GMO デスクトップクラウド侵害、FX 口座を人質に取る

下表は GMO 公表分（第 1〜8 報・適時開示・代表ブログ）、ブローカー告知、政府発表、攻撃者側の動きを一本に並べたもの。時刻は JST。出典欄の「satoru.net」は攻撃者サイト（Wayback 経由）の第三者整理で、攻撃者側の時刻はすべて 攻撃者主張・未検証 に属する。

社内のホワイトハッカーから改善すべき課題が事前に現場へ指摘されておりました。
対応の深度とスピードが十分ではなく、攻撃者にその間隙を突かれてしまいました。

GMO が認めた範囲

確定 GMO の公式説明は「本サービスのシステムにセキュリティ上の問題が存在し、本サービスの環境に対する不正なアクセスと、お客様の情報が外部に持ち出された事実を確認」（第 4 報）と、熊谷代表の「社内のホワイトハッカーから改善すべき課題が事前に現場へ指摘されておりました」「対応の深度とスピードが十分ではなく、攻撃者にその間隙を突かれてしまいました」（10/25 ブログ）にとどまる。指摘の内容・日時・対応進捗は非公表で、CVE や製品名も一切挙がっていない（第4報、kumagai.com）。読売は GMO 関係者が「システム側に脆弱性があった」と認めたと報じるが、侵入経路は「外部専門会社と調査中」のままである（読売/Yahoo）。

攻撃者が主張するアーキテクチャ

攻撃者主張・未検証 犯行声明（10/24）と「見解」（10/26）を総合すると、攻撃者の説明する構成は次の通りである。全顧客の VPS が 単一の Active Directory ドメイン に参加しており（「VPS ネットワークに AD を使うべきでない」）、全 VPS に管理者権限を持つ共通アカウント dc\ops が存在した。サポート担当がこのアカウントで顧客 VPS に RDP 接続すると、その認証情報が接続先に残り、VPS のローカル管理者である顧客（または顧客を装った攻撃者）が窃取できる。窃取した dc\ops で VPS 間を横展開し、更新サーバー fcwsus にも同じアカウントで入れたため「ネットワークが分離されていなかった」。さらに GMO が配布する接続用 .rdp ファイルが drivestoredirect:s:*（全ドライブをリモート側に共有） を既定で有効にしていたため、乗っ取った VPS から接続元の顧客 PC へ \\tsclient\C 経由で「逆流」し、ブラウザ履歴・保存パスワード DB・文書を収集してバックドアを置いた。この構成は「少なくとも 2019 年から 7 年以上」続き、解約済みサーバーが数千台「ゾンビ」状態で稼働していた。攻撃者は「RDP ファイルから 1 行削除」と、net localgroup administrators の出力を掲げたうえで net localgroup administrators ops /delete の 1 コマンドで塞げたと嘲笑し、熊谷ブログの AI 攻撃論に対しては「上記はいずれも、初心者エンジニアでも気づく初歩的なものだ。AIとは何の関係もない」「責任は、同氏を補佐するホワイトハッキングチームの力量にある」と名指しで反論している。RDP 悪用の主張自体は初日 10/21 16:44 のメール（「RDPドライブリダイレクト設定を悪用して、顧客のローカルPCにも侵入し、制御下に置いている」）から出ていた（アゴラ 10/24、アゴラ 10/26、satoru.net、satoru.net 声明ビュアー）。

主張を Windows の既知挙動に当てて検証する

分析者の推測 この説明は、少なくとも技術的に成立する。ドメイン特権アカウントで RDP 接続すると、Restricted Admin Mode や Credential Guard を適用していない限り接続先の LSASS に資格情報がキャッシュされ、接続先のローカル管理者が mimikatz 等で取り出せるのは Windows の既知の挙動で、X の技術者もこの点を指摘している（X @poly_soft）。VPS 利用者は自分の VPS の管理者であるから、攻撃者は正規に 1 台契約してサポートを呼ぶだけで、全テナントの鍵を手にできた ことになる。GMO の公式ガイドは RDP ファイルについて「設定は不要」と案内しており、サービスの全面リニューアルが 2019 年 1 月 23 日だったことは攻撃者の「7 年以上」と符合する（ひだまりコラム）。

