GMOインターネットの「お名前.com デスクトップクラウド」への不正アクセス

経緯

ITmedia NEWSの10月21日の記事によると、「お名前.com デスクトップクラウド」は、FXの自動売買ソフトをクラウド上のサーバーで24時間動かすためのサービスである⁠［54］。GMOインターネットが最初に出した告知は、10月20日18時30分の緊急メンテナンスの案内である⁠［1］。案内では、21時ごろから全プランの点検を行って新規申込とコントロールパネルへのログインを止め、契約中のサーバーはメンテナンス中も使える（状況に応じて停止を伴う場合がある）としていた⁠［1］。10月21日19時41分の更新で、影響をサーバーの利用停止、新規申込の不可、コントロールパネルへのログインの不可に改め、再開時期は未定と書き加えた⁠［1］。

GMOインターネットは10月21日の第1報で、不正なプログラムの設置により、サーバー内に保管されている情報が閲覧された可能性があると説明した⁠［2］。預かっている顧客の個人情報の漏えいや、閲覧された情報の悪用は確認されておらず、クレジットカード情報を含む決済情報は保持していない⁠［2］。会社サイトにも第1報を載せ、詳細と顧客へのお願いはお名前.comのお知らせで案内しているとした⁠［3］。

10月22日の第2報では、サーバー上で使う取引ツールに関連して、取引口座で第三者による不正な操作が行われたとの報告が顧客から寄せられていた⁠［4］。同社は10月21日以降にこうした報告を受け付け、関係する事業者に状況を共有して顧客への案内などの協力を依頼した⁠［4］。セキュリティ専門会社とともに、侵入経路と影響範囲の調査を進めているとした⁠［4］。

第4報でGMOインターネットは、サービスのシステムにセキュリティ上の問題が存在したと説明した⁠［8］。グループ代表の熊谷正寿のブログによると、社内のホワイトハッカーが改善すべき課題を事前に現場へ指摘し、現場チームも対策を進めていた⁠［14］。代表は、サービスの可用性への影響や他の対処事項との優先順位を考えながら慎重に進めた結果、対応の深度とスピードが十分ではなく、攻撃者にその間隙を突かれたと書いた⁠［14］。

GMOインターネットグループは11月2日に説明会を開き、動画を配信した⁠［14、65］。代表は会見で、サービスのシステムにセキュリティ上の問題があったのは事実だと述べたと、ITmedia NEWSと時事通信は報じた⁠［67、72］。指摘についても、「この指摘をサービスの運営において生かすことができませんでした」と述べた⁠［67］。

＠ITの記事では、「GMOサイバーセキュリティ byイエラエ」の専門家が2024年4月24日に、サービスの診断結果としてシステムの課題・改善点を指摘していた⁠［70］。サービスの責任者レベルも報告を受けていたが、開発スケジュールとの兼ね合いから対応を後回しにし、その後は同一の環境に対する再度の追跡診断を実施していなかった⁠［70］。指摘は事業サイドの社長と事業責任者、システムサイドの副社長まで報告・共有されていたと、GMOインターネットの社長は認めた⁠［70］。

ITmedia ビジネスオンラインは、指摘を受けてGMOインターネットが2024年4～5月に計4回の緊急メンテナンスを実施した〔注1〕と報じた⁠［69］。システム部門担当の副社長は、対策が「深さと速さの両面で不足していた」と認めた⁠［69、70］。管理者アカウントを奪われた日は、ITmedia ビジネスオンラインでは8月5日、＠ITでは8月17日である⁠［69、70］。

＠ITによると、顧客の手元のローカルPCのファイルまで抜き取られた要因には、リモートデスクトップの「ドライブ共有機能」がデフォルトで有効化されていたことが会見で挙がった⁠［70］。副社長は、利便性を考えてオンにしていた設定をオフへ変更できなかった点にリスク分析の甘さがあったと述べた⁠［70］。

金銭の要求と予告

GMOインターネットは第4報で、攻撃者とみられる者から金銭の要求を受け、応じなければ同社と顧客に関する情報を公開する等の行為に及ぶ旨の連絡を受けていると明らかにした⁠［8］。連絡の内容として挙げた行為は3つある⁠［8、9］。

• 国内外の70を超える証券会社・FX会社等に開設された顧客の取引口座に対する不正操作（不正な注文による口座残高の毀損）の継続⁠［8、9］
• サービスと、それに接続した顧客のPCに関する情報の不正公開と、ランサムウェア攻撃の実行⁠［8、9］
• GMOインターネットのシステムや運用体制等に関する情報の不正公開⁠［8、9］

代表はブログに、5,000万ドルの支払いを暗号通貨（BTC、ETH）で求める要求文書の画像を載せた⁠［14］。期限は10月21日17時（日本時間）だった⁠［14］。同じブログで、要求に応じておらず、支払いも一切行っていないと説明した⁠［14］。東洋経済オンラインは、ハッカー集団と思われる攻撃者が、破壊（消滅）した金額が計66億円、後に77億円になるという記録を残していると報じた⁠［59］。

