GMOの犯人特定と懸賞金：サイバー攻撃の犯人特定にAIを使う企業の実務手順

公開日：2026年10月29日更新日：2026年11月3日文：クリスタルメソッド編集部監修：河合継（代表取締役）

GMOグループの事案が示したこと

2026年10月29日、GMOインターネットグループの熊谷正寿会長兼社長は自身のX（旧ツイッター）に「犯人の特定につながる有力な情報を入手した」と投稿した（Yahoo!ニュース、NHKニュース）。情報はGMOの情報提供窓口に寄せられた情報と、社内ホワイトハッカーチームの活動から得たと説明された。攻撃者の身元・所在特定につながる情報には総額最大100万ドル（約1億5000万円相当）の懸賞金が設定された。懸賞金の発表から約6時間で113件の情報提供があったと報じられている（日本経済新聞）。個人情報を公開された被害者の家族へGMO幹部が謝罪したことも伝えられており、被害を受けた方々への深刻な影響が続いている。

この事案では、「攻撃者の特定」という従来は法執行機関が中心だった領域で、民間企業が社内チームの調査と情報提供窓口、懸賞金を組み合わせて情報を集めたと報じられている。収集した情報は同日中に警察へ提出する方針とされており、民間が集めた情報を捜査につなぐ流れは、他の企業・自治体にとっても参考になる。ただし、情報の確度や犯人の特定は捜査の結果を待つ必要があり、現時点で断定できるものではない。

サイバー攻撃の犯人特定がなぜ難しいのか

攻撃者を特定するには、残された痕跡をデジタルフォレンジックで収集・解析し、攻撃インフラの帰属（アトリビューション）を割り出す過程が必要になる。この過程には構造的な難しさが重なっている。

ログの量と速度の問題。現代の企業システムが生成するネットワークログ・認証ログ・エンドポイントログは規模によっては1日で数十GBに達する。インシデント発生後に「どのログをどの期間保全すべきだったか」が後手になるケースは、規模を問わず起きやすい。

痕跡の難読化と消去。攻撃者はTorやVPN、複数国の踏み台サーバーを経由して発信元を隠すことが一般化している。マルウェア自体がログを改ざん・削除するケースもあり、追跡可能な証跡が残らないまま時間が経過することがある。

国境をまたぐ管轄の問題。攻撃インフラが複数国にまたがる場合、証拠の保全には国際的な捜査協力が必要になる。民間企業が単独でできることは、自社の証跡を保全し警察・JPCERT/CCなどの専門機関に渡すことまでと考えるのが現実的だ。

図：サイバー攻撃犯人特定のプロセスと、AIが担える範囲（ログ収集・異常検知・攻撃元追跡）および人による最終判断との役割分担を示す。証跡保全フェーズから先は法執行機関との連携が不可欠になる。

次に読む：AIハッキングの主な被害一覧は？日本・世界

AIハッキングで情報漏洩が相次ぐ？日本・世界の主な被害一覧【2026年7〜11月】

犯人特定にAIが使える具体的な場面

平時の備え：追跡に使えるログを残す

攻撃の後で犯人に迫れるかどうかは、平時にどのログを残していたかで決まる。SIEM（Security Information and Event Management）にネットワーク・認証・エンドポイントのログを集めておけば、機械学習で通常と異なる通信を抽出する場合にも、事後の調査の手がかりとして使える。スキャン行為、認証の連続失敗、深夜の大量データ転送といった痕跡が残っていれば、侵入の時刻と経路をたどりやすい。

NLP（自然言語処理）を使ったログ解析ツールは、複数システムのログを横断して「どのアカウントがいつ・どのリソースにアクセスしたか」の文脈を自動で整理する。テキストマイニングの手法はセキュリティログの構造化にも応用されており、非定型フォーマットのログから意味のある特徴量を抽出する基礎として機能する。

攻撃後：ログ解析と攻撃元の絞り込み

インシデントが発生した後、攻撃者の侵入経路を再構成する「デジタルフォレンジック」では、AIが大量ログの中から攻撃に関係する痕跡を絞り込む作業を担える。実務で使われている技術は主に三つある。

TTP（戦術・技術・手順）照合：MITRE ATT&CKフレームワーク上の既知の攻撃パターンと、自社ログ内の行動シーケンスをAIが照合し、どのグループ・手口と類似するかを示す。完全な特定には至らなくとも、捜査の優先度付けに役立つ。
脅威インテリジェンス統合：外部の脅威インテリジェンスフィード（既知の悪性IPアドレス・ドメイン・ハッシュ値のデータベース）と自社のログを突合するプロセスは、AIによって大幅に自動化できる。人手では見落とすIPの評判情報をリアルタイムに照合できる。
マルウェア静的・動的解析：サンドボックス環境でマルウェアを実行し、その振る舞いをAIが分類する手法は、亜種への対応を速める。コードの類似性解析によって既知グループの改変ツールを識別するケースもある。

