GMOへのサイバー攻撃を取り上げたTBSの『news23』の画面から、攻撃者の正体がわかった、という話でネットが沸いています。

IPアドレスにはモザイクがかかっていたのに、すぐ下に映ったXのアカウント名にはかかっていなかった、というのです。

「逮捕秒読み」「もうマンションまで特定されたらしい」という声まで出てきました。

GMOを脅し、何の落ち度もない利用者の個人情報までさらした相手ですから、早く捕まってほしいと思うのは当たり前のことですよね。

ただ、あの画面を落ち着いて見直すと、本当に大事な手がかりは、モザイクの内側に隠れていたもの。

今回は、画面に映った名前は本当に犯人のものなのか、そして逮捕はどこまで近いのかを調べてみました。


犯人と呼ばれた一行の正体

2026年10月30日の夜、TBSの『news23』が伝えたのは、GMOへの攻撃をめぐる「攻撃者の重大ミス」。

狙われたのは、FXの自動売買などに使われていた「お名前.com デスクトップクラウド」というサービスです。

攻撃者は10月21日にGMOへ脅迫のメールを送ってお金を求め、27日の正午を過ぎると、利用者の個人情報を自分たちのサイトに出し始めていました。

その脅迫サイトには訪れた人の記録を残す仕組みがあり、その記録がうっかり外から見える状態になっていた、とのこと。

 

分析したアンノウン・テクノロジーズの切敷裕大さんは、番組で「攻撃者は意図せず、ウェブサイトに訪問した人たちの記録を誤って公開していた」と話しています。

画面に映ったのは、切敷さんの分析の一覧でした。

サイトの記録が時刻の順に並び、ファイルを書き換えた「編集」と、ページを見に来た「訪問」が書き分けられた形。

書き換えの直後に、同じ種類のブラウザからの訪問が3回続いていて、切敷さんはこれを「攻撃者本人がこのサイトを閲覧しに来て、自分の足跡を残していった」と説明しています。

その3行のIPアドレスには、しっかりモザイクがかかっていたのです。

IPアドレスというのは、ネットにつながった機器に割り振られる、住所のような番号のこと。

 

そして問題の行は、そのすぐ下にあります。

時刻は2026年10月22日の22時59分6秒で、種類の欄には「編集」でも「訪問」でもなく「SNS」の文字。

あるXのアカウント名と「暴露サイトを紹介投稿」という言葉が、モザイクなしで並んでいました。

この行が切り抜かれて広まり、ネットではそのアカウントが「犯人」と呼ばれ始めます。

同時に、そのアカウントのリンクは踏まないでほしい、と呼びかける人も出てきました。

ただ、「SNS」の行はサイトの中に残っていた記録ではなく、Xに出ていた投稿を、分析の一覧に時刻の順で差し込んだものとみられます。

事件の記録を集めて公開している個人のサイト「satoru.net」でも、このアカウントが同じ22時59分に、脅迫サイトを紹介する投稿をXに出していた記録が残っていました。

番組の大きな字幕が伝えていたのも「3つのIPアドレスが攻撃者が使ったと強く推認される」という中身で、アカウントについては何も言っていません。

広まった画像の「犯人のものと思われるXアカウント」という赤い文字は、番組の白と黄色の字幕とは色も書体も違っていて、切り抜いて広めた側が書き足したものとみられます。

TBSがなぜその行を隠さなかったのかについて、番組の側からの説明は出ていません。

 

マンション特定の正体は80台の端末

では、マンションまで特定という噂は、どこから来たのでしょうか。

出どころは、同じTBSの放送でした。

切敷さんは3つのIPのうち1つについて、「このIPアドレスを使っている端末が80とか結構多いという情報がある」と話しています。

番組はこれを、80世帯が住むマンションのような場所からのアクセスだと伝えました。

攻撃者はふだん仮想のサーバーを経由して足跡を消していたのに、一度だけ集合住宅のような場所からアクセスしていた、という分析です。

どこの建物なのかは、放送では明かされていません。

80台の端末がひとつのIPを使うのは、マンションの住人がひとつの回線を分け合って使っているような形です。

 

