パスワードを変えたあとも、第三者が取引を続けられる場合があります。GMOインターネットはそう案内したうえで、10月24日、顧客の情報が外部に持ち出された事実を確認したと公表し、見舞金と損失の補償を打ち出しました。問われているのは、口座の外に置いた認証情報と、つながったままの接続です。第1報から第5報までの公表資料から読み解きます。
GMOインターネットは10月21日、FX自動売買用のVPS「お名前.com デスクトップクラウド」で、一部の利用者のサーバー環境に第三者が不正なプログラムを設置していたと公表し、全プランのサーバーを順次停止した。影響の可能性があるサーバーは2万6739件で、被害が確定した件数ではない。23日の第3報は、パスワードを変えても既存の接続が一定期間残る場合があるとして、ログイン中のセッションの切断を至急求めた。24日の第4報では、システムにセキュリティ上の問題があり、顧客の情報が外部に持ち出された事実を確認したと公表した。全利用者に見舞金5000円を支払い、不正取引による実現損失を補償するとした。攻撃者とみられる者から金銭を要求されているが、応じないとしている。
ITmedia NEWSは10月23日、Xに「600万円を失った」「55万円がなくなった」といった被害を訴える投稿が相次いでいると伝えました。いずれも利用者の申告で、GMOは被害の件数や総額をまだ公表していません。
証券口座の不正ログインの疑いや、委託先を経由した不正注文は、innovaTopiaでも個別の記事として伝えてきました（118722、119193）。今回、不正アクセスが確認されたのは、口座の外にある場所です。自動売買のために借りたサーバーで、GMOはその中に保存されていた取引口座のログイン情報などが取得され、不正に利用された可能性があるとしてきました。第4報では、顧客の情報が外部に持ち出された事実を確認したと公表しています。ここでは、10月20日から24日までにGMOとFX会社が出した公表資料をつなぎ、「なぜパスワードを変えるだけでは足りないのか」と、第4報で何が変わったのかを読み解きます。
10月19日から24日までの経過
| 日時 | 出来事 | 出典 |
|---|---|---|
| 10月19日 | 利用者からの問い合わせを受け、GMOが調査を開始 | 第2報〜第5報 |
| 10月20日 | 一部の利用者のサーバー環境で不正なプログラムを確認。新規申し込みとコントロールパネルを停止。同日、「緊急メンテナンス」の告知を掲載 | 第2報〜第5報、メンテナンス告知 |
| 10月21日 4:00 | 第1報。全プランのサーバーを順次停止。この時点では個人情報の漏えいや悪用は確認されていないとした | 第1報 |
| 10月21日以降 | 取引口座での身に覚えのない操作について、利用者から報告を受ける。関係する事業者と情報を共有 | 第2報〜第5報 |
| 10月22日 | 第2報（16:59時点）。保存されていたログイン情報などが取得・不正利用された可能性を公表し、警察に相談。OANDA証券、Titan FX、AXIORY、IS6FXがパスワード変更などを呼びかけ、FXTFは「他社VPSサーバ」への攻撃として注意喚起 | 第2報、各社の告知 |
| 10月23日 16:10時点 | 第3報。既存の接続が残る場合があるとして、ログイン中のセッションの切断を至急求め、手元の端末のスキャンなどを追加 | 第3報 |
| 10月24日 11:50時点 | 第4報。システムの問題と、顧客情報の持ち出しを確認したと公表。見舞金、損失の補償、代替サービス、攻撃者の要求に応じない方針を示した | 第4報 |
| 10月24日 | 第5報。手元の端末のフルスキャンとバックアップを、パスワード変更などと並べて至急求めた | 第5報 |
自動売買用のVPSには、何が置かれているのか
お名前.com デスクトップクラウドは、FXの自動売買プログラム（EA）を動かすための仮想サーバーです。取引ツールのMT4があらかじめ入っていて、利用者はパソコンやスマートフォンからリモートデスクトップで接続して操作します。サービスページの表示料金は月2640円のプランからで、別途サービス維持調整費が加算されます。プランごとに、動かせるMT4の数の目安が示されています。
