取引向けの自動売買環境などが標的となった。攻撃者は同社のシステムに侵入し、顧客情報などを取得したと主張するとともに、情報を公開しないことと引き換えに金銭を要求した。
攻撃者側は、同社のサーバーや利用者の個人用端末など、広範囲に侵入したと主張している。熊谷社長の10月30日付の公表文によれば、攻撃対象となり得るサーバーは26,739件に上り、国内外70社以上の証券会社や外国為替取引事業者などに開設された顧客口座に対する不正操作も継続していたという。
この規模から、今回の事件は単一の顧客情報流出ではなく、金融取引を支える情報基盤そのものが攻撃された事案として捉える必要がある。攻撃者は情報公開だけでなく、顧客口座への不正操作や身代金要求型攻撃などを組み合わせ、企業側に複数の脅威を突きつけた。
北朝鮮関与の可能性が浮上した背景には、同国が過去にも金融機関や暗号資産関連事業者を標的としたサイバー攻撃を繰り返してきたという事情がある。北朝鮮系の攻撃集団は、情報窃取だけでなく、金融資産を直接奪取して外貨を獲得する活動にも関与してきたと、米国などの政府機関や国際的な調査機関が指摘している。
今回の攻撃についても、悪意あるプログラムの特徴や通信記録、犯行声明サイトの分析結果が過去の北朝鮮系攻撃集団の活動と重なる部分があるとされる。もっとも、過去の攻撃との類似性は重要な判断材料ではあるが、それだけで同一の実行主体と断定できるものではない。
不正アクセスの発端と被害
事件の発端となったのは、ＧＭＯが提供していた外国為替証拠金取引の自動売買用サーバー環境への不正アクセスである。同社は2026年10月19日に調査を開始し、翌20日にはサーバー内部に不正なプログラムが存在することを確認した。
その後の調査で、攻撃者が顧客情報を取得しただけでなく、利用者の取引環境にも不正にアクセスしていたことが明らかになった。被害者の中には、自分の知らないところで金融取引が実行されていたと証言する利用者もいる。
攻撃者は10月27日を情報公開の期限として設定し、身代金の支払いを要求した。同日正午ごろには、流出したと主張する個人情報の一部をインターネット上で公開し、要求に応じなければさらなる情報公開や攻撃を続けると脅迫した。
ＧＭＯ側は攻撃者の要求に応じない方針を示し、逆に犯人の特定や事件の全容解明につながる情報提供に対して懸賞金を提示するなど、対抗措置を打ち出した。熊谷社長も10月30日の公表文で、顧客の不正取引による損失について同社が確認したうえで全額補償する方針を表明している。
また、被害は外国為替取引サービスだけに限定されない。認証事業を手掛ける子会社のＧＭＯグローバルサインでも、従業員証管理サービスを通じて取引先企業の関係者など少なくとも45,000人分の個人情報が漏えいしたと報じられている。
今回の被害で特に重大なのは、企業のサーバー内部に保存されていた情報だけでなく、顧客の金融取引や個人用端末にまで脅威が及んだ点である。金融関連サービスの信頼性が損なわれれば、利用者の資産被害だけでなく、取引先企業や金融市場全体への信用問題にも波及しかねない。
北朝鮮系ハッカー関与の根拠
北朝鮮関与を疑う根拠として、まず注目されているのが、攻撃者が公開した犯行声明サイトへの接続記録である。共同通信がセキュリティー専門家の協力を得て解析したところ、同サイトの公開直後に接続していた接続元識別番号のうち5つが、過去に北朝鮮系ハッカー集団が使用したものと一致したという。
さらに、ＧＭＯ側も攻撃を受けたサービスの通信記録や悪意あるプログラムの特徴を分析し、北朝鮮系集団との関連性が高いと判断したと報じられている。企業側の内部分析と外部専門家による解析で、異なる種類の痕跡が確認されたことは、北朝鮮関与説を検討するうえで重要な材料となる。
ただし、接続元識別番号が一致したからといって、その接続を実行した人物が北朝鮮国内にいたとは限らない。攻撃者は第三国のサーバーや乗っ取った端末を中継地点として利用できるため、通信記録だけから実際の所在地や所属組織を特定することは難しい。
重要なのは、接続記録だけでなく、悪意あるプログラムの構造、攻撃の進め方、侵入後の行動、過去の攻撃との技術的な共通点を組み合わせて評価することである。こうした複数の証拠が独立して一致すれば、特定の攻撃集団との関連性を示す確度は高まる。
今回の北朝鮮関与説は、現時点では有力な分析上の仮説として扱うべき段階にある。今後、政府機関や警察、専門企業による解析結果がどこまで一致するのか、また北朝鮮系集団の関与を裏付ける決定的な証拠が得られるのかが、事件の帰属判定を左右することになる。
政府への報告と捜査
ＧＭＯインターネットグループへのサイバー攻撃は、民間企業の情報漏えい事件という枠を超え、警察や政府機関が関与する国家安全保障上の問題へと発展しつつある。同社は攻撃者の痕跡を分析し、北朝鮮系ハッカー集団が関与した可能性が高いとの判断を政府側に報告したと、2026年11月1日に共同通信が報じた。
一方、警察当局も不正アクセスの実態解明に向けて捜査を進めている。警視庁は不正アクセス禁止法違反容疑などを視野に捜査していると報じられており、攻撃者の侵入経路、情報の取得方法、脅迫に使用された通信環境などが重要な捜査対象になる。
