能動的サイバー防御とは？GMOの要請で考えた「一企業を守る制度なのか」——FX自動売買のサーバーが破られ、70社超の口座で不正取引。国が動ける条件と限界、個人が今日できる5つのこと

GMOインターネットが10月24日、サイバー攻撃を受けたサービスについて、政府に「能動的サイバー防御」の実施を緊急に求めた。FXの自動売買に使う仮想サーバーが乗っ取られ、国内外70を超える証券会社などの口座で、身に覚えのない取引が起きたという。

能動的サイバー防御は、今年10月1日に動き始めたばかりの制度だ。ニュースを見て、私は最初に「国が、1つの会社のために動くものなのか？」と思った。調べてみると、答えは「一企業を守るための制度ではない。でも、今回の被害は一企業の話で終わっていない」という、すっきりしないものだった。この記事では、制度のしくみと限界、そして私たち個人が今日できることまでを整理した。

能動的サイバー防御とは？——「守る」だけでなく、攻撃の元を止めにいく

これまでのサイバー対策は、攻撃を受けたら防ぐ、被害が出たら調べる、という「受け身」が中心だった。能動的サイバー防御は、重大な攻撃を起きる前に、または広がる前に止めるために、国が攻撃の元になっているサーバーに入り込んで無力化することまで認める考え方だ。

根拠になる法律（サイバー対処能力強化法と、関係する法律の整備法）は2025年5月に成立した。柱は3つある。

③の「アクセス・無害化」は、とても強い力だ。警察の場合は、攻撃に使われている通信などがあり、放っておくと重大な危害が出るおそれがあって、緊急の必要があるときに限られる。原則として独立した機関の承認がいるし、相手のサーバーが外国にあるなら、外務大臣との事前の協議も求められる。自衛隊が動くのは、外国政府が後ろにいるような高度な攻撃の場合が想定されている。

大事なのは、この制度は、攻撃を受けた企業が自分でやり返すことを認めるものではないという点だ。企業が相手のコンピューターに入り込むのは、今までどおり許されない。動くのはあくまで国だ。

GMOで何が起きたのか

報道とGMOの発表をまとめると、流れはこうだ。

• 10月20日：「お名前.com デスクトップクラウド」（FXの自動売買などに使う仮想サーバーのサービス）のシステムに、不正なプログラムが仕込まれているのを確認
• 10月21日未明：被害の拡大を防ぐため、サーバーを順に止めた
• 保管されていた利用者の認証情報が外に持ち出され、国内外70を超える証券会社などの口座で不正な取引が行われ、口座の残高が減る被害が出た。利用者は2万人を超える
• 攻撃者とみられる相手から、お金を払わなければ不正な操作を続ける、利用者の情報を公開する、と脅された。GMOは支払いを断り、警察に証拠を出している
• 10月24日：政府関係機関に、能動的サイバー防御の実施を緊急に要請したと発表。「発動第1号」にしてほしいと求めた

GMOは、不正取引による損失の補償、金銭の被害があったかどうかにかかわらず利用者全員に1人5,000円の見舞金、作り直した代わりのサーバー環境を半年間無料で提供する、という対応も発表している。

能動的サイバー防御は、一企業を守る制度なのか

結論から書くと、制度の作りとしては「一企業を守る制度」ではない。

政府の関係者からは、「個別の企業の要請に応じて発動を決める制度ではない」という見方が出ている。GMOの熊谷正寿代表もブログで、自社が法律の上で重点的に守る基幹インフラの事業者（特定社会基盤事業者）には当たらないこと、実施するかどうかは政府が自分で判断するものだと分かったうえで要請した、と説明している。

私も、ここは筋が通っていると思う。国が他人のコンピューターに入り込むのは、家宅捜索にも近い強い力だ。「被害を受けた会社が頼めば国が動く」となれば、大きな会社ほど国の力を使いやすくなる。それは制度の目的とずれてしまう。