MT4やMT5のEAに売買の判断を任せ続けるには、EAを動かす端末と、FX会社の取引サーバーとの接続を保っておく必要があります。自宅のパソコンをつけ続ける代わりに、事業者のサーバーを借りる。それがこの種のサービスの役割です。
そのため、VPS上の取引ツールは、口座にログインした状態で動き続けます。パスワードを保存する設定にしていれば、ログインし直すための認証情報もVPSの中に残ります。つまりこのサーバーには、口座の認証情報と、すでに認証を済ませてつながっている接続（セッション）の両方がありうるということです。GMOが影響の可能性がある情報として挙げた「取引ツールに保存されたお取引口座のログイン情報等」は、この前者にあたります。第5報は、利用者が自分でサーバー内に保存した情報も影響の範囲に含まれると明記しています。
第1報から第3報で、依頼はどう変わったか
3回の公表を並べると、利用者への依頼が回を追うごとに具体的になっています。
| 報 | 見られた・取得された可能性があるもの | 利用者への主な依頼 |
|---|---|---|
| 第1報（10月21日） | サーバー内の情報が閲覧された可能性 | サーバーに保存したIDとパスワードの変更。同じパスワードを使う他のサービスも変更 |
| 第2報（10月22日） | 取引ツールや取引口座の認証情報が閲覧された可能性。保存されていたログイン情報などが取得・不正利用された可能性 | サーバー以外の端末からのパスワード変更とログオフ（セッションの切断）を至急。取引履歴と残高の確認。二段階認証の設定 |
| 第3報（10月23日） | 第2報と同じ | FXに使っていない端末からの変更。変更済みでもログイン中のセッションの切断を至急。手元の端末のフルスキャンとバックアップ、第三者を名乗る連絡への注意 |
パスワードを変えても、つながったままの接続は残りうる
第2報から求められていたログオフ（セッションの切断）について、第3報はその理由を書き足しました。GMOは、証券会社やFX会社のサーバーの仕様によっては、パスワードを変えたあとも一定期間は既存の接続が維持され、第三者が取引を続けられる場合があると書いています。新しいログインは止められても、すでにつながっている接続は、パスワードの変更だけでは切れないかもしれないということです。
そのため第3報は、パスワードを変えた人も含めて、各社の案内に従って接続中のセッションをすべて切るか、窓口に切断を頼むよう求めています。FXTFも、ログインしたままのMT4やMT5、マイページからログアウトしてセッションを切るよう勧めました。
第4報では、GMO自身も主要な取引所や証券会社に対し、このサービスを経由したアクセスの遮断と、全アクティブセッションの強制切断などを要請していると明かしました。利用者の側だけでなく、口座を持つ会社の側でも接続を切ることが、被害を止める手段として位置づけられています。
「FXに使っていない端末から」の意味
第2報は「本サービスのサーバー以外」、第3報は「FX取引に使用していない端末」と、パスワードを変える場所の指定も変わりました。第3報は、パソコンやスマートフォンのフルスキャンも求めています。確かめる範囲が、借りたサーバーの中から、利用者の手元の端末にまで広がったと読めます。GMOはこのスキャンを予防のための対応と位置づけ、手元の端末への影響も含めて、侵入経路と影響の範囲を調べています。第5報は、このスキャンとバックアップを冒頭に置き、パスワード変更などと並べて至急求めています。
第4報で何が変わったか
10月24日11時50分時点の第4報で、GMOは事案の見方を一段進めました。
まず、これまでの調査で、サービスのシステムにセキュリティ上の問題が存在し、環境への不正なアクセスと、顧客の情報が外部に持ち出された事実を確認したとしています。持ち出された情報の種類や件数は示されていません。同じ日に出た第5報は、個別の情報取得や不正利用の有無・範囲は引き続き調査中としています。
そのうえでGMOは、「特別措置」として次の対応を示しました。