今回の事件では、攻撃者が身代金を要求しただけでなく、被害者の金融取引環境にまで侵入したとされる。このため、単なる情報流出事件として処理するのではなく、不正アクセス、電子計算機の不正操作、個人情報の窃取、恐喝など、複数の犯罪類型を想定した捜査が必要になる。
政府側にとっても、北朝鮮系集団の関与が疑われる以上、通常のサイバー犯罪捜査とは異なる対応が求められる。警察による刑事捜査に加え、国家の安全保障を担当する関係省庁が情報を共有し、攻撃者の背後関係や海外の協力者、資金の流れを分析する必要がある。
国家公安委員会委員長は10月27日の記者会見で、個別事案への具体的な対応については明言を避けたものの、サイバー空間が非常に深刻な状況にあるとの認識を示した。また、警察として捜査、実態解明、被害の抑止、被害拡大の防止に取り組む考えを表明している。
ここで重要なのは、政府への報告と国家による犯行認定は別の段階だという点である。企業が北朝鮮系集団の関与を疑って政府に情報提供したとしても、それだけで政府が北朝鮮の国家機関による攻撃と認定したことにはならない。
今後は、警察が取得した通信記録やサーバーの解析結果、ＧＭＯが保有する内部調査資料、海外のセキュリティー企業が蓄積している攻撃情報を照合することになる。攻撃者の特定には、複数の国にまたがる情報共有と、証拠の保全が欠かせない。
攻撃手口の特徴と「偽旗作戦（カモフラージュ）」の可能性
今回の事件で特徴的なのは、攻撃者が残した痕跡に複数の国との関係を示す情報が混在していることである。一般的なサイバー攻撃では、通信経路や使用されたプログラム、犯行声明の公開環境などから攻撃者の活動拠点や技術的な特徴を推定するが、今回の事件では、それぞれの情報が異なる国を示している。
共同通信などの報道によれば、犯行声明を掲載したウェブサイトは米国企業から2026年9月1日に取得したドメインを使用し、レンタルサーバーも米国企業のサービスを利用していた。ファイルの作成時刻などは米国の時間帯に設定され、基本ソフトも英語版だったという。
ところが、サイトの閲覧者情報を収集するプログラムの一部には日本語が含まれていた。さらに、掲載ファイルは中国製のソフトで作成されたとされ、攻撃者から被害者に送られた電子メールの差出人にはロシア人を連想させる名前が使用されていた。
このように、米国、日本、中国、ロシアという複数の国に結びつく痕跡が確認されている。単純に考えれば、各国に関係する人物や組織が共同で攻撃した可能性も想定できるが、現段階ではそのような国際的な共謀を裏付ける証拠は示されていない。
むしろ専門家が注目しているのは、攻撃者が意図的に複数国の情報を混在させ、捜査機関や民間の調査担当者を誤った方向へ誘導しようとした可能性である。このような手法は「偽旗作戦」と呼ばれ、実際の攻撃主体とは異なる国や組織の関与を疑わせることで、犯人の特定を困難にする。
サイバー空間では、攻撃者が第三国のサーバーを経由したり、他人の端末を乗っ取って通信したりすることが可能である。さらに、使用する言語や時間帯、プログラムの設定、電子メールの差出人名なども操作できるため、表面的な情報だけでは攻撃者の正体を判断できない。
ただし、複数国の痕跡があること自体を偽旗作戦の証拠とみなすのは早計である。攻撃者が複数の国のサービスを通常の業務環境として利用した結果、意図せず異なる国の情報が残った可能性もあるからだ。
したがって、今回の事件では、偽旗作戦という仮説を検討しながらも、攻撃者が実際にどのような通信経路を利用し、各国の痕跡をどの段階で残したのかを技術的に検証する必要がある。
多国籍にわたる痕跡の混入
今回の攻撃で特に興味深いのは、犯行声明サイトの運営環境と、攻撃者が残した技術的な痕跡が必ずしも同じ国を示していない点である。米国企業のサーバーを利用しながら、日本語を含むプログラムを使用し、中国製ソフトで作成したファイルを掲載し、ロシア人を思わせる差出人名で脅迫メールを送るという構成になっている。
これらの情報は、それぞれ異なる意味を持つ。米国のサーバーを利用した事実は、攻撃者が米国内にいたことを意味せず、中国製ソフトの使用も中国政府や中国人ハッカーの関与を証明するものではない。
日本語の記述についても同様である。日本国内の協力者が存在した可能性は否定できないが、日本語を扱える海外の攻撃者が作成した可能性や、既存のプログラムを転用した可能性もある。
また、ロシア人を連想させる電子メールの差出人名は、攻撃者が自らの正体を隠すために設定した可能性がある。電子メールの表示名や差出人情報は比較的容易に変更できるため、実際の送信者の国籍や所在地を判断する根拠としては弱い。
重要なのは、個々の痕跡を独立した証拠として評価するだけでなく、それらがどのように組み合わされているかを分析することだ。例えば、同じ通信経路が過去の北朝鮮系攻撃と一致し、さらにプログラムの構造や侵入後の行動にも共通性が認められれば、複数国の痕跡が混在していても、北朝鮮系集団の関与を疑う合理性は高まる。
一方、攻撃者が第三国のインフラを利用した場合、その国の企業や一般利用者が意図せず犯罪に巻き込まれる危険もある。国際的なサイバー犯罪では、攻撃者、通信中継地点、情報保管先、資金受取先がそれぞれ異なる国に存在することも珍しくない。
このため、今回の事件を単純な日朝間の問題として捉えることは適切ではない。複数国の通信事業者、サーバー管理会社、金融機関、捜査機関が協力しなければ、攻撃の全容を解明することは難しい。
調査かく乱の意図
