2026年10月、GMOインターネットが提供しているFX自動売買用のVPS「お名前.com デスクトップクラウド」が大規模なサイバー攻撃を受け、全プランのサーバーが停止しました。
影響の可能性があるサーバーは2万6,739件にのぼるとされています。
ただ、今回注目されたのは、被害がクラウド上のサーバー内にとどまらなかった点です。
攻撃者はリモートデスクトップ接続を悪用し、VPSに接続していた利用者の自宅PC内部のファイルにまでアクセスしたと主張しています。
給与明細やブラウザに保存されたログイン情報などが収集対象になった可能性が報じられ、さらに100万米ドルの身代金要求と10月27日の期限が突きつけられました。
クラウド上のサーバーを狙った攻撃が、なぜ手元のPCにまで及んだのか。
そう気になっている方も多いのではないでしょうか。
私も気になっています。
そこで今回は、確認されている事実と未確認の情報を切り分けながら、事件の全体像と利用者が取るべき対策を整理します。
VPSの壁を越えた攻撃、自宅PCと金融資産が標的に？
そもそも、お名前.com デスクトップクラウドとは、FXの自動売買プログラムを24時間動かすための仮想サーバーを月額で貸し出すサービスです。
利用者は自宅のPCからリモートデスクトップで接続し、MetaTrader 4や5といった取引ツールを操作します。
取引ツールには口座のログイン情報が保存され、認証済みのセッションが維持されたまま稼働し続けます。
つまり、このサーバーには口座の認証情報と、すでにつながっている接続の両方が存在していることになりますよね。
10月20日に不正プログラムの設置が確認され、21日未明から全プランのサーバーが順次停止されました。
その後、サーバー内に保存されていた取引口座のログイン情報が第三者に取得され、不正に利用された可能性があることが判明したとされています。
さらに24日の第4報で、GMOは情報の外部持ち出しを確認したと公表しています。
しかし、この事件が従来のサーバー侵害と一線を画すのは、攻撃対象が利用者個人のPCにまで広がっている点ではないでしょうか。
セキュリティ対策Labが分析した攻撃者側の公開資料には、リモートデスクトップ接続を介して利用者のローカルPC内のファイルを一覧化し、コピーしたとする作業記録が含まれていたとのことです。
攻撃者はさらに、国内外の70を超える証券会社・FX会社にある顧客の取引口座への不正操作や、利用者PCへのランサムウェア攻撃を予告しています。
クラウド上のサーバーを落としただけでは守りきれない、新しい形の脅威が浮かび上がっているといえるでしょう。
事件の経緯は？不正アクセス発覚から「情報持ち出し」確認までを時系列で整理
GMOの公式発表と各報道を突き合わせると、事件は以下の流れで進行したとされています。
10月19日、利用者からの問い合わせを受けてGMOが調査を開始しました。
翌20日、一部の利用者のサーバー環境に第三者による不正なプログラムが設置されていることを確認し、新規申し込みとコントロールパネルを停止しています。
21日午前4時、被害拡大防止のため全プランのサーバーを順次停止し、第1報を掲載しました。
この時点では、個人情報の漏えいや悪用は確認されていないとしていました。
ところが21日以降、取引口座で身に覚えのない操作があったという利用者からの報告が相次ぎました。
22日の第2報では、保存されていたログイン情報などが取得・不正利用された可能性を公表し、警察に相談したとしています。
OANDA証券、Titan FX、AXIORY、IS6FXが相次いでパスワード変更を呼びかけ、FXTFは他社VPSサーバーへの攻撃として注意喚起を行いました。
ITmedia NEWSは23日、Xに「勝手に取引されて600万失った」「不正に取引されて55万円無くなった」といった被害を訴える投稿が相次いでいると伝えています。
出典：「お名前.com」のFX自動売買VPS、不正アクセスで金銭被害か 「600万円の損失」「55万円なくなった」……報告相次ぐ（ITmedia NEWS）
23日の第3報では、パスワードを変更しても既存の接続が一定期間残る場合があるとして、ログイン中のセッションの切断を至急求めました。
そして24日11時50分時点の第4報で、GMOは認識を一段進めることになりました。
