GMOサイバー攻撃とログ調査｜接続・NAT記録の準備と依頼費用を解説

接続・NATログの調査を依頼するときは、IPアドレスだけでなく、接続元・接続先のポート番号、通信方式、時刻、中継前後の対応記録が必要です。

記録がそろえば、提供資料の中で対応する接続を照合できます。ただし、記録の一致だけで、操作した人物や侵入成功を確定することはできません。

GMOインターネットが提供する「お名前.com デスクトップクラウド」への不正アクセスを知り、自社や管理下のサーバーについて、次のような疑問を持った方もいるのではないでしょうか。

「不審なIPが記録されているが、どこまで調べられる？」

「NATや中継を挟んだ通信は、どのログを用意すればよい？」

「管理者に何を確認してもらえばよいかわからない」

この記事では、GMOの公式発表を背景に、接続・NAT記録の照合を依頼する前の準備、確認できること、費用と納品内容を説明します。

執筆：Naitter

資料・サービス条件の確認日：2026年11月4日

※本記事はGMO事案の公式調査結果を独自に検証したものではありません。当方はGMOの公式調査・補償受付を代行しておらず、同事案の非公開ログを取得して侵入経路を解明したという意味でもありません。

■ GMOのサイバー攻撃事案で、公式に説明されていることは？

GMOの公式発表では、「お名前.com デスクトップクラウド」の一部の利用者環境に不正なプログラムが設置され、不正アクセスや情報の持ち出しが確認されたと説明されています。

2026年10月22日付の第2報によると、不正なプログラムの設置を確認したのは10月20日で、10月21日にサーバーの順次停止と第1報の公表を行っています。確認日や公表日を、そのまま最初の侵入発生日と読み替えることはできません。

続く10月24日付の第4報では、不正アクセスと利用者情報の外部への持ち出しを確認したと公表しています。また、補償の対象となるかについて、取引記録・アクセス記録・その他の資料をもとに確認する方針も説明されています。

ここで大切なのは、事業者の公表内容、個々の利用者が保有する記録、そこから導く判断を区別することです。

本記事は、NATがGMO事案の原因だったと主張するものではありません。事件をきっかけに、手元の記録から何を確認できるのかを考えるための解説です。

出典：GMO公式第2報（2026年10月22日）、第4報（2026年10月24日）

■ GMOへの被害相談と、独立したログ調査は何が違う？

GMO事案のサービス利用・補償・被害に関する相談は、GMOが案内する公式窓口をご確認ください。この記事で紹介する有料サービスの購入は、公式相談や補償申請の条件ではありません。

一方、自社や管理下の環境について、「保存してある接続記録を整理したい」「管理者に追加で何を確認すればよいかを明らかにしたい」という目的では、独立した記録照合が選択肢になります。

公式発表を読んだだけで、自社にも同じ攻撃や同じ侵入経路があったと判断せず、自分たちが保有する資料を確認することが出発点です。

GMOは、不審なサイトへのアクセスや、URL・掲載内容の転載・拡散を控えるよう案内しています。調査のためと称して、流出情報を探し回ったり、不審なファイルを取得したりする必要はありません。

出典：GMO「お客様へのご案内」（2026年10月30日）

■ NATログの照合では、なぜIPだけでは足りない？

複数の端末や利用者が、外部からは同じ公開IPアドレスを使用しているように見える場合があるためです。

NATはIPアドレスを変換する仕組みで、ポート番号も含めて変換する方式はNAPTなどと呼ばれます。こうした構成では、外部サーバーに記録された公開IPだけを見ても、内部のどの通信と対応するのかを判断できないことがあります。

そのため、送信元ポートや時刻、中継機器に保存された変換前後の対応情報を確認します。

IETFのRFC 6302でも、IPアドレスを共有する環境を考慮し、公開サーバーでは接続元IPに加えて送信元ポートと正確な時刻を記録することが推奨されています。

「同じIPだった」ことと、「同じ接続だった」「同じ人物が操作した」ことは別です。

参考：RFC 3022、RFC 6302

■ 接続・NATログの調査前に確認したい５項目

調査前には、資料の量だけでなく、必要な項目と時間帯が記録されているかを確認します。

１．対象機器と、調べたい期間

どのサーバーの、いつの通信を調べたいのかを決めます。機器には管理用の別名を付け、資料が混在しないように整理します。

「昨日の夜」ではなく、年月日、開始・終了時刻、日本時間やUTCなどの基準を明記すると、依頼先へ伝わりやすくなります。

２．接続記録に含まれる項目

本サービスの照合では、方向を区別した送信元IP・送信元ポート・宛先IP・宛先ポート・TCP／UDPを確認します。

IPと日時があっても、必要なポート番号などがなければ、対応関係を確認できない場合があります。記録されていない値を、通常使われる番号から推測して埋めることはしません。