攻撃者が調査をかく乱しようとした可能性を考えるうえで、注目されるのが犯行声明サイトの公開前後の動きである。共同通信の別の報道によると、ＧＭＯが被害を公表する10月21日より前に、被害者同士の情報共有をうたうウェブサイトの開設準備が進められていたことが判明した。
この情報共有サイトと犯行声明サイトには、プログラムの構成やフォルダー名、画像や文章の保管方法などに共通点があり、同じ米国のレンタルサーバー事業者が利用されていたという。情報共有サイトは既に閉鎖されているが、攻撃者側が被害者を集めるために準備した可能性が指摘されている。
もし攻撃者が意図的に被害者向けの情報共有サイトを用意していたのであれば、単なる金銭要求以上の計画性があったことになる。被害者を集め、被害規模を大きく見せ、企業側への圧力を高めることで、身代金交渉を有利に進めようとした可能性がある。
また、複数国の痕跡を残すことには、捜査機関の分析能力を分散させる効果もある。調査担当者が米国、中国、ロシア、日本それぞれの関係者や通信経路を追跡すれば、限られた人員と時間が消費され、本来の攻撃主体に到達するまでの時間が延びる。
ただし、こうした意図的な調査かく乱が実際に行われたかどうかは、今後の解析によって確認されなければならない。サイトの共通点や複数国の痕跡は重要な手掛かりだが、それらが攻撃者の計画に基づくものなのか、単なる技術的な選択の結果なのかは区別する必要がある。
今回の事件では、犯行声明サイトの構築時期、情報共有サイトの準備時期、被害企業への脅迫開始時期を時系列で整理することが重要になる。攻撃者がいつから計画を進め、どの段階で被害者への圧力を強めたのかが分かれば、事件の組織性や背後関係を判断する材料になる。
今回の事件では、北朝鮮系ハッカー集団との関連を示す痕跡と、米国、日本、中国、ロシアなど複数国に結びつく情報が同時に確認されている。これらは攻撃者の特定を難しくする一方、意図的な偽装が行われた可能性を検証する手掛かりにもなる。
ただし、北朝鮮の国家機関が直接指示したと断定できる段階ではない。企業の内部調査、警察の刑事捜査、政府機関による情報分析を突き合わせ、技術的証拠に基づいて攻撃主体を特定することが必要だ。
「凶器の核武装国家」がサイバー空間で行う背景と脅威
北朝鮮は核兵器と弾道ミサイルを保有する軍事国家であると同時に、サイバー空間でも高度な攻撃能力を構築してきた国の1つである。核・ミサイル開発が国際社会の制裁対象となり、通常の貿易や金融取引を通じた外貨獲得が制約されるなか、サイバー攻撃は国家の資金調達や情報収集を支える重要な手段になっている。
北朝鮮のサイバー活動が国際社会から警戒される理由は、単に技術力が高いからではない。国家の政策目的と結びついた攻撃が疑われており、金融機関、暗号資産交換業者、防衛関連企業、政府機関など、幅広い分野が標的となっているためだ。
米国政府や国連の専門家パネルは、北朝鮮がサイバー攻撃によって得た資金を核・ミサイル開発などに転用している疑いを繰り返し指摘してきた。国連安全保障理事会の制裁を回避しながら資金を獲得できることは、北朝鮮にとってサイバー作戦の大きな利点となっている。
特に金融機関や暗号資産関連事業者への攻撃は、物理的な兵器や軍事装備を使用せずに巨額の資金を奪取できる点で、費用対効果が高い。攻撃者が国外にいる場合、被害国の警察が直接身柄を拘束することも難しく、攻撃の発覚から実行犯の特定、資金回収までに長い時間を要する。
核兵器を保有する国家がサイバー攻撃能力まで備えていることは、日本にとっても重大な安全保障上の問題である。核兵器による威嚇とサイバー攻撃は性質の異なる脅威だが、どちらも相手国の意思決定や社会機能に圧力を加える手段として利用され得る。
もっとも、今回のＧＭＯ攻撃が北朝鮮の核・ミサイル開発資金を直接調達する目的で実行されたと確定したわけではない。北朝鮮系集団の関与が確認されたとしても、個別事件の動機や収益の使途は別途検証する必要がある。
外貨獲得（資金洗浄・ランサムウェア）の手段
北朝鮮のサイバー活動で特に問題となっているのが、外貨獲得を目的とする金融犯罪である。国連の専門家パネルや米国の政府機関は、北朝鮮と関係する攻撃集団が銀行からの不正送金や暗号資産の窃取を繰り返してきたと指摘している。
代表的な手法の1つが、金融機関の決済システムや銀行間送金網への侵入である。攻撃者は職員の認証情報を盗み、正規の業務担当者になりすまして送金指示を出すなどして、資金を不正に移動させようとする。
2016年には、バングラデシュ中央銀行の口座から約8,100万ドルが不正送金される事件が発生した。この事件では、国際銀行間通信協会の送金システムを悪用する手口が使われ、米国政府などは北朝鮮政府と関係する攻撃集団の関与を指摘した。
近年は暗号資産の窃取も大きな問題となっている。暗号資産は国境を越えて移転できるうえ、複数の口座や交換サービスを経由させることで資金の流れを複雑化できるため、制裁対象国にとって魅力的な資金獲得手段となる。
米連邦捜査局などは、北朝鮮と関係する攻撃集団による暗号資産関連企業への攻撃を繰り返し警告してきた。攻撃者は取引所や分散型金融サービスの管理権限を奪い、暗号資産を別の口座へ移転させた後、資金洗浄を試みる。
資金洗浄では、複数の暗号資産や口座を経由させるほか、第三者の協力者や海外の交換業者を利用することもある。こうした仕組みにより、盗まれた資産の出所や最終的な受取人を追跡することが難しくなる。