GMOは第4報で、「本サービスのシステムにセキュリティ上の問題が存在し、本サービスの環境に対する不正なアクセスと、お客様の情報が外部に持ち出された事実を確認しております」と公表しました。
当初の「漏えいや悪用は確認されていない」という説明から、「情報が外部に持ち出された事実を確認した」へと、事案の見方が大きく変わったことになります。
持ち出された情報の種類や件数は、この時点では示されていません。
同日に出た第5報では、個別の情報取得や不正利用の有無・範囲は引き続き調査中としています。
出典：【重要】お名前.com デスクトップクラウドサービスに対するサイバー攻撃について（第4報） お客様へのお見舞金のお支払いと不正取引による損失の補償について | GMOインターネット株式会社
なぜ自宅PCが狙われたのか？RDPとドライブリダイレクトの仕組みを解説
お名前.com デスクトップクラウドの利用者は、手元のWindows PCからクラウド上のWindows環境へリモートデスクトップ（RDP）で接続して、取引ツールや自動売買プログラムを操作します。
この接続自体はサービスの通常の使い方であり、不自然なものではありません。
問題となったのは、RDPに備わっている「ドライブリダイレクト」という機能です。
そもそもドライブリダイレクトとは、利用者の設定とサーバー側のポリシーによっては、手元のPCのCドライブなどがリモート環境から共有ドライブとして見える仕組みを指します。
マイクロソフトの公式文書でも、この機能によりリモートコンピューターがローカルドライブのファイルを読み書きできるようになると説明されています。
つまり、リモート環境に侵入した第三者が、接続中のRDPセッションで共有されている領域を利用できれば、クラウド上だけでなく接続元のPCのファイルを閲覧・コピーする経路が生じる可能性があります。
セキュリティ対策Labが分析した攻撃者側の公開資料には、この仕組みが悪用された痕跡が記録されていたとのことです。
同編集部は6件のファイル収集ログを確認し、「これらはFX取引の損益明細ではなく、リモートデスクトップ接続を介して利用者のローカルPC内のファイルを一覧化し、コピーしたとする作業記録です。」と説明しています。
ログにはtsclientCなどのリモートデスクトップ上のドライブ共有パスが記録されていました。
この「tsclientC」というパスは、RDP接続において接続元PCのCドライブをリモート側から参照する際の表記です。
ドライブリダイレクトが有効であったことを示すものと整合するといえるでしょう。
出典：GMO「お名前.com デスクトップクラウド」へのサイバー攻撃でハッカーが犯行声明、100万ドル（約1億5,700万円）を要求 顧客PCへの情報窃取も主張|セキュリティニュースのセキュリティ対策Lab（合同会社ロケットボーイズ – セキュリティ 情報漏洩のニュースサイト セキュリティ対策Labの運営とBtoB マーケティング コンサル 支援）
確認できる範囲で計3,566行のコピー処理記録があり、金融・税務関係の書類やブラウザの保存ログイン情報に関連する記録も含まれていたとされています。
各ログの日時は10月14日22時53分から23時16分までの範囲に集中しており、複数のPCに対してほぼ同時に処理を実行したように見えます。
ただし、セキュリティ対策Labは、ログの真正性や外部サーバーへの送信完了を示す証拠はなく、3,566件を実際の漏えいファイル数とは扱わないとしています。
なお、GMOの公式発表には、利用者PCへの侵入やRDP機能悪用に関する確認は書かれていません。
これらのログは攻撃者側が公開した資料を第三者が分析したものである点には、注意が必要といえるでしょう。
100万ドルの身代金と10月27日の期限、GMOの対応方針は？
攻撃者を名乗る人物は10月24日、GMO側に100万米ドル（約1億5,700万円、10月23日の参考レート1ドル約156.9円で換算）を要求する声明を公開したと報じられています。
日本時間10月27日正午までに支払わなければ、利用者PCへのランサムウェア攻撃や、取得したとする情報の公開に踏み切ると予告しているとのことです。
GMOが第4報で明らかにした脅迫の内容は、次の3点に及ぶとされています。
1つ目は、国内外の70を超える証券会社・FX会社等に開設された顧客の取引口座に対する不正操作の継続です。
