サイバー安全保障・国際法・デジタル社会の信用
👁️ -- views
・慧通信技術工業株式会社
GMOの「第1号」要請を考える
記号が現実を代理する社会が崩れるとき｜ 能動的サイバー防御とは何か
記号と信用の歴史、国家によるアクセス・無害化措置の国際法上の意味、そして人間社会における信用の担い手を考える。
対象：経営者、インターネットインフラ・金融・情報セキュリティの実務者、法務・政策・監査担当者
論点：記号は現実を代理できるか。GMOの国家への要請が示す信用の限界と、人間だけが担える信用の最終的な保証を問う。
本稿の対象と前提：2026年10月24日15時までのGMO公表資料と、防衛省防衛研究所の公開論考などに基づく。GMOの「発動第1号」は同社による要請であって、政府による発動決定ではない。侵入経路、攻撃者の所在、他サービスへの影響、政府の実施判断について未確認事項を断定しない。
私たちの社会は、記号が現実を代理できるという前提の上に成立している。
銀行口座の残高を財産と認識し、証券口座の記録を権利として扱い、認証情報を本人の操作権限と判断する。現物を確認せずに取引し、契約し、資産を移転する。現代の資本主義は、その記録が正確であり、現実を正しく表しているという信用に支えられている。
しかし、その記録を作り、処理し、管理するシステム自体が侵害されたとき、私たちは何を根拠に現実を判断すればよいのだろうか。
2026年10月21日、日本有数のインターネットインフラ事業者であるGMOインターネット株式会社は、サイバー攻撃を受けた「お名前.com デスクトップクラウド」の全プランについて、サーバーの順次停止を開始した。3日後には不正アクセスと顧客情報の流出、金融取引への影響を公表し、政府に対して能動的サイバー防御の「発動第1号」として扱うよう緊急要請した。
インターネットインフラを担い、国内最大規模のホワイトハッカー組織を擁すると公表する企業集団が、国家による攻撃基盤への介入を求めた。 この出来事は、技術だけではなく、私たちが何を信用して社会を成立させてきたのかという問題を提起している。
1. 記号が現実を代理するという約束
銀行口座に表示される数字は、金庫に保管された紙幣の枚数そのものではない。預金者が金融機関に対して持つ権利を表している。電子化された証券についても、口座の記録と法制度を通じて保有や移転が規律される。
契約書の署名は本人の意思表示を示す証拠となり、ドメイン名とDNSは特定のインターネットサービスの所在を確認する手掛かりとなる。認証情報は、操作を実行する権限の確認に利用される。
私たちは記号そのものを信用しているように見えるが、実際には、記号と現実を対応させる仕組みを信用している。誰が作成し、誰が変更を承認し、間違いがあれば誰が訂正し、誰が責任を負うのか。それらを定める制度によって記号は社会的な意味を持つ。
記号そのものには、現実を保証する能力がない。記号が正しいと判断できる根拠が必要なのである。
2. 現物から記号へ――人類は信用をどう発展させたのか
記号によって現物を管理する歴史は古い。古代近東では、穀物や家畜の数量を数えるために粘土製のトークンが用いられた。一定の形が穀物の量を表し、別の形が家畜を表す。現物をその場に置かなくても、数量や取引を記録できるようになった。
考古学者デニース・シュマント＝ベッセラは、粘土トークンを使った計数と記録が、メソポタミアにおける文字・抽象的な数の表記へ発展する過程を研究している。これは文字の起源に関する代表的な研究の一つである。重要なのは、現物を扱うことと、現物を記録して管理することが分離した点にある。
商業の発展とともに帳簿の技術も高度化した。1494年にはルカ・パチョーリが複式簿記の技法を著書で体系的に紹介し、経済活動を複数の勘定の対応関係として記録する仕組みが普及していった。
銀行制度が発達すると、人々は貨幣そのものを運ばず、金融機関への請求権を記録することで支払いや取引を行うようになった。さらに、電子化された証券制度では、口座記録の変更が法的な権利関係を成立・変更させる場合がある。
ここには重要な転換がある。記号が単に現物を記録するだけでなく、記号の変更が社会的な権利関係そのものを変えるようになった。
この抽象化は、時間と距離を越える経済活動を可能にした。その一方で、資本主義社会は記録の真正性と、その管理制度への信用に強く依存するようになった。
