ニュース｜社会・くらし
能動的サイバー防御とは？GMOの要請で発動される？誰が決めるか
FX自動売買用のサーバー「お名前.com デスクトップクラウド」が不正アクセスを受けた問題で、GMOインターネットグループとGMOインターネットは10月24日、政府に「能動的サイバー防御」の措置を講じるよう緊急要請したと発表しました。能動的サイバー防御の法律は10月1日に本格施行されたばかりです。そもそも何ができる制度なのか、誰が発動を決めるのか、企業が要請できる仕組みはあるのかを、e-Govの条文と内閣官房の資料から整理しました。
この記事の結論
- GMOは第4報で、今回の攻撃を能動的サイバー防御の「発動第1号」事案と位置づけ、国主導で攻撃基盤を追跡・遮断・無力化するよう政府関係機関に具申（緊急要請）したと発表しました。
- ただし法律には企業が発動を申請する手続はありません。日経によると、国家サイバー統括室の幹部は「個別の企業からの要請を受け付ける仕組みはない」と説明し、政府が重大性・緊急性を見て個別に判断するとしています。
- 攻撃元のサーバーを止める「アクセス・無害化措置」を決めて実行するのは警察（警察官職務執行法第6条の2）と自衛隊（自衛隊法第81条の3）です。警察の措置は「財産に対する重大な危害」も要件に含みますが、自衛隊の措置は国や基幹インフラなどの「重要電子計算機」が対象で、GMOは基幹インフラの指定258者に入っていません。
- サイバー対処能力強化法の本則87条のうち、10月24日時点で施行されているのは50条。通信情報の利用とそのチェック・罰則にあたる残り37条は2027年11月までに施行の予定で、まだ動いていません。
GMOは政府に何を要請したのか？第4報の要点
問題になっているのは、GMOインターネットが提供するFX自動売買向けのVPS「お名前.com デスクトップクラウド」です。10月20日にサーバーへの不正なプログラムの設置が見つかり、サービスは止まっています。不正アクセスの経緯や利用者が今すぐやることは「お名前.com不正アクセスでFX口座が不正操作、なぜ？今すぐやること」で詳しくまとめています。ここでは10月24日の第4報のうち、政府への要請に関わる部分を中心に整理します。
| 項目 | 内容（10月24日時点） |
|---|---|
| 発表 | 2026年10月24日 11:50時点の第4報（GMOインターネットグループとGMOインターネットの連名） |
| 要請の中身 | 能動的サイバー防御の「発動第1号」事案として、国主導による攻撃基盤の追跡・遮断および無力化の措置を講じるよう政府関係機関に具申（緊急要請） |
| 要請の理由 | 一般の人の取引口座（金融資産）を狙った不正操作という手口で、民間事業者単独の防御・事後対応では国境を越える犯罪集団による被害を根絶するのは難しいとしています |
| 分かっている被害 | システムにセキュリティ上の問題があり、不正なアクセスと利用者の情報の外部持ち出しを確認。一部の利用者から取引口座で身に覚えのない取引の報告 |
| 攻撃者の脅迫 | 金銭を要求され、応じなければ国内外の70を超える証券会社・FX会社などの口座への不正操作の継続、情報の公開、ランサムウェア攻撃などに及ぶと連絡を受けたとしています。要求には応じない方針 |
| 警察・官庁 | 警察と所管官庁に初報済み。通信記録などの証拠を警察に提出し、刑事事件として捜査を要請 |
| 利用者への対応 | 全利用者に見舞金一律5,000円、不正取引で実際に出た損失の補償、代替サービスを6か月無償 |
出典：GMOインターネットグループ・GMOインターネット 第4報（10月24日 11:50時点）。影響の可能性があるサーバーは2万6,739件（第1報）です。
第4報は、能動的サイバー防御を「被害が深刻化する前に国や関係機関が主導して攻撃者のインフラや侵入経路を特定・無力化（無害化）する枠組み」と説明し、内閣官房の資料へのリンクも載せています。共同通信によると、GMOは発動されれば関連法の施行後で初めての案件になるとしています。毎日新聞は、利用者の中に数百万円の被害に遭った例もあったと報じています。
能動的サイバー防御とは？3本柱と施行日を条文で整理
