GMOグループ連続侵害（4）——第12報：特別お見舞金と懸賞金をどう読むか

2026年10月27日 19時10分時点：公式の第12報までを反映している。第1〜3回は15時（第11報）時点のままで、改訂していない。この回は、その後に動いた点をまとめる追加記事だ。

第12報は19:10時点に出た。中身は、攻撃者への対応方針、公開された情報に含まれた顧客への特別お見舞金、そして懸賞金の創設だ。侵入経路、公開された内容の真偽、ランサムウェア攻撃の有無については、第12報に新しい説明はない。

第12報で動いたこと

特別お見舞金を条件で読む

読み方は3つある。

1. 起点は「GMOが確認した」：第3回で、損失補償も「本件によると認めた」ことが起点だと書いた。特別お見舞金も同じ構造で、利用者が「自分の情報が出た」と申告するだけでは決まらない。
2. 区分の定額で、合算する：3区分がすべて公開された場合の合計は5万円だ（1万＋1.5万＋2.5万。筆者の算術）。
3. 上限300万円の意味は、第12報から読み取れない：区分ごとの定額の合計は最大5万円なのに、上限は300万円だ。同じ区分の情報が複数あるとき、件数に応じて加算されるのか、「1公開」が何を指すのかは、第12報には書かれていない（筆者の読み）。

第12報に書かれていないのは、次の点だ。申請が必要かどうか、支払いの時期と方法、「1公開」の単位。第13報以降で示されるかを確認したい。

懸賞金をどう読むか

第12報の要点は次のとおりだ。

• 総額の上限は100万米ドル（1ドル=150円の参考換算で約1億5,000万円）。情報提供1件あたりの額ではなく、制度全体の上限
• 募るのは、関与者の特定・検挙や事件の解明に実質的に貢献する、具体的で検証可能な情報。具体的には、関与者、攻撃・脅迫に使われた基盤（サーバー、ドメイン、IPアドレス、アカウント）、資金の流れ、犯行の経緯や指示系統
• 受付は10月28日12:00（日本時間）に始まる予定。専用窓口もその時刻に公開される予定とされている
• 犯人への身代金や、盗まれた情報の買い取り代金ではない
• 一般の人に、独自の侵入調査、犯人との接触、SNS上の憶測による犯人探しは求めていない
• GMOは、補償、原因究明、再発防止に取り組む責任は、この制度や捜査の進展によって変わらないと述べている

募集する情報は、攻撃者側のものだ。侵入経路の中身や不正取引の件数など、GMOが公表していない被害側の情報を埋める制度ではない（筆者の読み）。

支払い対象外の条件も具体的だ。不正アクセスや窃取、脅迫などの違法な手段で対象情報を取得した人、虚偽や捏造を含む情報を提供した人は対象外になる。「漏えい情報・認証情報の不正な取得や購入」も、応募を目的に行わないよう求めている。

第12報で加わった利用者への注意

• 公開先にはアクセスしない、拡散しない：第10・11報の要請を再掲し、アクセスに起因して生じた被害について、GMOは責任を負いかねると述べた。すでにアクセスした場合は、ウイルス対策ソフトのフルスキャンを求めている
• 懸賞金をかたる連絡に注意する：GMOは、報奨金の審査を理由に、パスワード、認証コード、秘密鍵、事前手数料の支払いを求めることはないとしている。機微な資料は、そのまま送らず、まず概要を知らせて安全な提出方法の案内を待つよう求めている。募集開始（10/28 12:00）の前後は、偽の窓口が出回りやすい。窓口は、GMO公式の第12報から確認する
• 便乗詐欺：「被害金を取り戻す」として費用を求める連絡には応じない

この連載も、公開先の名称と、懸賞金の窓口のURLは載せない。

第1〜3回で変わった点

まだ分からないこと

• 侵入経路と、悪用された具体的な弱点（第12報にも記述なし）
• 持ち出された情報の種類と件数、不正取引の件数と総額
• 公開された情報と称するものの真偽と、含まれる顧客の範囲（第10報で確認中。第12報も内容は説明していない）
• ランサムウェア攻撃の有無（13:55時点で確認されていない。第12報に更新なし）
• 特別お見舞金の「1公開」の単位、申請の要否、支払い時期
• 懸賞金が、事件の解明にどこまで貢献するか

公式が新しい報を出したら、この連載は報と時刻を添えて更新する。

出典

• GMOインターネット公式：第4報、第10報、第11報、第12報