2つ目は、本サービスおよび本サービスに接続した顧客のPCに関する情報の不正公開と、ランサムウェア攻撃の実行です。
3つ目は、GMOのシステムや運用体制等に関する情報の不正公開です。
GMOは要求を明確に拒否しました。
第4報では、「当社は、攻撃者からの要求には応じません。要求に応じても、取得された情報の削除や不正利用の防止が保証されるものではないためです」と説明しています。
通信記録等の全証拠を警察当局のサイバー犯罪対策部門へ提出し、刑事事件として捜査を要請したとのことです。
出典：【重要】お名前.com デスクトップクラウドサービスに対するサイバー攻撃について（第4報） お客様へのお見舞金のお支払いと不正取引による損失の補償について | GMOインターネット株式会社
さらにGMOは、インフラ事業者として異例の対応に踏み出しました。
本件を能動的サイバー防御の発動第1号事案と位置づけ、国主導による攻撃基盤の追跡・遮断および無力化に向けた実効的な措置を講じるよう、政府関係機関へ強く具申したのです。
そもそも能動的サイバー防御とは、サイバー空間における重大な脅威に対し、被害が深刻化する前に国や関係機関が主導して攻撃者のインフラや侵入経路を特定・無力化し、被害の未然防止・拡大防止を図る枠組みを指します。
従来の事業者個別の防御を超え、国家レベルで先手を打つ安全保障上の施策として位置づけられています。
GMOはまた、主要な取引所・証券各社に対し、本サービス経由のアクセス遮断、全アクティブセッションの強制切断、および不正取引の緊急監視・抑止措置を要請・連携していることを明らかにしました。
攻撃者がGMOや顧客の情報と称するものを公開する可能性があり、その中には事実と異なる内容が含まれるおそれがあるとして、公式のお知らせ以外の情報に注意するよう求めています。
ファクトチェック：ファイルは「見られた」のか、PCは「感染」したのか？事実関係を調査
この事件を巡っては、「ファイルが閲覧・コピーされた可能性」と「PCがウイルスに感染し、バックドアが設置された可能性」が混同されがちです。
しかし、この二つは技術的に異なる事象であり、現時点で確認されている範囲を正確に把握することが重要ですよね。
ファイルの閲覧やコピーは、RDPのドライブ共有機能が有効な状態で、リモート側から接続元PCのファイルにアクセスすることで行われ得ます。
これは、セッションが接続中である間に成立する行為であり、必ずしもPC自体にマルウェアがインストールされたことを意味しません。
一方、バックドアの設置やランサムウェアによる暗号化は、PCの内部に不正なプログラムを書き込み、実行する必要があります。
この二つは、必要な手順も影響の持続性も大きく異なります。
セキュリティ対策Labは、「RDPのドライブ共有機能が有効であることと、利用者PCを完全に遠隔操作・永続侵害できることは別です。利用者PCの感染、バックドア設置、オフライン時のアクセスなどを確認するには、端末側の実行ログや不正プログラムの分析が必要です。」と整理しています。
出典：GMO「お名前.com デスクトップクラウド」へのサイバー攻撃でハッカーが犯行声明、100万ドル（約1億5,700万円）を要求 顧客PCへの情報窃取も主張|セキュリティニュースのセキュリティ対策Lab（合同会社ロケットボーイズ – セキュリティ 情報漏洩のニュースサイト セキュリティ対策Labの運営とBtoB マーケティング コンサル 支援）
現時点で確認できる事実を整理すると、次のようになります。
攻撃者側が公開したファイル収集ログには、利用者PCのファイルに対するコピー処理の記録が存在するとされています。
ただし、このログの真正性や、実際に外部サーバーへの送信が完了したかどうかは独立に検証されていません。
GMOは第5報（10月24日15:00時点）で、顧客の端末への影響を含めて調査を進めているとしています。
利用者PCでの感染やバックドア設置の有無についての調査結果は、第5報では示されていません。
つまり、「ファイルが見られた可能性がある」ことと「PCがウイルスに感染した」ことは、同じではありません。
情報窃取のリスクは残っているものの、感染が確認されたかのような断定は、現時点ではできません。
冷静に事実を切り分けつつ、予防的な対策を講じることが現実的な対応といえるでしょう。
利用者が今すぐ取るべき対策とは？
