この記事の要点
- 攻撃者は10月21日に約80億円を要求し、その後「100万ドル」に下げ、10月27日正午を期限に情報公開とランサムウェア攻撃を予告した
- GMOは要求を拒否。27日12時30分に攻撃者側の情報公開を確認したが、13時55分時点でランサムウェア攻撃は確認されていない
- 攻撃者は「共通の管理者権限」や「ドライブ共有付きのリモートデスクトップ設定」を侵入・拡大の理由に挙げるが、GMOは侵入経路を公表していない
- SNSでは「元社員説」「日本人説」「空売り説」が広がっているが、どれも決め手はなく、外部から確かめる方法もない
- 公開サイトへのアクセスや拡散は、閲覧者自身の情報を渡し、被害者をさらに傷つける。GMOは悪質な拡散者への法的措置も準備している
FX自動売買向けの仮想デスクトップサービス「お名前.com デスクトップクラウド」への不正アクセスは、発覚から1週間で、取引口座の不正操作、巨額の金銭要求、利用者PCへの攻撃予告、そして情報の公開へと段階を上げてきました。GMOインターネットグループは10月27日までに第10報を出しています。
事案の基本的な経緯は第1報・第2報の記事と第4報・第5報の記事にまとめています。この記事では視点を変え、攻撃者が何を言い、何をしてきたかと、SNSで語られている「犯人像」がどこまで確かなのかを整理します。
攻撃者の動きを時系列で整理する
GMOの公式発表と主要な報道から、攻撃者側の動きと、それに対するGMOの対応を並べると次のようになります。
| 日付 | 攻撃者側の動き | GMO側の対応 |
|---|---|---|
| 10月19〜20日 | 利用者のサーバー環境に不正なプログラムを設置（GMOが20日に確認） | 19日に利用者の問い合わせで調査開始。20日に新規申し込みとコントロールパネルを停止 |
| 10月21日 | 脅迫メールで約80億円（5,000万ドル）を要求（GMOが26日の第7報で公表） | 午前4時から全プランのサーバーを順次停止。第1報 |
| 10月22日 | 利用者の取引口座で不正な操作の報告。同日夜から「Hacking Team」を名乗る日本語メールを受け取ったという利用者の投稿が相次ぐ（送り主が同一かは未確認） | 警察に相談。第2報 |
| 10月24日 | 声明を公開。国内外70社超の証券・FX口座の不正操作継続、利用者PCの情報公開とランサム攻撃、GMOの内部情報の公開を示唆。利用者PC 6台分とするファイルコピーのログも添えられ（真偽は未検証）、同日夜に「27日正午までに100万ドルを払えば公開しない」と追記したと報じられる | 情報の持ち出しを確認したと公表し、要求の拒否、見舞金5,000円、損失補償を表明。能動的サイバー防御の適用を政府に要請（第4報・第5報） |
| 10月25〜26日 | 27日正午の情報公開とランサムウェア攻撃を改めて予告 | 利用者から端末を預かり、グループのホワイトハッカーチームが解析を開始（第6報・第7報） |
| 10月27日 | 正午、情報公開の開始を宣言。個人名を掲げたページを新設し、「毎日正午に順次公開する」と予告 | 9時58分の第8報で正午前にPCの電源を切るよう要請。12時30分に情報公開を確認。13時55分時点でランサム攻撃は未確認（第10報） |
要求額は、GMOが公表した約80億円と、報道された声明の100万ドル（約1億5,000万円）で大きく異なります。最初に高額を突き付け、拒否されると現実的な額に下げて期限を区切るのは、恐喝でよく見られるやり方です。
攻撃者の手口の特徴
1. 盗むだけでなく「口座を動かす」
一般的なランサム攻撃は、データを暗号化し、盗んだ情報を公開すると迫る「二重恐喝」です。今回は、それに加えて取引口座を不正に操作して資産を減らし続けるという圧力が重ねられています。自動売買用のサーバーには取引ツールのログイン情報が保存されたままになっていることが多く、そこを押さえれば、被害者のお金を直接動かすことができてしまいます。
2. 「接続元のPC」まで標的に広げる
攻撃者は、サービスのサーバーだけでなく、そこに接続していた利用者の自宅PCにも手が届いたと主張しています。報道によると、攻撃者は「ドライブ共有を有効にしたリモートデスクトップの接続設定が配布されていた」ことを理由に挙げています。
