GMOインターネットが運営する「お名前.com デスクトップクラウド」において、第三者による不正アクセスが発生し、サーバー内に保存されていたFX取引ソフトウェアなどの認証情報が持ち出されました。一部のFX会社では顧客アカウントでの不正ログインや不正取引が確認されており、GMOインターネットグループは攻撃者の逮捕や国際手配につながる情報に対して最大100万ドルの報奨金を支払う窓口を開設しました。
The Hacker News：Japan's GMO Offers $1 Million Bounty to Catch Hackers Behind FX Trading Cloud Breach
外部サービスからの認証情報流出や、自組織のアカウント情報が闇市場で売買されていないか不安がある場合は、専門家による監視が有効です。
この記事のポイント
影響を受けた可能性がある人・情報
- （企業・個人）お名前.com デスクトップクラウド上で稼働していた全プランのサーバー（潜在的に影響を受けた対象は最大26,739台）
- （個人）当該サービス内のMetaTrader 4（MT4）およびMetaTrader 5（MT5）などの取引ソフトウェアに保存されていたログイン認証情報
- （個人）流出した認証情報と同一のIDやパスワードを使い回していた証券会社・FX会社の取引アカウント
今すぐ取るべき対応
- （個人）デスクトップクラウドへ接続したことのないスマートフォンなどの別端末から、FX取引口座や関連ソフトウェアのパスワードを直ちに変更する
- （個人）パスワード変更後、利用しているFX会社の機能を用いて稼働中の全ログインセッションを強制終了する
- （個人）FX口座の取引履歴や残高を確認し、身に覚えのない売買を発見した場合は利用中のブローカーへ速やかに報告する
- （個人）ブローカーが提供している二要素認証を有効化し、他サービスで使い回しているパスワードもすべて個別に再設定する
- （企業）現行の侵害されたシステム環境は再起動されないため、代替サービスへの移行手続きを進める
この記事に出てくる専門用語
- お名前.com デスクトップクラウド：GMOインターネットが提供する、FX自動売買などの用途に向けたWindows仮想デスクトップ環境。今回の事案でサーバー群への不正プログラム設置と認証情報の流出が発生しました。
- MetaTrader 4 / MetaTrader 5（MT4/MT5）：外国為替証拠金取引（FX）などで広く使われている取引プラットフォーム。仮想デスクトップ内に保存されていたこれらのログイン情報が攻撃者に盗まれ、不正な売買に悪用されました。
- 国際手配（赤手配書）：国際刑事警察機構（ICPO）が加盟国に対して容疑者の身柄拘束や引渡しを求める国際的な手配書。今回の報奨金プログラムでは、手配の発行につながる情報提供が支払いの条件に含まれています。
お名前.com デスクトップクラウドで不正アクセスが発生した経緯
The Hacker Newsの報道によると、GMOインターネットは2026年10月20日、お名前.com デスクトップクラウドの一部の顧客サーバーにおいて、第三者によって不正なプログラムが設置されている事実を発見しました。同社は翌10月21日、影響拡大を防ぐために全プランのサーバーを停止する措置を講じています。
潜在的な影響対象として公表されたサーバーは合計26,739台にのぼります。その後の調査により、同社は10月24日、システム上のセキュリティ上の問題、不正アクセスの発生、および顧客情報が社外へ持ち出された事実を正式に確認しました。
サーバー停止直後の10月21日には、顧客から身に覚えのない取引の報告が寄せられ始めました。インシデント発生時にサーバーを即座にネットワークから切り離した判断は適切でしたが、すでに認証情報が外部へ流出していたため、別の場所からの不正利用を防ぎきれなかった点がこの事態の深刻さを示しています。
盗まれた認証情報による不正売買と攻撃者からの脅迫内容
デスクトップクラウド内に保管されていたデータは第三者に閲覧された可能性があり、MetaTrader 4（MT4）やMetaTrader 5（MT5）に保存されていたブローカーのアカウント情報が流出対象に含まれていました。なお、顧客のクレジットカード情報は対象のサーバー上には保存されていませんでした。
