GMOインターネットは10月22日、FX（外国為替証拠金取引）の自動売買などに使われるクラウドサービス「お名前.com デスクトップクラウド」が不正アクセスを受けた件の第2報を公表した。影響の可能性があるサーバーは2万6,739件で、サーバー内に保存されていた証券・FXなどの取引口座のログイン情報が取得され、不正に利用された可能性があるという。利用者からは、取引口座で第三者による不正な操作が行われたとの報告が寄せられている。
事案の詳細
同社によると、10月19日に利用者からの問い合わせを受けて調査を始め、20日に一部の利用者のサーバー環境に第三者が不正なプログラムを設置していることを確認した。20日に新規申し込みとコントロールパネルを停止し、21日午前4時からは全プランのサーバーを順次停止している。再開時期は未定。
「お名前.com デスクトップクラウド」は、MT4/MT5などの取引ツールを24時間動かしておくための仮想デスクトップ（VPS）サービス。取引ツールには証券会社やFX会社の口座のログイン情報を保存して使うことが多く、第2報では、取引ツールやお取引口座のパスワードなどの認証情報が閲覧・取得された可能性があるとしている。決済情報（クレジットカード情報を含む）は同サービスのサーバー上では保持していないという。
21日の第1報では「閲覧された情報が悪用された事実は確認されておりません」としていたが、22日の第2報で、取引口座での不正な操作の報告を受けていることを明らかにした。報道によると、利用者からは「数百万円の損失が出た」との声も上がっている。同社は被害の全容を確認中で、関係する事業者と連携して被害の確認と拡大防止を進めているほか、22日に警察に相談した。侵入経路や不正プログラムの詳細は公表されていない。
影響と背景
今回の被害は、証券会社やFX会社のシステムそのものではなく、利用者が取引ツールを動かすために借りていたサーバーが入り口になった点が特徴だ。取引口座のIDとパスワードが盗まれると、口座の持ち主になりすましてログインし、不利な売買を繰り返すといった不正操作が可能になる。2万6,739件は影響を受けた可能性のあるサーバーの数で、確認された被害件数ではない。
自動売買を常時動かす仕組み上、取引ツールにはログイン情報を保存したままにしておくのが一般的で、サーバーが乗っ取られると複数の口座の認証情報がまとめて抜き取られるおそれがある。同じパスワードを他の証券会社やネットサービスで使い回している場合は、被害が広がる可能性もある。
対策・今後の展望（利用者向け）
GMOインターネットは利用者に次の対応を求めている。
- パスワードを至急変更し、ログオフする：取引ツール（MT4/MT5等）と取引口座のパスワードを、デスクトップクラウドのサーバー以外の端末から変更し、その後ログオフ（セッションの切断）する。
- 取引履歴と残高を確認する：身に覚えのない取引があれば、取引先の証券会社・FX会社に連絡する。
- 二段階認証を設定する：取引先が二段階認証などを提供している場合は設定する。
- サーバーに保存した他の認証情報も変える：同じパスワードを他のサービスで使っている場合は、あわせて変更する。
- 便乗したフィッシングに注意する：GMOや証券会社を装った不審なメール・SMSのリンクは開かない。
CSRIからの現場アドバイス
【現場で何が起きているか】証券口座の乗っ取りは、2025年に国内で大きな被害が相次いだ手口です。今回はフィッシングではなく、取引ツールを動かしていたサーバーからログイン情報がまとめて抜かれた可能性がある点が異なります。「サーバーを借りて自動売買をしている」個人投資家や、業務でVPSにツールを常駐させている企業は、同じ構図のリスクを抱えています。
【平易な解説】例えるなら、銀行のカードと暗証番号を入れたままの財布を、貸金庫ではなく借りた部屋に置いていたところ、その部屋の鍵が破られたような状態です。部屋（サーバー）が止められても、すでに抜き取られた暗証番号（パスワード）は使えてしまうため、番号そのものを変えることが最優先になります。
【今週中にできること】該当サービスを使っていた方は、手元のPCやスマートフォンから、取引口座と取引ツールのパスワードを今日中に変更し、二段階認証を有効にしてください。そのうえで直近の取引履歴を確認し、心当たりのない取引があれば証券会社・FX会社に連絡しましょう。企業でVPSに認証情報を保存しているツールがある場合は、保存先の棚卸しと、可能なものからの多要素認証化を進めてください。