samples.zip の第三者集計は主張の中身を具体化する。ログは 16,731 行で、10/14 に 10 台の VPS から接続元 PC の 10,891 ファイルを列挙し 4,352 ファイルをコピー（PDF 1,805・画像 1,464・CSV 489・Excel 215・Word 102・.rdp 19・DB 13・鍵ファイル 3）、内容別には給与・人事 327、契約・請求 192、FX 関連 170、本人確認書類 34 が含まれ、7 台からブラウザ履歴とパスワード DB、6 台から .rdp ファイルを取得していた。出力先は C:\ProgramData\USOShared\RdTmp\Extracted_<PC名> で、全台に ESET・McAfee・Defender 等のセキュリティ製品が入っていた（satoru.net samples 集計、rocket-boys）。収集の開始時刻は 10 台中 8 台が 7 秒以内に一斉、残り 2 台は約 20 分遅れで、時限式の起動か一括の遠隔指示かはログからは判別できないが、「ウイルス対策ソフトが入っていた 7 人全員が読まれていた」という事実は、ドライブ共有経由の読み取りが端末側の対策製品では検知されない動作だったことを示す（satoru.net 時限爆弾）。

ただし裏付けには限界がある。攻撃者が公開した RDP 設定画像では drivestoredirect が 2 行あり、20 行目は空、35 行目が * で矛盾している。FreeRDP は後勝ちで全共有になるが、Windows 標準の mstsc の挙動は未確認で、クリップボード・プリンター共有も有効だった。実際に顧客へ配布された既定値は未確認である（satoru.net RDP 検証、note 10works）。Microsoft は 2026 年 4 月の更新で .rdp ファイルのリダイレクト資源を既定無効（ユーザー許可時のみ）に変えており、顧客側のパッチ状況と承認操作によって実挙動は変わる（note 脱線ノート）。samples.zip のログには 書き込み・永続化の痕跡がなく、「バックドア設置」の主張は裏付けられていない。ドライブ共有が有効でもスタートアップフォルダに実行ファイルを置く程度で、PC の完全な遠隔操作には追加条件が要る（note 宮野宏樹）。AD ドメイン全体が乗っ取られた証拠も現時点ではない（note 10works）。攻撃者が主張する侵害 PC 台数も「約 2 万 7 千台」（10/22）から「数百台」（10/24 英文メール）に書き換わっている。さらに、サイトで配布中の samples.zip は 10/24 15:22 更新・235,002 バイトで、satoru.net が解析した 232,557 バイト版とサイズが異なり、公開後に差し替えられた可能性がある（中身の差は未取得のため不明）。GMO が 10/26 から回収した端末をホワイトハッカーチームが解析しているのは、まさにこの「マルウェアが本当に仕込まれたか」を確かめるためである（ITmedia 10/27）。一方で、第 8 報が求めた「電源を落とす」対応には、AgenticSec の中谷翔 CEO が「電源を切るとウイルスの痕跡が失われ調査が難しくなる。本来はネット遮断で電源は入れたまま」と指摘しており、ランサムウェア実行を止める即効性とフォレンジック証拠の保全が正面から衝突している（日経 10/27）。

