お名前.com デスクトップクラウド不正アクセス｜経緯と企業が学ぶ対策
この記事の要点
- GMOインターネットの「お名前.com デスクトップクラウド」で2026年10月20日に不正なプログラムが見つかり、影響の可能性があるサーバーは26,739件と公表されました（侵害が確認された件数ではありません）。
- サーバー内の取引ツールに保存されていた口座のログイン情報などが取得され、利用者のFX口座で身に覚えのない取引が報告されています。GMOは実現損失の補償と一律5,000円の見舞金を表明しました。
- 攻撃者とみられる者は5,000万ドル（約80億円）を要求し、10月27日12:30には、情報と称するものが公開されたことをGMOが確認しました。GMOは要求に「永久に応じません」としています。
- 利用者がまずやることは、そのサーバー以外の端末からのパスワード変更、全セッションの切断、自分のPCのフルスキャンとオフラインのバックアップです。
- 2026年10月28日時点で、侵入の原因・経路、持ち出された情報の種類と件数は公表されていません。社外の常時稼働環境に認証情報を置く運用は、どの企業でも見直す価値があります。
GMOインターネットが提供する仮想サーバー（VPS）サービス「お名前.com デスクトップクラウド」で、2026年10月20日に第三者が設置した不正なプログラムが見つかりました[2]。サーバー内に保存されていた取引口座のログイン情報などが取得され、利用者の口座で身に覚えのない取引が報告されています[3][4]。さらに攻撃者とみられる者が同社に金銭を要求し、10月27日には情報と称するものを公開する事態になりました[9]。
FXの自動売買に使われてきたサービスですが、この事案は企業にも無関係ではありません。社外のクラウドで常時動かしている作業用サーバーに業務システムのIDやパスワードを保存し、その環境ごと侵害される構図は、自動化ツールや業務用の仮想デスクトップ、AIエージェントの実行環境でも起こりえます。
この記事では、GMOインターネットの第1報〜第12報を中心に一次情報から経緯を整理し、利用者がやるべきこと、企業が自社に持ち帰るべき教訓を順にまとめます。情報は2026年10月28日時点のものです。
お名前.com デスクトップクラウドで何が起きたのか？
GMOインターネットは10月19日に利用者からの問い合わせを受けて調査を始め、10月20日に一部の利用者のサーバー環境で第三者が設置した不正なプログラムを確認しました[2]。10月21日4:00からは全プランのサーバーを順次停止しています[1]。
このサービスは、FX（外国為替証拠金取引）の取引ツール（MT4/MT5等）を、利用者のPCではなくクラウド上のWindowsデスクトップ環境で24時間動かす用途で使われてきました[2][4][19]。利用者は自分のPCからリモートデスクトップでサーバーに接続し、サーバー上の取引ツールを動かします[19]。取引ツールには口座のログイン情報が保存されます[3]。
その保存されたログイン情報が狙われました。GMOは第2報で、サーバー内に保存されていた取引口座のログイン情報等が第三者に取得され、不正に利用された可能性があると公表しました[2]。第4報では、サービスのシステムに「セキュリティ上の問題」が存在し、利用者の情報が外部に持ち出された事実を確認したとしています[4]。
10月19日
利用者からの問い合わせで調査開始
GMOインターネットが調査を始めた[2]
10月20日
不正なプログラムを確認
一部利用者のサーバー環境で第三者が設置した不正なプログラムを確認し、新規申し込みとコントロールパネルを停止[2]
10月21日 4:00
全サーバーを順次停止・第1報
10月22日
第2報・取引口座の不正操作
取引口座で第三者による不正な操作があったとの報告を公表し、別の端末からのパスワード変更を依頼[2]。金融庁はFX業者に、顧客への注意喚起を求める通知を出した[15]
10月24日
第4報・情報の持ち出しを確認
損失の補償、見舞金、現行基盤を再開しない方針、要求に応じない方針を公表[4]
10月26日
第7報・期限付きの予告
10月27日12:00に利用者の情報の公開とランサムウェア攻撃を行うとの予告を受けていると公表[6]
10月27日 12:30
情報と称するものの公開を確認
13:55時点でランサムウェア攻撃は確認されていないとした[9]
