GMOへのサイバー攻撃が示す工場DXの盲点｜製造業が見直す5つの対策

2026年10月19日、GMOインターネットが提供するクラウドサービス「お名前.com デスクトップクラウド」で不正アクセスの調査が始まり、21日には全プランのサーバーが順次止められました。この記事は、2026年10月27日15時時点で公表されている情報をもとに書いています。

狙われたのはFX（外国為替証拠金取引）の自動売買に使うWindowsの仮想サーバーで、製造業が被害を受けた事件ではありません。それでも、外部のクラウドに置いた認証情報が悪用され、事前に分かっていた課題が後回しになった構図は、遠隔保守を使う工場にも当てはまります。

侵入経路はまだ公表されていないため、この記事では手口を推測せず、公表された事実と工場側で確かめられることを分けて整理します。

この記事の内容は、動画でも解説しています。

GMOへのサイバー攻撃で何が起きたのか

対象の「お名前.com デスクトップクラウド」は、MT4やMT5といったFXの取引ツールを24時間動かすためのWindows VPS（クラウド上に借りる仮想サーバー）です。利用者はこのサーバーに取引ツールを入れ、取引口座のログイン情報を保存したまま自動売買を動かしていました。

事件の概要と時系列

GMOインターネットグループの公式発表（第2報）によると、10月19日に利用者からの問い合わせを受けて調査を始め、20日に一部のサーバーで不正なプログラムが置かれていることを確認しました。

同日に新規申込とコントロールパネルを止め、21日には被害の拡大を防ぐために全プランのサーバーを順次停止しました。発覚から全面停止まで、わずか3日ほどの動きです。

21日以降は、利用者から取引口座で身に覚えのない操作があったという報告が寄せられ、同じ21日には約80億円を要求する脅迫メールも届きました。攻撃者は10月27日12時に顧客情報を公開し、ランサムウェアで攻撃すると予告し、会社側は要求に応じない方針を示しています。

図1：公式発表から見た事件の時系列

発覚から1週間あまりで、サービス停止、脅迫、情報の公開まで進みました。

発覚と停止（10月19〜21日）

10/19調査開始利用者からの問い合わせを受けて調査を始める

10/20不正プログラムを確認新規申込とコントロールパネルを停止

10/21全サーバーを順次停止被害拡大を防ぐため停止。同日に約80億円を要求する脅迫メール

影響範囲の公表（10月22〜26日）

10/23影響の可能性26,739件確認された件数ではなく、対象となり得るサーバー数

10/24持ち出しを確認補償、見舞金5,000円、代替サービス6か月無償を公表

10/25代表ブログ改善すべき課題が事前に現場へ指摘されていたと説明

予告の当日（10月27日）

12:30情報の公開を確認攻撃者とみられる者による公開。内容は確認中

13:55ランサム攻撃は未確認この時点でランサムウェア攻撃は確認されていない

14:55アクセス・拡散の自粛を要請閲覧した人の情報も攻撃者に取得されていると公表

※GMOインターネットグループの公式発表（第2〜11報）と代表ブログをもとに作成。2026年10月27日15時時点。

この事件で製造業の読者が最も注目したいのは、代表の熊谷正寿氏が10月25日のブログで明かした経緯です。ブログには「社内のホワイトハッカーから改善すべき課題が事前に現場へ指摘されておりました」とあり、問題そのものは攻撃の前から社内で把握されていたことになります。

現場は指摘を受けて対策を進めていましたが、サービスの可用性（止めずに使える状態）への影響や、ほかの対処事項との優先順位を考えながら慎重に進めました。その結果、対応の深度とスピードが十分ではなかったと説明しており、この判断は後の章で工場の事情と並べて考えます。

公表された被害・対応と、まだ分かっていないこと

第3報では、影響の可能性があるサーバーを26,739件としています。ただし会社は「不正アクセスまたは情報取得が確認された件数ではありません」と明記しており、この数字は被害の件数ではなく、対象となり得るサーバーの数です。