もう1つの手段が、ランサムウェアを利用した身代金要求である。攻撃者は企業のシステムに侵入し、情報を盗み出したり、業務データを暗号化したりしたうえで、復旧や情報公開の停止と引き換えに金銭を要求する。
今回のＧＭＯ攻撃でも、情報の公開をちらつかせながら金銭を要求する行為が確認されている。これは、情報を暗号化して業務を停止させる従来型の攻撃に、盗み出した情報を公開すると脅迫する手法を組み合わせたものと考えられる。
この方式では、企業がバックアップからデータを復旧できたとしても、盗まれた情報の公開を防ぐことはできない。顧客情報や取引情報を握られた企業は、システムを復旧させるだけでは問題を解決できず、信用失墜や損害賠償、取引先との契約問題にも直面する。
北朝鮮系攻撃集団がこうした手法を利用しているとされる背景には、国外で直接資金を獲得することの難しさがある。サイバー空間を通じて資金を奪取し、第三国の金融・暗号資産ネットワークを利用して移転すれば、物理的な国境を越えることなく外貨を獲得できる。
国家直属のサイバー部隊
北朝鮮のサイバー攻撃能力を理解するには、国家が関与する情報機関と軍事組織の構造を把握する必要がある。北朝鮮のサイバー活動は、個人のハッカーが独自に犯罪を行う形態とは異なり、国家の情報収集、軍事戦略、資金獲得などと結びついた組織的な活動として分析されている。
その中核として知られるのが、北朝鮮の偵察総局と関係するサイバー部門である。偵察総局は対外情報収集や工作活動を担う機関であり、サイバー作戦に関係する複数の組織や要員を統括していると、米国や韓国の情報機関などが分析している。
国際的に知られる攻撃集団には、ラザルス・グループ、アンダリエル、キムスキーなどがある。ただし、これらの名称は必ずしも北朝鮮政府が公表した正式な部隊名ではなく、米国や韓国の政府機関、民間セキュリティー企業が攻撃の特徴や活動主体を分類するために使用している呼称である。
ラザルス・グループは、金融機関への不正侵入や暗号資産の窃取など、金銭獲得を目的とする攻撃との関連で知られている。過去には国際銀行間送金網を狙った事件や、暗号資産交換業者を標的とした大規模な窃取事件について、米国政府などが北朝鮮との関係を認定してきた。
一方、キムスキーは主として情報収集や諜報活動との関連で知られ、政府機関、研究機関、外交関係者などを標的としてきた。アンダリエルについても、金融機関や防衛関連企業などへの侵入、情報窃取、資金獲得を目的とする活動が指摘されている。
これらの集団は、活動目的や攻撃対象によって分類されているものの、実際の組織構造や指揮命令系統は外部から完全には把握できない。複数の集団が同じ技術やインフラを共有したり、同一の実行者が異なる攻撃活動に参加したりする可能性もある。
また、北朝鮮のサイバー戦力は、攻撃用のプログラムを開発する技術者だけで構成されているわけではない。情報収集、侵入、資金移転、身分偽装、海外での活動拠点確保など、それぞれの役割を担う人員が連携する仕組みが形成されていると考えられている。
特に近年、米連邦捜査局が警戒を強めているのが、北朝鮮の情報技術者を海外企業に遠隔勤務者として送り込む活動である。北朝鮮の技術者は偽造身分証や第三者名義の口座を利用し、外国人になりすまして企業に採用され、正規の業務を通じて外貨を獲得する。
この活動は単なる不正就労にとどまらない。企業内部のネットワークや機密情報にアクセスできる立場を利用して、情報を持ち出したり、企業を脅迫したりする危険があるためだ。
2026年10月13日、米連邦捜査局は北朝鮮の遠隔勤務技術者に関する警告を更新した。北朝鮮の技術者が米国人などの協力者を利用し、会社支給の端末を第三者の自宅などに設置する手法を拡大していると指摘し、こうした活動で得られる収益の85〜90％が北朝鮮政府に渡るとの推計も公表した。
さらに、2026年9月18日には、日本の警察庁や米国の関係機関などが、北朝鮮系攻撃集団「ウォータープラム」に関する共同警告を発表した。この集団は、求人や技術面接を装って技術者に接触し、採用試験や開発課題を装ったファイルを実行させることで、端末への侵入や暗号資産の窃取を試みるとされる。
共同警告によると、2025年12月から2026年7月までに100カ国以上で少なくとも30,000台の端末が侵害され、7,000以上の暗号資産口座で資金や認証情報の移転が確認された。北朝鮮系の活動に関連する暗号資産の流出額は、少なくとも1,700億円ではなく約17億円相当と報告されている。
このように北朝鮮のサイバー活動は、軍事的な情報収集や金融機関への直接攻撃だけでなく、一般企業への就職活動や業務委託を装った侵入にまで広がっている。企業の採用担当者や情報システム部門が、通常の人事・業務管理だけでは対応できない国家的な脅威に直面していることを示している。
今回のＧＭＯ攻撃との直接的な関係は、現時点では確定していない。しかし、北朝鮮が国家の管理下でサイバー要員を運用し、金融犯罪や企業への侵入を外貨獲得につなげてきた実態を考えれば、同社への攻撃を単独の金銭目的犯罪としてのみ評価することには慎重であるべきだ。
北朝鮮のサイバー活動を支える資金規模
