🔬 Deep Dive｜お名前.com 侵害、70社超の口座を人質にした恐喝

GMO インターネットは2026年10月21日未明、FX の自動売買に使う仮想サーバー「お名前.com デスクトップクラウド」の全プランを順次止めた。サーバーに不正なプログラムが置かれ、影響の可能性があるサーバーは 2 万 6,739 台にのぼる。24日には利用者の情報が外部に持ち出されたことを認め、攻撃者から金銭を要求されていると公表した。

GMOインターネットグループ

@GMOGroup

·Follow

【重要】「お名前.com デスクトップクラウド」への不正アクセスに関する現在の対応について（第8報）当社は、攻撃者とみられる者から、10月27日（火）12:00に、お客様の情報の公開とランサムウェア攻撃を行うとの予告を受けています。 Show more

12:59 AM · Oct 27, 2026

1.6K

Read 92 replies

攻撃者が交渉の材料にしたのは、利用者の口座だった。応じなければ、国内外の 70 を超える証券会社・FX 会社の口座で不正な操作を続け、利用者の PC にランサムウェアを仕掛ける。GMO は支払いを拒み、27日には利用者とされる人の情報が公開された。

単なる情報漏えいのニュースではない。多くの金融口座の鍵が 1 つの事業者のもとに集まっていたこと、その鍵を握った攻撃者が利用者の口座を人質に取ったこと、そして民間企業が政府に「反撃」を求めたこと。本稿では 9 日間の経緯を整理したうえで、穴の構造、恐喝の型、国家と AI、そしてこの事件が突いた信頼の仕組みの限界を順に読む。

9 日間に起きたこと

GMO の発表 (第1報〜第13報) と関係者の動きを、日付順に並べる。

10月19日: 利用者からの問い合わせを受け、GMO が調査を始める
10月20日: 一部の利用者のサーバーで不正なプログラムが置かれているのを確認。新規申し込みと管理画面を止める
10月21日: 午前4時から全プランのサーバーを順次停止 (第1報)。この時点では「個人情報の漏えい」や悪用は「確認されておりません」としていた。同じ日、攻撃者から 5,000 万ドル (約 80 億円) を求める脅迫メールが届く
10月22日: 利用者から、取引口座で第三者による不正な操作があったと報告を受ける (第2報)。GMO は警察に相談
10月23日: パスワードを変えても、つながったままの接続から取引が続けられる場合があるとして、全セッションの切断を求める (第3報)
10月24日: 情報の外部への持ち出しを確認し、脅迫を受けていると公表 (第4報)。全利用者への見舞金 5,000 円、不正な取引による損失の補償、代替サービス 6 か月無償を発表し、政府に能動的サイバー防御の措置を要請した
10月25日: 熊谷正寿代表がブログで、社内のホワイトハッカーから課題を事前に指摘されていたと明かす
10月26日: 攻撃者が27日正午に利用者の情報の公開とランサムウェア攻撃を予告していると公表 (第7報)。政府はサイバーセキュリティの関係閣僚会議を開いた
10月27日: 正午を前に、利用者に「PC につながっているコードを抜いてください」と呼びかける (第8報)。12時半、攻撃者とみられる者が利用者とされる情報を公開したのを確認 (第10報)。夜には公開された人への特別見舞金と、総額 100 万ドルを上限とする懸賞金を発表 (第12報)。片山さつき金融担当相は、FX 会社 5 社から GMO に関連するとみられる顧客の被害の報告を受けたと述べた
10月28日: 午前4時ごろ、攻撃者のサイトのドメインが止まったことを確認 (第13報)。攻撃者は支払いがなければ毎日正午に新たな情報を公開すると脅しており、停止は米国のプロバイダーによる措置とみられると報じられた。警視庁は不正アクセス禁止法違反などの疑いで捜査し、GMO の関係者から事情を聞いている

各時点の詳細は、本サイトの Signal で追った。

鍵が 1 か所に集まっていた

デスクトップクラウドは、MT4・MT5 といった取引ソフトで自動売買プログラム (EA) を 24 時間動かすための、Windows の仮想サーバーだ。自宅の PC を一晩中つけておかなくても、データセンターのサーバーが代わりに注文を出し続ける。

自動で注文を出すには、取引ソフトに口座のログイン情報を保存しておく必要がある。GMO は、影響の可能性がある情報を「取引ツール等に保存されたお取引口座のログイン情報等を含みます」と書いた。利用者は、自分の証券会社や FX 会社の口座を動かす鍵を、GMO のサーバーに置いていたことになる。

