お名前.com 不正アクセス｜デスクトップクラウド（FX自動売買VPS）で取引口座の情報が悪用、最大2.6万サーバー停止と対策

社内の仕組みや預け先が入口になる攻撃の全体像は、サプライチェーン攻撃とは｜手口・防御ツール比較・npm 12の新機構まで実践解説にまとめています。本記事はGMO・お名前.comの発表の文言の範囲で「何が起きたか」を整理し、利用者がやること、そして便乗した恐喝メールの扱い方に絞ります。公表されていない点は「未公表」「未確認」と明記し、推測で埋めません。

お名前.com 不正アクセスで何が起きたか：FX自動売買VPSという前提

「お名前.com デスクトップクラウド」は、GMOインターネットグループが提供するWindowsのリモートデスクトップ型クラウドPC（VPS）です。この事案を理解するうえで欠かせないのが、その主な使われ方です。FX・CFDの自動売買を24時間動かし続ける用途、具体的にはMT4／MT5のEA（自動売買プログラム）を常時稼働させる土台として広く使われてきました。

自動売買を止めずに回すには、サーバーの電源を落とさず、取引ツールと取引口座へのログイン情報をサーバー上に置いたまま常駐させるのが一般的です。つまり、お金に直結する認証情報が、常時起動のレンタルVPSの中に保存された状態で動き続けます。ここが今回の被害の性質を決めています。

発表された事実と、まだ公表されていないことを分けて読むのが大切です。

個別の被害額や補償の有無は、2026年10月23日時点で公式に確定していません。SNS上の被害額は個人の投稿で、裏の取れた数値ではありません。確定を待たずに件数や金額を推測で埋めないのが安全です。

お名前.com 不正アクセスの時系列：第1報の全停止から第2報の口座情報の悪用まで

発表は2段階で進みました。第1報の時点では「サーバーの停止」という運用上の措置が中心で、個人情報の漏えいは「現時点で確認されていない」とされていました。第2報で、より深刻な「保存されていた口座情報の悪用」が判明した、という流れです。

このように、第一報は手口や被害範囲が確定しない段階で「まず止める」という判断を優先し、調査が進んだ第2報で被害の内容を更新しています。続報で数字や被害の性質が変わるのは、さくらインターネットやニフティなど近年の事案と共通する進み方です。影響範囲が確定しない段階での第一報の出し方は、漏えいしたときの報告義務と第一報で整理しています。利用者としては、第一報の内容だけで判断を固定せず、公式の続報を追う必要があります。

どうやって口座が操作されたか：認証情報がVPSに残る構造

ここが記事の中核です。攻撃の再現手順ではなく、「なぜこの構造だと口座まで届いてしまうのか」という設計の話として読んでください。GMOが第2報で確認した範囲は、おおむね次の筋道と整合します。

自動売買のためにVPS上に取引ツールと口座のログイン情報が常駐している。そこへ攻撃者がサーバーに侵入し、不正なプログラムを設置する。サーバー内に保存されていた認証情報が収集され、その認証情報を使って取引口座に直接ログインされ、不正な取引が行われた――という流れです。最初にどうやってサーバーに侵入したか（初期侵入の手口）はGMOが公表していないので、本記事では推測しません。

攻撃者が得たものと、それでできることを分けて整理すると、被害の範囲が見えやすくなります。

この構造から読み取れる教訓は3つあります。第一に、常時起動の預け先に認証情報を置くと、預け先の侵害がそのまま口座の侵害になるという単一障害点ができること。第二に、マルチテナントの共有基盤では、基盤側の一台の侵害が広い範囲（最大26,739件）に及びうること。第三に、お金に直結する認証情報をレンタルVPSに常駐させるのは、利便性と引き換えにこのリスクを抱えるということです。

それでも自動売買のためにVPSを使うなら、何を分けられるかを設計します。口座側の二段階認証、出金先の登録制限や出金制限、ログインのIP制限、取引ツール用に権限を絞ったパスワード運用――こうした「VPSが侵害されても口座の操作までは一気に通らない」仕組みを、口座側（証券会社・ブローカー側）に寄せておくのが現実的な対策・緩和策になります。認証情報を預け先に置かない設計の考え方は、システム開発に使うクラウドの認証情報が入口になるでも扱っています。