北朝鮮のサイバー活動が国際社会に与える脅威は、実際の資金獲得規模からも確認できる。国連安全保障理事会の北朝鮮制裁委員会専門家パネルは2024年の報告で、2017〜2023年に発生した暗号資産関連企業への北朝鮮によるものと疑われる58件のサイバー攻撃について、被害額を約30億ドルと推計した。
また、2023年に発生した17件の暗号資産窃取事件についても、北朝鮮の関与が疑われ、被害額は7億5,000万ドルを超えるとされた。これらは調査対象となった事件の推計であり、すべての攻撃について北朝鮮の関与が確定したという意味ではない。
米国の超党派機関である米中経済安全保障調査委員会の2025年年次報告書は、北朝鮮のハッカーが2024年だけで約13億4,000万ドル相当の暗号資産を窃取したとの推計を紹介している。こうした資金は、北朝鮮の外貨獲得能力を高め、国際制裁の効果を弱める要因になっている。
2026年に入っても、米国や日本などの政府機関は北朝鮮系集団による暗号資産窃取や企業への侵入について警告を続けている。北朝鮮のサイバー能力は一時的な犯罪活動ではなく、国家の経済・軍事戦略に組み込まれた継続的な活動として捉える必要がある。
ＧＭＯ攻撃が北朝鮮系集団によるものと確認されれば、日本企業が国家的な資金獲得活動の標的になった可能性が浮上する。今後は、犯人の特定だけでなく、攻撃によって得られた情報や資金がどこへ移転し、どのような組織に利用されたのかまで解明することが重要になる。
北朝鮮のサイバー活動は、情報機関や国家直属の要員を背景として、金融機関への侵入、暗号資産の窃取、身代金要求、海外企業への偽装就職など多様化している。国連や米国政府の資料からも、サイバー犯罪による資金獲得が北朝鮮の制裁回避や兵器開発に関係する重大な問題であることが分かる。
今回のＧＭＯ攻撃についても、北朝鮮系集団の関与が確認されれば、民間企業への犯罪行為であると同時に、国家的な資金獲得活動との関連を検証すべき事件となる。ただし、攻撃主体の特定と資金の使途の解明は別問題であり、技術的証拠と金融取引記録に基づく慎重な検証が必要だ。
今後の焦点と展望
今回のＧＭＯインターネットグループへの攻撃では、犯行声明サイトの解析や北朝鮮系ハッカー集団との関連を示す痕跡が明らかになり、事件の焦点は被害の確認から攻撃主体の特定へと移りつつある。今後の調査では、誰が攻撃を実行したのか、どのような組織が背後に存在するのか、盗み出された情報や資金がどこへ移動したのかという3つの問題が重要になる。
最初の焦点は、攻撃に使用された通信経路と悪意あるプログラムの分析である。過去に北朝鮮系集団が使用した接続元識別番号との一致は有力な手掛かりだが、第三国のサーバーを経由した可能性や、他の攻撃者が既存の攻撃環境を転用した可能性も排除できない。
次に、攻撃者が取得した情報の内容と利用目的を明らかにする必要がある。顧客の個人情報、金融取引に関する情報、認証情報、企業内部の情報などがどこまで取得され、第三者に販売されたり、別の犯罪に転用されたりしているのかが問題となる。
さらに、攻撃者が要求した100万ドルの身代金についても、その後の資金移動を追跡する必要がある。仮に暗号資産などを通じて支払いが行われていた場合、受取先の口座や資金洗浄に利用された交換業者、第三国の仲介者などを調べることで、攻撃組織の背後関係に迫れる可能性がある。
今回の事件では、ＧＭＯ側が攻撃者に対抗するため、犯人の特定や逮捕につながる情報に対して100万ドルの懸賞金を提示したことも注目される。攻撃者が要求した身代金と同額を懸賞金として提示する対応は異例であり、企業側が単に被害の収束を待つのではなく、積極的に犯人の特定を目指していることを示している。
実際、同社は懸賞金の発表後、最初の24時間で270件の情報提供を受けたと報じられている。情報の中に犯人特定につながるものが含まれているかは不明だが、民間企業が国際的なサイバー犯罪の捜査に協力を求める新しい対応として注目される。
ただし、懸賞金によって得られる情報には、誤情報や虚偽の申告が含まれる可能性もある。提供者の身元確認、情報の裏付け、証拠としての信頼性の評価が不可欠であり、金額の大きさだけで捜査が進展するわけではない。
事実関係の解明と公式発表（経営トップの対応）
今回の事件では、ＧＭＯインターネットグループの経営責任も問われている。攻撃を受けたこと自体に加え、侵入を防ぐための対策が十分だったのか、脆弱性の指摘をどのように扱ったのか、顧客への説明が適切だったのかという問題が浮上している。
特に注目されるのが、今回攻撃を受けた自動売買向けサービスについて、同社の子会社であるＧＭＯサイバーセキュリティー・バイ・イエラエが2024年4月に脆弱性などを指摘していたとの報道である。関係者の説明によれば、当時はグループ内で対策が施されたものの、結果的に十分ではなく、サービスを一時停止してでも徹底的な対策を取るべきだったとの見方が示されている。
この指摘が事実であれば、今回の事件は外部の高度な攻撃者による侵入という問題だけでは済まない。自社グループ内にセキュリティー上の問題を把握する専門組織が存在しながら、その警告が経営判断やサービス運営に十分反映されていたのかという内部統制の問題にもなる。
企業の情報システムでは、脆弱性を発見することと、それを確実に修正することは別の問題である。修正後の検証、継続的な監視、外部からの侵入を想定した訓練などを実施しなければ、対策を講じたという形式だけが残り、実際の防御能力は向上しない。
