GMO不正アクセス 第4回：新しい課徴金制度は、GMOのような漏えいを対象にしていない

2026年7月10日、個人情報保護法に初めて課徴金制度を設ける改正法が国会で成立した。違反した企業に、規制当局が裁判を経ずに金銭の納付を命じることができる仕組みだ。対象は4種類の違反に限られ、金額は違反で得た額にとどまる。安全管理の怠慢による漏えいは入っていない。^[1] それから1か月もしないうちに、攻撃者がGMOインターネットグループの「お名前.com デスクトップクラウド」（貸し出し型の仮想Windowsパソコン）に侵入した。8月17日からは、顧客のパソコンを一括管理するGMOのサーバーの管理者アカウントを握り、9月下旬からはそれを使って顧客のパソコンに不正なプログラムを配っていた。^[11] 同社がこれまでに払った代償は、3か月間の報酬減額だけだ。代表が30%、ほか3人の役員が20〜25%である。^[2]

新しい法律の中身#

改正法は7月17日に公布された。施行日は公布から2年以内に政令で定めるとされており、遅くとも2028年7月には施行される。^[1] 課徴金に関する規定を、個人情報保護委員会（個人情報を所管する規制当局）自身の資料に沿って整理すると次のようになる。^[3]

• 委員会が課徴金の納付を命じることができる対象は4種類に限られる。不適正な利用、不適正な取得（だまし取るなど）、同意なく他社へ個人データを渡すこと、統計目的の例外を名目にした流用である。
• 対象となる個人が1000人を超える場合に限る。
• 金額は、違反によって得た金銭か、違反をやめる代わりに得た金銭に相当する額。10年以内の再違反は1.5倍、自主報告があれば半額になる。

4種類のどれも、安全管理の怠慢には当たらない。仮に当たったとしても、課徴金の額は違反で得た金額で決まる。企業は漏えいによって何も得ていないので、納めさせる金額がない。

漏えいを起こした企業は、他国ではどう扱われるか#

オーストラリアでは、2022年9月の通信大手Optusの漏えい^[4]と、その数週間後の医療保険大手Medibankの漏えい^[5]という、同年最大の2件を受けて、数か月のうちに法改正が行われた。重大な、または繰り返されたプライバシー侵害に対して裁判所が科す制裁金の上限は、5000万豪ドル、違反で得た利益の3倍、違反期間中の売上高の30%のうち最も高い額に引き上げられ、2022年12月13日に施行された。^[6] オーストラリアの個人情報保護当局は現在、970万人分の個人情報をめぐってMedibankを連邦裁判所に訴えているが、問題の行為は2022年10月までのものなので、適用されるのは旧上限の1件あたり222万豪ドルである。^[5]

EUの個人情報保護法GDPRは、安全な処理や必要最小限の収集といった基本原則への違反に対し、2000万ユーロまたは全世界年間売上高の4%のいずれか高いほうを上限とする制裁金を定めている。^[7] 米国が縛るのは金額ではなく、公表までの期限だ。株式市場を監督する証券取引委員会が2023年7月に採択した規則により、上場企業は投資家にとって重要と判断したサイバー攻撃を、判断から4営業日以内に臨時報告書で開示しなければならない。^[8] GMOは不正なプログラムを確認した翌日に公表しており、^[14] この期限は守れていた。日本の個人情報保護法にも期限はあるが、それは委員会への報告の期限で（発覚から3〜5日以内に速報）、公表の期限ではない。^[15] 翌日に公表したのは、GMO自身の判断だった。

GMOが自ら決めた措置#

GMOがこれまでに開示した措置は次のとおりである。

• 代表の報酬を30%、ほか3人の役員の報酬を20〜25%、12月支給分から3か月間減額。追加の処分は、社内の検証を終えてから決める。^[2]
• 攻撃者の特定につながる情報に対し、総額100万米ドルを上限とする懸賞金。費用はGMOが負担する。^[9]
• 10月24日、政府に対し、同月1日に施行されたばかりの「能動的サイバー防御」（国が攻撃元のサーバーに入って無害化する制度）の発動を要請した。政府は、企業の要請で発動するものではないと答えた。^[10]