第7報では、攻撃者とみられる者が、10月27日12時に顧客の情報の公開とランサムウェア攻撃を行うと予告していた⁠［16、17］。ITmedia NEWSは、攻撃者とみられる人物がその後要求を変え、同じ期限までに100万ドル（約1億6000万円）を支払わなければ顧客情報の公開やランサムウェア攻撃を行うと予告したと報じた⁠［56］。

GMOインターネットは第4報で要求には応じないとし、応じても取得された情報の削除や不正利用の防止が保証されるものではないことを理由に挙げた⁠［8］。第11報では、応じれば犯罪者や犯罪組織への資金提供につながり、さらなるサイバー攻撃を助長するおそれがあることを理由に加えた⁠［23］。第12報では、要求には永久に応じないとした⁠［24］。

攻撃者による情報の公開

ITmedia NEWSは、犯行声明を出したグループが自身のWebサイトで、サービスの脆弱性を悪用して顧客のローカルPCに侵入したと主張したと報じた⁠［55］。予告の時刻には、グループが顧客のうち1人の個人情報とする内容を自らのサイトで公開した⁠［55］。

GMOインターネットの第10報によると、攻撃者とみられる者が公開したのは同社と顧客に関する情報と称するもので、内容は確認中で、事実と異なる内容が含まれるおそれがある⁠［22］。公開先のサイトにアクセスした人の情報は攻撃者に取得されているとして、アクセスと拡散を控えるよう求めた⁠［22］。悪質性の高い情報拡散者には、証拠保全の上、民事手続での開示請求、刑事告訴・刑事告発などの法的措置を準備している⁠［22］。FNNプライムオンラインは、警視庁が個人情報を公開された被害者の安全確保のため保護対策を実施していると10月29日に報じた⁠［61］。

GMOインターネットは第13報で、犯人サイトとミラーサイトについて、関係事業者等と連携して対応したと説明した⁠［27］。新たな同様のサイトには確認次第テイクダウンに向けて対応し、権利侵害や犯罪への関与が疑われる投稿は記録・保全してXへの通報と警察等への情報提供を行う⁠［27］。第14報では、X上の関連する投稿への警告連絡は累計20件である⁠［28、29］。

ITmedia NEWSは朝日新聞などの報道として、総務省が、GMOの顧客のものとされる個人情報を載せた攻撃者側のWebサイトへの接続を強制的に遮断する「ブロッキング」を通信事業者に要請したと報じた⁠［57］。木原稔官房長官は10月29日午前の記者会見で、通信事業者と「さまざまなやりとり」をしているとしたうえで、現在進行中だとして具体的な対応への回答を控えたと報じた⁠［57］。総務省の10月30日の会見概要では、総務大臣が閣議後会見で、関係省庁と連携して必要な対応を迅速に行い、通信事業者ともやり取りをしていると述べた⁠［66］。進行中であることを理由に、要請したかどうかや、要請した場合に公表するかを含め、具体的な対応への答えは差し控えた⁠［66］。

目次へ

時系列

目次へ

影響範囲

GMOインターネットは第1報で、影響の可能性のあるサーバー数を26,739件とした〔注3〕⁠［2］。第2報では、影響の可能性のある情報は、取引ツールに保存された取引口座のログイン情報等を含む、サーバー内に保存されていた情報である⁠［4］。第3報で同社は、決済情報をサーバー上で保有していないが、顧客自身がサーバー内に保存した情報は影響範囲に含まれると説明した⁠［5］。

FX業者とグループ会社の告知

ニッキンONLINEの10月27日の記事によると、片山さつき金融相は同じ日の閣議後会見で、FX業者5社で関連したとみられる顧客被害があったと明らかにした⁠［62］。5社はゴールデンウェイ・ジャパン、OANDA証券、アヴァトレード・ジャパン、外為ファイネスト、デューカスコピー・ジャパンである⁠［62］。各社は対象顧客の取引の一時停止や不正とみられる注文の遮断、パスワードの初期化などを実施している⁠［62］。金融相は「不正取引が新たに発生しているとの報告は受けていない」と説明した⁠［62］。

OANDA証券と外為ファイネストは、損害補償の申請はGMOの専用窓口に問い合わせるよう顧客に求め、取引履歴の確認や提供で申請を支援するとした⁠［39、44］。外為ファイネストは、口座の凍結中に取引できなかったことなどの機会損失は補償の対象外と説明した⁠［44］。

GMOインターネットグループは10月28日の適時開示で、グループ各社のサービスの確認を進めており、ほかのサービスに不正アクセスや情報漏えい等の影響は確認されていないとした⁠［26］。