上記はいずれも、初心者エンジニアでも気づく初歩的なものだ。AI とは何の関係もない。

MT4/MT5 側の仕様が被害を拡大した

確定 GMO は第 2 報でパスワード変更を、第 3 報と第 5 報で「パスワード変更だけでは既存セッションが残る」として全セッションの切断を依頼し、主要ブローカーにサービス経由アクセスの遮断と有効セッションの強制切断を要請した（group.gmo 第3報、Finance Magnates）。分析者の推測 MT4/MT5 は取引用パスワードをクライアント設定に保存し、Web 側でパスワードを変えても取引サーバーのセッションは一定時間生き続ける。攻撃者は VPS 停止後も自前の端末からブローカーへ直接ログインし、取引コメントに「DEMOFASTLOSS」と記された EA で流動性の低い通貨ペアに高ロットの成行注文を 1〜2 秒で反転・反復し、スプレッドと手数料で残高を焼いた。「DEMOFASTLOSS」とフィンランド IP は被害者 @ichikaFX の 10/22 投稿が初出で、IP については他の出典がない（X @ichikaFX、東洋経済 10/27）。EA 名の末尾「260922」を 2026 年 9 月 22 日の作成日と読む推定があり、事実なら 1 か月前から準備されていたことになる。EA 開発者の Goldship 氏は「約 1 万ドル以上の口座だけが狙われ、小口は無傷」と観察しており、被害が無差別ではなく残高で選別されていた可能性がある（かせまと）。出金は本人名義口座に限られ 2FA で阻まれるため、金銭を盗むのではなく「口座を破壊して GMO に圧力をかける」 のが目的だった。ANN も「損失の多くは為替差損ではなく手数料」と報じ、公開された口座一覧にマイナス残高の口座が含まれることもこれと整合する（ANN 10/24、note 日本証券ニュース、satoru.net）。攻撃者側口座との相対取引（クロス）で利益を抜いた可能性はブローカーのログ照合が必要で、未解明である。

本稿の原因評価

分析者の推測 VM エスケープのような分離破りではなく、「マルチテナント VPS に企業内向けの AD 設計＋共通特権アカウント＋全ドライブ共有 RDP を適用した運用設計」が根本原因、というのが公開情報からの最も整合的な解釈である（careerbprint）。GMO が現行基盤の復旧を断念し「セキュリティアーキテクチャの刷新」を選んだ事実、代表が「サービス影響度で優先順位を付けた結果、対策の深さとスピードが不十分だった」と述べた事実は、問題がパッチで直せる個別脆弱性ではなく構成そのものにあったことを間接的に裏付ける。ただし 初期侵入（最初の 1 台をどう取ったか）は攻撃者声明にも明示がなく、「正規契約した VPS からの内部者的侵入」は推測の域を出ない。

言い訳は通用しません。

確定 要求の推移は 2 段階である。10/21 11:57 付の文書で 5,000 万ドル（約 80 億円）を同日 17:00 までに BTC または ETH で、支払わなければ「残高を消去する」と脅し、期限は無視されて経過した。10/24 20:30 に攻撃者サイトで 100 万ドル（約 1 億 5,700 万〜1 億 6,000 万円）を 10/27 12:00 まで に引き下げ、見返りを「顧客に対するランサムウェア攻撃と情報公開を行わない」に変えた。報道の「100 万ドル」はセキュリティ企業 S&J の分析を出所とする（kumagai.com、読売 10/26、時事 10/26、satoru.net）。GMO は「要求に応じても、取得された情報の削除や不正利用の防止が保証されるものではない」として一切支払わず、通信記録等の全証拠を警察のサイバー犯罪対策部門に提出した。警視庁の捜査関係者は 10/22 に GMO から相談を受け、攻撃者から「連絡を取るよう求めるメール」が届いていたことを朝日に認めている（第4報、朝日 10/24）。毎日によれば GMO が受けた脅迫は「口座不正操作の継続」「利用者情報の公開とランサムウェア」に加え 「GMO のシステム情報の公開」 の 3 項目だった（毎日 10/24）。

