GMOインターネットのFX自動売買向けVPS「お名前.com デスクトップクラウド」への不正アクセスをめぐり、同社は利用者の情報が外部へ持ち出されたことを確認し、不正取引による損失の補償と代替サービスの提供を発表しました。攻撃者とみられる者からは、10月27日正午に利用者情報の公開とランサムウェア攻撃を行うとの予告も届いています。
本稿は2026年10月27日10時56分更新のGMO第8報などに基づきます。攻撃予告は実行が確認されたという意味ではありません。状況は変わり得るため、公開前に最新の公式発表をご確認ください。
当サイトでは10月23日に事件の発覚と初期対応を解説しました。本稿では、その後に明らかになった補償、経営側の説明、攻撃者の主張と利用者の対策を整理します。
概要
デスクトップクラウドは、ネット上の仮想Windows環境を使うVPS（Virtual Private Server：仮想専用サーバー）です。利用者はMT4・MT5などの取引ソフトや自動売買プログラムをサーバー上で動かせます。GMOは10月20日、一部の利用者の環境に不正プログラムが設置されていることを確認し、21日から全プランのサーバーを順次停止しました。
10月24日の第4報では、サービスのシステムにセキュリティ上の問題があり、不正アクセスと利用者情報の外部への持ち出しを確認したと説明しています。取引口座で身に覚えのない操作があったという利用者からの報告も受けています。
GMOは、クレジットカードを含む決済情報を本サービスのサーバー上では保持していないと説明しています。しかし、サーバー内の認証情報が盗まれると、サービスを停止しても別の経路から口座に接続されるおそれがあります。また、自動売買が止まっても、証券会社側の保有ポジションは自動的には解消されません。口座の保護と取引状況の確認を並行して進める必要があります。
GMOの対応と攻撃予告
GMOはサーバー停止に加え、証券・FX会社にセッションの切断や不正取引の監視を要請し、警察へ相談しました。攻撃者とみられる者から10月21日に約80億円の要求があったと公表し、要求には応じない方針です。FNNの報道は、別途公表された声明で100万ドルを要求したと伝えています。
第8報によると、攻撃者とみられる者は10月27日12時に情報公開とランサムウェア攻撃を行うと予告しました。ランサムウェアは、ファイルの暗号化などによって利用を妨げ、金銭を要求する不正プログラムです。GMOは利用者から預かった端末を解析中で、トレンドマイクロなど外部企業からの協力も調整しています。
第8報は、予告への備えとして利用者にフルスキャンとバックアップを求め、27日正午前にバックアップを取得したうえで、PCのネットワークを切断し、電源を落として接続コードを抜くよう案内しました。これは予防措置の要請であり、利用者のPCへの感染や予告の実行が確認されたという発表ではありません。現在の対応は公式発表で確認してください。
見舞金と損失補償の範囲
GMOは第4報で、次の措置を発表しました。
-
- 見舞金：現在サービスを利用している全顧客に、金銭被害の有無にかかわらず一律5,000円を支払います。不正取引の補償とは別です。受け取り手続きなどは10月30日23時59分までに登録メールへ案内する予定です。
- 代替サービス：現行基盤をそのまま再開せず、独立した基盤の代替サービスを希望者に案内します。移行後6か月間は無償で、同意のない移行は行いません。機能の違いや無償期間終了後の条件を申し込み前に確認できます。
- 不正取引の損失：GMOが本件に起因すると認めた不正取引で生じた実現損失について、取引差損や手数料等を補償します。相場変動による損失、得られたはずの利益、間接損害は対象外としています。
GMOは取引記録やアクセス記録などで対象を確認します。取引先から返金された場合は、その分を差し引いた残額を支払う方針です。申請方法、必要書類、受付期間、支払時期は11月6日までに案内するとしています。身に覚えのない取引は取引先にも連絡し、日時、注文番号、明細、損失額などを保存しましょう。
補償を装う連絡には十分な注意が必要です。第8報はGMOがパスワードや認証コードを尋ねないと注意喚起しています。一方、第4報の補償説明には、将来の申請手続きで取引履歴の閲覧専用パスワード等の提示を含めた詳細を別途案内するとの記載があります。連絡を受けてもその場で認証情報を渡さず、独自に開いた公式窓口で手続きと提出先を確認してください。通常の取引パスワードや認証コードを知らせてはいけません。二次被害に繋がってしまう危険性があります。
各社への影響と対応