鍵の 1 本 1 本は利用者のものだ。ただ、それが 2 万台を超えるサーバーに並び、管理するのは 1 つの事業者だった。攻撃者がその管理の層を破れば、多くの口座の鍵にまとめて手が届く。攻撃者が「70 を超える証券会社・FX 会社」の名前を挙げられたのは、さまざまな会社に口座を持つ利用者の鍵が 1 か所に集まっていたからだろう。

ここが本筋だ。被害が出たのは GMO の外にある FX 会社の口座で、その FX 会社のシステムは破られていない。OANDA 証券は、外部の VPS で流出したログイン情報による不正ログインと不正取引を確認したとしたうえで、自社の基幹システムへの侵入は確認されていないと告知した。FXTF も、VPS で自動売買をしていた一部の利用者の MT4 口座で「お客様の意思によらない取引」を確認している。正しい鍵で入られれば、入られた側は正規の利用者と区別がつかない。

第3報の注意書きも、この構造をよく表している。パスワードを変えた後も、FX 会社のサーバーの仕様によっては、すでにつながっている接続が一定の間残り、第三者が取引を続けられる場合があるという。鍵を替えても、開いたままの扉は閉まらない。

侵入の入口について、GMO は「本サービスのシステムにセキュリティ上の問題が存在し」と認めたが、具体的な経路はまだ明かしていない。解説記事や攻撃者の声明は、利用者の PC とサーバーをつなぐリモートデスクトップの設定や、多数のサーバーをまとめて管理する仕組み、解約後も残っていたサーバーを挙げているが、いずれも GMO は確認していない。

指摘は社内に届いていた

この事件で GMO 自身が認めた穴は、技術より手前にある。

熊谷代表はブログで、本サービスについて「社内のホワイトハッカーから改善すべき課題が事前に現場へ指摘されておりました」と書いた。現場はその指摘を受け止めて対策を進めていたが、サービスの可用性への影響やほかの対応との優先順位を考えるうちに、「対応の深度とスピードが十分ではなく」、攻撃者にその間を突かれたという。

GMO グループは、ホワイトハッカーを抱えるセキュリティ会社、GMO サイバーセキュリティ byイエラエを持つ。課題を見つける力はあった。足りなかったのは、見つかった課題を、止めたくないサービスより先に直す判断だった。

グループの中では、この 2 か月で似た事案が続いている。レンタルサーバーの ConoHa WING は 9月20日、9月3日に始まった不正アクセスで、426 のウェブサーバー領域に不正なプログラムが置かれたと公表した。アンケートサイト infoQ を運営する GMO リサーチ&AI は 10月14日、ソフトウェアの脆弱性を突かれ、89 万 4,082 件の会員情報が漏れたと確定させた。サービスも原因もそれぞれ違うが、課題の発見から修正までの時間が問われている点は共通している。

顧客の口座を人質にした恐喝

従来のランサムウェアは、会社のデータを暗号化して会社に身代金を求めた。今回の攻撃者は、会社の外にいる顧客を交渉の材料にした。

GMO の第4報によると、攻撃者は要求に応じなければ、次の 3 つを行うと予告した。

国内外の 70 を超える証券会社・FX 会社などにある顧客の口座で、不正な操作を続ける
本サービスと、サービスにつながっていた顧客の PC の情報を公開し、ランサムウェアで攻撃する
GMO のシステムや運用体制に関する情報を公開する

70 社という数字は攻撃者の予告に出てくるもので、被害が確認された会社の数ではない。片山金融担当相が27日に名前を挙げたのは、ゴールデンウェイ・ジャパン、OANDA 証券、アヴァトレード・ジャパン、外為ファイネスト、デューカスコピー・ジャパンの 5 社だった (報道による)。

この型では、会社が支払わない代償を顧客が払う。顧客の損失が積み上がるほど、会社への圧力が強まる。攻撃者は 10月21日のメールでは 5,000 万ドルを求めたが、報道によると、公開の声明では27日正午を期限に 100 万ドル (約 1.5 億円) を求めた。会社が払える額まで下げ、顧客の目に「払えば済むのに」と映る額を示すことも、圧力の一部になる。

