GMO 利用者にバックアップ後のPC電源オフを求めたのはなぜか、10月27日正午の予告と約80億円の要求を読む

2026年10月27日、GMOは「お名前.com デスクトップクラウド」の利用者にPCの電源オフを求めた。最大2万6739台のサーバーが影響を受けた可能性があり、脅迫メールでは約80億円が要求された。12時の攻撃予告を受けた措置であり、なぜバックアップ後の電源オフなのかが論点になっている。

GMO 利用者に出された要請は、なぜ「バックアップ、ネット切断、電源オフ、コードを抜く」という順番なのか。

9日間で何が起きたのか

発端は10月19日の利用者からの問い合わせである。調べたところ、10月20日に一部の利用者のサーバー環境で不正なプログラムが見つかった。GMOは10月21日4時から、順次サーバーを止めた。同日、約80億円を求める脅迫メールも届いている。

10月22日には警察に相談した。10月24日にはお見舞金、損失補償、代替サービスの提供を決めている。政府関係機関には、能動的サイバー防御の適用を要請した。

10月25日からは、協力に応じた利用者のPCを預かる取り組みが始まった。10月26日には、預かった端末の解析に入っている。ここまでが公式お知らせ第7報とITmediaの報道で確認できる流れだ。

では、予告はどんな形で届き、利用者には何が求められたのか。

27日正午の予告と利用者への要請

第7報によると、攻撃者とみられる者から、10月27日（火）12時に「お客様の情報の公開とランサムウェア攻撃を行う」との予告があった。ランサムウェアとは、データを暗号化して使えなくし、解除と引き換えに金銭を要求するマルウェアである。

報道が伝える要請は次のとおりだ。10月27日12時になる前に、バックアップを取ったうえで、ネットワークを切断し、電源を落とし、PCにつながっているコードを抜く。これに加え、ウイルス対策ソフトでのフルスキャンや、アカウントの保護も求めている。ITmediaは、取引口座などのパスワード変更と多要素認証の有効化も呼びかけたと伝えた。

なお、筆者が確認した時点の第7報の要請欄には、フルスキャン、バックアップ、アカウント保護、調査への協力が並んでいた。電源を落とす指示は、報道が伝える個別の呼びかけである。要請の中身は更新される可能性があるため、利用者は必ずGMOのお知らせを直接確認してほしい。

要請の内容は分かった。次に、問いの核心である「なぜその順番なのか」を見ていく。

なぜバックアップが先で、電源オフが後なのか

GMOは、電源を落とす理由を個別には説明していない。確認できる理由は、攻撃者の予告が12時だったことである。予告された攻撃が実際にPCへ及ぶ前に、利用者側でできる手を打ってほしい、という趣旨と読める。

一般論として、ランサムウェアはネットワーク経由で広がり、手元のデータを暗号化する。ネットワークから切り離し、電源を落としたPCには、遠隔から新たに攻撃が届きにくくなる。データを暗号化される前に、必要なものを別の場所へ退避しておく。この順番にも筋が通る。ただしこれは一般的な説明であり、GMOが述べた理由ではない。

バックアップを先にするのは、電源を落とすと作業ができなくなるためだ。コードを抜く指示は、再起動や再接続で不用意にネットワークへ戻ることを防ぐ意味があるとみられる。ここも筆者の推測にとどまる。

ここまでの整理を踏まえ、残る未確認点を確かめる。

分かっていないことと、GMOの対応方針

侵入経路は公表されていない。預かった端末にランサムウェアが実際に仕掛けられているかも、解析中である。被害の全体像も、現時点では公表されていない。

GMOは攻撃者の要求には応じないとしている。応じても情報の削除や不正利用の防止が保証されないためだ。警察への相談、お見舞金と損失補償の決定、代替サービスの提供という支援策も出している。

注意したいのは、便乗した詐欺である。GMOはパスワードや認証コードを尋ねることはなく、費用を求める連絡には応じないよう呼びかけている。

読者が抱きやすい疑問には、次の項目でまとめて答える。

よくある質問

Q. 要求額の約80億円は確かな情報なのか？

GMOの公式お知らせ第7報の経緯欄に、10月21日の脅迫メールで約80億円の要求があったと記載されている。ITmediaも約80億円と伝えている。ただし、支払いについてGMOは要求に応じない方針を示している。

Q. 影響を受けるサーバーはどれくらいあるのか？

ITmediaは、最大2万6739台のサーバーが影響を受けた可能性があると報じた。あくまで可能性の数字である。実際にどのサーバーから何の情報が持ち出されたかは、GMOが解析を進めている段階で公表されていない。

Q. 攻撃者はどうやって侵入したのか？

侵入経路は公表されていない。公式お知らせ第7報にも記載がない。10月20日に一部の利用者のサーバー環境で不正なプログラムが見つかり、翌21日にサーバーを止めたことまでが確認できている。

Q. GMOは攻撃者の要求に応じるのか？

応じないとしている。理由として、要求に応じても情報の削除や不正利用の防止が保証されないことを挙げている。警察にも相談済みである。

Q. GMOを名乗る連絡が来たらどうすればよいか？

GMOはパスワードや認証コードを尋ねることはないと説明している。「被害金を取り戻す」といった名目で費用を求める連絡には応じないよう注意を呼びかけている。不安なときはお知らせページ記載の窓口に直接問い合わせるのが安全である。

Q. 27日正午を過ぎたあと、実際に攻撃はあったのか？

本稿の執筆時点（27日12時台）では、予告時刻後の状況について公式発表も報道も確認できていない。GMOは預かった端末を解析しており、ランサムウェアが実際に仕掛けられているかも調べている。続報はGMOのお知らせページで確認してほしい。

予告の前に利用者が備える意味

今回の要請は、予告時刻という期限がある点で異例である。公式発表と報道から確認できる範囲では、12時前にバックアップを取り、通信を断って電源を落とすことが、利用者側でできる備えとして求められた。

一方で、なぜその手順なのかという理由はGMOが説明しておらず、侵入経路も不明のままだ。この二つが明らかになるまでは、公式お知らせの更新を確認し、案内に従って動くのが確実である。