OANDA証券は、自社の管理システムへの不正アクセスや情報漏えいは現時点で確認されていないと説明しています。マイページとMT4・MT5のパスワード変更、多要素認証などを利用者に要請し、被害の申告に必要な取引履歴の取得を支援するとしています。同社は、パスワード変更により過去の接続セッションが切断されると案内しています。
GMOクリック証券は、今回の不正アクセスは同社の取引サービスで発生したものではなく、関連する口座の不正操作も10月26日時点では確認していないと公表しました。同社の注意喚起は、取引履歴の確認、パスキーの設定、ログイン・約定通知の利用を呼びかけています。
また、GMOフィナンシャルゲートとGMO TECHホールディングスは、それぞれのサービスについて本件による不正アクセスや情報漏えいなどを確認していないと説明しています。グループ全体が一律に侵害されたと判断せず、契約先ごとの発表を確認してください。
事前の指摘と能動的サイバー防御
グループ代表の熊谷正寿氏は10月25日のブログで、社内のホワイトハッカーがサービスの改善課題を事前に現場へ指摘していたと明かしました。現場は対策を進めていたものの、サービスの可用性や他の課題との優先順位を考慮して対応した結果、深度と速度が不十分だったと説明しています。指摘された具体的な課題や判断の詳細は公表されていません。
GMOは被害拡大を防ぐため、攻撃基盤の追跡・遮断や無害化に向けた能動的サイバー防御の措置を政府に要請しました。熊谷氏は補償や基盤刷新の費用を自社が負担すると説明しています。FNNによれば、官房長官はアクセス無害化措置について、被害組織からの要請の有無にかかわらず警察または防衛省・自衛隊が適切に判断すると述べました。要請されたことと、措置が実施されたことは別です。
経営上の検証では、どの問題がいつ指摘され、誰がどのリスクを評価し、なぜ対策が完了しなかったのかが焦点になります。政府との連携と並行して、事業者自身による原因の解明と再発防止の説明が求められます。
GMOが政府に能動的サイバー防御を要請したことに対しては、SNS上で「自社の設定や対応をまず検証すべきだ」「国への責任転嫁ではないか」といった批判が出ています。背景には、熊谷正寿氏が、社内のホワイトハッカーから事前に改善課題を指摘されていたものの、対策が十分ではなかったと認めたことがあります。利用者からすれば、「防げた可能性のある問題への対応が遅れたのではないか」という疑問が生じるのは自然です。（出典：ITmedia NEWS）
費用負担については、確認できる事実を分けておく必要があります。熊谷氏は自身のブログで、利用者への補償、代替環境の提供、システムの刷新などにかかる費用は自社の責任で負担すると表明しています。GMOはまた、希望者に代替サービスを6か月間無償で提供し、その後の料金や契約条件は申し込み前に案内する方針です。したがって、システム刷新の費用を利用者に直接負担させるとGMOが発表したわけではありません。
一方、利用者には、取引状況の確認、認証情報の変更、端末の点検、代替環境への移行といった時間や手間が生じます。GMOが公表した不正取引の補償にも対象範囲があり、市場変動による損失や得られたはずの利益などは含まれません。代替サービスの無償期間が終わった後の料金も、利用者が確認すべき条件です。GMO自身が基盤刷新費を負担するとしても、事故に伴う利用者側の負担がすべて解消されるとは限りません。
能動的サイバー防御への要請をめぐっては、公的資源の使い方も論点になります。国が攻撃基盤への対処や捜査を行えば、公的な人員や予算が使われます。そのため、一企業の事案に公的資源を投入する理由や、他の企業・利用者への被害拡大を防ぐ必要性を、制度の目的に照らして判断する必要があります。ただし、GMOの要請がそのまま認められたわけではありません。政府は、アクセス・無害化措置について、被害組織からの要請の有無にかかわらず、法律上の要件に照らして警察や防衛省・自衛隊が判断すると説明しています。
国による犯罪捜査や被害拡大の防止と、GMOによる自社サービスの安全確保・補償は、それぞれ役割の異なる対応です。GMOには、指摘されていた課題の内容、対策の優先順位を決めた経緯、今後の再発防止策を可能な範囲で説明し、利用者が負担する費用や補償の対象を明確にすることが求められます。公的機関との連携を進めるうえでも、こうした説明が利用者の信頼を取り戻す前提になるでしょう。
「AIのせい」「1行で解決」は事実か
熊谷氏はブログで、AIの進化と悪用によってサイバー攻撃の脅威が増していると述べ、別の調査でAI侵入テストツールが悪用された事例を挙げています。しかし、その説明は今回の攻撃でAIが使われたことを示す証拠にはなりません。確認した公式発表には、本件の侵入にAIが使われたと確定する情報はありません。