流出した認証情報は、すでに実害を引き起こしています。OANDA証券などのブローカーは、漏洩したIDとパスワードの組み合わせを用いて第三者が顧客アカウントへ不正ログインし、取引を行った事実を確認したと公表しました。同社自身の基幹システムへの侵入痕跡は見つかっておらず、クラウド側から盗まれた認証情報が悪用された形です。
攻撃者は10月21日に約5,000万ドル（約80億円）の金銭を要求し、応じない場合は70社以上の証券会社やFX会社でアカウント操作を継続するほか、顧客情報を公開しランサムウェア攻撃を行うと脅迫しました。その後、10月27日に攻撃者は顧客情報とされるデータをウェブサイト上に公開しましたが、該当のリークサイトは10月28日午前4時頃にドメインごと遮断されています。
攻撃者が主張する侵入経路とGMOの調査状況
攻撃者がどのようにシステムへ侵入したかについて、GMO側は公式な経路を公表していません。一方でGMOインターネットグループ代表の熊谷正寿氏はブログにおいて、グループ内のホワイトハッカーから事前に問題点の指摘を受けていたものの、対応の速度と徹底が不足していた隙を突かれたと説明しています。
攻撃者側は自身のサイト上で、全サーバーで1つの管理者アカウントが共有されていたことや、接続時に顧客PCのドライブがデフォルトでサーバーから閲覧可能な状態にあったこと、さらにサービスの脆弱性を突いて顧客端末へ侵入したと主張しています。ただし、これらは攻撃者側による一方的な主張であり、GMOは事実として確認していません。
私たち診断側の視点から見ても、管理者権限の分離やホスト・ゲスト間の隔離設定に不備があると、1箇所の突破が全体へ波及する危険が跳ね上がります。GMOは顧客から預かった端末のフォレンジック調査を実施しており、10月27日時点で解析が完了した端末からはランサムウェアなどのマルウェアは検出されていませんが、調査は現在も継続されています。
容疑者特定に向けた最大100万ドルの報奨金制度の中身
GMOインターネットグループは攻撃者の脅迫に応じる支払いを拒否し、代わりに攻撃者の逮捕や国際手配につながる有力情報に対して最大100万ドルを提供する「GMO Cybercrime Bounty」を開始しました。この報奨金プログラムは専用サイトで案内され、日本語、英語、中国語での通報を受け付けています。
対象となるのは、攻撃者や関連サーバー、ドメイン、IPアドレス、取引口座、暗号資産アドレスを特定できる客観的な証拠です。単なる推測や公開情報の転載は対象外とされ、犯行に関与した人物や不正に情報を取得した者には支払われません。受付期間は容疑者の逮捕、国際手配（赤手配書など）の発行、または2027年10月27日のいずれか早い日までと定められています。
金銭を要求するサイバー攻撃者に対して身代金を支払わず、司法機関への情報提供と報奨金による包囲網敷設を選択した姿勢は極めて明確です。寄せられた情報は警察や国内外の捜査機関と共有され、すでに脅迫の通信記録などの証拠が警察へ提出されています。
デスクトップクラウド利用者が直ちに行うべき安全対策
お名前.com デスクトップクラウドを利用していたユーザーは、二次被害を防ぐための措置を迅速に完了させる必要があります。同サービスが稼働していたシステム環境は現状のまま再起動されることはなく、希望者には別サービスへの無償移行案内が実施されます。
まず取り組むべき対応は、仮想環境へ接続したことのない別端末（スマートフォンなど）からのパスワード変更です。デスクトップクラウドに接続していたPC自体が侵害されている疑いを排除できないため、必ず安全な別端末から作業を実施します。FX会社の口座パスワード、MT4/MT5の認証情報、ブラウザに保存していたパスワードをすべて更新してください。
パスワードを変更した後は、FX会社のマイページなどから現在有効なすべてのセッションを強制ログアウトさせます。あわせて取引履歴と口座残高を照合し、不審な取引の有無を確認してください。不審な注文が見つかった場合は即座に利用中のブローカーへ連絡を入れ、取引制限などの保護措置を依頼します。
参考文献・記事一覧
クラウドサービスや取引システムのアカウント情報が漏えいしていないかを継続的に確認したい場合は、CyberCrewのダークウェブモニタリングへご相談ください。
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