熊谷正寿社長は2026年11月2日、事件発覚後初めて記者会見を開く予定となっている。会見では、被害発生までの経緯、顧客情報の流出範囲、金融取引への影響、顧客への補償、脆弱性への対応、再発防止策などについて、経営トップとして説明することが求められる。
特に重要なのは、2024年に指摘された脆弱性への対応経緯である。指摘を受けた部署、修正を判断した責任者、修正内容の検証方法、サービスを継続した理由などが明らかにならなければ、同じ問題が再発する可能性を排除できない。
また、北朝鮮系ハッカー集団の関与についても、企業側の分析結果と政府・警察による捜査結果を区別して説明する必要がある。企業が攻撃者の関与を疑っていることと、国家機関が正式に犯行主体を認定することは異なるためだ。
経営トップの責任は、謝罪や補償の表明だけでは果たせない。被害者に対する具体的な救済、情報管理体制の抜本的な見直し、外部専門家による検証、経営陣への報告体制の改善まで実行できるかが問われる。
サイバーセキュリティーと経済安全保障の強化
今回の事件が日本社会に突きつけた問題は、民間企業の情報管理能力だけではない。金融取引、通信、認証、クラウドサービスなど、現代社会を支える情報基盤が国家的な攻撃の対象となり得るという現実である。
企業のサーバーが攻撃されれば、顧客情報の流出だけでなく、金融取引の停止、企業間決済の混乱、取引先への二次被害などが発生する。こうした影響が複数の企業や業界に連鎖すれば、個別企業の損害を超えて経済活動全体に影響を及ぼす。
日本政府は2025年5月に成立したサイバー対処能力強化法などを通じて、サイバー攻撃への対応能力を強化する方針を進めている。通信情報の利用による攻撃の兆候把握や、重大な攻撃に対する対処などを制度化し、従来の事後対応型から、被害を未然に防ぐ方向へ政策を転換しようとしている。
こうした取り組みの背景には、重要インフラへの攻撃が国家の安全保障に直結するという認識がある。電力、金融、通信、交通、医療、行政などの分野では、情報システムの障害が国民生活や国家機能に直接的な影響を与える。
一方、企業が保有する顧客情報や取引情報は、国家安全保障の観点からも価値の高い情報資産である。攻撃者がそれらを窃取すれば、金銭的な利益を得るだけでなく、企業活動や社会の弱点を分析し、将来の攻撃に利用することも可能になる。
そのため、企業側には従来の情報漏えい対策を超えた防御体制が必要になる。多要素認証の徹底、管理者権限の制限、外部接続の監視、異常な取引の検知、重要情報の分離保管、定期的な侵入検査などを組み合わせることが基本となる。
さらに、攻撃を受けた際に被害を局限化する仕組みも重要である。システムを全面停止しなければならない事態を避けるため、重要な機能を分離し、異常が発生した部分だけを切り離せる設計が求められる。
特に金融関連サービスでは、顧客の認証情報が漏えいした場合に、攻撃者が正規利用者になりすまして取引を実行する危険がある。単にパスワードを変更するだけでなく、取引時の追加認証、出金先の変更制限、不自然な取引の即時停止など、資産を守る仕組みを多層的に構築する必要がある。
経済安全保障の観点からは、企業単独での対策には限界がある。政府、警察、通信事業者、金融機関、セキュリティー企業が攻撃情報を共有し、同じ攻撃者が別の企業を標的にした場合にも迅速に対応できる仕組みを整えることが重要になる。
今回の事件は、日本の民間企業が国家的なサイバー脅威にどこまで備えているのかを検証する契機となる。経営者が情報セキュリティーを単なる設備投資や技術部門の問題として扱う時代は終わりつつある。
国際的なサイバー犯罪への包囲網と外交問題
北朝鮮系ハッカー集団による攻撃を抑止するには、日本国内の警察捜査だけでは不十分である。攻撃者が海外のサーバーを利用し、盗んだ情報や資金を複数国に移転している場合、通信事業者、金融機関、捜査機関、政府当局が国境を越えて協力する必要がある。
国際的な対策の中心となるのが、金融制裁と資金洗浄対策である。米国財務省外国資産管理局は2026年10月28日、北朝鮮政府が運営する情報技術者の不正就労網に関与した10人と1団体を制裁対象に指定した。
米国財務省によれば、北朝鮮の技術者は偽造書類や盗用した身元情報を利用して海外企業に就職し、その収入の大部分を北朝鮮政府に送金している。こうした資金は大量破壊兵器や弾道ミサイルの開発に利用されるとされ、米国は資金移動を仲介する外国人や企業も制裁対象にしている。
注目されるのは、今回の制裁が北朝鮮国内の人物だけでなく、ロシアなど第三国に拠点を置く仲介者にも及んでいる点である。北朝鮮のサイバー活動を支える資金網は国外にも広がっており、攻撃者本人だけを対象とした制裁では十分な効果が得られないという認識が強まっている。
また、2025年には日本、米国、韓国などが参加する多国間制裁監視チームが、北朝鮮によるサイバー犯罪と海外技術者の活動を分析した報告書を公表した。同報告書は、2024年に北朝鮮系攻撃者が少なくとも11億9,000万ドル相当の暗号資産を窃取し、2025年1〜9月にも少なくとも16億5,000万ドル相当を窃取したと推計している。
こうした国際的な連携は、北朝鮮の資金獲得能力を弱めるうえで重要である。盗まれた暗号資産の移転先を特定し、交換業者に凍結を要請し、資金洗浄に協力した人物や企業を制裁対象に指定すれば、攻撃によって得られる利益を減らすことができる。