| 項目 | 内容 |
|---|---|
| 見舞金 | 現在の利用者全員に、金銭的な被害の有無にかかわらず一律5000円。損失の補償とは別に支払う。連絡方法と手続きは10月30日23時59分までに登録メールアドレスへ案内 |
| 損失の補償 | GMOが調査の結果、本件の不正アクセスに起因する不正取引と認めた取引により、実現した損失（取引の差損と手数料など）。市場の変動による損失、得られたはずの利益、間接的な損害は対象外。申請方法などは11月6日までに案内 |
| 代替サービス | 現行のシステム基盤はそのまま再開しない。Windowsのデスクトップ環境を続けたい契約者に、独立したクラウド基盤の代替サービスへの乗り換えを案内し、乗り換え後6か月は無償。同意なく移行することはない |
補償の申請では、取引の日時、内容、損失額がわかる情報の提出を求めています。本人確認書類や、MT4／MT5などの閲覧専用パスワードの提示を求める可能性もあるとしています。あわせて、取引所などに不正アクセスによる取引だと説明し、取り消しや返金を相談するよう求めています。返金があればその分を差し引いて支払い、返金に応じてもらえない場合も、対象の損失は支払うとしています。
被害の有無を問わない見舞金と、認定した損失の補償を分けて示したことで、利用者がこれから何を待ち、何を準備すればよいかが見えてきました。取引の日時と内容がわかる記録を、いまのうちに手元にそろえておくことが、申請の備えになります。
FX会社の側では何が起きていたか
第2報が出た10月22日には、複数のFX会社が自社の利用者に向けて告知を出しました。
OANDA証券は、このサービスで同社のMT4／MT5を使っていた利用者について、口座のIDとパスワードが第三者に閲覧された可能性があるとし、マイページとMT4／MT5のパスワード変更、二段階認証の設定、取引履歴の確認を求めています。Titan FXとAXIORYも、パスワードの変更と取引履歴の確認を呼びかけました。IS6FXは、マイページとすべての取引口座のパスワード変更を求め、変更するまで新規注文を一時的に制限していると案内しています。影響が疑われるVPSには新しいパスワードを入力・保存しないよう求め、GMOの事案との関連性は、現時点では断定していないとしています。
FXTFは、GMOの名前を出さず、「他社VPSサーバ」を狙ったとみられる攻撃で、一部の利用者のIDとパスワードが第三者に取得され、ログインと取引に使われた可能性を検知したと公表しました。自社のシステムが直接攻撃されたものではないとしたうえで、マイページのパスキー登録を勧めています。翌23日には、MT4／MT5へのログインにワンタイムパスワードを近く必須にすると告知しました。開始日は決まり次第知らせるとしています。
サーバーを提供する会社と口座を持つ会社が別々でも、それぞれの側で守りを固める動きが同じ日にそろいました。ただし、各社の認証の仕組みが守る対象はそれぞれ違います。MT4／MT5へのログイン、マイページへのログイン、出金のときの認証は別のもので、どれも、すでにつながっている接続を切る代わりにはなりません。Google・Appleのアカウントを経由した証券口座への不正ログインの疑いを扱った記事（118722）でも、証券口座に加えて、パスキーなどを保存するアカウントの守りが焦点になりました。認証情報がどこに保存されているかが、口座の守りと同じ重さを持つという点で、二つの事案は重なります。
攻撃者の要求には応じない
第4報によると、GMOは攻撃者とみられる者から金銭を要求され、応じなければGMOと顧客に関する情報を公開するなどの連絡を受けています。連絡の中身として、GMOは次の3点を挙げました。
- 国内外の70を超える証券会社・FX会社などにある顧客の取引口座への、不正な操作の継続
- このサービスと、サービスに接続した顧客のPCに関する情報の公開と、ランサムウェア攻撃の実行
- GMOのシステムや運用体制に関する情報の公開