第4報では「本サービスのシステムにセキュリティ上の問題が存在し」と認め、顧客の情報が外部に持ち出された事実を確認したと公表しました。一方で、持ち出された情報の種類や件数、身に覚えのない取引の件数や被害総額は示されていません。

図2：公表されていることと、まだ公表されていないこと

事実と推測を混ぜないために、分かっていることの範囲を確認しておきます。

公表されていること

公表されていないこと

原因

本サービスのシステムに「セキュリティ上の問題が存在」

侵入経路、悪用された脆弱性、攻撃の手法

影響範囲

影響の可能性があるサーバー26,739件、情報の外部持ち出しを確認

実際に侵入された台数、持ち出された情報の種類と件数

金銭の被害

身に覚えのない取引の報告がある

不正取引の件数と被害総額

脅迫

約80億円の要求。会社は応じない方針

攻撃者の正体と、公開された情報の真偽

ランサム攻撃

10月27日13時55分時点で確認されていない

今後の攻撃の有無

※要求額は公式発表で約80億円、代表ブログで5,000万ドル（約80億円）。攻撃者のサイトでは100万ドルとする報道もあり、数字が食い違っています。

会社が示した対応は、不正アクセスが原因と認めた取引の実現損失の補償、利用中の全顧客への一律5,000円の見舞金、独立したクラウド基盤による代替サービスの6か月無償提供です。現行のシステムは再開せず、利用者の同意なしに代替サービスへ移すことはしないとしています。

予告された27日には、12時30分に攻撃者とみられる者による情報の公開を確認したうえで、13時55分時点ではランサムウェア攻撃を確認していないと公表しました。

14時55分の第11報では、公開サイトにアクセスした人の情報が攻撃者に取得されていることを確認したとして、公開されたとする情報へのアクセスや拡散を控えるよう求めています。

今回の事件が製造業にとって他人事ではない理由

FXの取引用サーバーと工場の設備は、扱うものも求められる動き方も違います。重なるのは被害の中身ではなく、外部のサービスに置いた認証情報と接続経路に、事業の中核がぶら下がっている構造です。

今回の利用者は、クラウド上のサーバーに取引口座のIDとパスワードを置いていました。工場でも、設備メーカーの遠隔保守や、稼働データを集めるクラウドサービスに、設備や生産管理システムへ入るための認証情報を預けている例は珍しくありません。

図3：今回の事件と工場の遠隔保守の構図

どちらも「外部のサービス → 保存された認証情報 → 中核のシステム」という一本の道でつながっています。

※構図を比べた図で、工場で同じ攻撃が起きたことを示すものではありません。今回の侵入経路は公表されていません。

クラウドと外部サービスへの依存

生産計画、設備の稼働監視、品質記録などをクラウドで扱う工場は増えています。クラウドの運用は事業者が担うため、自社が直接手を出せない部分の安全性を、契約と確認でしか担保できない点が今回の利用者と同じです。

遠隔保守の接続

設備メーカーや保守会社が、工場の外から設備の状態を見たり設定を変えたりする遠隔保守は、移動の手間を省ける便利な仕組みです。一方で、工場のネットワークに外から入る入口が常に開いていることになり、入口の管理と保守用IDの管理が甘いと、その道がそのまま侵入の道になります。

警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」では、2025年のランサムウェア被害の報告226件のうち、製造業が約4割と業種別で最も多くなっています。

同じ報告の被害組織へのアンケートでは、侵入経路の6割以上がVPN機器（外から社内に入るための接続装置）でした。工場の外と内をつなぐ入口が、実際に狙われやすい場所だと分かります。

産業用IoTと外部通信

古い設備にセンサーや通信機器を後付けしてデータを集める取り組みは、古い設備のIoT後付けのように現場主導で進むことが多い分野です。通信機器の初期パスワードが変えられていない、誰が設置したか台帳に残っていない、といった状態は、外部とつながる新しい入口を管理の外に置くことになります。

設備監視・生産管理システムとの共通点

経済産業省の「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」では、スマート化で外部ネットワークとの接続が増えたと整理されています。従来は閉じていた工場の制御システムも、攻撃を受けるリスクが高まっています。