３．NAT・中継の変換対応記録

中継前後の通信を明示的に対応付けた記録があるかを確認します。

同じ時間帯のログを２つ並べることと、変換前後の関係を確認することは異なります。NAT機器や中継サービスを管理する担当者へ、必要な期間の対応記録が保存されているかを確認してください。

当方が、第三者の非公開ログを自動取得するものではありません。

４．時刻の基準と、時計のずれに関する根拠

日本時間とUTCの違いに加え、機器の時計自体がずれていないかも確認項目です。

時刻を補正する場合は、設定や管理者の記録などの根拠が必要です。結果を一致させるためだけに時刻を動かすことはありません。根拠がわからない場合は、そのまま未確認として扱います。

５．ネットワークの区別と、資料の取得経緯

同じプライベートIPが別のネットワークで使われることもあるため、本サービスではネットワークを区別する識別情報も確認します。

あわせて、資料を取得した機器、取得日時、対象期間、提供・解析を依頼できる権限があるかを整理してください。

これらは、記録を正しく読み合わせるための情報です。資料の存在だけで、原本の真正性や事件との関係が保証されるわけではありません。

■ 通常のアクセスログやスクリーンショットでも依頼できる？

通常のアクセスログや画面画像だけでは、接続・NAT照合に必要な項目が不足する場合があります。

Webのアクセスログは、要求されたURLや応答状態を確認するために役立ちます。しかし、今回の接続照合に必要な送信元ポートや、中継前後の対応まで記録されているとは限りません。

本サービスでは、指定された列を持つUTF-8・カンマ区切りのCSVを受け付けます。通常のaccess.log、任意のCSV、EVTX、PCAP、画像、PDFを、そのまま直接解析する受付ではありません。

資料の形式がわからない場合も、まずはファイルの種類・件数・容量と調査目的をご相談ください。内容を確認する前に、すべてのログを送っていただく必要はありません。

■ 記録が足りない場合は、どのような結果になる？

確認できる範囲と、照合を止めた理由を報告します。資料不足を推測で埋めて、経路をつなぐことはありません。

以下は、調査の考え方を説明するための架空例です。GMO事案の実際の解析結果ではありません。

【例１：IPと日時はあるが、送信元ポートがない】

不足している項目を示し、その記録だけでは変換対応を絞り込めないことを報告します。

【例２：途中まで対応するが、その先の中継記録がない】

対応を確認できた区間までを整理し、追加で必要な中継側の記録と期間を示します。

【例３：複数の候補があり、時計の根拠も不明】

都合のよい候補を一つ選ばず、候補が残る理由と判断に必要な情報を報告します。

「未確認」という結果は、「何も起きていない」「安全だった」という意味ではありません。

調査では、断定できる範囲を増やすことだけでなく、判断できない理由を明確にすることも重要です。

■ 原本を保管し、共有する資料は分けて準備する

調査に使う元の記録は変更せず保管し、整形や必要項目の抽出にはコピーを使う方針をおすすめします。

資料を共有する前には、パスワード、Cookie値、認証トークン、不要な個人情報が含まれていないかを確認します。ただし、自己判断で必要なIP・時刻・ポートまで削除すると、照合できなくなる場合があります。

そのため、共有する項目・方法・保存期間は、作業開始前に合意します。

ココナラへ資料を添付する行為は、出品者への情報共有です。解析機能がブラウザー内で処理する仕様であっても、依頼者と出品者の間で資料を受け渡す工程まで「誰にも共有されない」という意味にはなりません。

なお、被害が進行している場合は、通常の照合レポートを待たず、管理者やインシデント対応担当者へ連絡してください。本サービスは緊急封じ込めや復旧作業を提供するものではありません。

