FX自動売買向けクラウド「お名前.com デスクトップクラウド」への不正アクセスで、GMOインターネットは10月24日に第4報・第5報を公表した。第4報では、サービスのシステムにセキュリティ上の問題があり、利用者の情報が外部に持ち出された事実を確認したと初めて認めたうえで、全利用者への一律5,000円の見舞金と、不正取引による損失の補償を打ち出した。攻撃者から脅迫を受けていることも明らかにし、要求には応じないとしている。
本件の発生と第2報までの経緯は10月24日の記事を参照。
事案の詳細：「可能性」から「持ち出しを確認」へ
同社はこれまで、取引口座のログイン情報などが「取得され、不正に利用された可能性がある」と説明してきた。10月23日の第3報でも、影響の可能性があるサーバー2万6,739件は「不正アクセスや情報取得が確認された件数ではない」としていた。第4報では一歩踏み込み、本サービスの環境への不正アクセスと情報の外部持ち出しを確認したとしている。侵入経路の詳細は、セキュリティ専門会社とともに引き続き調査中。
第4報によると、攻撃者からは次のような脅迫行為を受けている。
- 国内外70を超える証券会社・FX会社などで、利用者の取引口座に不正な注文を出し、口座残高を減らす不正操作を続けること
- 本サービスや、接続した利用者のPCに関する情報の公開とランサム攻撃
- 同社のシステムや運用体制に関する情報の公開
同社は「要求に応じても、取得された情報の削除や不正利用の防止が保証されるものではない」として要求を拒否し、通信記録などの証拠を警察のサイバー犯罪対策部門に提出して捜査を要請した。攻撃者が同社や利用者の情報と称するものを公開する可能性があり、その中には事実と異なる内容が含まれるおそれがあるとして注意を呼びかけている。不正取引の遮断に向けては、主要な取引所・証券各社に、本サービス経由のアクセス遮断や全セッションの強制切断、不正取引の監視を要請している。
補償と見舞金、代替サービス
- 見舞金：現在の全利用者に、金銭的被害の有無にかかわらず一律5,000円。損失の補償とは別に支払う。連絡方法や支払い時期は10月30日（金）23:59までにメールで案内する。
- 不正取引の損失補償：同社が本件に起因する不正取引と認めた取引で生じた実現損失（取引の差損・手数料など）が対象。市場変動による損失や、得られたはずの利益などの間接損害は対象外。取引所等から返金があった場合は差額を、返金されない場合は対象となる損失を同社が支払う。申請方法や受付期間は11月6日（金）までに案内する。
- 代替サービス：現行のシステム基盤はそのまま再開せず、セキュリティの仕組みを刷新すると判断。Windowsデスクトップ環境を使い続けたい利用者には、独立したクラウド基盤の代替サービスへの乗り換えを案内し、乗り換え後6か月間を無償にする。利用者の同意なく移行することはないという。
同社は、補償の手続きでパスワード（取引履歴確認用の閲覧専用パスワードを除く）や暗証番号を尋ねることはないとしている。補償や返金を装った詐欺に注意が必要だ。
また第4報では、本件を「能動的サイバー防御」の「発動第1号」とするよう政府関係機関に要請していくことも表明した。能動的サイバー防御は、重大なサイバー攻撃について、被害が深刻化する前に国が攻撃者のインフラなどを特定・無害化する枠組み。
第5報：利用者のPCにも確認を要請
同日の第5報では、二次被害と被害拡大を防ぐため、利用者に自分の端末（PC・スマートフォン等）でウイルス対策ソフトのフルスキャンを行い、データのバックアップを取るよう新たに求めた。利用者の端末への影響を含めて調査中で、予防的な対応だとしている。攻撃者が「接続した利用者のPCに関する情報」の公開をほのめかしていることと合わせ、デスクトップクラウドに接続していた手元のPC側も確認が必要な段階に入ったといえる。
取引ツールを使っていた利用者には、引き続き次の対応を求めている。
- 取引口座と取引ツール（MT4/MT5等）のパスワードを、FX取引に使っていない端末から至急変更する
- ログイン中の全セッションを切断する。パスワード変更後も、証券会社・FX会社側の仕様で既存の接続が残り、第三者が取引を続けられる場合があるため、各社の案内を確認するか窓口に切断を依頼する（すでに変更済みでも実施）
- 取引履歴と残高を確認し、身に覚えのない取引があれば取引先の事業者に連絡する
- 二段階認証を設定する。サーバーやブラウザに保存していた他サービスのID・パスワードも変更する
- 攻撃者を名乗る者からメールやメッセージが届いても、URLやファイルを開かず、返信もしない
相談窓口は、お名前.comの問い合わせフォームと電話（03-5456-2560、土日・祝日を含め24時間）。
CSRIからの現場アドバイス
【現場で何が起きているか】今回の脅迫は、盗んだ情報を「公開する」と迫る二重恐喝型のランサム攻撃に、取引口座を不正に操作して「資産を減らし続ける」という圧力を重ねた、前例の少ない手口です。被害企業が要求を拒否した後は、攻撃者が真偽の混ざった情報を公開して揺さぶりをかけることがよくあります。SNSなどで出回る「流出データ」や「被害者リスト」をうのみにせず、公式発表で確認してください。
【平易な解説】パスワードを変えても、すでにログインしている状態（セッション）が残っていれば、攻撃者は取引を続けられることがあります。家の鍵を替えても、中に入り込んだ人を追い出さなければ意味がないのと同じです。パスワード変更とセッション切断は必ずセットで行い、加えて手元のPCに不審なプログラムが残っていないか調べるのが、今回の第5報の要点です。
【今週中にできること】利用者の方は、第5報の手順（別端末でのパスワード変更、全セッション切断、フルスキャン、バックアップ）を今日中に終え、取引履歴を確認してください。補償や見舞金を名乗る連絡でパスワードや暗証番号を聞かれたら、詐欺と判断して構いません。企業でリモートデスクトップやVPSに業務ツールの認証情報を保存している場合は、保存場所の棚卸し、多要素認証の導入、接続元PCのEDRによる監視を見直す機会にしてください。
参照: お名前.com 第4報（2026年10月24日） ／ 第5報（2026年10月24日） ／ 第3報（2026年10月23日）