外部とつながる入口が増えた工場ほど、自社も攻撃を受けうるものとして対策を考える必要があります。

設備の監視画面や生産管理システムは、24時間止めずに動かすことを前提に組まれています。今回のサービスも取引ツールを24時間動かすためのもので、止めにくいシステムほど更新や対策の時間が取りにくいという点でも共通しています。

製造業でサイバー攻撃が発生した場合の3つのリスク

工場が攻撃を受けたときの影響は、情報が漏れるだけにとどまりません。ここでは侵入の手口ではなく、侵害が起きたあとに生産・品質・顧客対応へどう波及するかを3つに分けて見ます。

図4：工場で攻撃が起きたときの3つのリスク

止まる、漏れる、書き換えられる。影響は生産・取引・品質の3方向に広がります。

RISK 1設備停止による生産損失受注・出荷が止まり、納期遅れと復旧費用が重なる

RISK 2製造条件・技術情報の漏洩加工条件や図面、顧客から預かった仕様が外に出る

RISK 3設備制御・製造データの改ざん設定値や検査記録が書き換えられ、品質の証明が揺らぐ

※一般的なリスクの整理です。今回の事件で工場への影響は報じられていません。

設備停止による生産損失

生産管理や受発注のサーバーが暗号化されると、設備そのものが無事でも、何をいくつ作り、どこへ出荷するかが分からなくなってラインは止まります。

警察庁の同じ報告では、2025年に被害の事例として、飲料メーカーで受注・出荷が止まり、通販事業者でも受注・出荷に影響が出たケースが挙げられています。

被害組織へのアンケートでは、調査・復旧に総額1,000万円以上かかった組織が5割を超え、1か月未満で復旧できた組織は5割強にとどまりました。止まった期間の売上と納期遅れの調整まで含めると、影響は復旧費用より大きくなります。

製造条件・技術情報の漏洩

工場のサーバーには、加工条件、レシピ、図面、検査基準など、長年の改善で積み上げた技術情報が入っています。顧客から預かった図面や仕様が漏れれば、自社の損失だけでなく取引先への説明と信頼回復が必要になり、取引の継続そのものに関わります。

設備制御・製造データの改ざん

設備の設定値や検査記録が気づかないうちに書き換えられると、不良品が流れるおそれに加えて、過去の製品が規格どおりだったと証明できなくなります。品質記録を信頼できなくなると、出荷判定や顧客への品質保証の根拠が失われるため、影響は情報漏洩より長く尾を引きます。

なぜセキュリティ上の問題が放置されるのか

GMOの公表から読み取れるのは、課題が指摘されていたこと、現場は対策を進めていたこと、可用性や優先順位を考えた結果として深度とスピードが足りなかったこと、の3点です。指摘されていた課題の中身は公表されていないため、ここから先は工場に当てはめた考察として読んでください。

工場で同じ状況を言い換えると「生産を止められないから、更新は次の長期休暇まで待つ」という判断になります。保全や生産技術の担当者にとって、この判断は日々の業務の一部で、悪意や怠慢ではなく、目の前の納期を守るための合理的な選択として行われています。

図5：「止められない」と「直したい」の天秤

可用性を守る判断が続くと、課題を知っていても対策の着手が先に延びていきます。

可用性を守りたい生産を止めない、納期を守る、顧客に迷惑をかけない

判断「次の停止の機会まで待つ」

対策を進めたい更新・設定変更・接続の見直しには停止や検証が要る

先送りが続くと

課題を知っているのに、穴が開いたままの期間が長くなる攻撃者はその期間を待ってはくれない

そこで必要なのは

停止の機会と対策をあらかじめ計画に入れる保全の計画停止と同じ枠で、セキュリティの更新日を決めておく

※GMO代表ブログの「可用性への影響や他の対処事項との優先順位」を、工場の判断に置き換えて整理した図です。

設備停止を伴う更新の難しさ

設備に付いたパソコンや制御機器のソフトを更新すると、再起動や動作確認のために設備を止める必要が出ます。更新後に設備が正しく動くかを設備メーカーが確かめていない場合もあり、直したことでラインが動かなくなる不安が、現場を更新から遠ざけます。