攻撃者主張・未検証 攻撃者のコミュニケーションは、メール 25 通（画像で自サイトに掲載）、電話 7 回、サイト投稿、利用者宛メール 2 波からなる。初回メールは表示名「Dmitry Orlov」の Gmail から、件名「[!!!緊急!!!] Onamae Desktopをハッキングしました」で、連絡手段に SimpleX を指定し、要求文書には「お客様の暗号通貨取引所子会社が即時対応いたします」（GMO コインで払えという含意）とある。10/21 16:44 の役員宛メールには、暗号化を狙って失敗した可能性を示す唯一の文がある。「我々は、ネットワークをロックするつもりなど毛頭なかった。ただ静かに事態を進めたかっただけだ。つまり、ロックが機能しなかったのは『失敗』ではなく、最初からそうなるように設計されていたということだ。我々は、君たちをロックアウトという事態から救ってやったんだ」。同じメールで「さらに 2 時間後には、全残高（2 億 8,000 万ドル相当）を消去する」と書いており、以後の 10%・15%・17% という比率の母数（約 440 億円）はここから来ている。「顧客に連絡を取ろうとはするな。君たちが顧客とやり取りするメールをすべて監視している」とも脅した。実演として示した口座は XMTrading・外為ファイネスト・IS6・IronFX・OANDA で、10/21 中の「抹消総額」は 162 万→176 万ドルと、予告した「5 分おきに 50 万ドル」とは乖離している（satoru.net 声明ビュアー）。

攻撃者主張・未検証 圧力は時間とともに GMO 本体から利用者へ向きを変えた。10/21 夕方から 10/22 にかけて、利用者本人に件名「お名前.com デスクトップクラウド アカウント破壊について」のメール第 1 波が届き、「私たちはすでにログインを完了しているため、ログアウトでは防げません」「後から裁判に使えるエビデンス（GMO の管理不備の証拠）一式を全員に配ります」と書かれていた。受信者の 1 人は口座番号と金額が自分のものと一致したと画像を公開している（mackdaddy、X @SOU_BTC）。GMO 第 3 報（10/23）の「第三者を名乗る者からの連絡に注意」はこれへの対応と読める。10/22 のサイトは利用者を「味方」と呼び集団訴訟を勧め、「当初、顧客のアカウントを破壊する意図は全くなかった。口座を破壊したところで、我々の利益にはならないからだ！」と書いた。サイトの plan.php は「VPS から抽出した顧客の機密情報を順次公開したり、ダークウェブで販売したりする予定だ」と予告し、HTML の隠しコメントには「現在のペースで 24 時間あたり 15%。残りは 7 日分ある」とあった（本文の「残り 85%」と「83%」も不一致）。10/23 13:21 の更新では「GMO の一部の従業員がソーシャルメディア上のコメントを操作していることを示す証拠を掴んだ」「まもなく、すでにサービスを解約した顧客のアカウント残高の消去を開始する」と主張した。10/24 12:00 期限の英文メールは「NEGLIGENCE EVIDENCE」として AD と単一サービスアカウント ops、drivestoredirect:s:*「AT LEAST 7 YEARS」、APPI 違反と刑事責任の可能性、「数百台の顧客 PC を侵害した」を列挙した。10/24 以降は「利用者の自宅 PC を暗号化」「閲覧履歴・機微情報を知人・家族・職場に送付」「MT4/MT5 認証情報とブラウザデータを拡散」と予告し、GMO が「RDP ファイルを削除せよ」と勧告したとして「大切に保管し、集団訴訟の証拠に」と呼びかけたが、GMO 公表文にそのような勧告は存在しない。10/26 の「見解 第 2 号」では GMO の株価下落損失を約 887 億円、消失した口座残高を約 77 億円、見舞金総額を 1 億 3,500 万円と並べ、「我々にも守るべき信用があり、これを失えば、将来的に利益を得ることはできなくなる」「我々が求めているのは金銭のみ」と書いている（satoru.net 10/27、AI時短ラボ）。実際に利用者へ第 2 波として「Hacking Team」名義のメールが届き、「データを保持している証拠として、閲覧履歴の一部を添付します」「GMO が返答しない場合は翌日に顧客データを公開」と書かれ、受信者は添付がすべて自分に覚えのある URL だったと証言、GMO は「返信もしないで」と呼びかけた（ANN 10/26、J-CAST）。