能動的サイバー防御（ACD）は、重大なサイバー攻撃を「受けてから守る」だけでなく、兆しの段階で攻撃元をつかみ、被害が出る前に手を打つための仕組みです。法律は2本あり、「重要電子計算機に対する不正な行為による被害の防止に関する法律」（サイバー対処能力強化法、令和7年法律第42号）と、警察官職務執行法や自衛隊法を改正した同整備法（令和7年法律第43号）です。内閣官房の説明資料は、中身を「官民連携」「通信情報の利用」「アクセス・無害化措置」の3本柱と、それを支える組織に分けて説明しています。
| 柱 | 何をするか | 根拠の条文 | 施行日 |
|---|---|---|---|
| 官民連携 | 基幹インフラ事業者が、導入した重要なコンピューターを届け出て、攻撃を受けたら国に報告する | 強化法 第4条・第5条（第2章） | 2026年10月1日施行 |
| 通信情報の利用 | 協定や同意に基づき、または同意によらずに国外が絡む通信の情報を取得し、攻撃を分析する | 強化法 第11〜36条（第3〜7章） | 未施行。2027年11月22日までの政令で定める日 |
| アクセス・無害化措置 | 警察・自衛隊が攻撃に使われているサーバーなどに入り、攻撃プログラムを消す・止める | 警察官職務執行法 第6条の2、自衛隊法 第81条の3・第91条の3 | 2026年10月1日施行 |
| チェック役 | 独立機関「サイバー通信情報監理委員会」が通信情報の扱いや無害化措置を審査・承認 | 強化法 第46〜62条（第10章第1節） | 2026年4月1日施行 |
| 司令塔 | 内閣サイバーセキュリティセンター（NISC）を国家サイバー統括室（NCO）に改組。総則・基本方針 | 強化法 第1〜3条、第76〜78条 | 2025年7月1日施行 |
出典：e-Gov法令検索 サイバー対処能力強化法（附則第1条と改正履歴）、警察官職務執行法、自衛隊法、内閣官房「説明資料」（令和8年10月）。施行日はe-Govの改正履歴に収録された各版の日付です。
強化法の本則87条のうち、動いているのは50条【独自集計】
e-Govの法令データには、施行日ごとの版が収録されています。2026年10月1日施行の現行版と、未施行の規定まで含む版の条文を数え比べると、本則87条（第2条の2を含む）のうち施行済みは50条、未施行は37条でした。未施行なのは第11〜36条（協定や同意に基づく通信情報の取得とその取扱い）、第63〜70条（監理委員会の検査など）、第79〜81条（罰則の一部）です。
つまり、GMOが要請した10月24日の時点では、国が通信情報を集めて攻撃の全体像を分析する仕組みはまだ使えません。日経は、現時点では企業などから提供される情報をもとに攻撃対象や手法を分析するほかなく、全容の把握に時間がかかる課題があると伝えています。
成立から本格施行、通信情報の利用まで
- 2025年2月7日法案を閣議決定サイバー対処能力強化法案と同整備法案を国会に提出しました。
- 2025年5月16日成立（23日公布）国会で修正を経て成立しました。
- 2025年7月1日第1段階の施行目的や定義などの総則が施行され、司令塔の国家サイバー統括室が発足しました。
- 2026年4月1日監理委員会を設置独立機関のサイバー通信情報監理委員会の規定が施行されました。
- 2026年10月1日本格施行基幹インフラ事業者の報告義務と、警察・自衛隊によるアクセス・無害化措置が可能になりました。
- 2026年10月24日GMOが適用を要請本格施行から23日目。政府高官は要請を受けたことを認めています（日経）。
- 2027年11月まで通信情報の利用を施行2027年11月22日までの政令で定める日（公布から2年6か月以内）。日経は「2027年秋の予定」と報じています。
出典：内閣官房「サイバー安全保障に関する取組」、説明資料、e-Govの改正履歴、日本経済新聞（10月24日）。23日目は当サイトの計算です。
無害化は誰が決める？警察と自衛隊の要件を条文で比較
「能動的サイバー防御を発動する」と言っても、法律に「発動」という一つのボタンがあるわけではありません。攻撃元のサーバーに入って攻撃を止めるアクセス・無害化措置は、警察と自衛隊がそれぞれ別の条文に基づいて行います。条文の要件を並べると次のとおりです。
| 項目 | 警察 | 自衛隊 |
|---|---|---|
| 根拠 | 警察官職務執行法 第6条の2 | 自衛隊法 第81条の3（通信防護措置）・第91条の3 |
| 誰が実施 | 警察庁長官が指名した警察官（サイバー危害防止措置執行官） | 内閣総理大臣の命令を受けた自衛隊の部隊。警察と共同で実施 |