10月27日 19:10
第12報・特別見舞金と懸賞金
要求には「永久に応じません」とし、総額上限100万米ドルの懸賞金を設けた[10]
何が盗まれ、どんな被害が出ているのか？
公表されている影響は「サーバー内に保存されていた情報」です。GMOは第3報で、取引ツール等に保存された取引口座のログイン情報を含み、利用者自身がサーバー内に保存した情報も影響範囲に含まれると説明しています[3]。クレジットカード情報を含む決済情報は同社では保持していないとしています[1]。
| 項目 | 公表内容 |
|---|---|
| 影響の可能性がある範囲 | サーバー26,739件。対象となり得る数で、不正アクセスや情報取得が確認された件数ではない[3] |
| 影響の可能性がある情報 | サーバー内に保存されていた情報（取引ツール等に保存された口座のログイン情報等を含む）[3] |
| 持ち出し | 利用者の情報が外部に持ち出された事実を確認。種類と件数は示されていない[4] |
| 取引口座 | 一部の利用者から身に覚えのない取引の報告[4]。FX事業者側でも不正ログイン・不正取引を確認[12][13] |
| 侵入の原因・経路 | 「システムにセキュリティ上の問題が存在」まで。詳細は未公表[4] |
2026年10月28日時点。GMOインターネットの第3報・第4報と、FX事業者の告知による。
口座を提供する側でも被害が確認されています。OANDA証券は10月26日、一部の顧客のアカウントで外部から漏えいした可能性のあるIDとパスワードによる不正ログインと不正取引を確認し、取引を制限したと公表しました[12]。FXTFも同日、影響を受けた複数のMT4取引口座を確認し、取引を一時的に制限したとしています[13]。
攻撃者は何を要求し、GMOはどう対応したのか？
GMOは第4報で、攻撃者とみられる者から金銭の要求を受け、応じなければ同社と利用者に関する情報を公開するなどの連絡を受けていると公表しました[4]。グループ代表のブログによれば、要求額は5,000万ドル（約80億円）です[11]。GMOは要求に応じない方針を一貫して示しています[4][10]。
- 国内外の70を超える証券会社・FX会社等に開設された利用者の取引口座に対する不正操作の継続[4]
- サービスと、サービスに接続した利用者のPCに関する情報の不正公開と、ランサムウェア攻撃の実行[4]
- GMOのシステムや運用体制等に関する情報の不正公開[4]
当社は、攻撃者からの要求には応じません。要求に応じても、取得された情報の削除や不正利用の防止が保証されるものではないためです。
利用者への補償も示しました。GMOが調査の結果、不正アクセスに起因すると認めた不正取引で取引口座に生じた実現損失（取引の差損と手数料等）を補償し、市場の変動による損失や得られたはずの利益、その他の間接的な損害は対象外としています[4]。これとは別に、現在の利用者全員に金銭的被害の有無にかかわらず一律5,000円の見舞金を支払うとしました[4]。
サービスそのものについては、不正アクセスを受けた現行のシステム基盤をそのまま再開せず、セキュリティの仕組みを刷新すると判断しました[4]。継続を希望する利用者には独立したクラウド基盤上の代替サービスを案内し、乗り換え後6か月間は無償、利用者の同意なく移行はしないとしています[4]。
GMOは被害の拡大防止に向けて政府の関係機関に能動的サイバー防御の適用を要請したとしており、官房長官は適用の有無を明らかにしていないと報じられています[4][16]。グループ代表は、裁判所を通じた開示請求の手続きに着手したと書いています[11]。警視庁が不正アクセス禁止法違反の疑いなどを視野に捜査していると報じられています[17]。
10月27日の予告期限の後、何が起きたのか？
予告されていた10月27日12:00の30分後、GMOは攻撃者とみられる者が同社と利用者に関する情報と称するものを公開したことを確認しました[9]。一方で、ランサムウェア攻撃は同日13:55時点で確認されていないとしています[9]。
期限の前、GMOは第8報で、12:00になる前にバックアップを取ったうえで、PCのネットワークを切断し、電源を落とし、つながっているコードを抜くよう利用者に求めました[7]。第9報では、それまでに解析を終えた利用者の端末からマルウェア（ランサムウェアを含む）は確認されていないとしつつ、すべての端末の安全を確認したものではないと付け加えています[8]。
