GMOサイバー攻撃は何罪か―恐喝未遂・不正アクセス・FX不正取引を分ける（AI作成）

「お名前.com デスクトップクラウド」へのサイバー攻撃では，侵入，情報の取得，金銭の要求及びFX口座の不正取引を分けて犯罪の成立を検討する必要がある。
身代金を受け取っていなくても恐喝未遂罪が問題になり得るが，会社の公表だけから全ての罪の成立や実行者の身元を確定することはできない。

本記事は，令和８年１０月３０日を基準として，GMOインターネットの公表と日本の刑罰法規から，何が確認されればどの罪が問題になるかを整理する。
個別事件についての起訴内容や裁判所の認定を紹介するものではなく，以下の当てはめは公表事実を前提とする条件付きの検討である。

第１　公表事実，攻撃者の主張及び法律上の評価を分ける

１　会社が認めたことと，まだ推定できないこと

GMOインターネットは，第２報で悪意あるプログラムの検出とサーバー停止の経緯を説明し，第４報ではセキュリティ上の問題，不正アクセス及び顧客情報の外部流出を認めている。
第４報には，一部の利用者から不正取引の報告を受けたことも記載されているが，個々の取引の実行者，権限の使われ方及び利益の帰属は，別に確かめる必要がある。
出典：第２報，第４報。

２万６７３９台という数は，不正アクセスの影響を受けた可能性があるサーバーの数である。
全台の情報流出や，その数の利用者の被害が確認されたという意味ではない。
７０社以上の証券・FX会社に関する記述も，攻撃者の要求・主張を紹介する文脈を外し，全社のシステムへの侵入が確認されたという意味に読み替えることはできない。

第１４報は，調査を進めている利用者の手元のPCについて，マルウェアやランサムウェアの痕跡が確認されていないと説明している。
侵害されたクラウド環境と，調査した手元のPCは別の対象であり，クラウド側での検出と直ちに矛盾するものではない。
出典：第１４報。

２　成立し得る罪の見取り図

この表は，現在分かっている罪名を積み上げたものではない。
同じ事件でも，侵入した者，マルウェアを提供した者，金銭を要求した者及び不正取引をした者が同一かどうかを確認する必要がある。

第２　金銭を払っていなくても恐喝未遂罪が問題になる

１　情報公開を材料とする金銭要求

刑法２４９条は，人を恐喝して財物を交付させる行為や，財産上不法の利益を得る行為等を処罰し，２５０条は未遂も処罰する。
「払わなければ盗んだ情報を公開する」という金銭要求についても，要求の内容や態様，相手方に与える害悪などから恐喝に当たるかを検討する。
恐喝罪の法定刑は１０年以下の拘禁刑である。

会社が支払わず，実際の交付や利益取得に至っていなくても，恐喝の実行に着手していれば未遂罪が成立し得る。
暗号化をしていないことだけで，情報の公開を材料とする恐喝の可能性がなくなるわけでもない。
ただし，第三者が見付けた投稿や要求らしい文言があるだけで，誰にどのような要求が届き，どの段階まで実行されたかを確かめずに成立を断定することはできない。

GMOインターネットの第１２報は要求に応じない方針を示し，第１６報は攻撃・脅迫行為への刑事告訴を含む法的対応の方針を説明している。
これらは会社の対応方針を示す資料であり，捜査機関や裁判所が恐喝罪の成立を認定した資料とは区別する。
出典：第１２報，第１６報。

２　脅迫罪・強要罪との関係

刑法２２２条の脅迫罪は，生命，身体，自由，名誉又は財産に対する害悪の告知など，条文が定める対象と要件を確認する必要がある。
会社に顧客情報の公開を告げたという事情だけから，会社，担当者又は顧客の誰に対して同条の罪が成立するかを一律に決めることはできない。

金銭以外の義務のない行為をさせたり，権利行使を妨げたりした場合には，刑法２２３条の強要罪やその未遂を検討する余地がある。
恐喝罪と脅迫罪・強要罪のどれを適用するか，重ねて処罰するかは，告知内容，要求対象及び行為の関係による。