| 発動の要件 | 攻撃に使われる通信や記録（その疑いを含む）を認め、放置すれば人の生命、身体又は財産に対する重大な危害が発生するおそれがあり、緊急の必要があるとき | 重要電子計算機への攻撃で、本邦外にある者による特に高度に組織的かつ計画的な行為。国家と国民の安全を著しく損なう支障のおそれが大きく、自衛隊の特別な技術・情報が必要不可欠で、国家公安委員会の要請か同意があるとき |
| 守る対象 | 条文上は特定の種類のコンピューターに限っていない | 国の機関・地方公共団体・基幹インフラ・一定の防衛産業などの重要電子計算機 |
| できること | 攻撃元のコンピューターの管理者に措置を命じる、または自ら遠隔で接続し、攻撃用の記録の消去など危害防止に通常必要な措置をとる | 警察の規定を準用（同じ内容） |
| 事前の手続 | サイバー通信情報監理委員会の承認。承認を得るいとまがない特段の事由があれば事後に通知 | 防衛大臣を通じて監理委員会の承認（同様に例外あり） |
| 国外のサーバー | 警察庁の執行官に限り、警察庁長官を通じて外務大臣と事前に協議 | 防衛大臣を通じて外務大臣と事前に協議 |
| 指揮 | 警察庁長官または警視総監・道府県警察本部長 | 防衛大臣 |
出典：警察官職務執行法 第6条の2、自衛隊法 第81条の3・第91条の3、内閣官房 説明資料（19〜20ページ）。要約は当サイト。
内閣官房の説明資料によると、どの措置を警察と自衛隊のどちらが担うかは、国家サイバー統括室が国家安全保障局（NSS）と連携して司令塔として決める仕組みです。実際の無害化は、脆弱性などを使って遠隔でログインし、動いている攻撃用プログラムを確かめたうえで、不正プログラムの消去、シャットダウン、攻撃者が再びログインできないようにする設定変更などを行うと説明されています。
「通信情報の利用」と「無害化」は別の規定
ニュースでは両方をまとめて「能動的サイバー防御」と呼びますが、無害化措置（警察官職務執行法・自衛隊法）はすでに施行済みで、通信情報の利用（強化法第3〜7章）は未施行です。今回GMOが求めた「攻撃基盤の追跡・遮断・無力化」は、主に無害化措置にあたる部分です。
GMOの事案は対象になる？要件に当てはめてみた【独自整理】
では、GMOのケースはどの要件にどう関わるのでしょうか。条文の要件と、第4報などで公表されている事実を並べました。最終的に措置をとるかどうかを決めるのは警察・政府で、捜査中の情報は公表されていないため、外からは結論を出せません。あくまで「何が判断のポイントになるか」の整理です。
| 要件 | 条文 | 公表されている事実 | 見立て |
|---|---|---|---|
| 攻撃に使われる通信・記録を認めた | 警職法6条の2第2項 | 不正なプログラムの設置と情報の持ち出しをGMOが確認（第4報） | 判断は警察攻撃元のサーバーを特定できているかは公表されていません |
| 生命・身体・財産への重大な危害、緊急の必要 | 同上 | 口座への不正操作が報告され、70超の証券・FX会社の口座への不正操作を続けると脅迫（第4報） | 判断は警察「財産」も要件に含まれます |
| 国外のサーバーか | 同第3項 | 攻撃元の場所は公表されていない | 不明国外なら警察庁の執行官だけが実施でき、外務大臣との協議が必要 |
| 監理委員会の承認 | 同第4項 | — | 手続原則は事前承認 |
| 重要電子計算機への攻撃か（自衛隊の前提） | 自衛隊法81条の3第2項 | GMOは基幹インフラの指定258者に含まれない（内閣府の一覧で確認） | 前提外とみられる自衛隊の通信防護措置の対象外とみられます |
| 企業が申請する手続 | （規定なし） | GMOは「具申（緊急要請）」と発表 | 仕組みなし政府が個別に判断（日経） |
出典：GMO 第4報、e-Govの条文、内閣府「特定社会基盤事業者として指定した者（令和8年7月1日時点）」、日本経済新聞。「見立て」は当サイトが条文と公表情報から整理したもので、政府の判断ではありません。
GMOは基幹インフラの指定に入っていない
強化法で国への報告義務を負い、自衛隊の通信防護措置でも守る対象になる基幹インフラ事業者（特定社会基盤事業者）は、経済安全保障推進法で指定された15分野・258者です（2026年7月1日時点）。内閣府の一覧を確認したところ、GMOの名前はありませんでした。電気通信分野の指定はNTT東日本・西日本やNTTドコモ、KDDI、ソフトバンク、楽天モバイル、LINEヤフーなど10者です。Impress Watchも、GMOインターネットグループは対象に含まれていないと報じています。