歴史的背景：Denise Schmandt-Besserat, From Accounting to Writing／米国議会図書館「会計史」。
3. デジタル化は、記号と現実の距離を広げた
コンピューターと通信ネットワークは、記号の作成・保存・移転・処理を自動化した。金融取引、行政手続き、契約、製造設備の監視、医療情報の管理などがデジタル化され、人間が現物を直接確認しなくてもシステム間で処理できるようになった。
この仕組みは不可欠である一方、別の問題も生んだ。システムは定められた規則に従って入力を処理する。認証が成功すれば、権限を持つ利用者の操作として受け付ける。しかし、認証情報が正しいことは現実の本人が操作したことと同じではない。
取引が形式上正しく記録されたことは、本人がその取引を望んだことを必ずしも示さない。電子署名が検証できても、秘密鍵が正当な管理者の支配下にあったかどうかは別の問題である。
監視画面に「正常」と表示されても、監視する仕組みが侵害されていれば、実際の設備状態と一致しているとは限らない。記録の整合性を、その記録を作成したシステム自身だけで評価することには限界がある。
記号が正しく処理されることと、記号が現実を正しく代理していることは同義ではない。
4. 2026年10月21日――GMOのサーバー停止が問い直したもの
GMOインターネット株式会社の公表によれば、2026年10月19日に利用者からの問い合わせを受けて調査を開始し、20日には一部顧客のサーバー環境に不正プログラムが設置されていることを確認した。新規申込みとコントロールパネルを停止し、21日午前4時から被害拡大防止のため全プランのサーバーを順次停止した。
24日11時50分の第4報では、サービスのシステムにセキュリティ上の問題が存在したこと、不正アクセスと顧客情報の外部流出を確認したことを公表している。さらに、一部利用者から証券・FX等の取引口座で身に覚えのない取引が行われたとの報告を受けていることを明らかにした。
GMOはすべての現行利用者への一律5,000円のお見舞金と、個別調査によって認められた不正取引の実現損失に対する補償を表明した。また、侵害された既存基盤をそのまま再開せず、独立したクラウド基盤上の代替サービスへ移行する方針を示した。
重要なのは、クラウドが停止したことだけではない。本人の意思を確認するために使われてきた認証と、実際に行われた金融取引との対応関係が問題になったことである。
取引記録は形式的には成立していても、その操作が本人の意思に基づくとは限らない。デジタル社会では、記録と現実の間にある認証・権限管理そのものが信用の基盤となっている。
もちろん、報告された取引すべてについて原因や損失が確定したわけではない。今回の一件で金融制度全体が崩壊したと断定することもできない。2026年10月21日は、信用を支える仕組みの脆弱性が具体的に問われた象徴的な転換点として位置付ける。
出典：GMOインターネットグループ「第4報」（2026年10月24日11時50分）。
5. サービスを止めても、外部に残る権限は消えない
24日15時の第5報で、GMOは影響の可能性があるサーバーを26,739件と公表した。これは侵害が確認されたサーバーの数ではなく、影響対象となり得る数である。同社は侵入経路と影響範囲の調査を継続している。
第5報は、利用者に対して端末の検査とデータのバックアップ、取引ツール等のパスワード変更、証券・FX会社等における全セッションの切断を求めた。パスワードを変更しても、外部金融サービス側の仕様によっては、既存の接続セッションが一定期間維持される可能性があるからである。
元のクラウドサービスを停止しても、そこで使用された認証情報や接続状態が別のサービスに残っていることがある。サービスの停止と、外部に広がった危険の消滅は同じではない。
なお、利用者のPCやスマートフォンの検査要請は、二次被害を防ぐ予防的措置であり、すべての端末が侵害されたとの確認を意味しない。
記号を処理するシステムが停止しても、その記号によって成立した権限が別の場所に残ることがある。 デジタル社会の信用は、一つのシステム内では完結しない。
出典：GMOインターネット「第5報」（2026年10月24日15時時点）。
6. 危機を予見していたインターネットインフラ企業が当事者になった