第３　不正アクセスと認証情報の取得は別々に検討する

１　不正アクセス禁止法の要件

不正アクセス禁止法２条・３条は，アクセス制御機能を備えた特定電子計算機について，他人の識別符号の入力や制限を免れる情報・指令の入力等により，電気通信回線を通じて制限された利用をできる状態にする行為などを対象とする。
アクセス管理者又は利用権者の承諾の有無など，条文上の除外も確認する。
不正アクセス行為については，同法１１条により３年以下の拘禁刑又は１００万円以下の罰金が定められている。

技術上「侵入」「ハッキング」と呼ばれる行為と，同法の不正アクセス行為は常に同じ範囲ではない。
どの装置にどのアクセス制御があり，どの認証情報又は指令で，どの制限された利用ができるようになったのかを具体化する必要がある。

２　盗んだパスワードをまだ使っていない場合

同法４条から７条には，不正アクセスに用いる目的での他人の識別符号の取得，不正に取得された識別符号の同目的での保管，正当な理由のない提供及びフィッシングに関する規制がある。
認証情報の取得と，その認証情報を使用した不正アクセスは，行為と要件を分けて調べる。
パスワードを含むファイルを取得した事実だけから，全ての口座に不正ログインしたことまで推定することはできない。

利用者としては，サービスへのログイン情報と，クラウド内に保存していたFX口座その他の認証情報を区別して，変更・失効・セッション終了の対象を確認することが考えられる。
事故発生時には，提供会社及び金融機関の最新の案内と，個別口座の記録に即して対応する必要がある。

第４　マルウェアと業務妨害は，検出だけで決めない

１　不正指令電磁的記録に関する罪

刑法１６８条の２は，不正な指令を与える電磁的記録等について，正当な理由なく，人の電子計算機における実行の用に供する目的で作成・提供する行為や，実行の用に供する行為などを処罰する。
作成・提供・供用についての法定刑は３年以下の拘禁刑又は５０万円以下の罰金で，供用の未遂も処罰される。
同じ目的で取得・保管する行為については，１６８条の３が別に規定している。

最高裁令和４年１月２０日判決（令和２年（あ）第４５７号，刑集７６巻１号１頁。いわゆるCoinhive事件）は，反意図性と不正性を区別し，プログラムの機能，説明，利用状況及び社会的な許容性等から判断する枠組みを示した。
この判決はGMOの事件を扱ったものではなく，無断で動いたプログラムなら全て犯罪になるという説明の根拠にもならない。
出典：最高裁判所の判決全文。

今回も，悪意あるプログラムの検出という会社公表から，誰が，何を，どの目的で作成・提供・供用したかを確認する必要がある。
会社の調査上の呼称と，刑法の構成要件に該当するという判断を分けて検討する。

２　電子計算機損壊等業務妨害罪

刑法２３４条の２は，業務に使用する電子計算機や記録を損壊することのほか，虚偽の情報・不正な指令の入力その他の方法によって，本来の目的に沿う動作をさせないなどして業務を妨害する行為を処罰する。
法定刑は５年以下の拘禁刑又は１００万円以下の罰金で，未遂も処罰される。
機器を物理的に壊していないことだけでは，同罪の適用を否定できない。

他方，会社が被害拡大を防ぐためにサービスを停止したという事実だけで，同罪の全ての要件を満たすと断定することもできない。
実際に起きたコンピューターの動作異常，業務への影響及び攻撃行為との因果関係を，ログその他の資料から検討する必要がある。

第５　FX口座の不正取引と電子計算機使用詐欺罪

１　損失の発生と，不法な利益の取得は別の要件

刑法２４６条の２の電子計算機使用詐欺罪では，財産権の得喪・変更に係る不実の電磁的記録の作成等と，それによって自分又は他人に財産上不法の利益を得させたことなどが問題になる。
法定刑は１０年以下の拘禁刑である。
自動処理に対する不正操作なのか，人を欺いて取引等をさせたのかによって，刑法２４６条の詐欺罪との関係も検討する。