| 分野 | 指定数 | 分野 | 指定数 |
|---|---|---|---|
| 電気 | 48者 | 航空 | 2者 |
| ガス | 25者 | 空港 | 6者 |
| 石油 | 18者 | 電気通信 | 10者 |
| 水道 | 23者 | 放送 | 6者 |
| 鉄道 | 5者 | 郵便 | 1者 |
| 貨物自動車運送 | 5者 | 金融 | 65者 |
| 外航海運 | 3者 | クレジットカード | 9者 |
| 港湾 | 32者 | 合計 | 258者 |
出典：内閣官房 説明資料（29ページ、内閣府の令和8年7月1日時点の一覧から作成）、内閣府 基幹インフラ制度。合計は当サイトが確認。
一方で、警察の無害化措置（警職法第6条の2）は、守る対象を基幹インフラなどに限っていません。要件は「人の生命、身体又は財産に対する重大な危害」のおそれと緊急性です。条文の上では、基幹インフラ以外の企業や個人の被害でも、要件を満たすと警察が判断すれば措置はありうる、という作りです。
「要請」を受け付ける仕組みはない
日経によると、国家サイバー統括室の幹部は「個別の企業からの要請を受け付ける仕組みはない」と説明しています。ただし、情報提供や相談を受けて措置の実施を検討することはあるといいます。条文を見ても、無害化措置の規定に企業が申し立てる手続はありません。
企業と国の関係を定めた規定もあります。強化法第12条は、基幹インフラ以外の企業とも、内閣総理大臣が通信情報を受け取って分析結果を返す協定を結べると定めています。ただしこれは未施行で、協定を結ぶよう「協議を求める権利」が書かれているのは基幹インフラ事業者の第11条だけです。施行済みの規定では、第45条の協議会に内閣総理大臣が必要と認める者を同意を得て加える仕組みや、第41条で攻撃に使われるおそれのあるコンピューターの使用者などに情報を提供・周知する仕組みがあります。
専門家からは「制度の想定と違う」との指摘も
日経の記事では、慶応大学の土屋大洋教授が、能動的サイバー防御は政府が攻撃者を特定して未然に防ぐための仕組みで、企業の依頼に応じて対応するものではないと指摘しています。笹川平和財団の大沢淳上席フェローは、国が相手のサーバーに入る措置は相手国から見ると戦争行為にも見え、ハードルは非常に高いとの見方を示しています。
発動の前例はある？無害化は公表されるのか
GMOは、発動されれば施行後初の案件になるとしています。ただ、これが「初」かどうかを外から確かめるのは難しいのが実情です。日経によると、政府は無害化措置の公表に慎重で、公表した実績はまだありません。国家サイバー統括室の幹部は、手の内を明かすことになるとして、無害化を実施しても明らかにすることはないと説明しています。
政府の受け止めについて、日経は、政府高官がGMO側から要請を受けたと認めたうえで、防御のための支援はするものの、無害化につながるかは解析を進める必要があるとの考えを示したと伝えています。政府は10月22日に国家安全保障会議（NSC）を開き、官民で相次ぐサイバー攻撃について議論しました。
海外では先行例がある
内閣官房の説明資料は、海外の無害化措置の例として、米国がVolt Typhoonによる感染ルーター群のボットネットに対して行った措置（2024年）と、カナダが政府ネットワークからの情報窃取を防ぐため攻撃者の海外サーバーに行った措置（2019年以降）を挙げています。家庭や企業の古いルーターが乗っ取られて攻撃の「踏み台」になる問題は「古いルーターはなぜ危険？16年放置の欠陥WPSplinterと対策」でも取り上げています。
攻撃元は「踏み台」で海外にあることが多い
説明資料は、サイバー攻撃は攻撃者の機器から直接ではなく、乗っ取られた機器を何段も経由して行われ、たどっていくと海外の踏み台に行き着くことがほとんどだとしています。国外のサーバーへの措置には外務大臣との事前協議が必要で、国際法上許される範囲かの確認も求められます。
利用者は何を待てばいい？補償と見舞金の日程
政府の判断とは別に、利用者への対応はGMOが第4報で日程を示しています。
- 10月30日（金）23:59まで：見舞金5,000円の連絡方法・受け取り手続き・支払時期と、代替サービス（6か月無償）の申し込み方法などを登録メールアドレスに案内
