GMOが「アクセスしないで」と呼びかけた理由｜怪しいサイトを開くと相手に何が伝わるのか

GMOインターネットグループは2026年10月27日、攻撃者とみられる人物が「当社およびお客様に関する情報と称するもの」を公開したことを確認したと発表しました。同じ発表で、公開された情報にはアクセスも拡散もしないよう呼びかけ、「当該サイトにアクセスした方の情報は、攻撃者に取得されています」とも書いています。

見出しだけを追っていると、個人情報の公開という話に目が行きます。ただ、サイトを開いただけで相手に何が伝わるのかは、あまり説明されていません。この記事では、GMOの第10報、警察庁とIPA（情報処理推進機構）の資料、Apacheの公式ドキュメントとMDNをもとに、ウェブサイトを開いたときに運営者側へ届く情報と届かない情報を整理します。2026年10月時点の情報です。

• GMOは、公開サイトへのアクセスと拡散を控えるよう呼びかけている
• サイトを開くと、IPアドレス・開いたページ・ブラウザの種類などが運営者側のログに残る
• 氏名やパスワードは、開いただけでは届かない。入力したときに渡る
• 開いてしまったときは、端末の確認と、便乗詐欺への警戒を優先する

GMOが公開サイトへのアクセスを控えるよう呼びかけた内容

第10報に書かれていること

GMOの第10報（2026年10月27日13時55分時点）によると、攻撃者とみられる者が情報を公開したことを同日12時30分に確認しています。公開された内容は確認中で、「事実と異なる内容が含まれるおそれがあります」としています。予告されていたランサムウェア攻撃は、13時55分時点では確認されていないとのことです。

対応としては、攻撃者の要求には応じないこと、警察などの関係機関と連携していること、公開された情報に含まれるお客様には個別に連絡することが書かれています。悪質な拡散者に対しては、証拠を保全したうえで、民事の開示請求や刑事告訴・告発の準備を進めるとしています。

「取得されている」はGMOの認識として読む

「アクセスした方の情報は攻撃者に取得されています」は、GMOがそう認識しているという記述です。どの情報がどんな仕組みで取られるのかは、第10報には書かれていません。そのため、この記事でも攻撃者のサイトで実際に何が行われているかは断定しません。以降は、ウェブサイトを開いたときに一般的に何が起きるかの説明です。

暗号化せずにデータだけを盗み、公開を予告してお金を要求する手口は、警察庁が令和7年の情勢報告で「発生している」と整理しています。盗んだ情報を公開サイトに載せて圧力をかける仕組みそのものは、ランサムウェアが暗号化の前にデータを盗む理由で詳しく書いています。

サイトを開いた瞬間に、運営者のサーバーへ届く情報

IPアドレスは、通信の仕組み上かならず相手に届く

ブラウザがページを取りに行くと、相手のサーバーは「どこから来た要求か」を知らないと返事を返せません。Apacheの公式ドキュメントは、ログに残るクライアントのIPアドレスを「サーバーに要求を出したクライアント（リモートホスト）のIPアドレス」と説明しています。

ただし、このIPアドレスは「利用者が座っている端末のアドレスとは限らない」とも書かれています。間にプロキシサーバーがあれば、記録されるのはプロキシのアドレスです。

開いたページ、結果、参照元、ブラウザの種類も残る

Apacheの標準的なログ形式（Combined Log Format）では、IPアドレスに加えて、リクエスト行、ステータスコード、Referer、User-Agentが1行に記録されます。リクエスト行は、どの方法（GETなど）でどのページを求めたかです。ステータスコードは、成功したのか、見つからなかったのかを示します。Refererは、どのページのリンクから来たかです。User-Agentは、ブラウザが自分について申告する識別情報です。

公式ドキュメントの例は次の1行です。

127.0.0.1 - frank [10/Oct/2000:13:55:36 -0700] "GET /apache_pb.gif HTTP/1.0" 200 2326 "http://www.example.com/start.html" "Mozilla/4.08 [en] (Win98; I ;Nav)"

この行を空白とかぎ括弧で区切って数えると、IPアドレス、ログ名、ユーザー名、時刻、リクエスト行、ステータス、転送量、Referer、User-Agentの9項目になります（数えたのは私で、ドキュメントの記述ではありません）。