公開後の第10報では、公開サイトにアクセスした人の情報は攻撃者に取得されていると注意を促し、悪質性の高い情報拡散者への法的措置の準備を進めているとしました[9]。報道によれば、公開されたのは氏名や住所など「顧客の個人情報」と称するものです[18]。
第12報では、公開された情報に本人の情報が含まれていることを確認した利用者に、区分に応じた「GMO特別お見舞金」（氏名・連絡先などは1万円、口座のID・パスワードなど金融・認証に関する情報は1万5,000円、要配慮個人情報などは2万5,000円、1公開につき上限300万円）を支払うとしました[10]。あわせて、親会社のGMOインターネットグループが、犯人の特定につながる情報に総額100万米ドルを上限とする懸賞金を設け（10月28日12:00受付開始）、身代金や情報の買い取り代金ではないと明記しています[10][20]。
利用者と企業には、どんな影響があるのか？
影響は立場によって異なります。直接の利用者は口座と自分のPCの両方を点検する必要があり、口座を提供する事業者は不正ログインの監視と認証の強化を迫られています[12][13][14]。サービスを使っていない企業にとっても、外部の作業環境に認証情報を預ける運用の見直し材料になります。
| 立場 | 主な影響 | 確認すること |
|---|---|---|
| サービスの利用者（個人・法人） | サーバー内に保存していた口座のログイン情報等の取得、身に覚えのない取引[3][4] | 別端末からのパスワード変更、全セッション切断、取引履歴の確認、PCの点検[3][5] |
| 口座を提供する証券会社・FX会社 | 外部から漏えいしたIDとパスワードによる不正ログインと不正取引[12] | 取引制限、海外からのアクセス制限、多要素認証やパスキーの必須化[13][14] |
| 社外のVPS・仮想デスクトップを業務で使う企業 | 直接の影響はないが、同じ構図のリスク | 常時稼働環境に保存している認証情報と、侵害時の切り替え手順の点検 |
| サービスを提供する企業 | 社内から指摘された課題への対応の遅れが、侵入の余地になりうる[11] | 指摘された課題の期限管理、侵害時に基盤を止めて作り直す判断の準備 |
2026年10月28日時点。各社の公表による。
口座を提供する側の動きも速くなっています。GMOクリック証券は、自社の口座で不正な操作は確認されていないとしたうえで、2026年11月28日からログインをパスキー認証のみにすると案内しました[14]。FXTFは海外からのアクセス制限や、ワンタイムパスワード・多要素認証の必須化を進めるとしています[13]。
利用していた場合、今すぐやることは？
最優先は、侵害された可能性のある環境を使わずに、口座の認証情報を入れ替えることです。GMOは、パスワードの変更をそのサーバー以外の端末から行い、変更後に全セッションを切断するよう求めています[2][3]。
利用者が今週中に確認すること
- 取引ツールと取引口座のパスワードを、FX取引に使っていない端末（スマートフォンや別のPC）から変更する[3]
- パスワード変更後に、ログイン中の全セッションを切断する。変更済みの場合も実施する[3]
- 取引履歴・残高・入出金履歴を確認し、身に覚えのない取引は口座の提供事業者とGMOの窓口に連絡する[3][4]
- ブラウザに保存している各種サービスのIDとパスワードも変更する[3]
- 接続に使った自分のPCで、ウイルス対策ソフトのフル（完全）スキャンを実行する[5]
- 重要なデータを、ネットワークから切り離した状態で外付けの記憶媒体にバックアップする[5]
- 心当たりのない連携アプリ・転送設定・拡張機能・登録端末を削除し、点検が終わるまでブラウザの同期をオンにしない[5]
- 攻撃者を名乗る者からのメールは、URLやファイルを開かず返信しない。「被害金を取り戻す」など費用を求める連絡に応じない[3][5]
- 口座の提供事業者が用意していれば、多要素認証・パスキー・ログイン通知を設定する[14]
なぜ「別の端末から」なのか。侵害された環境で新しいパスワードを入力すると、それ自体が再び盗まれるおそれがあるためです。セッションの切断が必要なのも、GMOが説明するとおり、事業者のサーバーの仕様によってはパスワードを変えても既存の接続が一定期間維持され、第三者が取引を続けられる場合があるからです[3]。OANDA証券は、パスワード変更によってVPS側を含む過去のセッションがすべて即座に切断されると案内しています[12]。