GMOは要求に応じないとし、その理由を、応じても取得された情報の削除や不正利用の防止が保証されるものではないためと説明しています。通信記録などの証拠を警察に提出し、捜査を要請しました。攻撃者がGMOや顧客の情報と称するものを公開する可能性があり、その中には事実と異なる内容が含まれるおそれがあるとして、公式のお知らせ以外の情報に注意するよう求めています。
ITmedia NEWSは10月23日、犯行声明とみられるメールが届いたと報告する利用者もいると伝えていました。GMOは第3報以降、不正アクセスの第三者を名乗る連絡が届いても、URLやファイルを開かず、返信もしないよう呼びかけています。GMOがメールや電話でパスワード、クレジットカード情報、口座情報を尋ねることはない、とも明記しています。
補償の手続きが始まると、それを装う連絡も紛れ込みやすくなります。第4報は、補償の手続きでGMOがパスワード（閲覧専用パスワードを除く）や暗証番号を尋ねることはないとしています。案内はメールのリンクからではなく、GMOの公式サイトで確かめることが大切です。
GMOはまた、本件を能動的サイバー防御の「発動第1号」事案と位置づけ、国が主導して攻撃の基盤を追跡・遮断・無力化する措置を講じるよう、政府の関係機関に要請したとしています。
損失はどこへ相談するのか
不正な取引で損失が出たとき、まず連絡する先は、口座を持っているFX会社です。GMOも第3報と第5報で、身に覚えのない取引があれば、まず取引先の事業者に連絡するよう案内しています。第4報は、取引所などに取り消しや返金を相談するよう求めています。
お名前.comの会員規約は第14条で、デスクトップクラウドの利用に関して会員に生じた損害について責任を負わないとし、SLAが適用される場合を例外としています。第34条は、GMOが賠償する場合の上限を原則として利用料金の1か月分とする一方、同社の故意や重過失により、事業者会員以外の会員に損害が生じた場合の例外も定めています。GMOは第4報で、今回の不正取引による実現損失の補償を「特別措置」として示しました。
補償の申請方法、必要書類、受付期間、支払いの時期は、11月6日までにGMOの公式サイトと登録メールアドレスで案内されます。SLAの今回の取り扱いについては、サービスページで決定次第知らせるとしています。不正利用や詐欺の補償の全体像は、「お金を盗られたら戻るのか」（119275）で整理しています。
置いたままの鍵を、どう守っていくか
自動売買は、人が画面の前にいなくても取引を続けられる技術です。その便利さは、口座につながったままの取引ツールを、借りたサーバーで動かし続けることで成り立っています。今回の事案は、サーバーに置いた認証情報とつながったままの接続が、口座そのものと同じ重さを持つことを、多くの利用者に一度に示しました。
利用者がいま確かめる主な点を、GMOの第3報〜第5報と各FX会社の案内から挙げます。
- 予防のため、パソコンやスマートフォンをウイルス対策ソフトでフルスキャンし、データをバックアップする。バックアップしたファイルの扱いにも注意する
- FXに使っていない端末から、取引口座と取引ツールのパスワードを変更する
- パスワードを変えたあとも、接続中のセッションをすべて切断する。自分でできない場合は、FX会社の窓口に頼む
- 取引履歴と残高を確認し、身に覚えのない取引があれば、まずFX会社に連絡する。取引の日時と内容がわかる記録を残しておく
- FX会社の案内に従い、MT4／MT5やマイページなど、それぞれの対象に二段階認証やパスキーを設定する
- 同じパスワードを使い回している他のサービスと、ブラウザに保存したパスワードも変更する
- 見舞金・補償・代替サービスの案内は、GMOの公式サイトと登録メールアドレスで確かめる
GMOは、現行のシステム基盤をそのまま再開せず、セキュリティの仕組みを抜本的に刷新するとしています。第5報は、全プランのサーバー停止を続け、セキュリティ会社とともに侵入経路と影響の範囲を調べているとし、再開時期は未定としています。侵入経路や影響の範囲が明らかになれば、自動売買のサーバーを提供する事業者にとっても、口座を持つFX会社にとっても、つながったままの口座をどう守るかを設計し直す手がかりになるはずです。FXTFはMT4／MT5へのログイン時のワンタイムパスワード必須化を予告しており、新たなログインに対する認証を強める動きも出ています。