一方、国際的な包囲網の強化は外交問題にも直結する。北朝鮮は米国や日本の制裁を敵対政策と位置付けており、サイバー攻撃への対応をめぐっても、国家間の対立が深まる可能性がある。
さらに、攻撃に使用されたサーバーや資金洗浄の仲介者が中国、ロシアなどに関係していた場合、それぞれの国の協力が不可欠になる。関係国が捜査情報の提供や資産凍結に協力しなければ、攻撃者の追跡は途中で行き詰まる。
ただし、第三国に北朝鮮系攻撃者の通信記録や資金移動の痕跡が存在することと、その国の政府が攻撃を支援したことは別問題である。国際社会は技術的な証拠に基づいて責任を判断し、関係国との外交関係を不必要に悪化させない対応も求められる。
今回のＧＭＯ攻撃が北朝鮮系集団によるものと確定すれば、日本政府にとっても北朝鮮のサイバー活動への対応を強化する契機となる。日本企業の被害を国際的な制裁や捜査協力につなげられるかが、今後の重要な課題となる。
今回の事件では、攻撃主体の特定だけでなく、ＧＭＯの内部管理体制、脆弱性への対応、経営責任、顧客補償など、企業側の問題も明らかにする必要がある。国家的なサイバー攻撃に対抗するには、企業の防御能力を高めるとともに、政府、警察、金融機関、海外の捜査機関が連携する仕組みが不可欠だ。
また、北朝鮮のサイバー活動を抑えるには、攻撃者の摘発だけでなく、資金洗浄の仲介者や海外の協力者を含めた資金網の遮断が重要になる。サイバー犯罪への対抗は、技術、金融、外交、経済安全保障を横断する国家的な課題となっている。
国際警察力による身柄拘束や法執行は不可能
北朝鮮系ハッカー集団によるサイバー攻撃への対応で、最も大きな障害となるのが実行犯の身柄確保である。攻撃者の所在や所属組織を特定できたとしても、実行犯が北朝鮮国内にいる場合、日本の警察や米国の捜査機関が直接逮捕することはできない。
刑事捜査は基本的に国家の主権と領域管轄権に基づいて行われる。日本の警察官が北朝鮮国内に入って捜査や逮捕を実施することはできず、相手国政府の協力なしに強制的な捜査活動を行うことも認められない。
通常の国際犯罪であれば、容疑者が第三国に移動した際に、現地警察が逮捕し、犯罪人引渡し条約や相互の法的協力に基づいて身柄を引き渡す方法がある。しかし、北朝鮮のように国際社会との司法協力が極めて限定的な国では、こうした通常の手続きが機能しにくい。
国際刑事警察機構を通じた国際手配も万能ではない。例えば、国際刑事警察機構の赤手配書は、各国の警察に容疑者の所在確認や暫定的な逮捕を求める国際的な通報であり、それ自体が国際逮捕状として機能するわけではない。
実際に逮捕するかどうかは、容疑者が所在する国の国内法と司法判断に委ねられる。北朝鮮国内にいる実行犯については、北朝鮮政府が協力しない限り、国際刑事警察機構を通じた手続きだけで身柄を確保することは極めて困難だ。
ただし、国際的な法執行が全面的に不可能というわけではない。実行犯が中国、ロシア、東南アジアなどの第三国に移動した場合、その国の当局が協力すれば逮捕や資産凍結につながる可能性がある。
また、実行犯の身柄を確保できなくても、犯罪に使用されたサーバーの停止、通信インフラの遮断、暗号資産の凍結、資金洗浄に関与した仲介者の摘発などは実施できる。北朝鮮のサイバー活動を抑えるには、実行犯の逮捕だけを最終目標とせず、攻撃を継続するための技術的・金融的基盤を破壊することが重要になる。
国連が2024年12月に採択したサイバー犯罪防止条約も、こうした国際協力を強化するための枠組みである。電子的証拠の保全、犯罪捜査に関する情報共有、犯罪人引渡し、資産の差し押さえなどを規定しているが、2026年11月2日時点では必要な批准数に達しておらず、まだ発効していない。
したがって、国際社会が北朝鮮系ハッカー集団を追い詰めるには、条約や国際機関の仕組みを整えるだけでなく、各国が実際に捜査協力を実行することが不可欠である。
今後の展望
今回のＧＭＯ攻撃をめぐる今後の展開は、大きく4つの方向から考えることができる。
第1は、北朝鮮関与の正式な認定である。企業側の分析や報道機関による技術的な解析で複数の痕跡が確認されているものの、政府がどの程度の確度で北朝鮮系集団の関与を判断するのかは明らかになっていない。
今後、警察や関係省庁が海外の専門機関と情報を共有し、攻撃に使われたプログラムや通信経路、資金移動を検証することになる。国家による攻撃と認定する場合には、技術的な証拠だけでなく、組織的な指揮命令関係や国家機関との結び付きについても慎重な判断が求められる。
第2は、被害者への補償と企業の信用回復である。ＧＭＯは顧客の不正取引による損失の補償や見舞金の支給方針を示しているが、個人情報が公開された場合、その情報が将来にわたって悪用される危険は残る。
パスワードや認証情報の変更だけでなく、不審な金融取引、なりすまし、標的型メール、詐欺電話などへの警戒が必要になる。企業側には、被害者に対して継続的に情報を提供し、二次被害が発生した場合にも迅速に対応する責任がある。
第3は、ＧＭＯ内部の管理体制の検証である。2024年4月に子会社のセキュリティー専門企業が脆弱性を指摘していたという報道は、今回の事件の重大な論点となっている。