分析者の推測 この攻撃者は既知の RaaS（Qilin・RansomHub 等）のリークサイトを使わず、Namecheap で 8/31 に登録した clearnet ドメインと Gmail、日本語ページで活動している。インフラは、ドメイン登録 17 分後に SSL.com（Let's Encrypt ではない）の証明書を取得、A レコードは Namecheap の共有ホスティング IP 198.54.116.91（同居約 7,131 ドメイン）、MX は jellyfish.systems、サブドメインは www のみ、交渉は SimpleX と交渉サイト（英文メールに管理パスワード ChangeMe!Admin1 が塗り忘れで残存）経由で、暗号資産のウォレットアドレスは公開されたメール・サイトのどこにも記載がない。脅迫メールの差出人 Gmail は 10/24 12:30 までに無効化され、サイトの追跡ビーコン track.php は 10/27 時点で撤去されている。帰属を示す手がかりは、xlsx が簡体字中国語ロケールの WPS で作られ（作成者名 "Logitech"、「Activate Windows」透かし）、送信時刻が UTC+8/+9 の日中に整合する一方、Gmail の表示タイムゾーンは UTC-6、サイトの JS/CSS コメントは自然な日本語で、脅迫文は機械翻訳調という矛盾したもので、OSINT 分析者自身が偽旗の可能性を明記している（satoru.net OSINT）。後継ドメイン・Telegram チャンネル・X アカウント・ペーストサイト・既知リークサイト（ransomware.live、ransomlook、HackManac 等）への掲載は日英の検索で見つからず、HackManac は時系列投稿のみでグループ名を付していない（X @H4ckmanac）。要求額を 4 日で 50 分の 1 に下げ、金銭を得る前に口座破壊という実害を先に出し、侵害台数の主張が二転三転し、ウォレットすら示さない点は、大手 RaaS より 小規模で経験の浅い恐喝クルー の挙動に近い。ランサムウェア交渉 318 件の研究では交渉で要求額は通常 6 割超減るが（Computers & Security 2026）、本件は交渉抜きで 98% 下がっており、GMO 本体との取引を諦めて世論と利用者の圧力による小口回収へ切り替えた戦術変更と読める。S&J の三輪信雄氏が指摘する「利用者個人への二次恐喝」、MBSD の福田美香氏が指摘する「補償を装うメールによるランサム」は、この戦術の延長線上にある（TBS 10/26、読売 10/26）。脅迫者と実際の侵入者が同一かは GMO も確認していない。警察からは 10/22 の相談受理と脅迫メールの存在が捜査関係者談話として報じられたのみで、帰属や手口に関する公式発表はなく、JPCERT/CC・IPA・警察庁・NCO の公開文書にも本件を名指しした注意喚起は 10/27 時点で存在しない（朝日 10/24、JPCERT at260030）。

12:00 になる前に、バックアップを取得したうえで、ネットワークを切断、電源を落とし、PC につながっているコードを抜いてください。

確定 10/24 の第 4 報と適時開示で GMO が示した対応は 5 本である。(1) 現在の全顧客に損失の有無を問わず 一律 5,000 円の見舞金（案内は 10/30 23:59 までに登録メールへ）。(2) 不正アクセスを受けた現行基盤は再開せず、独立した別クラウド基盤の代替サービスを移行後 6 か月無償で提供、同意なしの移行はしない。(3) GMO が本件に起因すると確認した不正取引の 実現損失（差損と手数料）を補償。相場変動損・逸失利益・間接損害は対象外、まずブローカーに取消・返金を求め、応じない場合も対象損失の全額を GMO が払う。申請方法は 11/6 までに案内。(4) 攻撃者の要求に応じない。(5) 能動的サイバー防御の適用を含め政府関係機関へ要請（適時開示 PDF、ITmedia 10/24）。10/25 以降は電話窓口を 24 時間化し、社員が全国の顧客を訪問して PC を預かり（確認書で調査範囲・データ消去・返却方法を明示）、イエラエと GMO Flatt Security を中心とする約 200 人のホワイトハッカーチームが解析している。預かり台数は非公表である。第 8 報は AI 企業・セキュリティ企業（トレンドマイクロを明記）からの協力申し出を調整中とし、10/27 の代表ブログ更新では 裁判所を通じた開示請求の手続きに着手 し、攻撃者の足取りや通信ログの獲得を目指すとした（第6報、第7報、オリコン 第8報全文、kumagai.com、Cryptopolitan）。

