GMOが政府に要請した「能動的サイバー防御」は、FX口座の被害に使えるのか

TL;DR

---

GMOインターネットは2026年10月24日、FX自動売買用のクラウドサーバーが不正アクセスを受けた件で、政府に「能動的サイバー防御」の適用を緊急に要請したと発表した。
能動的サイバー防御は、攻撃に使われているサーバーに警察や自衛隊が入り込んで無害化できるようにする仕組みで、法律の該当部分は10月1日に施行されたばかりだ。
GMOは今回の件を、能動的サイバー防御の「発動第1号」事案と位置づけている。

民間企業が国の防衛の仕組みを使ってくれと頼んだ形だが、攻撃したのが外国政府だという話は出ていない。
GMOの発表は根拠の条文を挙げていないが、能動的サイバー防御の法律で警察官職務執行法に新設された条文を読むと、国家からの攻撃でなくても要請が成り立つ筋道がある。

発端はFX自動売買用サーバーへの不正アクセス

「お名前.com デスクトップクラウド」は、FXの自動売買ツールを24時間動かすためのWindowsの仮想サーバーを貸し出すサービスだ。
利用者はこのサーバー上でMetaTrader 4（MT4）やMetaTrader 5（MT5）といった取引ツールを動かし、証券会社やFX会社の口座に自動で注文を出す（ASCII.jp）。
取引ツールは口座のログイン情報を保存して使うので、サーバーの中には各社の取引口座のログイン情報が残っている。

経緯はGMOの第4報と第5報に載っている（第4報、第5報）。

日時	できごと
10月19日	利用者からの問い合わせで調査を始める
10月20日	一部のサーバーで第三者が設置した不正なプログラムを確認。新規申し込みと管理画面（コントロールパネル）を止める
10月21日 4時	全プランのサーバーを順次停止し、第1報を出す
10月21日以降	利用者から、取引口座で身に覚えのない操作があったとの報告が寄せられる
10月22日	警察に相談。16時59分に第2報
10月23日 16時10分	第3報
10月24日 11時50分	第4報で補償と政府への要請を発表。同日に第5報

第1報の時点では「閲覧された情報が悪用された事実は確認されておりません」としていたが、22日の第2報で、取引口座のログイン情報などが第三者に取得され、不正に利用された可能性があると改めた（J-CASTニュース）。
影響の可能性があるサーバーは2万6739件で、GMOはこれを対象になり得る数であって侵害を確認した数ではないと説明している（第5報）。

利用者は、盗まれたログイン情報で取引口座に勝手な注文を出され、残高を減らされた。
口座があるのはGMOではなく各証券会社やFX会社なので、GMOがサーバーを止めても、ログイン情報を持っている攻撃者は別の場所から注文を出せる。
TBSが取材した利用者は、10月21日に残高がゼロになっているのに気づいた。
取引履歴には2秒の間に合計400万円を超える損失が記録され、その約2時間後に「HackingTeam」と名乗る送り主から、GMOが交渉を拒んだので残高を消したという趣旨のメールが届いたという（TBS NEWS DIG）。
メールにあった犯行声明サイトには「24時間で約77億円相当の口座を破壊」と書かれていたと報じられているが、これは攻撃者側の主張で、実際の被害額は確認されていない。

GMOは第4報で、攻撃者とみられる者から金銭を要求され、応じなければ情報を公開するなどと脅されていることを明らかにした。
脅しの1つ目は、国内外の70を超える証券会社・FX会社に開設された利用者の口座へ、不正な注文を出し続けること。
2つ目は、サービスや、サービスに接続した利用者のPCに関する情報を公開し、ランサムウェア（データを暗号化して身代金を要求する攻撃）を実行すること。
3つ目は、GMOのシステムや運用体制に関する情報を公開することだった。

GMOは要求には応じないとし、通信記録などの証拠を警察のサイバー犯罪対策部門に提出して捜査を求めている。
そのうえで、現在サービスを利用している全員への一律5000円の見舞金、不正取引で実際に出た損失の補償、別のクラウド基盤で動く代替サービスの6か月無償提供を発表した。

攻撃者の設備の追跡と無力化を求めた要請

第4報の後半に「国民の資産保護に向けた『能動的サイバー防御』の適用に関する政府への具申について」という節があり、要請の内容はここに書かれている。
GMOは今回の攻撃を、データの暗号化や情報の盗み出しにとどまらず一般の人の取引口座を直接狙った前例のない手口だとし、次のように述べている。