見直してみると、この9項目に氏名や住所を入れる欄はありません。ユーザー名の欄は、サイト側がHTTP認証を使ったときに入るもので、認証のないサイトでは「-」です。

氏名やパスワードは、開いただけでは届かない

入力欄に打ち込んだ内容だけが渡る

ここは、私も大づかみに考えていた部分でした。リンクを開けば何かを盗られる、という感覚です。IPAの「情報セキュリティ10大脅威2026」の解説書は、不審なメールやSMSを受信して内容を見た時点では、情報を盗まれたり感染したりする可能性は低いと書いています。被害に遭うタイミングとして挙げているのは、誘導されたウェブサイトで情報を入力したときと、添付ファイルを開いたときです。

ページを表示するだけなら、届くのは前の章の項目が中心です。名前、メールアドレス、パスワード、カード番号は、入力して送信した時点ではじめて相手に渡ります。

IPアドレスだけで本人が分かるわけではない

IPアドレスは通信相手を区別する番号で、氏名を含みません。前の章のとおり、プロキシを通せばそのアドレスは別のものになります。ログから分かるのは「この時刻に、このアドレスから、このページが見られた」ところまでです。

ただし、情報が少ないことは安全の証明ではありません。ログが残ること自体が、「このページを見た」という痕跡になります。GMOが拡散を控えるよう呼びかけているのは、二次被害を避けるためです。

ブラウザの情報が「個人の識別」に使われる仕組み

User-Agentは識別に悪用されうる

MDNは、User-Agentを、サーバーがアプリケーション、OS、ベンダー、バージョンなどを識別できるようにする文字列と説明しています。同じページには、この情報が「フィンガープリンティングに悪用される可能性がある」ため、歴史的にプライバシー上の懸念を引き起こしてきたとも書かれています。

フィンガープリンティングは、端末ごとの細かな違いを組み合わせて、同じ端末を見分ける技術です。User-Agentはその材料の1つにすぎず、これだけで個人が特定されるわけではありません。

主要ブラウザは、見せる情報を減らしている

対応ブラウザは、懸念を減らすためにUser-Agentの情報量を削っています。MDNの例では、Android上のChromeで、機種名が「K」、OSのバージョンが「Android 10」という固定値になり、Chromeのマイナーバージョンは常に「0.0.0」と表示されます。もっと詳しい情報が必要なサーバーは、クライアントヒントという仕組みで、必要な項目を指定して求める形です。

「開いただけで感染する」は、どこまで本当か

水飲み場型攻撃は、サイトの改ざんが前提

IPAの解説書は、Webサイトの改ざんを使う「水飲み場型攻撃」を次のように整理しています。攻撃者は標的組織がよく使うサイトを調べて改ざんし、従業員がそのサイトにアクセスしたときに、偽装されたマルウェアのインストールを誘導します。つまり、サイトを開いたあとに、利用者が何かを実行する流れが書かれています。

IPAが2013年に紹介した欧州ネットワーク情報セキュリティ庁（ENISA）の資料には、ウェブサイトのHTMLにマルウェアを埋め込み、ブラウザの脆弱性を利用して「ウェブサイトを観るだけで感染する」ドライブバイダウンロード攻撃が、脅威の1位として載っています。こちらは、利用者が何かを実行しなくても起きる手口です。ブラウザやOSを更新して脆弱性を残さないことが、備えの基本です。

今回のサイトに当てはまるかは分からない

GMOの第10報は、アクセスした方の情報が取得されていると書いていますが、端末が感染するとは書いていません。感染の可能性がどの程度あるのかも示していません。私も、ここから先は憶測になってしまうので書けません。確かなのは、GMOが「アクセスしないでください」と明確に求めていることです。

なぜ攻撃者は公開サイトを用意するのか

支払いへの圧力として使われる

警察庁の令和7年の情勢報告は、データを盗んだうえで「対価を支払わなければ当該データを公開する」と要求する二重恐喝が、ランサムウェア被害の多くを占めると書いています。事業者の財務情報や個人情報が、ダークウェブ上のリークサイトに載った例も多数確認されているそうです。令和7年のランサムウェア被害報告件数は226件でした。

