GMOを脅迫した側のサイトは、事件の7週間前に用意されていた。サイトを開かずに、公開の記録だけで調べた

• GMOを脅迫している攻撃側が、情報の公開に使っているサイトを、サイトに一度も接続せず、公開の記録だけで調べた
• ドメインの登録は2026年8月31日（日本時間9月1日0時26分）。17分後に証明書も発行されていた。GMOが異変に気づいた10月19〜21日より約7週間前から、脅迫のための場所が用意されていたことになる
• サーバーは、米国の大手のドメイン業者NameCheapの安価な共用ホスティングだった。このサイトでは、ドメイン名やアドレスは載せない。見に行かないでほしい

なぜ「開かずに」調べたのか

GMOは第11報・第12報で、攻撃側の公開サイトについて、アクセスした人の情報は攻撃者に取得されていることを確認したと書いている。サイトには、利用者のものとされる情報も載っている。

そこで、攻撃側のサーバーには触れず、誰でも見られる公開の記録だけを使った。

どれも、記録を管理する側に問い合わせるだけで、攻撃側のサーバーに接続はしない。

分かったこと

8月31日に、ドメインと証明書がそろっていた

• ドメインの登録は2026年8月31日15時26分（協定世界時）。日本時間では9月1日0時26分。登録業者はNameCheap。最終更新は9月16日、期限は2027年8月31日
• HTTPSの証明書はSSL.comが8月31日15時43分に発行。登録の17分後だ

GMOの発表では、異変の調査を始めたのが10月19日、サービスを止めて第1報を出したのが10月21日、同じ日に最初の脅迫メール（約80億円の要求）を受けている。脅迫に使う場所は、その約7週間前に用意されていたことになる。

攻撃側は、侵入を気づかれる前から、脅迫して公開するところまでを計画していたと読める（ここは筆者の見方）。9月16日にも登録情報が更新されているが、何が変わったかは公開の記録からは分からない。

米国大手の、安価な共用ホスティング

• サイトのIPアドレスはNameCheap社のもの。逆引きの名前は、同社の共用サーバーのものだった。1台のサーバーを多くのサイトで分け合う、いちばん安い形のレンタルサーバーだ
• DNSのサーバーも、メールの受け口も、同社の共用ホスティングの標準の設定のまま
• Internet Archiveには、このサイトの保存記録はなかった

ドメイン、サーバー、証明書を、同じ業者でほぼ一度に用意した形だ。特別な仕組みは使っていない。誰でも数千円で用意できる構成で、脅迫の場所は、特別な技術がなくても作れるということでもある。

分からないこと

サイトの中身に関わることは、開かないと分からない。SNSでは、研究用の環境からサイトを見た人が、別の入口（匿名化ネットワーク上のミラー）の存在や、アクセスした人を記録する仕組み、中に書かれた文章の言葉づかいなどを投稿している。このサイトでは確かめていないので、ここでは取り上げない。

誰が運営しているのかも、公開の記録からは分からない。登録者の情報は、業者のプライバシー保護で伏せられている。

読者へのお願い

• 攻撃側のサイトを見に行かない。アクセスした人の情報は攻撃者に取られる（GMO第11報・第12報）。見てしまったら、ウイルス対策ソフトでフルスキャンを
• アドレスや中身をSNSで共有しない。GMOは悪質な拡散に法的措置を準備している
• このような場所を見つけたら、ドメイン業者やホスティング業者の不正利用の窓口に通報できる。NameCheapには不正利用の受付窓口がある。警察にも相談できる
• GMOの懸賞金は、10月28日12時から受付が始まる。ただし公開情報の転載だけでは原則として対象外で、自分で侵入して調べることは求められていない

この件から考えたいこと

ここは筆者の見方だ。今回分かったことは、すべて誰でも見られる公開の記録から出てきた。証明書の透明性ログには、世界中で発行された証明書がすべて記録される。ドメインの登録日もすぐ分かる。相手のサーバーに触れなくても、分かることは意外と多い。

同時に、攻撃する側にとっても、ドメインと証明書とサーバーは、安く、早く、匿名で用意できる。守る側の会社は、自社の名前に似たドメインが新しく登録されていないか、自社名を含む証明書が発行されていないかを、証明書の透明性ログで見張ることができる。FC東京の件と同じく、自分の名前がどこで使われているかを知ることが、守りの第一歩になる。

まとめ

• 攻撃側の公開サイトを、接続せずに公開の記録だけで調べた
• ドメインは8月31日に登録され、17分後に証明書も発行。事件が表に出る約7週間前から準備されていた
• サーバーは米国大手NameCheapの安価な共用ホスティング。特別な仕組みはない
• 読者は見に行かない、共有しない。見つけたら業者の窓口や警察へ

出典

• ドメインの登録記録（RDAP）、DNS、証明書の透明性ログ（crt.sh、Cert Spotter）、IPアドレスの登録記録（ARIN）、Internet Archive（いずれも2026年10月27日に筆者が確認）
• GMOインターネットグループ・GMOインターネット 第12報（2026年10月27日。経緯、公開サイトへのアクセスの危険、懸賞金）
• 同 第11報（2026年10月27日。アクセスした人の情報の取得）

本記事は2026年10月27日時点で筆者が公開の記録を確認した結果に基づく。攻撃側のサイトには接続していない。準備の意図についての記述と「この件から考えたいこと」は筆者の見方である。