利用者の口座で無断の取引があり損失が出たという事実だけでは，不法な利益の取得まで説明したことにはならない。
反対に，実行者名義の口座への出金がないという一点だけで否定することもできず，第三者に利益を得させたかどうかを含め，注文，約定，資金移動及び利益の帰属を調べる必要がある。
これは成立要件の確認事項であり，今回そのような利益取得があったと認定するものではない。

２　取引記録の不正作成・供用

刑法１６１条の２は，人の事務処理を誤らせる目的で，権利，義務又は事実証明に関する電磁的記録を不正に作る行為や，その記録を事務処理の用に供する行為を対象とする。
口座・注文・取引に関する記録がどのように作られ，使用されたかによって，同罪の検討も必要になる。
単に電子データが存在することでは足りず，記録の性質，目的及び具体的な行為を確認する。

利用者への補償については，お名前.com デスクトップクラウドの不正アクセスとFX損失に関する記事を参照されたい。
会社が設けた補償・見舞金の条件と，実行者にどの犯罪が成立するかは，それぞれの要件で判断する問題である。

第６　関与者，罪数及び情報拡散の評価

１　関与した全員に同じ罪が成立するわけではない

刑法６０条の共同正犯や６２条の幇助犯の検討には，誰がどの行為をし，どのような認識で関与したのかという事実が必要である。
ツールの提供者，認証情報の売買に関わった者，金銭要求の担当者及び取引の実行者を，名称や所属の表示だけで同一視しないことが大切である。

一つの事件に複数の罪名が挙がっても，法定刑の上限を単純に足し算することはできない。
刑法５４条が定める一個の行為による複数の罪や手段・結果の関係を含め，行為の数と関係を確認する必要がある。

２　会社の警告と，個々の投稿の違法性

第１３報及び第１６報には，流出情報の拡散防止を求める会社の説明がある。
その説明だけで，あらゆる引用やリンクの共有について同じ犯罪が成立すると決まるものではなく，実際に扱った情報，行為の態様，目的・認識及び適用法の要件を別に検討する。
出典：第１３報，第１６報。

個人情報保護法の個人情報データベース等不正提供等罪は，事業者，その従業者又はこれらであった者など，主体についての要件がある規定である。
外部の攻撃者による漏えいなら，当然にこの罪が成立すると説明することはできない。
出典：個人情報保護委員会のFAQ。

情報を検証する場面でも，漏えいした認証情報や顧客情報を自分で転載・収集したり，その閲覧先を広めたりする方法は避け，会社の正式発表等を用いて確認するべきである。
公開情報の評価方法は，サイバー被害の公表と金融不安をあおる投稿の読み方でも整理している。

第７　被害の記録と，今後の公表を読むときの確認事項

被害を受けた場合は，提供会社及び金融機関への連絡日時，取引履歴，通知，要求の原文その他の資料について，取得日時と出所を対応付けて保管することが考えられる。
調査対象の端末を自分で初期化するなどの操作は証拠に影響するため，被害拡大防止を優先しつつ，提供会社，調査担当者又は警察と対応を調整する必要がある。
警察庁のランサムウェア対策案内も，感染機器の隔離と調査資料の保全について説明している。

今後の発表では，侵入先とアクセス制御，実行されたプログラム，取得された情報，要求の到達，取引の記録及び利益の帰属について，何が新たに確認されたかを見ると，罪名との対応を整理しやすくなる。
逮捕・送検・起訴・判決という手続の段階も区別し，会社の捜査協力や特定に役立つ情報の取得を，特定人についての有罪認定に読み替えないことが必要である。

調査結果の限界については，情報漏えいのフォレンジック報告書の読み方を参照されたい。
本記事の罪名は検討の中心となる類型を示したものであり，今後判明する行為に応じて，他の法令の適用や日本の刑罰法規の適用範囲を検討する必要が生じる。