GMOのサイバー攻撃で個人情報が流出——さらされる前に、漏えいした人がすぐやることと、削除の求め方

こんなニュースがありました

GMOインターネットグループの会社が、2026年10月に相次いでサイバー攻撃の被害を公表しました。2つは別々の事案です。

• GMOリサーチ&AIのアンケートサイト「infoQ」：ソフトウェアの脆弱性を突いた不正アクセスで、会員894,082件分の個人情報（氏名、生年月日、住所、電話番号、メールアドレス、暗号化されたパスワードなど）が外部に持ち出されました。会員のポイントが本人の知らないうちにギフトコードに交換される被害も611件、約287万円分確認され、会社は全額を補填するとしています
• GMOインターネットの「お名前.com デスクトップクラウド」：不正アクセスで顧客の情報が持ち出され、攻撃者は金銭を要求し、情報の公開を予告しました。10月27日には、攻撃者とみられる者が顧客1人分の情報を公開したことが確認されています。会社は、要求には応じず、拡散した人への法的措置を準備するとしています

政府も動いています。高市首相は10月26日のサイバーセキュリティに関する関係閣僚会議で、大規模な情報漏えいが相次ぎ、漏れた情報の悪用による二次被害への不安が高まっているとして、緊急の対策パッケージをまとめる考えを示しました。木原官房長官は10月27日の会見で、GMOの顧客情報が公開されたことについて「卑劣な行為は断じて許されるものではない」と述べ、拡散を控えるよう呼びかけたと報じられています。

ニュースの背景を解説

相次ぐ大規模な漏えい

2026年の秋には、GMOのほかにも、大手企業から数百万件から2,000万件を超える規模の個人情報が流出したと公表する例が相次いでいます。中には、氏名や住所に加えて、勤務先の会社名や部署、役職まで含まれていた事案もあります。

国の個人情報保護委員会によると、2026年4〜6月に処理した漏えいの報告は6,101件で、前年の同じ時期の5,652件を上回りました。不正アクセスなど不正な目的によるものも、1,450件（前年同期は1,136件）に増えています。

盗まれた情報は、どう使われるのか

漏れた情報は、次のような形で悪用されるおそれがあります。

• 盗まれたIDとパスワードで、ほかのサービスにログインされる（パスワードを使い回していると被害が広がる）
• ポイントやギフトコード、登録したクレジットカードを不正に使われる
• 漏えいした企業を名乗る「お詫び」や「補償」のメール・SMS・電話で、偽のサイトに誘導される
• ネット上で公開・売買され、詐欺や嫌がらせの標的リストとして使われる

さらに注意したいのは、漏れた氏名や電話番号が、本人がSNSで公開している写真や投稿と組み合わされると、住所や勤務先、生活のパターンまで特定されてしまうおそれがあることです。1つひとつは小さな情報でも、つなぎ合わされることで、身の安全に関わる情報になりえます。

注意点・弁護士の見解

通知が来た・発表を見たら、すぐやること

利用しているサービスで漏えいが公表されたら、通知を待たずに、企業の公式サイトで、漏れた項目と対象者を確認してください。そのうえで、次のことをしましょう。

• そのサービスのパスワードを変える。同じパスワードをほかのサービスでも使っていれば、そちらもすぐに変える
• 二段階認証（多要素認証）が使えるサービスでは、設定しておく
• クレジットカードや証券・FXの口座、ポイントの利用明細を確認する。身に覚えのない利用があれば、すぐにカード会社や各社に連絡する
• 「お詫び」や「補償」をうたうメール・SMS・電話のリンクや案内に従わず、企業の公式サイトから情報を確かめる

なお、企業に本人への通知が義務づけられているのは、不正アクセスによるものや、1,000人を超えるものなどに限られます。連絡先が分からない場合は、ホームページでの公表で通知に代えることもできます。通知が来ないこともあるので、自分から確認することが大切です。