費用と投資効果が見えにくい

新しい設備なら生産能力や不良率の改善で効果を説明できますが、セキュリティ対策は「何も起きない」ことが成果です。そのため稟議で優先度が下がりやすく、ほかの設備投資や修繕と並べると、後回しになりやすい構造があります。

IT部門と現場の認識差

情報システム部門は事務用パソコンやサーバーを守る発想で、現場は設備を止めない発想で動いています。工場のネットワークや制御機器がどちらの担当か決まっていないと、誰も全体を見ていない領域が生まれ、遠隔保守の接続口などがその隙間に入り込みます。

把握しても進まない組織の課題

今回の事件で目を引くのは、課題を見つける人がいて、現場も対策に着手していた点です。それでも間に合わなかったのは、優先順位を決める立場の人が、止めるリスクと止めないリスクを同じ物差しで比べられなかったためと読めます。

工場でも、課題の一覧を作るだけでは対策は進みません。どの課題をいつまでに直すか、そのためにいつ設備を止めるかを、経営者や工場長が生産計画と同じ場で決める仕組みがあるかどうかで差が出ます。

製造業が見直すべき5つのセキュリティ対策

まず手を付けたいのは、外から入れる接続口の一覧、保守用IDの持ち主、戻せるバックアップの3点です。これらは設備を止めずに確認でき、今回の事件の構図とも直接重なるため、点検の入口に向いています。

図6：製造業が見直したい5つの対策

接続口と認証情報から始め、分離・更新・復旧・委託先の順に広げていきます。

01遠隔アクセスと認証情報の管理接続口の一覧、保守用IDの持ち主、使わないIDの削除

02IT・OTネットワークの分離事務系と設備系を分け、つなぎ目の通信を絞る

03設備・サーバーの脆弱性管理機器の台帳を作り、更新の予定を計画停止に組み込む

04バックアップと事業継続計画切り離した保管と、実際に戻せるかの訓練

05外部委託先・クラウド事業者の管理責任の分担と、事故時の連絡を契約で決める

※経済産業省の工場セキュリティガイドライン、IPAの制御システムのリスク分析ガイド、警察庁の報告をもとに整理。

1 遠隔アクセスと認証情報の管理

最初に、工場の外から設備や社内システムに入れる接続口を洗い出します。設備メーカーの遠隔保守、クラウド型の稼働監視、在宅勤務用のVPN装置など、入口がいくつあり、それぞれ誰が管理しているかを一覧にするところからです。

遠隔保守については、次の点を保守会社と一緒に確かめておくと、管理の抜けが見つかりやすくなります。

• 接続口がどこにあり、常時つながっているか、必要なときだけ開けるか
• 保守用IDを誰が発行し、誰が使っているか（共用IDになっていないか）
• 接続を許す時間帯と、接続の記録が残っているか
• 担当者の異動・退職や契約終了のときにIDを無効にしているか

今回の利用者は、取引口座のIDとパスワードをサーバーに保存していました。工場でも、設備のパソコンや共有フォルダにパスワードを書いたファイルが置かれていないか確かめ、使えるサービスでは二段階認証を設定します。

警察庁の報告も、侵入に悪用されるものとして漏えいした認証情報や簡易なパスワードを挙げており、保守用IDの使い回しや初期設定のままのパスワードは早めに見直したい項目です。

2 IT・OTネットワークの分離

OT（Operational Technology：設備や生産を動かす制御の技術）のネットワークと、事務用のITネットワークが一つにつながっていると、事務用パソコンの感染が設備側まで広がります。

同ガイドラインの別冊（スマート化を進める上でのポイント）は、業務と守る対象の重要度を整理したうえで、ゾーン（区画）に分けて区画ごとに対策を決める進め方を示しています。区画の境目を決めれば、感染が広がる範囲も限られます。

分離といっても、完全に切り離す必要はありません。生産実績をITに渡すなどの必要な通信だけを通し、つなぎ目の通信の向きと相手を決めておくことが基本です。スマートファクトリーの仕組みのようにデータを上位へ集める構成ほど、つなぎ目の設計が重要になります。