指摘を2年半放置したことで、GMOが当局から制裁金を科されることはない。個人情報保護法は企業に個人データの保護を義務づけているが、委員会にできるのは改善を命じることまでだ。罰則があるのは、その命令に従わなかった場合だけで、7月の改正もこの点は変えていない。^[12]

放置が割に合う理由#

2024年4月、グループのセキュリティ会社イエラエが出した指摘は3人の責任者に届いたが、先へ上げる決まりがなかったため、そこで止まった。放置しても制裁金も外部の検証もなく、GMOが失うものはほとんどなかった。事件が起きると、GMOは記者会見で、指摘ではなく攻撃者のことを語った。社内で指摘が経営に届かなかった理由は第2回に書いた。

個人情報保護法に加えるべきこと#

1. 安全管理の怠慢にも、売上高に連動した課徴金を科す：課徴金の対象行為に安全管理措置の不備を加え、金額の基準を、利益ではなく売上高の一定割合にする。漏えいに利益はないからだ。
2. 取締役会への報告を義務づける：社内の診断であれ外部に委託した監査であれ、セキュリティ上の指摘が出たら一定期間内に取締役会へ報告し、その対応を議事録に残すことを義務づける。GMOの法務責任者は、そうした基準が存在しなかったと述べた。^[13] その基準を法律で定める。
3. 気づく仕組みを義務づける：GMOは、全顧客のパソコンを束ねるサーバーの管理者権限を64日間握られて気づかなかった。^[11] 管理者権限の利用の監視と定期的な点検を義務づける規則があれば、64日間気づかなかったこと自体が違反になる。
4. 必要な情報しか集めさせない：目的に必要な情報しか集めてはならないというGDPRの規定（データ最小化の原則）を個人情報保護法に加え、委員会がそれに基づいて動けるようにする。

出典#

1. のぞみ総合法律事務所、2026年（令和8年）改正個人情報保護法の概要（第1回）。2026年7月10日成立、7月17日公布（令和8年法律第56号）、施行時期。
2. セキュリティ対策Lab（Rocket Boys）、GMO、サイバー攻撃で熊谷正寿氏ら役員4人が報酬減額、2026年11月2日。
3. 個人情報保護委員会、個人情報保護法等の一部を改正する法律について（政令・規則委任事項）、2026年10月14日。第148条の3〜第148条の7および課徴金制度の概要。
4. Office of the Australian Information Commissioner、OAIC statement on Optus data breach、2022年9月22日。
5. Office of the Australian Information Commissioner、Medibank civil penalty action overview。
6. Corrs Chambers Westgarth、Higher penalties and other Privacy Act amendments commence、2022年12月。
7. GDPR第83条 制裁金を科すための一般的条件、第5項。
8. U.S. Securities and Exchange Commission、SEC Adopts Rules on Cybersecurity Risk Management, Strategy, Governance, and Incident Disclosure by Public Companies、2023年7月26日。
9. ビジネス+IT、GMO攻撃、「有力情報」を警察へ提出…懸賞金に270件、総務省は強制遮断を要請と報道、2026年10月29日。
10. 熊本日日新聞（共同通信）、GMO、サイバー防御を緊急要請 不正アクセス確認、適用なら初、2026年10月24日。Impress Watch、GMO、政府に能動的サイバー防御の適用を要請、2026年10月。
11. ＠IT、「ネットのセキュリティもGMO」の実態 イエラエの事前指摘はなぜ放置されたか：GMO記者会見を読む、2026年11月3日。
12. 日本法令外国語訳データベース、個人情報の保護に関する法律（平成15年法律第57号）、第23条（安全管理措置）および委員会の勧告・命令に関する章。
13. ITmedia ビジネスオンライン（Yahoo!ニュース配信）、「31年間『もうける』と言ったことはない」GMO熊谷代表、不正アクセスで謝罪も露呈した“組織の壁”、2026年11月2日。
14. GMOインターネットグループ、【重要】「お名前.com デスクトップクラウド」への不正アクセスに関する現在の対応について（第9報）、2026年10月27日（第1報は2026年10月21日）。
15. 個人情報保護委員会、漏えい等の対応とお役立ち資料（委員会への漏えい等報告の期限）。