民間事業者単独の防御・事後対応のみでは、国境を越えて暗躍する高度なサイバー犯罪集団による国民資産の略奪を根絶することは困難です。

そして本件を「国民の財産とサイバー空間の信頼を守るための能動的サイバー防御の『発動第1号』事案」と位置づけ、「国主導による攻撃基盤の追跡・遮断および無力化」を政府関係機関に求めた。
攻撃基盤は、攻撃者が不正なプログラムに指示を出すサーバーや、盗んだ情報を置いて脅しに使うサイトなど、攻撃のために動かしている設備を指す。
GMO自身のサーバーはすでに止めてあるので、対処を求めた先は自社の外にある攻撃者側の設備だ。

犯人を捕まえるための捜査は警察に求めていて、この要請で求めたのは、攻撃を止めるために国が攻撃者の設備へ直接アクセスして無害化することだ。

能動的サイバー防御で国ができること

能動的サイバー防御は、2025年5月16日に成立したサイバー対処能力強化法と、関連する法律をまとめて改める整備法で導入された。
内閣官房国家サイバー統括室（NCO）の資料では、制度は次の3つに分けて説明されている（NCOの施行説明資料）。

区分	内容	施行
官民連携の強化	電力・通信・金融などの基幹インフラ事業者に、使っている機器の届け出とインシデント（不正アクセスなどのセキュリティ事故）の報告を義務づけ、国が脅威情報を返す	2026年10月1日
通信情報の利用	独立機関の監督の下で、政府が通信の情報を分析して攻撃サーバーを見つける	2027年秋
アクセス・無害化措置	警察や自衛隊が、攻撃に使われているサーバーにネットワーク越しに入り、無害化する	2026年10月1日

GMOは3つ目のアクセス・無害化措置を求めている。
無害化は、サーバーに置かれた不正なプログラムを消したり、攻撃者がそのサーバーを使えないよう設定を変えたりすることを指す（ITmedia NEWS）。
政府はこれを、従来からある注意喚起、テイクダウン（攻撃に使われたサーバーの機能を止めること）、パブリック・アトリビューション（攻撃者を名指しで公表すること）に加わる新しい選択肢と位置づけている。

無害化の権限は、警察官が職務でとれる措置を定めた警察官職務執行法に、整備法で新設された第6条の2に書かれている。
自衛隊も同じ条文を読み替えて使うが、警察と自衛隊では対象になる攻撃と要件が違う（整備法案の本文）。

	警察	自衛隊
実施する人	警察庁長官が指名した「サイバー危害防止措置執行官」	防衛大臣が指定した部隊
対象になる攻撃	サイバーセキュリティを害するなど、情報技術を使った不正な行為全般	重要電子計算機（政府機関や基幹インフラ事業者などが使う、止まると影響の大きいコンピューター）に対して、国外にいる者が特に高度に組織的・計画的に行う攻撃（自衛隊法第81条の3）
要件	放置すれば人の生命、身体または財産に重大な危害が生じるおそれがあり、緊急の必要があるとき	国の安全を著しく損なう重大な支障のおそれがあり、自衛隊の特別な技術や情報が欠かせない場合などに、国家公安委員会の要請か同意を得て、総理大臣が部隊に命じる。実際の措置には警察の条文を準用する

自衛隊は、これとは別の条文（自衛隊法第95条の4）で、自衛隊や在日米軍のコンピューターを守るためにも同じ措置をとれる。
どちらも対象を絞っているので、一般の人の取引口座が狙われた今回の件で当てはまりうるのは、対象を絞っていない警察の条文になる。

他国からの攻撃でなくても要請できると考えた根拠

能動的サイバー防御は国家安全保障の文脈で語られることが多く、外国政府からの攻撃に対する仕組みと受け取られやすい。
ただ、警察の無害化を定めた第6条の2第2項は、攻撃者が国家であることを要件にしていない。
要件は、情報技術を使った不正な行為に使われる通信やデータを見つけ、そのまま放置すれば「人の生命、身体又は財産に対する重大な危害が発生するおそれがあるため緊急の必要があるとき」というものだ。

守る対象も、基幹インフラや政府機関のコンピューターに限られていない。
重要電子計算機という言葉は第4項に出てきて、独立機関（後で説明するサイバー通信情報監理委員会）の事前承認を省ける例外の条件として使われている。
条文の上では、一般の人の財産に重大な危害が及びそうで急ぐ必要があれば、警察が無害化措置をとれる。

GMOが第4報で「国民の資産」「国民の財産」を何度も強調しているのは、この「財産に対する重大な危害」の要件に当てはめるためだろう。
口座への不正な注文を続けるという攻撃者の脅しも、「緊急の必要」の根拠になりうる。
攻撃者についてGMOは「国境を越えて暗躍する高度なサイバー犯罪集団」と書いていて、外国政府だとは言っていない。
誰が攻撃したのかは、記事作成時点で公表されていない。