でも、被害を受けたのは「会社」ではなく、私たちの口座だった

一方で、今回の話が引っかかるのは、お金を失ったのがGMOという会社ではなく、2万人を超える個人と、その人たちが口座を持つ70以上の証券会社だったことだ。

1つのサーバーサービスが破られただけで、たくさんの証券会社の口座が一度に狙われる。これは「1社の事故」というより、お金のやりとりの仕組みの一部が狙われた、と見ることもできる。熊谷代表が「国民の金融資産や生活への実質的な影響」を理由に挙げたのも、ここだと思う。

つまり、問いは「一企業を守るか」ではなく、「国が守るべき社会の土台に、個人の証券口座は入るのか」なのだと思う。電気やガスが止まれば、誰もが困る。では、多くの人の資産が一度に削られる攻撃はどうか。制度ができたばかりの今こそ、この線引きは議論していいと感じた。

発動のハードルと、制度の限界

仮に政府が「動くべき」と判断しても、すぐに止められるとは限らない。報道で挙がっている課題を並べると、こうなる。

制度ができたからといって、国がすぐに攻撃者を止めてくれる、というわけではない。少なくとも今は、そう考えておいた方がいい。

小さな会社で働く私が思うこと

私は製造業の会社で事務をしている。以前、サイバー攻撃で工場が止まる時代の記事を書いたが、そのときも思ったのは、小さな会社ほど「何かあっても国が助けてくれる」とは考えにくい、ということだ。

GMOほど大きな会社でも、民間だけで国境を越える犯罪グループに立ち向かうのは難しいと訴えている。だとすれば、私たちのような会社にできるのは、パスワードの管理やバックアップ、怪しいメールを開かないといった、地味な守りを積み重ねることしかない。能動的サイバー防御は「最後の手段」であって、自分の守りの代わりにはならない、と考えている。

個人が今日からできること

私はGMOのサービスは使っていない。FXの口座は持っているが、自動売買のサーバーも使っていない。それでも、今回の件を見て、自分の口座の守りを見直した。

1. パスワードを使い回さない：1つのサービスから漏れたパスワードで、ほかの口座も開けられてしまう。証券口座・FX口座は、それぞれ別のパスワードにする
2. 二段階認証（多要素認証）をオンにする：パスワードが漏れても、スマホなどでの確認がなければログインできない
3. ログインや取引の通知を受け取る：知らないログインや取引があれば、すぐ気づける。ログイン履歴も月に一度は見る
4. 外部のサービスにIDやパスワードを預けるときは慎重に：自動売買のツールやサーバーに口座の情報を入れると、そこが破られたときに口座まで届いてしまう。便利さとの引き換えだと知っておく
5. 補償のルールを確認しておく：不正なアクセスで損をしたとき、証券会社やサービスがどこまで補償するかは会社によって違う

証券口座を開いたあとの設定については、証券会社の選び方と口座の開き方の記事にも書いた。2025年には証券口座の乗っ取りによる不正な売買も相次いでいる。「自分は大丈夫」と思っている人ほど、一度見直してほしい。

まとめ：国の盾ができても、自分の鍵は自分でかける

能動的サイバー防御は、国や社会の土台を守るための制度で、一企業を守るための制度ではない。ただ、今回のように1つのサービスを通じて多くの個人の資産が狙われると、その「土台」の範囲はどこまでなのか、という問いが出てくる。政府がGMOの要請にどう答えるのかは、制度の線引きを考えるうえで注目したい。

それでも、国の盾が届くのは、ずっと先の大きな攻撃だけかもしれない。私たちにできるのは、自分の口座の鍵を自分でしっかりかけておくことだ。今日、証券口座のパスワードと二段階認証を見直すところから始めてみようと思う。

※本記事は2026年10月29日時点の報道・各社の発表をもとにした情報提供と、筆者個人の考えをまとめたものです。被害の状況や政府の対応は今後変わる可能性があります。不正な取引が疑われるときは、利用している証券会社・サービスの窓口や警察にご相談ください。