届いた「犯行声明メール」をどう扱うか：攻撃者の主張と恐喝

この事案では、一部の利用者に犯行声明とみられるメールや、事業者への金銭要求をほのめかすメールが届いたとの報告が出ています。メールが届いたという事実は報じられていますが、その文面に書かれた内容は「攻撃者の主張」であって、公式に確認された事実ではありません。両者を混同しないことが、ここでいちばん大切です。攻撃者の主張と当事者の発表を分けて読む考え方は、TiDB Cloud の漏えい主張でも扱いました。

攻撃者側の主張として伝えられているのは、たとえば次のようなものです。いずれも未確認で、GMOの発表で裏付けられたものではありません。

注意したいのは、これらのメールが「利用者への助言」の形をとっている点です。「GMOへ働きかければ破壊が止まる」「交渉に応じれば全残高の補償を受けられる」といった言い回しが報じられていますが、これは親切な案内ではありません。被害者を使って事業者に圧力をかける、多重恐喝（二重・多重脅迫）の手口です。利用者を動かして交渉材料にするのが狙いなので、文面の要求に従うほど攻撃者の思惑どおりになります。

利用者がいますぐやること

GMOが第2報で求めた対応と、一般的な初動を合わせると、やることの順番は次のとおりです。いちばん大事な前提は、侵害された可能性のあるVPSからは操作しないことです。VPS側で入力したパスワードが再び攻撃者に渡る恐れがあるため、手元のPCやスマホなど、きれいな別端末から行います。

・別端末から、取引ツール（MT4/MT5）と取引口座のパスワードを変更し、その後ログオフする
・取引履歴と残高、出金先の登録を確認する。可能なら証券会社・ブローカーに口座の一時停止や取引制限を相談する
・取引口座に二段階認証を設定する。同じパスワードを使い回している他サービスも変更する
・身に覚えのない取引があれば、証券会社と、警察のサイバー犯罪相談窓口（#9110）・都道府県警のサイバー窓口、IPAに相談する
・本件に便乗したフィッシングに注意する。GMO・お名前.comがメールや電話でパスワードやクレジットカード情報を尋ねることはない

正規の告知と便乗した詐欺・恐喝を見分けるコツは、届いたメールやSMSのリンク・電話番号をそのまま使わないことです。普段からブックマークしている公式サイトを自分で開いて告知を確認し、問い合わせは公式サイトに載っている窓口へ自分からする、という順にします。不正操作の疑いがあると知った直後は不安をあおる連絡に反応しやすくなるので、落ち着いて公式の一次情報で確かめてください。

影響範囲とこの事案から学ぶ：預け先に認証情報を置かない設計

影響範囲について公式に示されているのは、影響の可能性があるサーバーが最大26,739件であること、サーバー内に保存されていた取引口座のログイン情報等が取得・悪用された可能性があること、そして利用者から口座での不正操作の報告が出ていることです。流出・悪用された具体的な件数や、個別の被害額、補償の方針は、現時点で公式に確定していません。SNSで見かける被害額は個人の投稿であり、公式確認値ではない点に注意してください。

この事案が開発者・運用者に残す教訓は、FX自動売買に限りません。お金や権限に直結する認証情報を、常時起動の預け先の中に平文で常駐させると、預け先が侵害された瞬間に本丸まで届いてしまうという、単一障害点の問題です。自動売買のVPS、CI/CDの環境変数、SaaSに預けたAPIキー――形は違っても、「鍵をどこに置くか」が侵害の深さを決めます。鍵を長く有効なまま預け先に置かない、置くなら権限を最小に絞る、口座やサービス側に二段階認証や操作制限という最後の関門を用意する。こうした分離が、一台の侵害を全損に変えないための設計です。認証情報の管理と、漏れたときに取れる対応は、連載「事故から逆算するWebセキュリティ」でも1回ずつ扱っています。

参照ソース

・GMOインターネットグループ『「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第2報）』（2026-10-22）：https://group.gmo/info/alert/20261022/
・お名前.com『「お名前.com デスクトップクラウド」への不正アクセスについて』：https://www.onamae.com/news/article/11584
・情報セキュリティ安心相談窓口（IPA）：https://www.ipa.go.jp/security/anshin/
・システム開発に使うクラウドの認証情報が入口になる（当サイト・連載第7回）：/security/cloud-access-key-leak/