要求に応じない理由は、警察が説明している

同じ報告書で警察は、要求された金銭を支払うことについて、犯罪グループの活動資金になる懸念があること、暗号化されたデータの復号が保証されるわけではないことを被害者に説明していると書いています。GMOが「要求には応じません」としているのは、この考え方に沿う対応です。

一方で、要求に応じないと決めた企業は、情報が公開されるリスクを抱え続けることになります。企業にとって重い判断で、ニュースの見出しだけでは見えにくい部分です。

公開サイトを開いてしまったときに確認すること

GMOが呼びかけている行動

第10報は、端末のフルスキャン、バックアップ、ネットワークと電源の遮断、アカウントの保護を求めています。GMOは、パスワードや認証コードを同社から尋ねることはないとも書いています。「被害金を取り戻す」といった名目の費用請求にも応じないよう注意を促しています。

便乗詐欺に備えて、連絡の経路を固定する

事件の直後は、GMOや関係機関を装うメール、SMS、電話が増えると考えられます。第10報も、そうした連絡への注意を呼びかけています。届いたメールのリンクを開かず、自分でブックマークした公式サイトか、サービスのアプリから確認するのが確実です。

アカウント側の備えとして、二段階認証の仕組みを設定しておくと、パスワードが漏れても次のログインを止められる場合があります。ログインに使うパスワードを使い回している場合は、先に変更しておきます。

企業側は、公開された情報の扱いにも決まりがある

個人情報が漏えいした企業が、誰に、何を、いつまでに報告するかは、個人情報保護法で決まっています。この点は個人情報が漏えいしたら企業は誰に何をいつまでに報告するのかで整理しています。

見出しの熱と、確かめられることの差

「毎日公開」は予告であって、確認された事実ではない

報道では「毎日正午に公開」という攻撃者側の予告が目立ちました。GMOが確認したのは、27日12時30分に情報らしきものが公開されたことまでです。内容の真偽も確認中で、事実と異なる部分があるおそれにも触れています。見出しが大きいほど、確認済みの事実と予告を分けて読む必要があります。

私が確認できなかったこと

攻撃者のサイトがアクセスした人から何を取得しているのかは、公開された資料では確かめられませんでした。サイトを自分で開いて確かめることは、GMOの呼びかけに反するため、していません。この記事で説明したことは、一般的なウェブサイトの仕組みと、GMOの発表の範囲に限っています。

サイトへのアクセスについてのよくある誤解

見るだけなら何も記録されませんか

記録されます。ページを表示すると、IPアドレス、開いたページ、ステータス、Referer、User-Agentがサーバーのログに残るのが一般的です。ただし、氏名やパスワードは入力して送信しない限り含まれません。

IPアドレスが分かれば、名前も住所も分かりますか

IPアドレスそのものは番号で、氏名や住所は含みません。プロキシ経由なら、記録されるのはプロキシ側のアドレスです。個人の特定には、別の情報との組み合わせが必要になります。

開いてしまったら、すぐ端末を初期化すべきですか

GMOが求めているのは、端末のフルスキャン、バックアップ、アカウントの保護です。IPAは、不審なメールを見た時点では感染の可能性は低いとしています。まずは更新とスキャンで状態を確認し、不審な動きがあるときは、利用している事業者の窓口や警察に相談してください。

まとめ：サイトを開く前に、届く情報と届かない情報を分けて考える

ウェブサイトを開くと、IPアドレス、開いたページ、結果、参照元、ブラウザの情報が、運営者側のログに残ります。氏名、パスワード、カード番号は、入力して送信したときに渡ります。この区別を知っておくと、「開いただけで全部盗られる」でも「見るだけなら何も起きない」でもない、実際のところが見えてきます。

GMOの第10報は、公開された情報へのアクセスと拡散を控えるよう求めています。GMOは、アクセスした方の情報が取得されているという認識も示しています。開いてしまったときは、端末のスキャンとアカウントの保護、便乗詐欺への警戒を優先してください。最新の状況は、GMOインターネットグループの公式発表で確認できます。