Windowsのリモートデスクトップには、手元のPCのドライブを接続先から使えるようにする機能（ドライブのリダイレクト）があります。便利な機能ですが、接続先のサーバーが乗っ取られると、接続中の手元PCのファイルを読み書きされるおそれがあります。ただし、今回この仕組みが実際に悪用されたのかを、GMOは公表していません。GMOが利用者に、接続に使ったPCのフルスキャン、バックアップ、電源を切ってケーブルを抜くことまで求めているのは、手元のPCへの影響を否定できないためとみられます。
3. 「内部の弱点」を語って揺さぶる
攻撃者の声明は、仮想サーバーがActive Directoryで管理され、共通の管理者権限で環境をまたいで移動できたこと、サポート担当者の認証情報の扱い、解約済みのサーバーが動き続けていたことなどを挙げているとされます。GMOは侵入経路や悪用された弱点を公表しておらず、これらは攻撃者の一方的な主張です。
被害企業の弱点を具体的に語るのは、被害者の不安をあおり、企業への信頼を揺さぶって支払いに追い込むための常とう手段でもあります。主張に技術的なもっともらしさがあることと、それが事実であることは別だと考える必要があります。
4. 期限を切り、公開を「連載」にする
攻撃者は期限の正午を過ぎると情報公開を宣言し、毎日正午に順次公開すると予告しました。少しずつ出すことで注目を保ち、被害企業に圧力をかけ続けるのも、リークサイトを使う恐喝グループによく見られる手法です。
SNSで語られている「犯人像」は確かなのか
Xなどでは、10月24日ごろから攻撃者の正体をめぐるさまざまな推測が広がっています。主な説と、その根拠とされている点、そして根拠にならない理由を整理します。
| 説 | 根拠とされている点 | それだけでは決められない理由 |
|---|---|---|
| 元社員・内部関係者説 | 声明が、サーバー同士のつながり方や管理者アカウント、解約済みサーバーの扱いなど、内部事情に詳しいように見える | 接続設定の内容やサービスの事業移管の時期などは、利用者に配られたファイルや公式案内から外部でも分かる。侵入後に内部を調べれば、外部の攻撃者でも構成は把握できる |
| 日本人説 | 声明や利用者に届いたとされるメールが日本語で書かれている | 英語の声明とされる画像も出回っている。翻訳ツールや生成AIで自然な日本語は簡単に書ける。メールの送り主が同じ攻撃者かも分かっていない |
| 株の空売り説 | GMOインターネットの株価が、停止日の21日から26日にかけて下落した。目立つ行動は株価下落を狙ったものではないかという見方 | 空売りをしている人物は外からは分からない。攻撃者は21日の時点でGMOに直接、金銭を要求しており、株価以外にはっきりした金銭目的がある |
この3つは互いに矛盾するものではなく、どれも「ありえなくはない」話です。しかし、どれにも決め手はなく、外部の私たちが確かめる方法もありません。攻撃者の正体を突き止めるのは、通信記録などの証拠を提出された警察の捜査と、GMOや専門会社の調査の役割です。
東洋経済の報道では、業界関係者の間で「手作業による犯行とは考えにくい」との見方も出ているとされます。攻撃の自動化やAIの関与がどの程度あったかも、現時点では分かっていません。
推測の拡散と、公開サイトへのアクセスが危険な理由
- アクセスした人の情報が攻撃者に渡る：GMOは第10報で、攻撃者のサイトにアクセスした人の情報は攻撃者に取得されているとしています。興味本位の閲覧が、新たな標的づくりに加担することになります。
- 事実と異なる情報が混ざっている：GMOは、公開された情報に事実と異なる内容が含まれるおそれがあるとしています。偽情報を広めることは、攻撃者の揺さぶりに手を貸すことでもあります。
- 被害者を二重に傷つける：攻撃者は個人名を掲げたページを作っています。名前を広めたり、特定の人物を「犯人」と決めつけたりすることは、無関係の人や被害者本人を深く傷つけます。
- 法的な責任を問われることがある：GMOは、悪質な拡散者について証拠を保全し、開示請求や刑事告訴・告発などの法的措置を準備しているとしています。
利用者が今やるべきこと
GMOの第6報〜第10報の依頼を中心に、優先度の高い順にまとめます。