3 設備・サーバーの脆弱性管理

脆弱性（ソフトの欠陥で攻撃に使われる弱点）を管理するには、まず設備に付いたパソコン、制御機器、ネットワーク機器の台帳が要ります。機種、ソフトの版、外とつながるかどうかを書いておけば、注意喚起が出たときに自社に関係があるかをすぐに判断できます。

更新すべきものが分かったら、設備メーカーに動作確認の状況を問い合わせ、年末年始や夏季の計画停止に作業を組み込みます。すぐ更新できない機器は、外との接続を切る、通信相手を限るといった代わりの対策で穴をふさいでおきます。

どこから手を付けるか迷う場合は、IPAの「制御システムのセキュリティリスク分析ガイド」が参考になります。2026年4月に改定された第2版では、資産ごとに重要度と脅威を評価する方法と、攻撃のシナリオから事業への被害を考える方法の2つを、分析シート付きで解説しています。

4 バックアップと事業継続計画

警察庁の報告は、攻撃者が侵入後にバックアップを探し、復旧を妨げるためにバックアップも一緒に暗号化される場合が多いと説明しています。ネットワークから切り離した保管先を用意し、生産管理のデータだけでなく、設備の設定値やPLC（設備を動かす制御装置）のプログラムも対象に入れておきます。

バックアップは取るだけでなく、実際に戻せるかを試しておくことが大切です。あわせて、異常に気づいたときの連絡先、ネットワークを切り離す判断を誰がするか、JPCERT/CCや警察への報告をどこが担うかを決めておくと、初動で迷いません。

取引先への影響まで含めた備えは、サプライヤーBCPと調達リスクの考え方と組み合わせます。自社が止まったときに代わりの生産や出荷の手段があるかも、事業継続計画で確かめておきたい点です。

5 外部委託先・クラウド事業者の管理

IPAの「情報セキュリティ10大脅威 2026」では、組織向けの1位がランサム攻撃、2位がサプライチェーンや委託先を狙った攻撃でした。クラウド事業者や保守会社を使うときは、どこまでが相手の責任で、どこからが自社の責任かを契約や仕様書で確かめておきます。

取引先から求められる対策の水準は、セキュリティ対策評価制度（SCS）のように制度としても整い始めているため、委託先に求める内容と自社が求められる内容を同じ表で整理しておくと効率的です。

5つの対策を、確認するものと担当に分けて表にまとめます。担当は会社の規模で変わるため、目安として使ってください。

対策	確認するもの	主な担当	実施済みと言える目安	停止・ベンダー調整
遠隔アクセスと認証情報	外から入れる接続口、保守用ID、保存されたパスワード	情報システム、設備保全	接続口とIDの一覧があり、持ち主と無効化の手順が決まっている	保守会社との調整が要る
IT・OTネットワークの分離	ネットワークの構成図、つなぎ目の通信	情報システム、生産技術	区画が図になっており、つなぎ目で通す通信が決まっている	構成変更は停止が要ることが多い
設備・サーバーの脆弱性管理	機器の台帳、ソフトの版、更新の予定	設備保全、設備メーカー	台帳があり、更新の予定が計画停止に入っている	動作確認でメーカーとの調整が要る
バックアップと事業継続計画	切り離した保管、設定値・PLCプログラム、初動の連絡先	情報システム、工場長	復元を試したことがあり、切り離しの判断者が決まっている	復元の試験に停止枠が要ることがある
委託先・クラウド事業者	契約の責任分担、事故時の連絡、相手の対策状況	購買、情報システム	契約書に連絡の期限と責任の範囲が書かれている	契約の見直しで調整が要る

工場DXではセキュリティも設備投資の一部と考える

工場DXの投資計画では、センサーやクラウド、遠隔保守の導入費は見積もられても、その接続を守る費用と停止の時間は別枠のまま後回しにされがちです。つなぐ投資と守る投資を同じ稟議に載せることで、今回のような「分かっていたのに間に合わない」状態を減らせます。

考え方の手本は、すでに工場にある設備保全です。保全では点検の周期を決め、予備品を持ち、年に数回の計画停止で部品を替えています。セキュリティの作業も同じ仕組みに乗せれば、新しい組織や特別な予算の枠を作らなくても回し始められます。