【関連記事】
【解説】SBI証券など注意喚起、Google・Appleアカウント乗っ取りで証券口座に不正ログインの疑い
多要素認証を必須化していた岩井コスモ証券で不正注文｜委託先トレードワークスの管理機能に設定不備
お金を盗られたら戻るのか｜不正利用・不正送金・詐欺の補償の地図
【編集部後記】
MT4には、ログインのたびにパスワードを入れなくて済むよう、ログイン情報を保存しておく設定があります。VPSが再起動しても自動売買を止めずに済む、ありがたい機能です。
止めないための工夫と、置いておかないための工夫は、同じサーバーの上でぶつかります。代替サービスに乗り換えたとき、EAを動かす前に保存の設定を開いて確かめる。今回の事案から持ち帰れるいちばん小さな行動は、そこにあるのかもしれません。
【用語解説】
VPS（Virtual Private Server）
事業者のデータセンターにある物理サーバーを分けて、利用者ごとに専用の仮想サーバーとして貸し出すサービス。自宅のパソコンをつけ続けなくても、プログラムを24時間動かせる。
EA（Expert Advisor）
MT4／MT5の上で動く自動売買プログラム。あらかじめ決めた条件に従って、注文や決済を自動で行う。
MT4／MT5（MetaTrader 4／MetaTrader 5）
MetaQuotesが開発した取引ツール。多くのFX会社が採用し、EAによる自動売買にも使われる。
リモートデスクトップ
離れた場所にあるコンピューターの画面を、手元のパソコンやスマートフォンに映して操作するしくみ。
セッション
ログインして認証を済ませたあと、その状態のまま続いている接続。パスワードを変えても、すでにあるセッションがすぐに切れるとは限らない。
二段階認証
パスワードに加えて、スマートフォンのアプリなどで作る確認コードを求める認証のしかた。GMOの第3報は「二要素認証（二段階認証）」と書く。
パスキー
パスワードの代わりに、端末に保存した鍵と指紋・顔などの本人確認を組み合わせてログインするしくみ。偽サイトでは使えないため、フィッシングに強い。
ワンタイムパスワード（OTP）
一度しか使えない、短い時間だけ有効なパスワード。盗まれたパスワードだけではログインできないようにする。
SLA（サービス品質保証制度）
稼働率などのサービスの品質を事業者が約束し、下回った場合に料金の一部を返金・充当する制度。お名前.com デスクトップクラウドは月間稼働率99.99%を保証している。
実現損失
ポジションを決済したことで確定した損失。まだ決済していない含み損とは区別される。第4報の補償の対象は、この実現損失である。
能動的サイバー防御
重大なサイバー攻撃を、被害が深刻になる前に、国や関係機関が主導して攻撃の基盤や侵入経路を特定し、無力化しようとする考え方。GMOは第4報で、本件への適用を政府に要請した。
事業者会員
お名前.comの会員規約で、法人やその他の団体の会員と、事業として、または事業のためにサービスを利用する個人の会員を指す言葉。第34条の賠償の対象から除かれている。
【参考リンク】
GMOインターネットグループ「【重要】お名前.com デスクトップクラウドサービスに対するサイバー攻撃について（第4報）」（外部）
10月24日11時50分時点の第4報。顧客情報の持ち出しの確認、見舞金5000円、不正取引による実現損失の補償、攻撃者への対応方針を示した。
お名前.com「【重要】「お名前.com デスクトップクラウド」被害拡大の防止のためのお客様へのお願い（第5報）」（外部）
10月24日の第5報。手元の端末のフルスキャンとバックアップ、パスワード変更、ログイン中のセッションの切断を至急求めている。
GMOインターネットグループ「【重要】「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第3報）」（外部）
10月23日16時10分時点の第3報。パスワードを変えても既存の接続が残る場合があるとして、ログイン中のセッションの切断を至急求めている。