- FX取引に使っていない安全な端末から、取引口座と取引ツールのパスワードを変更し、全セッションを切断する。多要素認証を設定する
- メール、Googleなど、サーバーやブラウザに保存していた他のサービスのパスワードも変える。ブラウザの同期は点検が終わるまで止める
- 接続に使ったPCでウイルス対策ソフトのフルスキャンを行い、重要なデータをネットワークから切り離した外付けディスクなどにバックアップする
- 取引履歴と残高を確認し、身に覚えのない取引があれば取引先の証券会社・FX会社に連絡する
- 攻撃者を名乗るメールや、「被害金を取り戻す」などと費用を求める連絡には応じない。GMOがパスワードや認証コードを尋ねることはない
- 公開されたとされる情報にはアクセスせず、拡散もしない
企業が教訓にすべきこと
今回の事案は、FXの利用者だけの問題ではありません。リモートデスクトップやVPSを業務で使う企業にも、同じ構図のリスクがあります。
- 共通の管理者アカウントをなくす：複数の環境を同じ管理者権限で管理していると、1か所の侵入が全体に広がります。環境ごとに権限を分け、管理者の操作は記録を残してください。
- リモートデスクトップの便利機能を必要な分だけにする：ドライブやクリップボードの共有は、接続先が乗っ取られたときに手元のPCへの通り道になります。業務に不要なら無効にしてください。
- 解約・廃止したサーバーを確実に止める：使われていないのに動き続けるサーバーは、更新も監視もされない「入口」になります。資産の台帳と実際に動いているものを照合してください。
- サーバーに認証情報を保存したままにしない：やむを得ず保存する場合は、保存場所を把握し、多要素認証と組み合わせてください。
- 恐喝を受けたときの方針を事前に決めておく：支払いの可否、警察や専門会社への連絡、利用者への告知の手順を平時に決めておくと、攻撃者の期限に振り回されずに済みます。
よくある質問
Q. 攻撃者は誰なのか、分かっているのですか？
分かっていません。GMOは警察に証拠を提出して捜査を要請しています。SNSで語られている元社員説、日本人説、空売り説は、いずれも裏付けのない推測です。
Q. 攻撃者が公開した情報は本物ですか？
確認されていません。GMOは内容を確認中で、事実と異なる内容が含まれるおそれがあるとしています。また、公開サイトにアクセスすると閲覧者の情報が攻撃者に取得されるとしており、アクセスしないよう求めています。
Q. 利用者のPCはランサムウェアに感染したのですか？
GMOは、10月27日13時55分時点でランサムウェア攻撃は確認されていないとしています。ただし、預かった端末の解析は続いており、GMOは引き続きフルスキャンとバックアップ、電源を切ることなどを求めています。
Q. サービスを使っていなかった人にも関係がありますか？
直接の影響はありませんが、事件に便乗した詐欺メールやSMS、「被害金を取り戻す」とうたう業者に注意してください。業務でリモートデスクトップやVPSを使っている企業は、自社の設定を見直すきっかけにしてください。
まとめ：主張と事実を分けて見る
今回の攻撃者は、金銭要求、口座の不正操作、PCへの攻撃予告、情報の公開と、圧力のかけ方を次々に変えてきました。こうした局面では、攻撃者の主張やSNSの推測が、公式発表より速く、強く広まります。
利用者にとって大切なのは、犯人探しではなく、自分のアカウントとPCを守る手順を確実に終えることです。企業にとっては、共通の管理者権限、便利機能の初期設定、止め忘れたサーバーといった「どこにでもある弱点」を、自社の環境で点検することが、この事案から得られる最も実用的な教訓です。
あわせて読みたい
リモートデスクトップやVPSの設定、見直せていますか
サイバーセキュリティ総研では、クラウド上の仮想マシンやサーバーの脆弱性診断、外部公開資産の可視化、認証情報の流出調査を行っています。「自社の環境に同じ弱点がないか」という段階からご相談いただけます。
参照：GMOインターネットグループ 第6報／同 第7報／同 第10報／お名前.com 第4報／Impress Watch（2026年10月27日）／INTERNET Watch（2026年10月26日）／東洋経済オンライン（2026年10月27日）