高度な攻撃者による侵入を完全に防ぐことは難しいとしても、事前に把握していた問題に十分対応できなかったのであれば、経営判断や内部統制の問題は避けられない。技術部門の警告が経営陣にどのように伝わり、どのような判断でサービスの運営が継続されたのかを明らかにする必要がある。
第4は、日本政府のサイバー防衛政策への影響である。今回の事件では、ＧＭＯ側が政府に能動的サイバー防御の適用を求めたと報じられている。攻撃元の通信基盤を特定し、被害が拡大する前に無害化する仕組みをどこまで活用できるのかが問われる。
ただし、能動的サイバー防御は、民間企業が被害を受けたという理由だけで政府が無制限に海外サーバーへ侵入できる制度ではない。法律上の要件、通信の秘密、適正な手続き、国際法との整合性を確保しながら運用する必要がある。
今後は、サイバー攻撃の発生後に犯人を追跡するだけでなく、攻撃の兆候を早期に把握し、被害を未然に防ぐ体制への転換が重要になる。
2026年11月2日の記者会見と経営責任
今回の事件の大きな節目となるのが、11月2日に予定されている熊谷正寿会長兼社長らによる記者会見である。熊谷氏とＧＭＯインターネットの伊藤正社長が出席し、被害の経緯、顧客への対応、再発防止策などを説明する予定と報じられている。
会見で特に注目すべきなのは、2024年に社内のセキュリティー専門企業が指摘した脆弱性への対応である。なぜ指摘された問題を十分に解消できなかったのか、サービスの継続を優先した判断は適切だったのか、経営陣がリスクをどこまで把握していたのかが問われる。
また、攻撃者が北朝鮮系集団である可能性について、会社側がどのような根拠を持ち、政府機関に何を報告したのかも重要だ。攻撃者の正体について断定的な説明を避ける場合でも、判明している事実と未確認の情報を明確に分けて公表することが信頼回復につながる。
なお、2026年11月2日午前時点で確認できる報道は会見の開催予定までであり、会見後の説明内容や質疑応答の結果はまだ反映できない。最終的な評価には、会見で示される一次情報と、その後に公表される調査結果を確認する必要がある。
まとめ
今回のＧＭＯインターネットグループへのサイバー攻撃は、日本企業が直面するサイバー脅威の深刻さを示す事件となった。金融取引を支えるサービスが侵入され、顧客情報の公開や不正取引が発生したことで、企業の情報管理と経済活動の安全性が同時に問われている。
北朝鮮系ハッカー集団の関与を疑わせる痕跡は複数確認されている。過去に同国系集団が使用した接続元識別番号との一致や、攻撃プログラムの特徴などは重要な手掛かりだが、北朝鮮政府の直接的な指示を含め、犯行主体が正式に確定したわけではない。
米国、日本、中国、ロシアなど複数国に関係する痕跡が混在していることも、事件の解明を難しくしている。意図的な偽旗作戦の可能性はあるものの、通常の通信環境や第三国のサービスを利用した結果である可能性もあり、慎重な検証が必要だ。
北朝鮮が国家的なサイバー能力を利用して外貨を獲得し、金融犯罪や暗号資産窃取を繰り返してきたことは、国際社会が警戒する重大な問題である。核・ミサイル開発を進める国家がサイバー空間でも資金獲得能力を持つことは、日本を含む各国の安全保障にとって無視できない脅威となる。
一方、今回の事件を北朝鮮の国家戦略と結び付けるには、攻撃者の特定、資金の移動、背後組織との関係を裏付ける証拠が必要だ。疑惑と確定事実を混同すれば、国際的な捜査や外交上の判断を誤る危険がある。
日本に求められるのは、警察による捜査と政府機関の情報分析を強化するとともに、企業の防御能力を底上げすることである。特に金融、通信、認証、クラウドなど社会基盤を支える事業者には、脆弱性を発見した段階で経営判断に反映し、攻撃を受けた際には被害を局限化できる体制が必要だ。
また、北朝鮮系攻撃者の身柄を国内で確保できない場合でも、第三国の協力による逮捕、資産凍結、通信基盤の遮断、資金洗浄ネットワークの摘発など、実行可能な対抗措置は存在する。国際社会が連携して攻撃の費用を高め、得られる利益を減らすことが、長期的な抑止につながる。
今回の事件の本質は、単に北朝鮮系ハッカーが日本企業を攻撃したかどうかだけではない。国家的なサイバー攻撃に対して、企業、政府、警察、国際社会がどこまで有効な防御と法執行を実現できるのかという問題である。
北朝鮮の関与が最終的に確認されるかどうかにかかわらず、ＧＭＯの事件は日本の経済安全保障とサイバー防衛を見直す重要な警鐘となる。被害の全容解明、経営責任の検証、国際的な捜査協力、再発防止策の実効性が、今後の評価を決めることになる。
参考・引用リスト
共同通信、2026年11月1日「ＧＭＯ攻撃、北朝鮮ハッカーか 複数の痕跡、政府に報告」
日刊スポーツ、2026年11月1日「ＧＭＯ攻撃、北朝鮮関与か 痕跡複数、政府に報告 調査かく乱の狙いも」
ＧＭＯインターネットグループ、2026年10月27日、不正アクセスに関する第10報。
テレビ朝日、2026年11月1日、ＧＭＯの脆弱性指摘と熊谷社長の記者会見に関する報道。
国家公安委員会、2026年10月27日、委員長記者会見要旨。
国際刑事警察機構、国際手配書の仕組みと赤手配書の法的性格。
国際刑事警察機構、国際的な警察協力と各種手配制度。
国連、2024年12月24日採択「国連サイバー犯罪防止条約」。
外務省「サイバー犯罪に対する国際社会と日本の取組」。
フジテレビ、2026年11月1日「おととし子会社が脆弱性指摘 ＧＭＯ社長らあす会見へ」。