一方、攻撃者側を名乗る者は、管理アカウントやネットワーク分離、RDP（リモートデスクトップ）の設定について問題を主張しています。公開された声明の技術的検討でも、それらは攻撃者側の主張として扱われています。管理アカウントの権限や侵入経路について、独立に検証された事実として断定することはできません。
RDP（リモートデスクトップ）は、離れたWindows環境を画面越しに操作する仕組みです。問題として挙げられたdrivestoredirect:s:*は、Microsoftの説明によれば、接続元のドライブをリモートセッションで利用できるようにする設定です。接続中に共有されたドライブが読み書きできる条件では、侵害された接続先から接続元のファイルに影響が及ぶおそれがあります。
ただし、ドライブ共有の設定だけで複数のVPS間に管理経路が生まれるわけではありません。また、設定の変更は今後の共有範囲を狭める対策の一つですが、既に持ち出された情報の回収や、盗まれた認証情報の無効化、侵入経路の修復を代替するものではありません。「1行を消せば事件全体が解決する」とは言えません。
今回の攻撃では、攻撃者を名乗る側が、通常のブラウザで閲覧できるウェブサイトを通じて声明を公開し、GMOの対応やシステムの設定を批判しています。ITmedia NEWSの報道によると、攻撃者側はGMOの設定不備を突いて侵入したと主張しています。
一般的なランサムウェアによる恐喝では、匿名化ネットワークのTor上に情報公開サイトを置く手口が知られています。一方、一般のウェブ上に公開する事例もあります。セキュリティ企業Beazley Securityの調査では、通常のウェブとTorの両方に情報公開サイトを設けた集団が報告されています。したがって、通常のウェブを使っていることだけから、今回の攻撃者が摘発を恐れていない、あるいは捨て身で行動しているとは判断できません。とはいえ、専門家によると少し異例の犯行声明とのことです。
公開サイトには、被害企業だけでなく、その利用者や報道機関にも主張を届けやすいという特徴があります。今回の声明では、GMOに金銭を要求するとともに、利用者に向けてGMOの責任を強調する文面も掲載されています。声明の変遷を整理した分析を踏まえると、利用者の不安や企業への批判を利用し、支払いを促そうとした可能性が考えられます。
攻撃者側は日本語で利用者に呼びかけ、FX用VPSの構成や取引口座に関する情報を示しています。対象サービスを調べたうえで攻撃や脅迫を行った可能性はありますが、文章の言語や公開サイトの場所だけから、国籍、所在地、人数、既知の犯罪集団との関係までは特定できません。GMOは第4報で警察への証拠提出と捜査協力を説明しており、犯人像の解明には通信記録や侵入の痕跡を含む調査が必要です。
利用者が取るべき対策
GMO第6報と第8報を確認し、次の対応を進めてください。急を要する口座保護は、接続に使っていたPCとは別の安全な端末で行いましょう。
-
- 口座の認証情報を変更する。公式アプリや保存済みのブックマークから取引先へアクセスし、会員ページとMT4・MT5など取引ツールのパスワードをそれぞれ変更します。全端末・全セッションを切断し、操作方法は取引先に確認します。多要素認証やパスキーを利用できる場合は設定します。
- 残高と注文を確認する。取引・出金履歴、未約定注文、保有ポジション、登録情報を点検します。不審な取引があれば証券・FX会社に連絡し、口座の制限と記録の保存を相談します。
- 接続に使った端末を点検する。GMOはPCやスマートフォンに対するウイルス対策ソフトのフルスキャンを求めています。重要な写真や文書は外部記憶媒体にバックアップし、媒体を外してください。不審なプログラムやファイルを見つけた場合は、調査担当者や公式窓口に相談します。スキャンで検出されなかったことだけで安全を断定しないでください。
- 他の認証情報も守る。VPSに保存したメール、クラウド、業務用サービスなどのパスワードを変更し、使い回した先も更新します。APIキーやSSH鍵は必要に応じて失効・再発行します。不審な連携アプリ、メール転送設定、登録端末も点検します。
- 安全を確認して移行する。新しい環境に古い環境を丸ごと戻さず、取引ソフトや自動売買プログラムの入手元と設定を確認します。重複稼働による二重注文を防ぎ、停止中に自動で管理されなくなったポジションも確認してください。
不審なメールやSMSのリンク、添付ファイル、復旧ツールは開かず、お名前.comの公式窓口から問い合わせてください。第8報に記載された専用電話は03-5456-2560で、土日・祝日を含め24時間受け付けています。