GMO は「要求には永久に応じません」と答えた。払っても情報の削除や悪用の停止は保証されず、犯罪組織への資金になって次の攻撃を助けるからだという。そのうえで、圧力の矛先である顧客の側を手当てした。全利用者に見舞金 5,000 円、不正な取引による損失は GMO が補償し、情報を公開された人には区分ごとに 1 万〜2 万 5,000 円の特別見舞金を出す (1 公開あたり上限 300 万円)。犯人の特定につながる情報には、総額 100 万ドルを上限とする懸賞金をかけた。GMO は、これは身代金でも盗まれた情報の買い取り代金でもないと書いている。

27日の朝、GMO が利用者に頼んだのは、バックアップを取り、ネットワークを切り、電源を落とし、PC につながっているコードを抜くことだった。クラウドの事業者が最後に頼った防御は、利用者の手による物理的な遮断だった。11時59分の時点で、解析を終えた端末からはランサムウェアを含むマルウェアは見つかっていないと GMO は発表している。

市場はこの 1 週間を値付けした。GMO インターネットグループの株価は、全プランの停止を公表した21日の終値 4,005 円から、27日の終値 3,159 円まで約 21% 下げた。GMO は業績への影響を「現時点では算定できておりません」としている。

内部か外部か、まだ誰も言っていない

SNS では、内部の関係者が関わったのではないかという声も出ている。攻撃者が GMO の内部の事情に通じているように見えることが、その理由として挙げられることが多い。

確かなのは、GMO の第1〜13報にも、熊谷代表のブログにも、警視庁の捜査を伝える報道にも、内部の関与を示す記述はないということだ。

内部の事情を知っていることは、内部の人間である証拠にはならない。多数のサーバーをまとめて管理する仕組みに入り込めば、その仕組みの中から運用の手順や設定を読み取れる。攻撃者が「システムや運用体制に関する情報」の公開を予告できたのは、それをすでに手にしているからかもしれない。内部か外部かを決めるのは、警視庁が不正アクセス禁止法違反などの疑いで進めている捜査と、GMO が約束した侵入経路の調査結果だ。

民間企業が国家を呼んだ

GMO は24日、政府に能動的サイバー防御の措置を求め、本件を「発動第1号」と位置づけた。

能動的サイバー防御は、2025年5月に成立した法律で導入された仕組みだ。攻撃に使われているサーバーに政府がアクセスし、不正なプログラムを止めたり消したりする「アクセス・無害化」の規定は、2026年10月1日に施行されたばかりだった。

ただ、この仕組みは企業の求めで動くものとして作られていない。インシデントの報告義務を負うのは電力や金融などの基幹インフラの事業者で、GMO はそこに入っていない。熊谷代表も、GMO が「特定社会基盤事業者」ではないとの指摘を理解したうえで要請したと書いている。木原官房長官は、アクセス・無害化は法律の要件に照らして判断されると述べた (報道による)。

それでも政府は動いた。26日にサイバーセキュリティの関係閣僚会議を開き、高市首相は被害企業への支援の強化と、アクセス・無害化を含む対処の戦略的な実施を指示した。緊急の対策のパッケージは 11月2日からの週にまとめる (報道による)。金融庁は22日付で、金融先物取引業協会を通じて FX 会社に、顧客へのパスワード変更の呼びかけと不審な取引の監視を求めていた (報道による)。

FX の自動売買の仮想サーバーは、法律が想定する重要インフラではない。しかし、そこに金融口座の鍵が集まれば、攻撃の影響は金融の現場に届く。重要インフラの線は、鍵が集まる場所に合わせて引き直す必要が出てきた。

攻撃は機械の速さ、修正は人の判断

この 1 週間、もう 1 つの攻撃の姿も報じられた。

GMO サイバーセキュリティ byイエラエは 10月19日、日本企業を狙う攻撃の基盤から、AI が自律的にシステムの弱点を探す侵入テストの道具「ARTEX」が使われた痕跡を見つけたと公表した。1 台の攻撃基盤が国内の約 20 社を狙っていたと報じられている。米マイクロソフトも 21日、中国の国家と足並みをそろえる攻撃グループ「Storm-0940」が ARTEX を使い、ソフトウェアの供給網を突いて多数の組織に侵入を試みたと報告した。

デスクトップクラウドの事件に ARTEX が使われたことを示す公式の資料はない。熊谷代表がブログで ARTEX に触れたのも、AI を使った攻撃の時代の背景としてだった。