切敷さん自身の言葉は「一番細かく絞れて”どこどこマンション”だとは思う」でした。

一番細かく絞っても建物までで、80台のどれなのか、どの部屋の誰なのかまでは、この記録だけでは届きません。

同じ放送で、日本ハッカー協会の杉浦隆幸代表理事は「犯人の可能性が高い、可能性がある人を情報として送った。連絡先・住所・氏名は入っている」と話しています。

ただし、送った先はGMOで、ネットに出したわけではありません。

しかも杉浦さん自身が「可能性が高い、可能性がある」と言葉を選んでいて、まだ犯人だと決まった人の話ではないんです。

GMOも10月29日の第15報で、犯人の特定につながると考えられる情報を入手し、その日のうちに警察と関係各所へ提出すると書きました。

住所や名前が入った情報は、すでにネットの外、捜査する側の手もとに渡っているということ。

マンション特定という言葉は、たしかに番組の中から出ていました。

けれど、その言葉が指しているのは80台の端末がある建物で、まだ誰かひとりのことではないんです。


そのIPの先にいるのは誰か

早く捕まってほしい気持ちとは別に、詳しい人たちからは、IPという手がかりそのものに慎重な見方も出ていました。

ひとつは、記録の取り方です。

satoru.netは、脅迫サイトがIPを記録するとき、見に来た側が「自分のIPはこれです」と名乗る欄も読み取る作りになっていて、名乗りしだいで別の番号を残せたと指摘しています。

サイトが拾っていたIPを、そのまま本当の居場所と読むのは危ない、という見方です。

もうひとつの見方が、踏み台。

踏み台というのは、他人の機器や回線を勝手に中継地点にして、自分の居場所をごまかすやり方のこと。

ITジャーナリストの山口健太さんも、Yahoo!ニュースのエキスパート記事で、記録されていたIPについて「海外からの踏み台にされた可能性に留意したほうがよさそう」と書きました。

ネットにつながる家庭の機器が、持ち主の知らないうちに中継に使われる問題があるからだそうです。

もしそうなら、噂の建物の住人は、回線を使われただけの被害者かもしれません。

 

では、画面に名前が映ったアカウントは犯人なのか。

いまの時点で、その持ち主を犯人だと言える材料は出ていません。

事件の前後に不自然な動きをしていたと調べているsatoru.netでさえ、「運営者を犯人と断定するものではない」と書き添えています。

Xの側もこのアカウントに「一時的に制限されています」という表示を出していますが、理由は書かれていません。

名前が画面に映ったことと、その名前の持ち主が攻撃した本人であることのあいだには、まだ距離が残っています。

 

逮捕まで残っている手順

では、逮捕は本当に秒読みなのでしょうか。

決め手になるのは、IPアドレスの先にいる契約者の記録で、それを持っているのは回線を貸しているプロバイダ（ネットの接続会社）です。

この記録は電気通信事業法の「通信の秘密」で守られていて、ネットの有志が問い合わせても出てきません。

開けられるのは、捜査する側だけ。

 

警察は刑事訴訟法にもとづいて、プロバイダに記録を消さないよう求めたり、裁判官の令状をとって差し押さえたりする立場。

逮捕も、罪を犯したと疑うに足りる相当な理由を示して、裁判官から逮捕状を出してもらう必要があります。

80台の端末が同じIPを使う建物で、しかも中継に使われたかもしれない回線なら、そこからひとりを選び出すには、もっと別の材料が要るでしょう。

IPの先が海外だった場合は、さらに時間がかかります。

日本の警察が外国で人を捕まえることはできないので、相手の国に協力を頼むか、本人が国の外へ出てくる機会を待つことになるんです。

 

セキュリティエンジニアのYoshiyasu Ohamaさんのように、犯人像をかなり細かく絞り込んで、図にまとめて公開している人もいます。

それでも、その図の「次にやるべきこと」の欄に並んでいたのは、回線の会社やサーバーの会社への照会でした。

一方でGMOは、10月22日に警察に相談し、29日には集めた情報を警察へ出しています。

捜査の進み具合は、ふつう逮捕の日まで表に出てきません。

秒読みかどうかは、外からはまだ数えられないというのが正直なところでしょう。


名前を貼って回る前に

待つ時間が長いと、自分の手で何かしたくなるのが人の気持ちですよね。

けれどGMOは第15報で、「ご自身での犯人の特定や接触、確証のない情報の投稿はお控えいただき」と書いたうえで、情報は専用の窓口へ寄せてほしい、と続けています。

GMOは犯人につながる情報に最大100万ドルの懸賞金をかけていますが、その決まりでも、推測や、すでに出ている情報の転載だけでは、原則として対象になりません。

GMO懸賞金1.5億円は本当にもらえるのか｜条件が厳しすぎる件GMOインターネットグループが2026年10月27日の夜、サイバー攻撃の犯人につながる情報に懸賞金を出すと発表しました。 上限は100...

手がかりを持っている人の窓口は、GMOの公式サイトにある懸賞金のページと専用のメールアドレスです。

 

画面に映った名前を貼って回ると、もしそれが踏み台にされた誰かのものだった場合、その人をもう一度傷つけることになりかねません。

攻撃者を罪に問う手順は、GMOが警察に渡した情報の先で、もう捜査する側の手に移っています。

逮捕の知らせは、画面に映った名前の先ではなく、警察に渡った記録の先から届くはずですね。