分析者の推測 2025 年の証券口座乗っ取りでは SBI・楽天・松井が「原則 50% 補償＋見舞金 1 万円」、対面大手が原状回復を選んだ（OANDA 市場ニュース 2025-07-25）。GMO の「実現損失の全額」はネット証券先例より手厚いが、それは 2025 年が顧客側のフィッシング被害だったのに対し、本件は 自社基盤の構成不備を代表自ら認めている ためで、法的位置づけが違う。法的には、山中弁護士が整理するとおり、お名前.com 会員規約 34 条 2 項は賠償上限を「利用料 1 か月分」と定め故意・重過失を例外とするが、消費者契約法 8 条・10 条により消費者との関係では制限が無効になる余地があり、補償受領時の請求権放棄条項にも注意が要る。海外の未登録業者との取引は金商法 29 条の問題を別途抱える（山中弁護士、coki 10/22）。一方で対象認定は GMO 側のログ照合に依存し、海外ブローカーは補償の公約を出しておらず、「実現損失」にスプレッドで焼かれた残高がどこまで含まれるかの認定基準が今後の争点になる。補償総額・引当金・業績影響は 10/27 時点で未開示で、熊谷氏はロイターに 5,000 円を「初動の誠意の印」と述べ、財務影響は「見通しが立ち次第報告」としている（ロイター 10/26）。

26 日までに FX 5 社で顧客被害を確認した。不正取引が新たに発生しているという報告は受けていない。

確定 ブローカー側では、不正取引の発生を確認したのは OANDA証券、FXTF（ゴールデンウェイ・ジャパン）、アヴァトレード・ジャパン、外為ファイネスト、デュカスコピー・ジャパンの 5 社で、片山金融相が 10/27 の閣議後会見で「26 日までに 5 社で顧客被害を確認」「不正取引が新たに発生しているという報告は受けていない」「5 社は GMO から利用者情報を入手したうえで取引一時停止・パスワード初期化・海外からの不正注文遮断を実施」と公式に確認し、金融庁として取引モニタリング強化を要請した（日経 10/27、ANN 10/27、共同 10/27）。各社はいずれも自社システムの侵害は否定している。OANDA は 10/22 に当日受付分の出金を一時保留して精査し、パスキー必須化と MT4 の 11/27 終了 を決めた。外為ファイネストは 10/23 の第 2 報で該当口座の利用制限と出金処理の遅延を告知。XMTrading は 10/23 に「一部の EA が意図しない取引を実行した」ことを確認して該当口座を読み取り専用モードにした。FXTF は 10/27 に MT4・MT5・GX 全サービスで海外 IP からのアクセスを遮断 し、該当口座の取引停止とワンタイムパスワードの強制有効化を告知、GMOクリック証券は 11/28 からパスキーを唯一のログイン方法にする（OANDA 1457、gaitamefinest 第2報、XMTrading 転載、FXTF 10/27、FXTF 10/27-2、click-sec）。金融庁は 10/22 に金融先物取引業協会経由で業者へ注意喚起・取引監視を要請し、「被害拡大防止後に発生状況を調査し、問題があれば再発防止策の検討を求める」方針だが、行政処分や報告徴求の公表はない（日経 10/23、朝日 10/23）。