GMOは第3報から第5報にかけて、利用者への依頼を回を追うごとに具体化してきました。
第5報では、端末のフルスキャンとバックアップを冒頭に置き、パスワード変更などと並べて至急求めています。
以下に、公表資料から読み取れる主な対策をまとめます。
第一に、PCやスマートフォンのフルスキャンとバックアップです。
GMOは第5報で、「お客様ご自身の端末（PC・スマートフォン等）について、ウイルス対策ソフトによるフルスキャンを実施していただくとともに、データのバックアップを取得していただきますようお願いいたします」と案内しています。
ただし、バックアップしたファイルの取り扱いには十分注意するよう併記されています。
出典：「お名前.com デスクトップクラウド」ご利用のお客様へ改めてのお願い（第5報） | GMOインターネット株式会社
第二に、パスワードの変更は、FX取引に使用していない端末から行うことです。
第3報では「FX取引に使用していない端末（スマートフォンや別のPC等）から」と明記されています。
これは、万が一使用中の端末が侵害されている場合に、変更操作自体が盗まれるのを防ぐためです。
出典：【重要】「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第3報）｜[2026/10/23]｜ドメイン取るならお名前.com
第三に、パスワードを変更した後も、ログイン中の全セッションを切断することです。
GMOは、証券会社やFX会社のサーバーの仕様によっては、パスワードを変えたあとも一定期間、既存の接続が維持され、第三者が継続的に取引できる場合があると説明しています。
自分で切断できない場合は、FX会社の窓口に依頼します。
すでにパスワードを変更済みの場合も、必ず実施するよう求められています。
第四に、取引履歴と残高を確認し、身に覚えのない取引があれば、まず取引先のFX会社に連絡することです。
取引の日時と内容がわかる記録を手元に残しておくことが、後の補償申請の備えになります。
第五に、同じパスワードを使い回している他のサービスや、ブラウザに保存した各種サービスの認証情報も変更します。
加えて、二段階認証やパスキーが提供されている場合は設定します。
また、不正アクセスを行った第三者を名乗る者からメールやメッセージが届いた場合は、URLやファイルを開かず、返信もしないようGMOは呼びかけています。
GMOがメールや電話でパスワード、クレジットカード情報、口座情報を尋ねることはないとされています。
補償の手続きに関しても、パスワードや暗証番号を尋ねることはないと明記されています。
補償の内容と今後の見通しは？見舞金、損失補償、システム刷新を解説
GMOは10月24日の第4報で、特別措置として三つの対応を打ち出しました。
第一に、現在利用中の全員に対し、金銭的被害の有無にかかわらず一律5,000円の見舞金を支払います。
連絡方法と手続きは10月30日23時59分までに登録メールアドレスへ案内されるとのことです。
第二に、本件の不正アクセスに起因するとGMOが認めた不正取引による実現損失を補償します。
市場の変動による損失、得られたはずの利益、間接的な損害は対象外です。
申請方法や支払時期などは11月6日までに案内されるとされています。
第三に、現行のシステム基盤をそのまま再開せず、抜本的なセキュリティアーキテクチャの刷新を行う判断を示しました。
引き続きWindowsデスクトップ環境の利用を希望する契約者には、独立したクラウド基盤上の代替サービスへの乗り換えを案内し、乗り換え後6か月間は無償とするとのことです。
同意なく移行することはないとしています。
補償の申請にあたっては、対象取引の日時、内容、損失額が客観的に確認できる情報の提出が求められます。
本人確認書類や、MT4・MT5の閲覧専用パスワードの提示を求める可能性もあります。
取引所等に対しては、対象取引が第三者の不正アクセスによるものである事情を説明し、取消しや返金を相談するよう求めているとされています。
返金があればその分を差し引いて支払い、返金に応じてもらえない場合も対象の損失は支払うとしています。
一方、最終的な補償対象の件数や金額はまだ分かっていません。
セキュリティ対策Labは、認定された損失が多数の利用者で積み上がった場合、補償原資の確保や個別の認定作業が経営・実務両面で重い負担となり得ると指摘しています。