法人で利用していた場合は、個人の対応に加えて社内の手続きも必要です。業務の口座やシステムの認証情報が保存されていたなら、影響範囲の記録、関係先への連絡、個人情報が含まれる場合の報告要否の判断を進めてください。社内でよくある疑問はよくある質問も参考になります。
社外のクラウド環境に認証情報を置くリスクとは？
今回の構図は、「人がいない時間も自動で動く環境」に、強い権限を持つ認証情報を保存していたことです。保存された口座のログイン情報が取得され、不正な取引に使われた可能性があるとGMOは説明しています[2][3]。同じ構図は、FXに限らず企業の業務環境にもあります。
- RPAや定期処理を動かすクラウド上のWindowsサーバーに、基幹システムやネットバンキングのIDとパスワードを保存している
- 委託先や外部の仮想デスクトップに、社内システムへのログイン情報をブラウザ保存させている
- AIエージェントや自動化ツールの実行環境に、クラウドやSaaSの長期間有効なAPIキーを置いている
AIエージェントの普及で、この論点はさらに重要になっています。自律的に動くエージェントには、人の代わりに操作するための認証情報を渡す必要があり、その実行環境が侵害されれば同じことが起こります。編集部の見方では、エージェントに渡す権限と鍵の有効期限を最小にし、侵害時にすぐ無効化できる一覧を持つことが、今回の事案から得られる最も実務的な教訓です。AI利用に固有のリスクはAIセキュリティとはでも整理しています。
サービスを提供する企業が学ぶべき点は？
提供側の教訓は、事前に指摘されていた課題への対応の速さです。グループ代表はブログで、このサービスのセキュリティについて社内のホワイトハッカーから改善すべき課題が事前に指摘されていたものの、対応の深度とスピードが十分でなかったと認めています[11]。
サービスの可用性への影響や他の対処事項との優先順位を考慮しながら慎重に対応を進めた結果としてその対応の深度とスピードが十分ではなく、攻撃者にその間隙を突かれてしまいました。
編集部の見方では、これは多くの企業に共通する課題です。診断や社内の指摘で見つかった問題が「サービスを止められない」「他の案件が優先」という理由で先送りされ、その間に悪用されるという流れは珍しくありません。指摘事項に期限と責任者を付け、期限を過ぎたものを経営層が把握できる仕組みが必要です。
侵害後の判断にも学ぶ点があります。GMOは侵害された基盤をそのまま再開せず作り直すと判断し、補償の範囲、見舞金、利用者へのお願いを短い間隔で更新してきました[4][10]。自社のサービスで同じことが起きたとき、基盤を止めて作り直す判断を誰がするのか、利用者への連絡をどの頻度で出すのかを、平時に決めておくことが初動の速さにつながります。
まとめ
「お名前.com デスクトップクラウド」の事案は、クラウド上の作業環境に保存された口座のログイン情報が取得され、不正な取引と大規模な脅迫に発展したものです[3][4]。2026年10月28日時点で原因や持ち出された情報の詳細は公表されておらず、続報を確認する必要があります。
利用者は、別の端末からのパスワード変更、全セッションの切断、PCの点検を優先してください[3][5]。企業は、社外の常時稼働環境やAIエージェントの実行環境に置いている認証情報を棚卸しし、権限を絞り、侵害時にすぐ無効化できる状態にしておくことが求められます。サービスを提供する側は、指摘された課題を先送りしない仕組みを点検してください。
よくある質問
お名前.com デスクトップクラウドとは何ですか？
GMOインターネットが提供していた、Windowsの仮想サーバー（VPS）サービスです。FXの取引ツール（MT4/MT5等）をクラウド上で24時間動かす用途で使われてきました。2026年10月21日から全サーバーが停止しており、GMOは現行の基盤をそのまま再開しない方針を示しています。
影響を受けたのは何件ですか？
GMOは影響の可能性があるサーバーを26,739件と公表しています。ただし、これは対象となり得るサーバーの数で、不正アクセスや情報取得が確認された件数ではないと明記されています。2026年10月28日時点で、実際に侵害された件数や持ち出された情報の件数は公表されていません。
