GMO攻撃の犯人は北朝鮮ハッカー？5つのIP一致や犯人像・特定状況も

GMOインターネットグループへの不正アクセスをめぐり、攻撃側に北朝鮮系ハッカー集団が関与した可能性が浮上しています。

犯行声明サイトへのアクセス記録や通信ログなどから複数の痕跡が見つかる一方、米国や日本、中国、ロシアを連想させる情報も確認されており、複雑な犯人像が見え始めています。

北朝鮮との関係や5つのIPアドレスが意味するもの、現在どこまで犯人が特定されているのかを整理します。

GMO攻撃の犯人は北朝鮮ハッカー？

現時点で北朝鮮系ハッカーが犯人と正式に特定されたわけではありませんが、GMO側が北朝鮮系のハッカー集団が攻撃側にいる可能性が高いと分析していることが報じられています。

2026年11月1日、GMOインターネットグループへの一連の不正アクセスについて、北朝鮮系ハッカー集団の関与を示す複数の痕跡が見つかっていることが明らかになりました。

GMOは攻撃を受けたサービスへの通信ログや、攻撃に使われたとみられるプログラムなどを分析しているとされています。

こうした複数の情報を総合した結果、北朝鮮系ハッカー集団が関与している可能性が高いとみているようです。

さらに、分析内容については政府側にも報告したとみられています。

ただし、GMOや警察が「北朝鮮の特定のハッカー集団が犯人」と公式発表した段階ではありません。

そのため現状では、北朝鮮系ハッカーの関与が有力視され始めたものの、捜査や解析が続いている段階と考えるのが適切です。

北朝鮮説が浮上した理由は5つのIPアドレス

北朝鮮系ハッカーの関与を考える大きな材料となっているのが、犯行声明サイトに残されていたIPアドレスです。

共同通信がセキュリティー関係者の協力を得て解析したところ、犯行声明サイトが公開された直後に接続していたIPアドレスのうち5つが、過去に北朝鮮のハッカー集団が使用していたものと一致したと報じられています。

確認された情報	内容
IPアドレス	5つが過去に北朝鮮系ハッカー集団が使用したものと一致
確認された場面	犯行声明サイト公開直後のアクセス
GMO側の分析	北朝鮮系ハッカー集団が攻撃側にいる可能性が高いとみている
その他の痕跡	通信ログやプログラムなど複数の情報を分析
犯人の正式特定	現時点では発表されていない