現時点で、GMOが補償を履行できないと判断できる財務資料や公式説明はありません。
ただ、被害認定や支払いが長期化した場合の影響は注視が必要といえるでしょう。
GMOグループでは10月上旬にも、GMOリサーチ＆AIが運営するアンケートサイト「infoQ」への不正アクセスが発生し、89万4,082件の個人情報の外部持ち出しが確定しているとされています。
デスクトップクラウドの事件とは別法人・別サービスであり、同一の攻撃者や共通の侵入経路が確認されているわけではありません。
ただし、短期間にグループの異なる事業で顧客情報・資産に影響が出た事実は、グループ全体のセキュリティ管理の実効性を検証する材料となるのではないでしょうか。
今回の事件は、クラウド上のサーバーを攻撃するだけで、そこに接続している利用者の手元の端末や金融資産にまで被害が及び得ることを示したといえるでしょう。
リモートデスクトップのドライブリダイレクトという、利便性のために使われてきた機能が、攻撃者にとってはクラウドの壁を越える経路になり得ました。
ファイルが実際に外部へ送信されたかどうか、利用者PCにマルウェアが仕込まれたかどうかは、今後の調査を待たなければ確定しません。
しかし、情報が持ち出された事実をGMO自身が認めた以上、リスクがゼロではないことは確かですよね。
利用者は、セッションの切断、別端末からのパスワード変更、PCのフルスキャンという、これまで意識されにくかった対策の重要性を改めて認識する必要があります。
自分自身の認証情報と端末の安全を、今この時点で確認しておくことが、次の被害を防ぐ最も確実な一歩になるといえるでしょう。
GMOの補償対応、政府の能動的サイバー防御の行方、そして侵入経路の全容解明がどう進むかについては、今後も注目が集まりそうです。
続報を待ちましょう。
情報源
【重要】お名前.com デスクトップクラウドサービスに対するサイバー攻撃について（第4報） お客様へのお見舞金のお支払いと不正取引による損失の補償について | GMOインターネット株式会社（【重要】お名前.com デスクトップクラウドサービスに対するサイバー攻撃について（第4報） お客様へのお見舞金のお支払いと不正取引による損失の補償について | GMOインターネット株式会社）
GMO「お名前.com デスクトップクラウド」へのサイバー攻撃でハッカーが犯行声明、100万ドル（約1億5,700万円）を要求 顧客PCへの情報窃取も主張|セキュリティニュースのセキュリティ対策Lab（合同会社ロケットボーイズ – セキュリティ 情報漏洩のニュースサイト セキュリティ対策Labの運営とBtoB マーケティング コンサル 支援）
【解説】お名前.com デスクトップクラウド、顧客情報の持ち出しを確認 不正取引の損失を補償へ（innovaTopia -（イノベトピア） – ーTech for Human Evolutionー）
【重要】[お名前.com デスクトップクラウド]第三者による不正アクセスに関するお詫びとお知らせ（2026年10月21日 4:00時点）｜[2026/10/21]｜ドメイン取るならお名前.com（お名前.com）
【重要】「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第2報） | GMOインターネットグループ株式会社（【重要】「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第2報） | GMOインターネットグループ株式会社）
【重要】「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第3報）｜[2026/10/23]｜ドメイン取るならお名前.com（お名前.com）
「お名前.com デスクトップクラウド」ご利用のお客様へ改めてのお願い（第5報） | GMOインターネット株式会社（「お名前.com デスクトップクラウド」ご利用のお客様へ改めてのお願い（第5報） | GMOインターネット株式会社）
GMOインターネット、デスクトップクラウド攻撃で全利用者に5,000円 不正取引も補償（ビジネス+IT）
Peripheral and resource redirection over the Remote Desktop Protocol – Azure Virtual Desktop
コメント