参考：OWASP「Logging Cheat Sheet」

■ 接続・NAT記録の照合サービスで納品するもの

ココナラで「接続・NAT記録を照合し不足資料を整理します」を出品しています。

NAITTER PHP CHECKを用いた照合と、合意した資料の読み合わせを行い、結果を確認して日本語PDFレポートにまとめます。

レポートでは、対象機器・期間、根拠となる記録、対応を確認できた範囲、照合を止めた理由、未確認事項、不足する資料を整理します。

システムの表示だけで結論を出すのではなく、記録に何があるか、どこから判断できなくなるかを説明するサービスです。

管理者や保守担当者へ、「次にどの機器の、どの期間の、どの記録を確認すべきか」を伝えるための資料としてご利用いただけます。

人物特定、侵入成功や原因脆弱性の確定、第三者の非公開ログ取得、消失記録の復元、設定変更・復旧は対象外です。

■ 調査費用はいくら？基本料金と追加対応

基本料金は15,000円です。

対象サーバー：１台

対象期間：事前に合意した７日以内の１期間

接続記録：20件まで

NAT・中継対応記録：100件まで

受付形式：所定CSV

納品物：日本語PDFレポート

資料のCSV・JSON整形は、１形式・200行以内かつ1MiB以内で、追加5,000円です。条件に合う整形を１件追加する場合、合計は20,000円になります。

整形する行数と、基本料金で照合する件数は別です。整形が200行以内でも、基本の接続20件・中継対応100件を超える照合は追加見積りとなります。

また、接続記録とNAT記録で形式が異なる場合などは、１形式の追加料金では対応できない場合があります。必要項目、資料の分量、対応形式を確認してから、合計金額と納期をご案内します。

※料金・条件は2026年11月4日に確認した公開表示です。購入時にはサービスページの最新条件をご確認ください。

■ よくある質問

Q．GMO事案の被害者だけが対象ですか？

いいえ。GMO事案に限定した商品ではありません。ご自身が管理する環境、または提供・解析の許可がある記録について、対応可能な範囲を確認します。

Q．IPアドレスだけ送れば、調査してもらえますか？

接続・NAT照合には、IP以外の項目と変換対応記録が必要です。まずは資料の有無をご相談ください。IPしかない状態で、経路や人物を特定できるサービスとして受注することはありません。

Q．資料不足でも、購入する必要がありますか？

購入前に資料の状態と目的を確認します。不足資料の整理だけでも役立つ場合は、その作業範囲と料金にご同意いただいてから進めます。

Q．VPNやTorの先まで追跡できますか？

匿名化を解除したり、持っていない第三者の記録を取得したりするサービスではありません。明示的な対応記録がある区間だけを照合し、資料のない区間は未確認とします。

Q．記録が一致すれば、不正な侵入を証明できますか？

いいえ。記録上の接続条件が対応することと、不正行為や操作人物が確定することは別です。侵入成功や情報流出の判断には、目的に応じた追加の調査が必要です。

Q．GMOの補償申請や情報提供も代行しますか？

公式の補償受付や応募・提出の代行ではありません。GMO事案に関する公式相談は、GMOが案内する窓口をご確認ください。本サービスの購入を、公式手続きの前提とするものではありません。

■ まずは「何を調べたいか」と「何が残っているか」から

ログ調査を依頼するとき、最初からすべての資料をそろえる必要はありません。

まずは、調べたい内容と、手元にある記録の種類を整理してください。対応できること、追加で必要な資料、今回の範囲では判断できないことを事前にご案内します。

初回相談では、次の内容をわかる範囲でお知らせください。

調査目的：

対象機器の種類：

調べたい期間・タイムゾーン：

接続記録の有無：

NAT・中継対応記録の有無：

資料の形式・件数・容量：

希望納期：

ログ本体や認証情報は、共有方法をご案内するまで送らないでください。

【サービス詳細・見積り相談】

接続・NAT記録を照合し不足資料を整理します

https://coconala.com/services/4481886

【関連する解説記事】

GMOサイバー攻撃をきっかけに考える｜接続・NATログ照合で分かること

https://coconala.com/blogs/125485/838068

■ 参考資料・確認元

GMOインターネット

・「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第2報、2026年10月22日）

・同サービスに対するサイバー攻撃について（第4報、2026年10月24日）

・「お名前.com デスクトップクラウド」への不正アクセスに関するお客様へのご案内（2026年10月30日）

IETF／RFC Editor

・RFC 3022「Traditional IP Network Address Translator」

・RFC 6302「Logging Recommendations for Internet-Facing Servers」

OWASP

・「Logging Cheat Sheet」

サービス仕様

・NAITTER PHP CHECK「事件当時の接続経路を記録で照合する」

・ココナラ「接続・NAT記録を照合し不足資料を整理します」

本記事は、公表された事実と一般的な技術解説、当方が提供するサービスの範囲を分けて記載しています。GMO事案の最新の被害状況・補償条件・対応案内は、公式発表をご確認ください。