ただ、2 つの話を並べると、守る側の課題がはっきりする。弱点を探す作業は機械が昼夜を問わず続けられるようになった。一方で、見つかった弱点をいつ直すかは、可用性や優先順位をはかりにかける人の判断に残っている。熊谷代表が書いた「深度とスピード」の不足は、この速度の差に重なる。指摘から修正までに時間のかかる組織は、機械の速さで弱点を探す相手に先を越される。

名前で預かる信頼の限界

この事件の芯にあるのは、「大きな会社だから預けても大丈夫」という信頼の仕組みだ。利用者は GMO の名前を信じて、口座を動かす鍵をそのサーバーに置いた。Web2 のサービスの多くは、この形で動いている。事業者が鍵を預かり、事業者が守る。守りが破れれば、預けた全員の鍵がまとめて危うくなる。

暗号資産とブロックチェーンの世界は、別の答えを出してきた。鍵を持ち主の手元から出さず、取引のたびに手元で署名する。権限を分け、「取引はできるが出金はできない」鍵を作る。取引ソフトの MT4・MT5 にも、取引できる主パスワードと、閲覧しかできない投資家パスワードの 2 つがある。GMO が損失の補償の確認に求めるのも、この閲覧専用のパスワードだ。権限を分ける考え方は、すでに道具の中にある。

ただし、暗号資産の世界も同じ穴から自由ではない。2024年5月、国内の交換業者 DMM Bitcoin から約 482 億円相当のビットコインが流出し、警察庁などは北朝鮮系のグループによる犯行と特定した。顧客の資産を事業者が預かる形である限り、ブロックチェーンを使っていても、鍵が 1 か所に集まる構造は変わらない。

だから、問いは Web2 か Web3 かではない。強い鍵を誰が持つのか、その鍵の使い道をどこまで狭められるのか、だ。

今回、利用者は注文を出せる鍵を第三者のサーバーに置くしかなかった。そして攻撃者が使ったのも、まさに注文の権限だった。出金を止めるだけでは、身に覚えのない売買で口座が削られるのは防げない。要るのは、注文を受け付ける場所を利用者が登録したサーバーに限る、一度に動かせる金額に上限を置く、普段と違う注文の流れを止める、といった鍵の使い道を絞る仕組みだ。ブロックチェーンのウォレットにも、使える金額や期限を絞った鍵を自動の取引に渡す設計がある。発想は同じで、鍵が盗まれた後の被害の上限を、設計の段階で決めておく。

金融の信頼は、会社の名前から、検証できる設計へと移っていく。鍵を預かる側には「どう守るか」だけでなく、「預からずに済ませる方法はないか」が問われる。今回の 9 日間は、その移行がまだ途中であることを、2 万台を超えるサーバーの停止という形で見せた。

次に見るもの

確認先は 3 つある。

1 つ目は、政府が 11月2日からの週にまとめる緊急の対策のパッケージだ。基幹インフラの外にある事業者への攻撃に、アクセス・無害化をどう使うのか、報告や支援の対象を広げるのかが分かる。

2 つ目は、GMO の第14報以降の発表と、11月6日までに届くとされる損失の補償の申請の案内だ。攻撃者が別のサイトを立ち上げて公開を再開するかどうか、そして GMO が侵入の経路と被害を確認した口座の数をいつ明かすかが、利用者と FX 会社の次の判断を決める。

3 つ目は、FX 会社の告知のページだ。OANDA 証券や FXTF が、取引の制限をどう解き、自動売買の口座の認証をどう変えるか。注文を受け付ける場所や金額を絞る仕組み、ログインの追加認証が出てくれば、この事件は業界の設計を変えたことになる。

ことば

能動的サイバー防御 — 攻撃を受けてから守るだけでなく、政府が攻撃の兆しをつかみ、攻撃に使われるサーバーに入って無害化するまでを含む仕組み。日本では2026年10月1日にアクセス・無害化の規定が施行され、GMO の要請はその直後に出た。
VPS (仮想専用サーバー) — データセンターの 1 台の物理サーバーを分け、利用者ごとに専用のサーバーのように使わせるサービス。FX の自動売買では、自宅の PC の代わりに取引ソフトを 24 時間動かす場所として使われる。
投資家パスワード — MT4・MT5 の口座にある、閲覧専用のパスワード。取引の履歴は見られるが注文は出せない。注文まで出せる主パスワードと分かれており、権限を絞った鍵の身近な例になる。

🔗 一次ソース