機械学習の基本的な仕組みを理解しておくと、ログ異常検知やマルウェア分類のモデルがどのように動作するかを評価する際の判断軸になる。

証跡の保全と整形：警察へ渡す準備

法的手続きや警察への提出を想定する場合、証跡は「改ざんされていないこと」の証明（チェーン・オブ・カストディ）が求められる。証跡の収集、タイムスタンプの付与、ハッシュ値による完全性の検証は、ツールで自動化して手作業の記録整理を減らせる。GMOの事案では、社内の調査や情報提供窓口で集めた情報を警察に提出する方針とされている。こうした「収集から提出まで」の作業は、整理や要約の部分をAIが支援できる場合があるが、証拠としての扱いは法務・警察と確認しながら進める必要がある。

誰の役に立つか：実務担当者の具体的な場面

AIを活用したサイバー攻撃対応が実務上の効果を期待できる組織とその場面を以下にまとめる。

組織別・場面別のAI活用の具体例
組織・担当者	具体的な課題	AIが担える役割
上場企業のSOC担当	膨大なアラートのトリアージが追いつかない	アラートの優先度自動ランク付け・誤検知フィルタリング
中堅製造業の情報システム部門	専任セキュリティ担当者がいない	異常検知の自動化でゼロデイ侵入の早期発見を補助
地方自治体のICT担当	ランサムウェア被害後の原因調査ができない	ログの自動収集・フォレンジックレポート生成
病院・医療機関	診療システムへの不正アクセスを見逃している	電子カルテシステムへのアクセス異常の検知
法務・コンプライアンス担当	インシデント後の証跡整理に時間がかかる	証跡パッケージの自動生成・タイムライン整理

AIでは補えないこと：現場が押さえるべき限界

AIの活用が現実的である一方、過度な期待は対応の抜け漏れに直結する。以下の点は、現時点のAIで解決できないか、解決が難しい領域だ。

最終的な帰属判断は人が行う。AIはログの統計的類似性やTTPの照合に基づいて「可能性が高い」候補を示せるが、それを犯人と断定する判断は法執行機関と人間の専門家が担う。誤ったアトリビューションは、無関係の組織や個人に不当な疑いをかけるリスクを伴う。

誤検知と見逃しは避けられない。機械学習モデルは学習データに含まれない新しい攻撃手法（ゼロデイ）に対しては弱い。過検知が増えると担当者はアラート疲れに陥り、本来重要なシグナルを見落とす逆効果が生じる。モデルの精度は定期的な再学習と運用での検証が前提になる。

多段の匿名化には追跡の限界がある。AIが攻撃元IPを特定できても、踏み台サーバーが複数国にまたがる場合は実質的な追跡が困難になる。民間が単独で攻撃者の物理的な所在を突き止めることは、国際的な司法共助の手続きなしには現実的でない。

監視の強化はプライバシーリスクと背中合わせだ。従業員のログを広範に収集・解析する体制は、適切な規程と周知なしに運用すると個人情報保護法上の問題が生じうる。セキュリティ目的であっても、監視の範囲・保存期間・アクセス権限を就業規則や内規に明文化しておく必要がある。

費用と専門性の壁がある。SIEMや脅威インテリジェンスフィードを組み合わせたフルスタックの監視基盤は、中小規模の組織には初期費用・運用費用ともに高い。マネージドセキュリティサービス（MSSP）の活用や、JPCERT/CCや警察（都道府県警察のサイバー犯罪相談窓口など）への相談窓口を先に使う判断も現実的な選択肢だ。

明日から試せる実務的な一歩

セキュリティ予算や体制が整っていない組織でも、今すぐ着手できる手順がある。

まずログの保存期間を確認する。インシデントは発生から発覚までに時間がかかることがあるため、ログの保存期間が短いと遡れない。現状の保存設定を確認し、不足があれば延長を検討する。次にJPCERT/CCの「インシデントハンドリングマニュアル」を読む。同機関が公開している手順書は、証跡保全の基本的なステップを無償で学べる一次情報だ。

組織として取り組むなら、脅威インテリジェンスフィードの試験的な統合から始めると費用対効果を測りやすい。無償公開データベース（AbuseIPDB、CIRCLのパッシブDNSなど）を既存のファイアウォールやSIEMに統合し、既知の悪性IPからの通信が遮断できているかを検証することで、有償サービスの導入判断の材料になる。

GMO事案が示したように、民間によるサイバー攻撃犯人の特定は、組織的な情報収集体制と法執行機関との連携があってはじめて機能する。AIはそのプロセスを加速する道具として機能しうるが、体制と連携の構築が先にある。

参考文献

Yahoo!ニュース https://news.yahoo.co.jp/articles/9a6434df169bc1aa92d3425ab88f0ee3420b3cb5
NHKニュース https://news.web.nhk/newsweb/na/nd-20261029de67553
KSB瀬戸内海放送 https://news.ksb.co.jp/ann/article/17004079
ライブドアニュース https://news.livedoor.com/article/detail/32683323/