今回の事案が特別なのは、被害を受けた企業がGMOインターネットグループだったことである。GMOはドメイン登録、ホスティング、クラウド、インターネット接続などの事業を通じて、社会のデジタル基盤を構成している。
GMOは2026年3月18日、「AI時代の国家サイバーセキュリティに対する提言書」を公表した。同月5日のGMO大会議での産官学の議論をまとめたものである。同提言書では、グループ約8,200人のうち約1,200人がセキュリティ業務に従事し、国内ホワイトハッカーの約半数が所属すると説明している。これらはGMO自身が公表した規模に関する数値である。
提言書は、AIによる攻撃の完全防御は不可能という前提に立ち、国家による能動的サイバー防御の運用基準、脅威情報の共有、国産の基盤整備、社会的なセーフティネットなどを求めた。文書・音声・画像など、人間の「信頼」そのものが攻撃対象となっていることも指摘している。
特に、認証情報の窃取段階で国家がいつ介入できるか、ボットネット停止や重大なランサムウェア被害をどの範囲で対象とするかといった具体的な運用基準を問題にしていた。
サイバー攻撃の危機を早くから認識し、技術と制度の両面から国家的な対応を提言していた企業が、約7か月後に自ら被害当事者となり、その制度の発動を求めた。
これはGMOの専門家が無力だったことを意味しないし、今回の要請の事業上の動機を推測する根拠でもない。しかし、高度な技術と人材を備えた企業であっても、被害への対応が自社の管理領域を越える場合があるという問題を示している。
出典：GMO「AI時代の国家サイバーセキュリティに対する提言書」（2026年3月18日、PDF）。
7. GMOは、どこまで侵害されたのか
GMOは自律システム（AS）を含むネットワーク、ホスティング、クラウドなどの基盤を運用する事業者である。一般の利用企業と比較すれば、仮想環境や物理環境を再構築するための設備と技術を持つ立場にある。
しかし、インフラを保有することと、その内部の侵害範囲を完全に把握できることは同義ではない。例えば、外部の攻撃者が一つの仮想マシンへ侵入し、クラウド内部の通信経路を通じて他の環境に移動する可能性がある。個々の顧客環境への侵入と、共通する認証・管理基盤の侵害では、影響範囲が大きく異なる。
今回、そのような内部横展開や共通管理基盤への侵害が確認されたわけではない。また、別のGMOサービスに侵害が及んだという証拠も示されていない。既存基盤を再開しない判断についても、侵害範囲を確定できなかったためなのか、安全確保のため全面刷新を選んだのかは、公表情報だけでは判断できない。
それでも、インフラ事業者として問われるのは、「どこまで侵害されたか」だけではない。
どこから先は侵害されていないと、何を根拠に確認できたのか。
ネットワークの境界、判断権限、認証、仮想化基盤、バックアップ、情報資産の保管場所、ログの独立性を調べなければ、その境界を示すことはできない。安全であるという説明と、その安全性を検証できることは違うのである。
8. 国家に「発動第1号」を要請する意味
10月24日の第4報で、GMOは今回を能動的サイバー防御の「発動第1号」事案として位置付け、政府関係機関へ攻撃基盤の追跡・遮断・無力化を求めた。
自社ネットワークの遮断や管理サーバーの隔離は、事業者自身が管理権限の範囲で実施できる。しかし、攻撃者が他国のクラウドや通信網を利用している場合、そこへアクセスして機能を停止させることは、民間企業の管理権限を越える。
さらに、攻撃に利用されたサーバーの所有者が、攻撃者本人とは限らない。第三者から奪取された環境や、共有基盤上にある仮想マシンという場合もある。
GMOが政府へ要請した背景には、流出した認証情報による被害が外部の金融サービスで継続する危険や、攻撃者側のインフラに民間事業者だけでは対処できない権限上の制約などが考えられる。ただし、政府による介入が唯一必要な手段であると技術的に確定したわけではない。
「発動第1号」という表現はGMO側の要請上の位置付けであり、日本政府による実際の発動決定を意味しない。
ここで一企業の事故対応は、国家がどの国の、誰の管理するコンピューターへ、何をすることが許されるのかという問題へ移る。
9. 能動的サイバー防御と「アクセス・無害化措置」
日本では2025年5月にサイバー対処能力強化法と関連整備法が成立した。2026年10月1日には、そのうち「官民連携の強化」と「アクセス・無害化措置」に関する規定が施行された。GMOの緊急要請は、その23日後に行われた。