確定 市場の反応は段階的だった。GMO グループ株は 10/23 に 98 円安の 3,769 円で引け、第 4 報・代表ブログを挟んだ 10/26 は寄付き直後に 13.6% 安の 3,256 円、終値 3,179 円（16% 安）で東証プライム値下がり率首位、4784 が 14.87% 安、同じグループの GMOグローバルサイン（3788）も 6.94% の連れ安となった。Investing.com は「補償は市場が定量化できない無限定の負債」と評した（Yahoo ファイナンス 10/23、日経市場、Investing.com）。Reuters は本件をパーク24 や岩井コスモ証券の事案と並べ、TrendAI 集計で 10/20 までの国内インシデントが 723 件（2024・2025 の通年を超過）に達し、政府が 10/23 に AI 攻撃シミュレーション班の設置を表明したと報じている（Reuters 10/26）。

確定 政策面では、GMO が 10/24 に本件を能動的サイバー防御の「発動第 1 号」事案として政府に要請し、熊谷代表は 10/25 のブログで「GMO は法が定める特定社会基盤事業者ではない」「発動は政府判断」と承知のうえで「国民生活への実質的な影響」での適用検討を求めた（kumagai.com、日経 10/25）。サイバー対処能力強化法のアクセス・無害化措置は 2026 年 10 月 1 日施行で、警察の無害化措置は「生命・身体・財産への重大な危害のおそれがあり緊急を要する」場合に可能で特定社会基盤事業者（258 社・15 分野、GMO は非該当）への攻撃に限定されないが、要件該当性は政府が判断する（CNET Japan、Impress Watch 10/24）。共同は 10/25 に政府関係者が「要請は慎重に判断」としていると報じ、慶大の土屋大洋教授は「一企業の要請に基づく発動は想定外」「要請を公表した上での無害化は攻撃者に警戒され意味がない」と述べた（共同 10/25、毎日 10/24）。木原官房長官は 10/26 に「被害組織からの要請の有無にかかわらず、警察または防衛省・自衛隊で法律の要件に照らして判断」と述べ、高市首相は同日 18:00 の関係閣僚会議で、相談窓口の強化、民間専門家の活用、「サイバーセキュリティお助け隊」拡充、各省庁による被害情報の集約、「アクセス・無害化措置を含む対処オプションの戦略的選択」、IPA「トップガン」による AI 模擬攻撃、政府システムの AI 脆弱性点検の 7 項目を指示し「来週中の緊急対策パッケージ」を求めた。会議の公式記録に GMO の名前は出てこない。共同によれば首相は古川担当相に 同盟国・海外機関と連携した攻撃主体の特定 も指示している。10/27 午前の古川大臣会見では個別案件への発動は「お知らせできない」とされた（官邸 総理の一日、官邸 官房長官会見、共同 10/26、Impress Watch 10/27）。分析者の推測 民間要請を発動トリガーとしない制度設計上、適用の可否は非公表のまま推移する公算が大きい。世論には「社内警告を知りつつ可用性を優先したなら原因は自社判断で、国家論へのすり替え」との批判もあり（coki、ITmedia 10/26）、GMO 自身による侵入経路・既知リスク・遅延理由の開示とポストモーテムが先という指摘は妥当である。

分析者の推測（公式の推奨と第三者分析を本稿で統合したもの）

本稿の出典は 3 系統の監査で掃引した。何を確認し、何を確認できなかったかを以下に記す。確認できなかった範囲は「存在しない」ではなく「本稿では判定できない」の意味である。

本稿で確認できなかったもの（抜粋）

• GMOフィナンシャルホールディングス（7177）の適時開示の有無
• 国会での本件質疑の有無
• 片山・古川両大臣の 10/27 会見要旨（報道経由）
• 金融庁から FFAJ 経由の要請文書そのもの
• ヒロセ通商・JFX・サクソバンク・DMM FX など 15 社超の告知の有無（403/404）
• samples.zip・xlsx・source.zip の中身（第三者集計に依拠）
• 脅迫メール各通が GMO に実際に到達したか
• 利用者 PC 側で暗号化が実際に起きたか
• 徳丸浩・辻伸弘・piyokango 各氏の X 投稿
• 正午以降の展開を報じた記事（国内外とも確認できず）

本稿が参照した URL の一覧。攻撃者サイトはドメインを記載せず、リンクもしない。各分類を開くと全件が表示される。