GMOインターネットグループが設ける総額上限100万ドルの懸賞金制度の概念図。国内外から寄せられた情報を確認・審査し、必要に応じて捜査機関と共有することで、犯人の特定や事件解明につなげる狙いがある。（編集部作成・概念図）
今回のニュースのポイント
GMOインターネットグループは、連結子会社が提供するサービスへの不正アクセス事件を受け、犯人の特定や検挙、事件解明につながる情報に対し、最大100万米ドルの懸賞金を設ける方針を示しました。攻撃者からの金銭要求を拒否し、情報提供を募る手法には海外にも前例があります。米仮想通貨大手Coinbaseは2025年に2,000万ドルの恐喝要求を拒絶し、同額の報奨金基金を設立しました。また、米Microsoftは2005年、ウイルス作成者の特定に協力した情報提供者2人への計25万ドルの報奨金支払いを発表しています。民間企業が情報提供を促して捜査機関と連携する試みですが、懸賞金の設定だけで事件解明が保証されるわけではありません。
本文
GMOインターネットグループは、連結子会社のGMOインターネットが提供する仮想デスクトップサービスへの不正アクセス事件を受け、犯人の特定や検挙、事件解明に役立つ情報の提供者に対し、総額上限100万米ドル（日本円換算でおおむね1億5,000万円規模）の懸賞金を設けると公表しました。同社は国内外の幅広い窓口から有力な手掛かりを募る計画で、2026年10月28日正午からの情報受付開始を予定しています。民間企業がサイバー攻撃者の脅迫に屈せず、逆に犯人追及のために資金を投じて情報提供を促す対応は、米国のテクノロジー大手など海外でも先例が存在します。
今回の事件は、同社の「お名前.com デスクトップクラウド」において、一部顧客のサーバー環境に不正プログラムが設置されたことから発覚しました。調査の結果、サーバーに保存されていた取引口座の認証情報などが外部へ持ち出され、身に覚えのない不正取引が行われた事態が確認されています。なお、影響を受けた可能性のあるサーバーは26,739件に上りますが、これは対象となり得る規模であり、被害確定件数ではありません。同社は攻撃者とみられる側から顧客口座への不正操作や情報公開、ランサムウェア攻撃などを引き換えとした金銭要求を受けましたが、情報の保全や不正利用抑止が担保されないとして要求を拒否し、警察当局へ証拠を提出して捜査協力を進めています。
企業が攻撃者の恐喝を拒否し、情報提供者への報奨金を掲げた類似の先例として、米Coinbase（コインベース）が2025年5月15日に発表した事案があります。同社では、外部の犯罪者が海外のサポート担当者の一部を買収して顧客情報を不正取得し、その情報を利用した詐欺の企図とともに2,000万ドルの支払いを要求しました。同社はこの要求を断固として拒絶し、要求額と同額となる総額2,000万ドルの報奨金基金を設立すると発表しました。犯人の逮捕や有罪判決につながる信頼できる情報への対価として報奨金を提示したこの対応は、恐喝者を利さず、捜査支援に経営資源を振り向ける象徴的な対応として注目を集めました。
さらに遡ると、民間企業が法執行機関と協力して報奨金制度を運用し、情報提供者への支払いを発表した事例として米Microsoft（マイクロソフト）の取り組みがあります。同社は2005年7月8日、世界規模の感染被害を引き起こしたコンピューターウイルス「Sasser」の作成者の特定に協力した2名の情報提供者に対し、合計25万ドルの報奨金を支払うと発表しました。Sasser作成者は2004年にドイツで逮捕され、2005年7月に有罪判決を受けました。同社は2003年に米連邦捜査局（FBI）や国際刑事警察機構（ICPO）などと連携する報奨金制度を設けており、犯人の逮捕・有罪判決を経て情報提供者への支払いを発表した事例です。
こうした犯人特定への報奨金や懸賞金は、サイバー攻撃者が要求するいわゆる「身代金（ランサム）」の支払いとは根本的に性質が異なります。身代金は犯罪組織の資金源となり再攻撃を誘発するリスクを孕む一方、報奨金は捜査機関への証拠提供を促すための手段です。また、自社システムの未知の脆弱性を発見した技術者に報酬を支払う「バグバウンティ（脆弱性報奨金制度）」とも異なり、すでに発生した犯罪行為の犯行主体を突き止め、刑事責任を追及することを目的としています。制度を設ける企業ごとに、対象となる情報の基準や審査手続きは厳格に規定されています。
ただし、どれほど高額な懸賞金を提示しても、それ単体で顧客被害の回復や自社の法的・社会的責任が果たされるわけではありません。GMOインターネットは今回の事態を受け、現在の利用顧客全員へ一律5,000円のお見舞金を支払うほか、独立基盤上の代替サービスを6か月間無償提供し、不正取引による実現損失を調査のうえ補償する方針を表明しています。さらに10月27日には、流出情報の公開が確認された顧客を対象に、情報の区分に応じた特別お見舞金を別途支払う方針も示しました。Coinbaseも被害顧客への補償や内部統制の強化を同時に発表していました。懸賞金はあくまで事件解明のための補足的手段であり、利用者保護とシステムの根本的な安全確保が何よりも優先されます。
企業がサイバー恐喝を拒絶し、犯人特定に役立つ情報に懸賞金を設ける動きは、国境を越えて暗躍する攻撃者に対抗する防衛策の一つです。Coinbaseが基金を設立し、Microsoftが情報提供者への報奨金支払いを発表したように、民間が資金を拠出して捜査機関を後押しする構図には実績があります。しかし、報奨金の設定が直ちに容疑者の拘束や被害の解消を担保するものではありません。徹底した顧客補償や抜本的な安全アーキテクチャの刷新、捜査当局との情報共有を同時並行で進めるなかで、この制度が機能するかどうかが問われることになります。（編集担当：エコノミックニュース編集部／Editorial Desk: Economic News Japan）