能動的サイバー防御に関連する制度には、官民の情報共有、通信情報の利用、重大なサイバー攻撃に用いられる機器へのアクセス・無害化措置という、異なる柱がある。今回の要請で特に問題となるのは最後の措置である。
アクセス・無害化措置は、法令で定められた要件と手続きに従って、警察や自衛隊が攻撃に用いられるサーバーなどへアクセスし、不正な機能の停止や除去を図るものとして制度化されている。
これは、自社の機器を防御する行為と同じではない。また、通信情報を収集・分析する権限と、第三者のコンピューターへアクセスする権限も異なる。
政府の措置には、必要性の評価と承認手続き、国外の機器に対する場合の国際法上の適法性確認が必要になる。国家が措置を実施する能力を持つことと、個別の事件で実施してよいことは別である。
出典：内閣府「サイバー対処能力強化法及び同整備法の施行に関する関係省庁会議」。
10. 国際法上の評価――防御が他国の主権に触れるとき
2025年8月29日、防衛省防衛研究所は山口章浩研究員によるNIDSコメンタリー第394号「『能動的サイバー防御』導入と国際法上の評価――特に『アクセス・無害化措置』について」を公表した。
同論考は、アクセス・無害化措置が武力攻撃に対する自衛権行使を前提とした制度ではないことを明確にする一方、外国のICT機器への介入が主権侵害と評価され得る点、さらにその行為を国際法上どう正当化できるかを検討している。
10-1. 攻撃元のIPアドレスは、攻撃者の所在を証明しない
攻撃者がいる国、攻撃に利用されたサーバーの所在国、サーバーを所有する組織は一致しない。海外のクラウドインスタンスが第三者に奪われ、攻撃の踏み台に使われることもある。
そこで外国に所在する機器へ日本政府がアクセスし、プログラムや設定を変更する場合、その国の主権との抵触が問題になる。国際法上、どのような越境的サイバー行動が違法な主権侵害を構成するかについては各国の立場に差がある。
通信記録上の発信元という記号は、現実の攻撃者本人を意味しない。 国家の措置であるほど、対象の特定を誤った場合の影響は大きい。
10-2. 対抗措置として正当化できるのか
国際法上の「対抗措置」は、他国による先行した国際違法行為に対応するため、一定の要件の下で認められる枠組みである。先行する国際違法行為の存在と、その行為が国家に帰属することなどが問題となる。
単に外国のサーバーが攻撃に使用されたというだけでは、その国の政府が攻撃したことにはならない。国家に帰属しない犯罪集団の活動について、サーバー所在国にそのまま責任を負わせることはできない。
防衛研究所の論考は、国家の「相当の注意（due diligence）」義務違反という考え方にも触れるが、その適用にはなお議論がある。技術的な攻撃元の特定と、国家に対する法的な帰属判断は区別しなければならない。
10-3. 緊急避難として正当化できるのか
別の枠組みが、国際法上の「緊急避難（緊急状態）」である。対抗措置と異なり、相手国による先行した国際違法行為を必ずしも前提としない。ただし、援用条件は厳格である。
防衛研究所の論考は、国家の不可欠な利益、重大かつ急迫した危険、それを回避する唯一の手段であること、そして援用する国家が危険の発生に実質的に寄与していないことなどを挙げる。
特に「唯一の手段」は重要である。通信遮断、認証情報の無効化、パッチ適用、システム隔離、司法手続き、所在国との協力など、実効性のある代替措置が存在するなら、国外のシステムに直接介入する必要性は慎重に評価しなければならない。
なお、危険への「寄与」に関する条件は、緊急避難を援用する国家についての要件である。民間の被害企業に管理上の不備が存在したことだけで、国家が当然にその要件を満たさなくなるという意味ではない。
今回のGMOの要請が、こうした国際法上の条件を満たすかどうかは、公表情報だけでは判断できない。それは政府自身が個別の事実関係に基づいて検討する事項である。
10-4. サイバー防御は、戦争を意味するのか
国家が外国のコンピューターへ介入することは、それだけで直ちに戦争や武力行使を意味するものではない。アクセス・無害化措置は、武力攻撃に至らないサイバー攻撃への対応を念頭に置く制度である。
