GMOにサイバー攻撃！取引口座に何が起きた？第4報までで見えた被害構図

GMOインターネットの「お名前.com デスクトップクラウド」で、不正アクセスと利用者情報の持ち出しが確認されました。取引口座で身に覚えのない操作があったとの報告も寄せられ、同社は損失の補償方針を発表しています。なぜクラウドへの侵入が金融資産への被害につながるのでしょうか。第1報から第4報までをたどると、調査の進展によって判明した被害の深刻さと、パスワード変更だけでは防ぎきれない危険が見えてきます。

第1報・第2報で見えた「取引口座」への波及

不正アクセスを受けたのは、GMOインターネットが提供する「お名前.com デスクトップクラウド」です。インターネット経由でWindowsのデスクトップ環境を利用でき、FXの自動売買ソフトなどを動かす用途でも使われています。

同社の発表によると、2026年10月19日に利用者からの問い合わせを受けて調査を開始。10月20日には、一部の利用者のサーバー環境で不正なプログラムの設置を確認しました。10月21日午前4時から全プランのサーバーを順次停止し、第1報を公表しています。

第1報では、保存情報が閲覧された可能性を示す一方、その時点では個人情報の漏えいや、閲覧情報の悪用は確認されていないと説明していました。これは「安全が確認された」という意味ではなく、調査途中の説明です。

状況が変わったのが、10月22日の第2報です。利用者から、取引口座で第三者による不正な操作があったとの報告が寄せられたことを公表しました。サーバー内に保存されていた口座のログイン情報などが取得され、不正利用された可能性があるとしています。

発表からは、今回の被害構図が見えてきます。取引に使うクラウド環境が侵害され、保存されていた認証情報などが悪用されることで、別の金融サービスにある口座まで不正操作される可能性があるという構図です。金融機関側のシステムへの侵入が確認されたと発表されたわけではありません。

また、影響の可能性があるサーバーは2万6739件です。ただし、すべてで侵入や情報取得が確認されたという数字ではありません。被害が及び得る範囲と、確認済みの被害件数は区別する必要があります。

第3報が警告した「変更後も続く接続」

10月23日の第3報で強調されたのは、パスワード変更に加え、ログイン中の全セッションを切断する必要性です。

セッションとは、ログイン後に維持されている接続のことです。金融機関側のサーバーの仕様によっては、パスワードを変更しても、それまでの接続が一定期間残り、第三者が取引を続けられる場合があると説明しています。鍵を交換するだけでなく、すでに認められている接続も取り消す必要があるということです。

このため、パスワードを変更済みの利用者にも、金融機関の案内やマイページに従ってログイン中の全セッションを切断し、自分で操作できなければ窓口へ依頼するよう求めています。変更は、FX取引に使っていないスマートフォンや別のパソコンなどから行うよう案内しました。

これは、GMO側のサーバーが止まっても、金融機関側に成立している接続や、外部に持ち出された認証情報の問題は残り得ることを示します。「サービスが停止したから、不正操作も止まったはず」と考えるのは危険です。

情報の範囲にも注意が必要です。同社はサービスのサーバー上で利用者の決済情報を保有していないとしていますが、利用者自身が保存した情報は影響範囲に含まれます。同社がサービス提供のために管理する決済情報と、利用者自身がクラウド内へ保存した情報は、区別して考える必要があります。

一方、第3報では、個別の情報取得や不正利用の有無・範囲は調査中とされています。利用者の端末の点検も予防的な対応であり、全員のパソコンが感染したと判明したわけではありません。

第4報で情報持ち出し確認、補償を発表

10月24日の第4報では、システムにセキュリティ上の問題が存在し、不正アクセスによって利用者情報が外部へ持ち出された事実を確認したと公表しました。「閲覧された可能性」から、持ち出しの確認へ説明が進んだことになります。

併せて、攻撃者とみられる者による金銭要求も明らかにしました。要求に応じなければ、国内外の70を超える証券会社・FX会社等の口座への不正操作を継続するほか、情報公開やランサムウェア攻撃を実行するとの脅迫です。ただし、70社すべてで被害が確認されたという説明ではありません。

同社は、支払っても情報の削除や不正利用の防止が保証されないとして、要求に応じない方針を示しました。警察への証拠提出に加え、政府には能動的サイバー防御に関する措置を求めています。これはGMO側の要請であり、政府による実施決定を意味しません。

利用者への対応では、第4報では、同サービスを利用しているすべての顧客に、金銭的被害の有無にかかわらず、一律5000円の見舞金を支払うとしています。さらに、今回の不正アクセスに起因すると同社が認めた不正取引によって実際に確定した損失（取引の差損や手数料等）を、見舞金とは別に補償する方針です。市場変動による損失や、得られたはずの利益などは含みません。

現行のシステム基盤はそのまま再開せず、希望者には独立したクラウド基盤の代替サービスを案内し、移行後6カ月間無償で提供するとしています。補償の申請方法などは11月6日までに案内予定です。

利用者が優先すべき自衛と証拠の保存

利用者がまず行うべきなのは、取引口座のパスワード変更と全セッションの切断です。同時に取引履歴、残高、未約定の注文などを確認し、不審な操作があれば契約先の証券会社・FX会社へ連絡します。GMO側への連絡だけで、口座側の対応まで完了すると考えないことが大切です。

被害が疑われる場合は、取引日時、注文内容、損失額、通知メールなどを保存します。第4報では、補償の確認に取引記録やアクセス記録などを用いるとしています。金融機関への相談内容や受付番号も記録しておけば、その後の説明に役立ちます。

クラウド内に保存していた他サービスのパスワードや、使い回していたものも変更対象です。利用可能な二要素認証を設定し、端末のウイルスチェックとバックアップも進めます。ただし、これらは同社が第3報で求めた対応です。同社はバックアップしたファイルの取り扱いにも注意を促しており、復元や別の環境への移行時には、不審なファイルを持ち込まないよう確認が必要です。

補償案内を装った連絡にも警戒が必要です。第4報では、取引履歴確認のための閲覧専用パスワード等を除き、補償手続きでパスワードや暗証番号を尋ねることはないとしています。突然届いたメールへ情報を返すのではなく、公式サイトで手続きを確認すべきです。

第4報までで、クラウドへの侵入、情報の持ち出し、不正取引の報告、脅迫と補償方針が明らかになりました。一方、具体的な侵入手法、情報流出の全範囲、確定した被害人数や総額は、公表資料だけでは把握できません。全容の解明はなお途中です。利用者には、追加発表を確認しながら、口座を守る対応と被害記録の保存を先に進めることが求められます。

文＝ KIJIKUL編集部
※本記事は情報提供を目的として作成したものであり、特定の企業、商品、サービス、金融商品、投資その他の取引を推奨または勧誘するものではありません。掲載内容は記事公開時点の公開情報等に基づいており、意見・見解・予測などは執筆者または編集部の判断によるもので、予告なく変更される場合があります。内容の正確性・完全性・最新性を保証するものではなく、最終的な判断はご自身の責任において行ってください。【KIJIKUL編集部】