- 11月6日（金）まで：不正取引の損失補償の申請方法・必要書類・受付期間・支払時期を公式サイトとメールで案内
- 補償の対象：GMOが調査で不正アクセスによる不正取引と認めた取引で実際に出た損失（差損と手数料など）。相場の変動による損失や、得られたはずの利益などは対象外。取引所などから返金があれば、その分を差し引いた残りをGMOが支払う
- 偽の連絡に注意：GMOは補償の手続きで、閲覧専用パスワードを除くパスワードや暗証番号を尋ねることはないとしています。攻撃者が情報と称するものを公開する可能性にも触れ、正式な知らせは公式ページで行うとしています
パスワード変更やセッションの切断など、口座を守るための具体的な手順は「お名前.com不正アクセスでFX口座が不正操作、なぜ？」にまとめています。
能動的サイバー防御とGMOの要請のよくある質問
Q. 能動的サイバー防御とは何ですか？
A. 重大なサイバー攻撃を未然に防ぐための仕組みで、基幹インフラ事業者と国の情報共有（官民連携）、国による通信情報の利用、警察・自衛隊が攻撃元のサーバーなどに入って攻撃を止める「アクセス・無害化措置」の3つが柱です。根拠はサイバー対処能力強化法と同整備法（2025年5月成立）です。
Q. 能動的サイバー防御はいつから始まりましたか？
A. 段階的に施行されています。2025年7月1日に総則と司令塔の国家サイバー統括室、2026年4月1日に監理委員会、2026年10月1日に基幹インフラの報告義務とアクセス・無害化措置が施行されました。通信情報の利用は2027年11月22日までの政令で定める日に施行されます。
Q. GMOが要請すれば、能動的サイバー防御は発動されますか？
A. 自動的には発動されません。法律に企業が申請する手続はなく、日経によると政府は事案の重大性や緊急性を踏まえて個別に判断します。無害化措置を実際に行うかどうかは、警察（警察官職務執行法第6条の2）や自衛隊（自衛隊法第81条の3）の規定の要件に沿って判断されます。
Q. 無害化措置は誰が判断して実行するのですか？
A. 警察では警察庁長官が指名したサイバー危害防止措置執行官が、警察庁長官などの指揮の下で行い、原則として独立機関のサイバー通信情報監理委員会の事前承認が必要です。自衛隊は内閣総理大臣の命令で警察と共同して行います。役割分担は国家サイバー統括室が司令塔として決めます。
Q. GMOは能動的サイバー防御の対象になる企業ですか？
A. GMOは、報告義務などの対象になる基幹インフラ事業者（15分野・258者、2026年7月1日時点）には含まれていません。自衛隊の通信防護措置は基幹インフラなどの重要電子計算機が対象です。一方、警察の無害化措置は守る対象を限っておらず、財産への重大な危害のおそれと緊急性が要件です。
Q. 政府が無害化措置をしたら発表されますか？
A. 日経によると、政府は無害化措置の公表に慎重で、これまで公表した実績はありません。国家サイバー統括室の幹部は、攻撃相手に手の内を明かすことになるとして、実施を明らかにすることはないと説明しています。
あわせて読みたい
出典・参考資料
- GMOインターネットグループ・GMOインターネット：【重要】お名前.com デスクトップクラウドサービスに対するサイバー攻撃について（第4報、2026年10月24日 11:50時点）
- e-Gov法令検索：重要電子計算機に対する不正な行為による被害の防止に関する法律（令和7年法律第42号）、警察官職務執行法（第6条の2）、自衛隊法（第81条の3・第91条の3）
- 内閣官房：サイバー安全保障に関する取組（能動的サイバー防御の実現に向けた検討など）、説明資料（令和8年10月）
- 内閣府：基幹インフラ制度、特定社会基盤事業者として指定した者（令和8年7月1日時点）
- 報道：日本経済新聞「能動的サイバー防御をGMO要請 適用は政府判断、重大・緊急性考慮」（10月24日）、Impress Watch（10月24日）、共同通信（Yahoo!ニュース、10月24日）、毎日新聞（Yahoo!ニュース、10月24日）
条文数の集計、施行からの日数、指定事業者数の合計、要件の当てはめは、各資料をもとに当サイトが集計・整理したものです。内容は2026年10月24日時点の情報で、政府の判断やGMOの続報により変わる可能性があります。写真：内閣官房内閣広報室（Wikimedia Commons、CC BY 4.0）をトリミングし、アイキャッチには文字を加えています。
コメント