しかし、措置の規模と効果によっては他国の主権や第三者の権利に関わり、外国の重要インフラに重大な障害や物理的被害を生じさせるような場合には、国際法上の武力行使との関係も問題となり得る。
防衛研究所の論考は、段階的な対応計画、影響を限定する事前の試験、一定の情報公開を重視している。国家が防御のために行動する場合も、その必要性と影響を検証できなければならない。
デジタル社会の信用を守る国家行為にも、信用できる根拠が必要なのである。
国際法上の説明は、防衛研究所 NIDSコメンタリー第394号（山口章浩、2025年8月29日）に基づく。同論考は研究者の分析であり、今回のGMO事案に対する政府の法的判断を示すものではない。
11. 通信の秘密と、国家による判断の信用
能動的サイバー防御には、国外の機器への介入とは別に、通信情報の取得と分析という問題もある。日本では憲法と電気通信事業法によって通信の秘密が保護されており、通信の内容だけでなく当事者・通信先なども保護の対象となり得る。
攻撃の兆候を知るための通信分析と、第三者のコンピューターに介入する行為は、権限も制度も異なる。通信情報を取得できたとしても、そこから現実の行為者を直ちに特定できるとは限らない。
攻撃者は第三者の資格情報を悪用し、別の人物になりすまし、複数の国のクラウドを経由できる。IPアドレスや端末識別子が示すのは観測された技術的な事実であって、常に人物や国家への法的な帰属を示すわけではない。
だからこそ、国家による強い権限の行使には、独立した承認、監督、事後検証が必要になる。国家が判断したから正しいのではない。国家の判断も、正しいと判断できる証拠と手続きによって支えられなければならない。
12. 技術は、信用を担保できるのか
暗号技術は改ざんの検知に役立つ。電子署名は署名鍵と情報の対応関係を確かめる手段になる。監査証跡となるログやタイムスタンプは操作経緯の検証に利用できる。AIは大量の情報を比較・分析できる。
しかし、それぞれが保証できる範囲には限界がある。電子署名を検証できても、本人が自由な意思で内容を承認したとは限らない。ログに異常が見つからなくても、ログを記録する仕組み自体の安全性が保証されるとは限らない。
AIによる分析結果が整合的であっても、入力情報そのものが偽造されていれば、その結果が現実と一致するとは限らない。監視システムの表示と、物理的な設備の状態にも同じ問題がある。
技術が検証できるのは、定義された条件と観測可能な情報である。その検証結果をどう評価し、どのような行動を取るかを決める仕組みが必要になる。
技術を否定するのではない。技術が何を証明でき、何を証明できないのかを、人間が理解し判断する必要がある。
13. 記号から現物へ、デジタルから物理へ、匿名から実名へ
記号から現物へ
記号が何を代理しているのか、その対応関係を検証できるようにすることである。帳簿上の数量と実際の在庫を照合する。設備の運転記録と稼働状態を照合する。金融取引の記録と正当な権限、本人の意思を確認する。
もちろん、すべての権利に物理的な現物が存在するわけではない。預金や電子的な証券の権利は制度によって成立する。ここでいう「現物」は、記号の先にある現実の状態、権利関係、行為、本人の意思を含む。
記号そのものから、記号が表している現実へと確認を戻す。
デジタルから物理へ
デジタル情報が「正常」を示したとしても、物理的な設備や業務が実際に正常であることは別途確認が必要になる。例えば電力品質や設備の稼働状態を、独立した計測によって検証する方法がある。
記録を作成するシステム内部の整合性だけに頼らず、別の管理系統、独立した計測、現場での確認などで検証する。これはデジタルを捨てるという意味ではなく、デジタルを信用できるようにするため、その外側に検証の根拠を持つということである。
匿名から実名へ
すべての利用者に本名の公開を求めることではない。匿名性や通信の秘密には個人の自由と安全を守る役割がある。
一方で、他人の資産を動かす操作、重要なシステムの変更、公共サービスの停止・再開、国家による権限行使では、誰が承認し、誰が責任を負うのかが確かめられなければならない。
ここでいう実名は、単なる氏名表示ではなく、行為と権限を現実の責任主体に結び付けられることを意味する。実名でも不正は起きるし、現物でも偽装はできる。だからこそ複数の独立した証拠が必要なのである。