図7：設備保全の仕組みに乗せるセキュリティ

保全で回している4つの仕組みに、サイバー対策の作業をそれぞれ対応させます。

保全台帳→ 機器とソフトの版の台帳

定期点検→ 接続口とIDの棚卸し

計画停止→ ソフト更新と復元の試験

予備品→ 切り離したバックアップ

※保全の周期の決め方は、TBM（時間基準保全）・CBM（状態基準保全）の考え方がそのまま使えます。

計画停止と保全計画に組み込む

保全の年間計画を作るときに、ソフトの更新やバックアップの復元試験を同じ停止枠の作業として書き込みます。TBMとCBMの使い分けと同じように、周期で必ずやる作業と、注意喚起が出たときに前倒しする作業を分けておくと、止められない設備でも更新の機会を確保できます。

経営者と技術者がそれぞれ考えること

経営者や工場長が決めるのは、どの設備をどれだけ止めてよいか、その判断を誰に任せるかです。今回の事件のように「可用性との優先順位」で対策が遅れる事態を防ぐには、止める判断の権限と、止めたときの生産・納期の調整を前もって決めておく必要があります。

技術者の側は、台帳と接続口の一覧を整え、更新に必要な停止時間と設備メーカーの確認状況を、経営が判断できる形で示します。セキュリティの知識を持つ人材が社内に少ない場合は、製造業のリスキリングの一環として、保全や生産技術の担当者が基礎を学ぶ機会を作るのも一つの方法です。

GMOサイバー攻撃と工場セキュリティのよくある質問

GMOの事件で製造業の企業に被害は出ていますか？

2026年10月27日15時時点で、製造業の企業に被害が出たという公表や報道は確認されていません。対象はFXの自動売買に使うWindowsの仮想サーバーで、この記事では工場と構図が似ている点を教訓として扱っています。

侵入経路はリモートデスクトップや古いOSだったのですか？

侵入経路や悪用された脆弱性、攻撃の手法は公表されていません。会社はセキュリティ専門会社や外部の専門家と原因を調べているとしており、現時点で特定の経路を断定する根拠はありません。

公開されたとされる情報を確認してもよいですか？

確認は避けてください。GMOは第11報で、公開サイトにアクセスした人の情報が攻撃者に取得されていることを確認したとして、アクセスや拡散を控えるよう求めています。すでにアクセスした場合は、ウイルス対策ソフトでフルスキャンするよう呼びかけています。

中小の工場は何から始めればよいですか？

外から入れる接続口と保守用IDの一覧づくり、切り離したバックアップの用意から始めるのが現実的です。経済産業省のガイドラインにはチェックリストが付いており、JPCERT/CCも工場の産業用IoT導入向けの手引きや自己評価ツールを公開しています。

まとめ

工場のセキュリティは、情報システム部門だけでなく、設備を日々見ている保全や生産技術の担当者が加わることで実効性が上がります。関連する職種は設備保全や生産技術、技術テーマとしてはスマートファクトリー・IoTの記事もあわせてご覧ください。

出典

出典・参考資料（9件）を開く出典・参考資料を閉じる

• 事件の経緯・公式発表（第2〜11報）：GMOインターネットグループ「重要なお知らせ」（第2報、第3報、第4報、第7報、第10報、第11報）
• 事前の指摘と対応の経緯：熊谷正寿 代表ブログ（2026年10月25日）
• 攻撃者サイトでの要求額の報道：ITmedia NEWS（2026年10月27日）
• ランサムウェア被害の件数・業種・侵入経路・復旧：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」
• 工場セキュリティの進め方：経済産業省「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」
• リスク分析の方法：IPA「制御システムのセキュリティリスク分析ガイド 第2版」
• 組織の脅威の順位：IPA「情報セキュリティ10大脅威 2026」
• 産業用IoT導入の手引き・自己評価ツール：JPCERT/CC 制御システムセキュリティ
• 政府のサイバーセキュリティ施策：内閣官房 国家サイバー統括室