一方で、法律には民間企業が政府に発動を申請する手続きは書かれていない。
無害化措置をとるかどうかは警察が判断し、国外のサーバーが対象になれば国家安全保障会議で対処方針を審議する。
GMOの要請は法律上の申請にはあたらず、判断の材料と「発動してほしい」という意思を政府に伝えたものだ。

発動するときの政府の手続き

政府は2025年12月26日に、国家安全保障会議の決定として「アクセス・無害化措置の運用に関する指針」を出している（運用指針）。
指針は、日本へのサイバー攻撃のほとんどが国外から来ていることを踏まえ、国外にあるサーバーへの措置も想定するとしている。
典型として挙げたのは、特定の主体が一定の期間、国や重要インフラなどの特定の組織や分野に対して、同じ手口と攻撃インフラで繰り返し攻撃する場合で、指針はこの一連の攻撃活動を「サイバー攻撃キャンペーン」と呼ぶ。

国外にあるサーバーを対象にする場合、法律は、警察庁の執行官が措置をとること、外務大臣と事前に協議すること、サイバー通信情報監理委員会の承認を得ることを求めている。
国外のサーバーへの措置は、都道府県警察ではなく警察庁の執行官しかとれない（第6条の2第3項）。
サイバー通信情報監理委員会は、能動的サイバー防御の法律で新しく置かれた独立機関で、措置が要件に合っているかを事前に確かめる。
措置をとったあとは、原則としてそのサーバーの管理者に通知する（第8項）。

運用指針はこれに加えて、国外のサーバーを対象にするときは国家安全保障会議で対処方針を審議し、その方針に沿って国家サイバー統括室が警察と自衛隊の分担を決めると定めている。
両方を合わせると、次の流れになる。

graph TD
  A["国外にある攻撃者のサーバーに<br/>無害化が必要と判断"] --> B["国家安全保障会議で<br/>対処方針を審議"]
  B --> C["国家サイバー統括室が<br/>警察と自衛隊の分担を調整"]
  C --> D["警察庁長官を通じて<br/>外務大臣と協議"]
  D --> E["サイバー通信情報監理委員会の<br/>事前承認"]
  E --> F["警察庁の執行官が<br/>アクセス・無害化"]
  F --> G["原則としてサーバーの<br/>管理者へ通知"]

重要電子計算機に重大な障害を起こす通信が今まさに送られている場合など、承認を待つ余裕がないときは、委員会への事後の通知でよい。
今回狙われたのは一般の人の取引口座で、条文が例に挙げる、重要電子計算機に障害を起こす通信が送られている場面とは異なる。
記事作成時点の公開情報からは、事前承認を省ける事情は確認できない。

国内のサーバーが対象なら、外務大臣との協議はいらず、国家安全保障会議の審議も安全保障に関わると判断された場合だけになる。
監理委員会の承認は国内でも必要だが、国外の場合より手続きは少ない。
ただ、GMOは攻撃者を「国境を越えて暗躍する」集団と書いていて、設備が国外にあることも考えられる。

政府の反応

10月24日17時の時点で、政府がGMOの要請にどう応じるかを示した発言や発表は、報道や公式サイトでは見つからなかった。
24日は土曜日で、要請の発表も同じ日の昼だった。

制度を担当する側の発言としては、運用が始まる前日の9月30日のものがある。
高市総理はXで、脅威は官だけ、民だけ、一国だけでは対応が難しいとして、同志国や同盟国と連携する考えを示した。
木原官房長官は記者会見で、無害化に必要な攻撃元の情報を集めるために、基幹インフラ事業者との協議会や、インシデント報告などの新しい制度を使うと説明している（ITmedia NEWS）。
政府は民間からの情報提供を無害化につなげる流れを想定していて、GMOが第4報で「全ログおよび侵害情報の提供を惜しまず」と書いたのも、この流れに合わせたものと考えられる。

国外のサーバーへの措置と国際法

国外のサーバーに日本の警察が入り込めば、そのサーバーがある国の主権との関係が問題になる。
防衛研究所の山口章浩研究員は、アクセス・無害化措置は武力攻撃への自衛権の行使を前提にしていないと書いている。
そのうえで、国外の機器に対する法執行である以上、相手国の主権と抵触しうるとし、どこまでの越境的なサイバー行動が主権の侵害になるかは国によって見解が分かれていて、主権侵害と評価されるおそれもあるとしている（NIDSコメンタリー第394号）。