特に注目されるのが、単に北朝鮮関連のIPアドレスが存在しただけではなく、犯行声明サイトが公開された直後に接続していた点です。

攻撃者やサイト運営者が、公開直後に正常に表示されているか確認していた可能性も考えられます。

一方で、IPアドレスは第三者に利用されたり、VPNや乗っ取られたサーバーなどを経由したりするケースがあります。

5つのIPアドレスが一致したことだけで、北朝鮮の人物が直接操作していたと断定することはできません。

北朝鮮以外にも米国・日本・中国・ロシアの痕跡

今回のGMO攻撃を複雑にしているのが、北朝鮮だけでは説明できない複数国の痕跡です。

犯行声明を掲載していたサイトでは、米国や日本などに関係する情報が確認されています。

サイトのドメインは米国企業から2026年9月1日に取得され、レンタルサーバーについても米国企業のサービスが利用されていたと報じられています。

さらに、ファイルの作成時間などは米国のタイムゾーンに設定され、使用されていたOSも英語版だったとされています。

一方で、閲覧者の記録を収集するプログラムの一部には日本語が含まれていました。

掲載されたファイルには中国製ソフトを利用した形跡も確認されています。

加えて、被害者に届いたメールの差出人にはロシア人のような名前が使われていたとされています。

米国、日本、中国、ロシア、そして北朝鮮と、あまりにも多くの国を連想させる痕跡が残っていることになります。

複数国の痕跡は「偽旗作戦」の可能性も

複数の国を思わせる情報が残されていることから、捜査をかく乱するための「偽旗作戦」が行われた可能性も指摘されています。

偽旗作戦とは、実際とは異なる国や組織が攻撃したように見せかけ、攻撃者の正体を分かりにくくする手法です。

例えば、ロシア人のような名前を使用したからといって、実際にロシア人が攻撃しているとは限りません。

英語版OSや米国のタイムゾーンについても、意図的に設定することは可能です。

日本語のコードについても、日本人が作成した証拠にはならず、翻訳ツールや生成AIを利用することもできます。

今回の犯行声明サイトでは人工知能を利用してコードを作成した可能性を示す特徴も指摘されています。

そのため、一つの痕跡だけを見て攻撃者の国籍や所在地を判断することは難しい状況です。

北朝鮮説が注目されている理由も、単なる文章表現などではなく、過去の北朝鮮系ハッカー集団の活動と重なるIPアドレスが複数確認されたことが大きいとみられます。

GMO攻撃の犯人像は？

現在までに判明している情報を見ると、単独の人物による単純な不正アクセスではなく、一定の技術や準備期間を持つ攻撃側の存在がうかがえます。

攻撃者はGMO側に金銭を要求したほか、犯行声明を掲載するためのサイトも用意していました。

さらに、別途「情報共有フォーラム」と呼ばれる被害者向けサイトについても、犯行声明サイトとの共通点が見つかっています。

情報共有フォーラムはGMOが不正アクセスを公表した10月21日より前から開設準備が進められていたことが確認されています。

犯行声明サイトと情報共有フォーラムでは、ソースコードの一部や全体構成が酷似していたほか、画像や文章を保管するフォルダー名などにも共通点があったとされています。

同じ米国系レンタルサーバー事業者が利用されていたことも判明しました。

攻撃側が被害者同士の情報交換を装ったサイトを用意し、被害者を集めることでGMOへの圧力を強めようとしていた可能性も指摘されています。

こうした動きが攻撃側によるものだった場合、システムへの侵入だけでなく、SNSやウェブサイトを利用した情報操作まで想定した攻撃だった可能性があります。

犯人はどこまで特定されている？

GMOはすでに「犯人の特定につながると考えられる有力な情報」を入手したと発表しています。

10月29日には、GMOグループのホワイトハッカーチームが独自調査で得た有力情報を警察や関係各所へ提出すると公表しました。

つまり、単に「北朝鮮かもしれない」という段階だけではなく、GMO側では犯人特定につながる情報の分析が進んでいます。

一方で、11月1日時点では犯人の氏名や所属組織、所在地などは公表されていません。

項目	現在の状況
犯人の氏名	公表されていない
国籍	確定していない
北朝鮮との関係	北朝鮮系ハッカー集団関与の可能性が高いとの分析
具体的な集団名	公表されていない
IPアドレス	過去に北朝鮮系ハッカーが使用した5つと一致
GMOの独自調査	犯人特定につながると考えられる有力情報を入手
警察	関係情報の提供を受け捜査

警視庁も不正アクセス禁止法違反などの疑いで捜査を進めています。

今後、通信記録やサーバー情報、海外当局との連携などによって、攻撃者の実態がさらに絞り込まれる可能性があります。

北朝鮮のどのハッカー集団なの？

北朝鮮系ハッカーの関与が報じられていますが、現時点で具体的なハッカー集団の名称は明らかにされていません。

北朝鮮系のサイバー攻撃をめぐっては、過去にも複数の集団が世界各国の企業や金融機関などを狙ったとして各国当局から指摘されてきました。

しかし、今回のGMO攻撃について特定の既知の集団と結び付ける公式発表は出ていません。

ネット上では過去の北朝鮮系ハッカー集団の名前を挙げる投稿も見られますが、現段階で同一視することはできません。

今後、マルウェアの特徴や過去の攻撃との共通点がさらに解析されれば、使用したグループや手口が明らかになる可能性があります。

GMOは約1億5000万円の懸賞金を設定

GMOは犯人の特定や検挙につながる情報を集めるため、「GMOサイバー犯罪撲滅・懸賞金」を創設しています。

報奨金の上限は100万米ドルで、参考換算額では約1億5000万円です。

10月28日12時に専用窓口が開設され、わずか6時間で113件の情報が寄せられました。

10月29日18時時点では321件、10月30日18時時点では累計428件まで増えています。

GMOは独自のホワイトハッカーチームによる調査と、外部から寄せられた情報の双方を精査しています。

一方でGMOは、一般の利用者が自ら犯人を特定したり、疑われる人物へ接触したり、確証のない情報をSNSに投稿したりしないよう求めています。

犯人とみられるサイトに掲載された情報やURLについても、被害拡大につながるとして転載や拡散を控えるよう呼びかけています。

約80億円を要求した攻撃者と同じグループ？

今回の事件では、GMO側が不正アクセスを確認した後、攻撃者から巨額の金銭を要求する脅迫メールも届いています。

GMOの発表では10月21日に脅迫メールを受信しており、要求額は約80億円とされています。

その後、攻撃者側はネット上で犯行声明とみられる情報を公開しました。

GMOは攻撃者からの要求には応じない方針を明確にしています。

金銭を支払っても取得された情報が削除される保証がなく、犯罪組織への資金提供となって新たなサイバー攻撃につながる恐れがあるためです。

現時点では、脅迫メールの送信者や犯行声明サイトの運営者、実際にシステムへ侵入した人物がすべて同一人物なのか、それぞれ役割を分担したグループなのかも明らかになっていません。

北朝鮮系ハッカー集団が関与していた場合でも、攻撃全体に複数の人物や組織が関与している可能性は残ります。

11月2日の熊谷正寿社長の会見にも注目

GMOインターネットグループの熊谷正寿社長は11月2日、今回の問題発生後初となる記者会見を開く予定です。

会見では、不正アクセスが発生した経緯やこれまでに確認された事実関係について説明するとみられています。

11月1日夜になって北朝鮮系ハッカー集団の関与が報じられたため、この分析についてGMO側から説明があるのかも注目されます。

特に、過去に北朝鮮系ハッカー集団が使用した5つのIPアドレス、犯人特定につながる有力情報、複数国の痕跡などについて新たな情報が示される可能性があります。

ただし、捜査中の情報については犯人に手の内を明かすことにつながるため、詳細が公表されない部分もあると考えられます。

まとめ

GMOインターネットグループへの不正アクセス事件では、北朝鮮系ハッカー集団が関与している可能性が新たに浮上しました。

• GMO側は北朝鮮系ハッカー集団が攻撃側にいる可能性が高いと分析していると報じられている。
• 犯行声明サイト公開直後に接続したIPのうち5つが、過去に北朝鮮系ハッカー集団が使用したものと一致した。
• 米国、日本、中国、ロシアなど複数国を連想させる痕跡も確認されている。
• 捜査をかく乱するための「偽旗作戦」の可能性も指摘されている。
• GMOはすでに犯人特定につながると考えられる有力情報を警察や関係各所へ提出している。
• 具体的な犯人の氏名や国籍、ハッカー集団名は公表されていない。
• 犯人特定につながる情報には最大約1億5000万円の報奨金が設定されている。

北朝鮮系ハッカーの関与を示す材料は増えていますが、現時点では「北朝鮮が犯人」と確定したわけではありません。

11月2日に予定されている熊谷正寿社長の会見や警察の捜査によって、攻撃を行ったグループの正体がどこまで明らかになるのか注目されます。