GMOインターネットグループ「【重要】「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第2報）」（外部）
10月22日16時59分時点の第2報。保存されていた取引口座のログイン情報などが取得・不正利用された可能性と、警察への相談を公表した。
お名前.com「【重要】[お名前.com デスクトップクラウド]第三者による不正アクセスに関するお詫びとお知らせ（2026年10月21日 4:00時点）」（外部）
10月21日4時時点の第1報。不正なプログラムの設置と全プランの順次停止、影響の可能性があるサーバー2万6739件を公表した。
お名前.com デスクトップクラウド（外部）
GMOインターネットのFX自動売買専用VPSのサービスページ。料金プランやMT4の推奨稼働数、本件に伴うSLAの取り扱いの案内を載せる。
お名前.com デスクトップクラウド「サービス品質保証制度(SLA)」（外部）
月間稼働率99.99%を保証し、下回った月の料金の10%または30%を返金・充当する制度の条件と申請方法、適用除外を定める。
お名前.comレンタルサーバーサービス会員規約（外部）
2025年9月30日改定の会員規約。デスクトップクラウドの利用に関する免責の第14条と、損害賠償の条件と上限の第34条を含む。
OANDA証券「【重要】「お名前.com デスクトップクラウド」不正アクセスに伴う不正ログイン等の発生およびパスワード変更のお願い」（外部）
同社のMT4／MT5の口座情報が閲覧された可能性があるとして、パスワード変更、二段階認証の設定、取引履歴の確認を求める。
FXTF「【緊急・重要】不正アクセスに関し、VPSサーバをご利用のお客様へパスワード変更のお願い」（外部）
他社VPSへの攻撃とみられる事象として、パスワード変更、マイページのパスキー登録、MT4／MT5からのログアウトを求める。
FXTF「【FXTF MT4/MT5】ログイン時のワンタイムパスワード（OTP）必須化開始のお知らせ」（外部）
FXTF MT4／MT5へのログインにワンタイムパスワードを近く必須にすると告知した。実装日は決まり次第知らせるとしている。
Titan FX「「お名前.com デスクトップクラウド」の不正アクセスに伴うセキュリティ対策のお願い」（外部）
同サービスでMT4／MT5を使っていた利用者に、保存していた取引ログインのパスワードの変更と、取引履歴の確認を求めている。
AXIORY「【重要】外部VPSサービスの不正アクセスに伴うパスワード変更のお願い」（外部）
同サービスでMT4／MT5／cTraderを使っていた利用者に、取引口座とポータルのパスワード変更、取引履歴の確認を求める。
IS6FX「MT4／MT5アカウントのセキュリティ対策に関するご案内」（外部）
全取引口座のパスワード変更を求め、変更までの新規注文を制限。影響が疑われるVPSへの新しいパスワードの保存を控えるよう求める。
【参考記事】
「お名前.com」 のFX自動売買VPS、不正アクセスで金銭被害か 「600万円の損失」「55万円なくなった」……報告相次ぐ（ITmedia NEWS）（外部）
第2報の内容に加え、Xに相次いだ損失の申告と、犯行声明とみられるメールを受け取ったとする利用者の報告を10月23日に伝えた。
「お名前.com デスクトップクラウド」不正プログラム設置で全プラン停止 FX用VPS、2万6739サーバに影響か（ITmedia NEWS）（外部）
第1報を受け、影響の可能性がある2万6739件のサーバーと全プランの順次停止、月2640円からの料金などを10月21日に伝えた。
FX自動売買専用VPS「お名前.com デスクトップクラウド」、不正アクセス受けサーバー停止（INTERNET Watch）（外部）
第1報を受け、全プランのサーバー停止と、保存した認証情報や使い回したパスワードの変更、便乗フィッシングへの注意を伝えた。
お名前.comデスクトップクラウドで不正アクセス FXで不正利用も発生（Impress Watch）（外部）
第2報までの経緯と、FX口座の認証情報が不正な取引に使われたとの報告、パスワード変更とセッション切断の依頼などを伝えた。