三つの転換に共通するのは、記号・デジタル・匿名性を否定することではない。それらの背後にある現実と、人間の意思、判断、責任を確認できるようにすることである。
14. 結論――人間が必要とする信用は、人間にしか担保できない
人類は、現物を記号に置き換えることで、時間と距離の制約を越えてきた。粘土のトークンから文字へ。文字から帳簿へ。帳簿から銀行や証券の制度へ。そしてコンピューターとインターネットへ。
記号を扱う技術の発達は、膨大な経済活動を可能にし、現代の資本主義社会を支えてきた。しかし、その記号を作成し、管理し、変更を承認する人間の存在は、デジタル化が進むほど見えにくくなった。
私たちは複雑なシステムの内部を確認することなく、そこから提示される結果を信用するようになっている。だが、システムが出力した記録と、それが代理する現実とは、同じではない。
2026年10月21日に始まったGMOの全プラン停止と、その後の能動的サイバー防御の「第1号」要請は、その信用が何によって成立しているのかを問い直す契機となった。
高度な技術と人材を備えたインターネットインフラ事業者が国家に介入を求める。国家が行動すれば、今度はその判断の根拠、法的権限、他国の主権、第三者への影響が問われる。企業にも国家にも、自らの判断を説明し、検証に耐える責任が生じる。
コンピューターは記録を処理できる。暗号は一定の改ざんを検知できる。AIは膨大な情報を分析できる。制度は権限を定めることができる。しかし、その結果を人間社会が信用してよいのかは、技術上の処理が完了しただけでは決まらない。
AIやデジタルは、人間社会が必要とする意味での信用を必要としない。自らの処理を成立させるために、認証・記録・検証という仕組みを利用する。しかし、それは技術的な信頼基盤であって、人間同士の約束や権利、意思、責任を自動的に保証するものではない。
AIやデジタルは、その処理の正しさを示す情報を生成できる。しかし、なぜその情報を信用する必要があるのか、信用が破られたとき誰を守り、誰が責任を負うのかという問いは、人間社会に属している。
人間の判断が常に正しいわけではない。だからこそ、独立した監査、複数の証拠、権限と責任の分離、誤りを訂正できる制度が必要になる。人間があらゆる情報を手作業で確認するのではない。人間が検証の仕組みを設計し、その結果を評価し、最後の判断に責任を負うのである。
記号から現物へ。デジタルから物理へ。匿名から実名へ。
それは過去への回帰ではない。記号やデジタルの背後にある現実と、行為の責任を担う人間を再び確認できるようにするということである。
信用とは、記号が正しいと信じることではない。記号と現実の対応を確かめ、その判断に人間が責任を負うことで成立する。
人間が必要とする信用を、最後に担保できるのは人間しかいない。
どれほど技術が高度化し、社会がデジタル化されても、AIやデジタルそのものが社会的な信用を必要とする主体になるわけではない。信用を必要とし、信用が失われた結果を引き受けるのは、人間社会なのである。
主要参考資料と検証上の留保
- GMOインターネットグループ「お名前.com デスクトップクラウドサービスに対するサイバー攻撃について（第4報）」（2026年10月24日11時50分）
- GMOインターネット「被害拡大防止のためのお客様へのお願い（第5報）」（2026年10月24日15時時点）
- GMO「AI時代の国家サイバーセキュリティに対する提言書」（2026年3月18日）
- 防衛省防衛研究所 NIDSコメンタリー第394号「『能動的サイバー防御』導入と国際法上の評価――特に『アクセス・無害化措置』について」（山口章浩、2025年8月29日）
- 内閣府「サイバー対処能力強化法及び同整備法の施行に関する関係省庁会議」
- Denise Schmandt-Besserat, “From Accounting to Writing”
- 米国議会図書館「History of Accounting: Early History to 17th Century」
本稿は2026年10月24日15時までの公表情報を基礎とする。GMO事案の侵入経路、確定した被害範囲、攻撃主体、他サービスへの影響、政府によるアクセス・無害化措置の実施について、未確認事項を事実として扱わない。国際法上の説明は防衛研究所の研究者による論考を参照したものであり、個別事案に対する政府の法的判断を示すものではない。