公開されたサイトを見に行かない・広めない

攻撃者が情報を公開しても、そのサイトを見に行ったり、内容をSNSで転載・拡散したりしないでください。GMOは、攻撃者のサイトにアクセスすると、閲覧した人の情報が攻撃者に取得されるおそれがあると注意を呼びかけています。官房長官も拡散を控えるよう求めています。他人の個人情報を広めれば、プライバシーの侵害として、拡散した人自身が責任を問われることもあります。

住所がさらされたら、拡散する前に早く動く

賃貸住宅なら最悪の場合は引っ越すこともできますが、持ち家の住所はそう簡単には変えられません。自分の住所や電話番号がネットにさらされているのを見つけたら、時間との勝負です。

• 書き込みのURLと画面を、日時が分かる形で保存する
• 掲示板やSNSの運営者に削除を申し出る。利用者の多い大手のSNSなどは、情報流通プラットフォーム対処法により、削除の申し出に一定期間内で対応する義務がある
• 身の危険を感じたら、すぐに警察に相談する

公的な相談先として、法務局の人権相談（みんなの人権110番：0570-003-110）では、プライバシーの侵害と判断すれば法務局から削除を要請してもらえることがあります。違法・有害情報相談センターも削除の方法を助言していますが、2026年10月下旬の時点では、相談の一部の機能を停止していました。

企業に求められることと、補償・賠償の現実

個人情報保護法は、本人が企業に対して、自分のデータの開示（33条）や、漏えいが起きた場合の利用の停止・消去（35条5項）を求められると定めています。企業が応じない場合は、裁判所に訴えることもできます。

GMOインターネットは、デスクトップクラウドの全顧客に一律5,000円を支払うほか、不正な取引による損失の補償や、情報を公開された人への見舞金（公開された情報の種類に応じて1万円〜2万5000円を合算）を用意するとしています。

一方で、裁判で損害賠償を求めた場合、これまでの判決では1人あたり数千円程度にとどまることが多いのが現実です。大量の個人情報が流出した過去の事件でも、1人1,000円〜3,300円とした判決があります。迷惑メールなどの二次被害を立証した人に慰謝料3万円などを認めた例もありますが、まずは被害を広げないことが何より大切です。

個人情報の流出に、弁護士ができること

• ネットにさらされた個人情報の削除を、運営者や検索サービスに求めていきます
• 書き込んだ人や拡散した人の特定を目指し、損害賠償の請求を検討します
• 不正な利用の補償をめぐる、企業やカード会社との交渉を行います
• データの開示や利用の停止・消去の請求を、ご本人に代わって行います

損害賠償の見込みが小さい場合は、費用倒れにならないかも含めて率直にお伝えします。

まとめ

GMOのグループ会社がサイバー攻撃を受け、会員の個人情報が持ち出されたり、攻撃者に公開されたりする事態が起きました。政府も対策を急いでいますが、漏れた情報を取り戻すことはできません。大切なのは、パスワードの変更や明細の確認で二次被害を防ぐこと、公開された情報を見に行かず広めないこと、そして自分の情報がさらされたら、拡散する前に早く削除を求めることです。

事態は日々動いていて、企業や政府の発表も更新されています。最新の情報は、各社の公式サイトでご確認ください。個人情報の流出やネット上のさらしでお困りの方は、アークレスト法律事務所にご相談ください。

※本コラムは2026年10月末時点の情報に基づいています。

監修者

山下 晃生 弁護士

第二東京弁護士会所属（登録番号：58233）

岡山県立岡山朝日高校卒業、中央大学卒業、明治大学法科大学院修了。

平成29年司法試験に合格、平成31年1月に弁護士登録し（71期）、神奈川県の法律事務所に入所。離婚問題を主に取り扱う。

令和2年3月に弁護士法人アークレスト法律事務所に入所し、その後ネットトラブル及びオフィスの原状回復請求減額交渉を中心に幅広く関わる。

ゲーム・アニメ・同人文化にも明るい。