主権侵害にあたる場合でも、国際法には違法性を打ち消す理屈として「対抗措置」と「緊急避難」がある。
GMOの件では、攻撃者が国家かどうかで、対抗措置と緊急避難のどちらを使えるかが変わる。

	対抗措置	緊急避難
考え方	相手国の国際法違反に対して、それをやめさせるためにとる措置	重大で差し迫った危険から国の不可欠な利益を守るため、例外的に他国の権利を侵す
前提	相手国による違法行為がある	相手国の違法行為はいらない
国家ではない犯罪集団への対応	国家が支援していない限り、そのままでは当てはめられない	当てはめる余地がある
主な要件	先行する違法行為の認定と、被害との釣り合い	不可欠な利益であること、重大で急迫した危険であること、ほかに手段がないこと、自国が危険の発生に実質的に寄与していないこと

対抗措置については、自国の領域から私人の攻撃が出ていると知りながら止めなかった国は「相当の注意（due diligence）」の義務に違反しているとして、その国への対抗措置を組み立てる考え方もある。
コメンタリーは、少なくない国がこの義務の存在を主張していると紹介する一方で、攻撃が外国政府に帰属するのか、帰属しない場合にこの義務違反として構成できるのかという難しい判断を運用担当者が迫られるとしている。

同じコメンタリーによると、政府の有識者会議の提言は、対抗措置は相手国の違法行為や被害との釣り合いを証明しなければならないことから、実際に援用するなら緊急避難（緊急状態）のほうが使いやすいとしている。
緊急避難の「重大で急迫した危険」について、オランダ政府は単なる支障や不便では足りないとし、インターネットへの全面的なアクセス遮断や金融市場への深刻な打撃などが当たりうると説明する。
ドイツやチェコも、物理的な損害だけでなく重要インフラの機能喪失のような場合まで緊急避難を認める立場を示している。

FX口座の不正操作による被害は、利用者一人ひとりにとっては大きい。
ただ、オランダ政府が例に挙げた金融市場への深刻な打撃にあたるかは別で、国外のサーバーを対象にするなら、この被害がそこに当たると国際社会に説明しなければならない。

攻撃者の設備が国内にあれば、他国の主権の問題は起きない。
近い前例として、アメリカのFBIは2021年4月、裁判所の許可を得て、Microsoft Exchange Serverの脆弱性を突かれた国内の民間サーバーに残されたWebシェル（攻撃者が後から入り込むための裏口のプログラム）を、ネットワーク越しに削除した（The Record）。
このときFBIはWebシェルを消しただけで、脆弱性の修正やほかの不正なプログラムの除去はしていない。
国が民間のサーバーに外から入って攻撃の道具だけを消すという点で、日本の無害化措置と形が似ている。

発動の見通し

無害化では、すでに失われたお金は戻らない。
条文が認めているのは、攻撃に使われるサーバー上のデータの消去や、そのサーバーの動作に関わる措置に限られるので、攻撃者のサーバーを止めても、不正な注文で減った口座の残高はそのままになる。
利用者の損失は、GMOが発表した補償で扱われる。
GMOは利用者に、取引先の会社へ取引の取り消しや返金を相談するよう求めていて、そこで返金された分を差し引いた残りを補償するとしている（第4報）。

一方、これから先の被害の拡大は、無害化で止められる可能性がある。
GMOは顧客の情報が外部に持ち出されたことを認めていて、攻撃者は不正操作の継続や情報の公開を予告している。
不正な注文を出しているサーバーや、盗んだ情報を公開する予定のサイトが特定できれば、そこが無害化の対象になりうる。
ただし、GMOが全サーバーを止め、利用者にパスワードの変更とログイン中の接続（セッション）の切断を求めているので、口座の操作は時間とともに難しくなっていく。
セッションの切断まで求めているのは、パスワードを変えても、すでにログインしている状態が残っていれば注文を出され続けることがあるからだ（第3報）。
こうした対策が進むほど、条文の「緊急の必要」は説明しにくくなる。

攻撃者の設備が国外にあれば、国家安全保障会議での審議、外務大臣との協議、監理委員会の承認がいる。
運用指針が典型として想定しているのは国や重要インフラを狙う繰り返しの攻撃で、一つの民間サービスの利用者を狙った犯罪集団はその典型から外れる。
施行から1か月たたないうちに、典型から外れた件で国外のサーバーへの措置に踏み切るかどうかは、記事作成時点では分からない。

実際の対応は、警察が捜査として攻撃者を追い、盗んだ情報を載せるサイトなどは海外の捜査機関やサービス事業者に止めてもらう、これまでのテイクダウンの形になる可能性もある。