パスワードを変更すれば安全ですか？
変更だけでは十分ではありません。侵害された可能性のあるサーバー以外の端末から変更すること、変更後にログイン中の全セッションを切断することが必要です。事業者の仕様によっては、パスワードを変えても既存の接続が一定期間残り、第三者が取引を続けられる場合があります。接続に使ったPCのフルスキャンも行ってください。
攻撃者を名乗る人からメールが届いたらどうすればよいですか？
メール内のURLやファイルを開かず、返信もしないでください。「被害金を取り戻す」などと費用を求める連絡にも応じないよう、GMOは注意を促しています。攻撃者が公開したサイトはアクセスするだけで閲覧者の情報が取得されるとされているため、見に行かないことも大切です。
サービスを使っていない企業にも関係がありますか？
関係があります。RPAや自動化ツール、AIエージェントを社外のクラウド環境で常時動かし、そこに業務システムの認証情報を保存している企業は、同じ構図のリスクを抱えています。操作できる範囲を絞った専用の認証情報を使い、重要な操作には別の認証を求め、侵害時にすぐ無効化できる一覧を持っておくことが有効です。
出典・参考資料
- 公式発表【重要】[お名前.com デスクトップクラウド]第三者による不正アクセスに関するお詫びとお知らせ（2026年10月21日 4:00時点）
- 公式発表【重要】「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第2報）
- 公式発表【重要】「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第3報）
- 公式発表【重要】お名前.com デスクトップクラウドサービスに対するサイバー攻撃について（第4報） お客様へのお見舞金のお支払いと不正取引による損失の補償について
- 公式発表【重要】「お名前.com デスクトップクラウド」ご利用のお客様へ改めてのお願い（第6報）
- 公式発表【重要】「お名前.com デスクトップクラウド」への不正アクセスに関する現在の対応について（第7報）（お客様をお守りするために現在私たちが行っていること）
- 公式発表【重要】「お名前.com デスクトップクラウド」への不正アクセスに関する現在の対応について（第8報）（【続報】お客様をお守りするために現在私たちが行っていること）
- 公式発表【重要】「お名前.com デスクトップクラウド」への不正アクセスに関する現在の対応について（第9報）（【続報】12時に予告されている攻撃に備えた、お客様へのあらためてのお願い）
- 公式発表【重要】「お名前.com デスクトップクラウド」への不正アクセスに関する現在の対応について（第10報）（攻撃者による情報の公開に関し、弊社の認識と対策について）
- 公式発表【重要】「お名前.com デスクトップクラウド」への不正アクセスに関する現在の対応について（第12報）
- 公式発表今こそ官民連携で日本を守ろう ――「能動的サイバー防御」を具申した理由
- 公式発表【重要：第2報】「お名前.com デスクトップクラウド」への不正アクセスに伴う不正ログイン等の発生につきまして
- 公式発表【続報】【重要】「お名前.com デスクトップクラウド」へのサイバー攻撃に関するお知らせと当社の対応について（2026年10月26日）
- 公式発表【重要】自動売買ツールによるものと考えられる不正取引に関する注意喚起とお願い
- 記事FX不正アクセス、金融庁が事業者に注意喚起 パスワード変更など
- 記事能動的防御、異例の要請 攻撃者からの要求額は８０億円―ＧＭＯ
- 記事ＧＭＯ巡り警視庁が捜査 不正アクセス禁止法違反容疑など
- 記事GMO攻撃者が「顧客情報」公開 会社「拡散しないで」法的措置準備
- 公式発表FX自動売買専用VPS【MT4/MT5対応】おすすめ比較｜RDS SAL0円 | お名前.com デスクトップクラウド
- 公式発表当社が提供するサービスにおける不正アクセスへの対応方針に関するお知らせ
本記事の事実関係は、2026.10.28 時点で上記の出典をすべて再確認しています。 侵入の原因や持ち出された情報の詳細は今後の続報で明らかになる可能性があります。最新の情報はGMOインターネットの公式発表を確認してください。