目次へ

対応と現状

GMOインターネットは第4報で、不正アクセスを受けた現行のシステム基盤をそのまま再開せず、セキュリティアーキテクチャを抜本的に刷新すると判断した⁠［8］。影響を受けたシステムのネットワーク接続を止め、外部からの不正アクセスの経路を遮断している⁠［8、9］。主要な取引所・証券各社には、サービスを経由したアクセスの遮断、全アクティブセッションの強制切断、不正取引の緊急監視・抑止措置を要請している⁠［8］。

顧客への依頼と端末の調査

GMOインターネットは第7報で、パートナー（従業員）が顧客のもとに伺って端末を預かり、グループのホワイトハッカーチームが調査・解析を進めていると説明した⁠［16、17］。第9報では、10月27日11時59分までに解析を終えた端末からマルウェア（ランサムウェアを含む）は確認されていないが、すべての顧客の端末の安全を確認したものではない⁠［20、21］。第14報では、預かった端末の解析でマルウェアの感染やランサムウェア攻撃の痕跡は確認されていない⁠［28］。ランサムウェア攻撃は、10月27日13時55分の第10報では確認されていなかった⁠［22］。

GMOインターネットは第9報で、ランサムウェアの被害に遭った顧客には、被害の状況を確認のうえ、被害に遭ったPCと同等の性能の新しいPCを提供するとした⁠［20、21］。第8報では、トレンドマイクロなどのセキュリティ企業やAI企業から協力の申し出を受け、内容を確認・調整している⁠［18、19］。

顧客への支払いと代替環境

第4報によると、不正取引による損失の補償の対象は、同社が調査の結果、不正アクセスに起因する不正取引と認めた取引で顧客に実現した損失（取引の差損と手数料等）である⁠［8、9］。市場の変動による損失、取引で得られたはずの利益、その他の間接的な損害は含まない⁠［8、9］。対象かどうかは取引の記録やアクセスの記録などをもとに同社が確認し、本人確認書類の提出や、同社が取引履歴を直接確認するための閲覧専用パスワード等の提示を含む手順は別途案内する⁠［8］。取引所等から返金があれば差し引いた残額を同社が支払い、取引所等が返金に応じない場合も対象の損失を支払う⁠［8、9］。

GMOインターネットは第4報で、サービスを利用しているすべての顧客に、金銭的被害の有無にかかわらず見舞金として一律5,000円を支払い、損失の補償とは別に扱うとした⁠［8、9］。補償の申請方法、必要書類、受付期間、支払時期は、11月6日までに公式サイトと登録メールアドレスで案内する⁠［8、9］。＠ITは、会見で発表された方針として、FX不正取引による損害は直接的な損失額を全額補償し、11月6日から順次ヒアリング・確定作業を行うと報じた⁠［70］。代表はブログで、補償、代替環境の提供、システムの刷新等にかかる費用はすべて自社の責任で引き受けると書いた⁠［14］。

第4報で案内した代替サービスは、独立したクラウド基盤上で運用されているもので、Windowsデスクトップ環境の利用を続けたい契約者は乗り換え後6か月間無償で使える⁠［8、9］。顧客の同意なく代替サービスへ移行することはない⁠［8］。

GMOインターネットは10月27日の第10報で、公開された情報に自身の情報が含まれると同社が確認した顧客に、一律5,000円とは別の見舞金を緊急会議で検討し始めた⁠［22］。同じ日の第12報で、公開された情報の区分ごとに特別お見舞金の額を示した⁠［24］。

複数の区分の情報が公開された場合は金額を合計し、上限は300万円とした⁠［24］。特別お見舞金は第4報の見舞金と損失の補償とは別に支払い、公開の状況が変われば内容を見直すことがあるとした⁠［24］。

減額は両社とも2026年12月支給分から実施する⁠［63、64］。代表は会見で進退を問われ、辞任を否定したと、ITmedia NEWSと＠ITは報じた⁠［68、70］。

懸賞金と捜査・行政の動き

GMOインターネットは第12報で、関与者の特定・検挙と事件の解明につながる情報を募る「GMOサイバー犯罪撲滅・懸賞金」の創設を告知した⁠［24］。実施主体と費用の負担はGMOインターネットグループで、報奨金の総額の上限は100万米ドル（参考換算額は約1億5,000万円）である⁠［24］。受付は10月28日12時（日本時間）から犯人の逮捕までとした⁠［24］。報奨金は適法な情報提供による捜査協力に対するもので、犯人への身代金や盗まれた情報の買い取り代金ではない⁠［24］。

第14報では、懸賞金サイトに開設から6時間で113件の情報が寄せられた⁠［29］。第16報は、情報提供の件数を月曜日から金曜日（祝日を除く）の18時にページへの追記で公表するとした⁠［31］。10月30日の追記では、累計は428件だった⁠［31］。会見を伝えた＠ITの記事では、応募は約700件で、同社は不利・有利を問わず全件を警察や関係省庁へ共有している⁠［70］。

第15報では、グループのホワイトハッカーチームが独自の調査で犯人の特定につながると考えられる情報を入手し、10月29日に警察と関係各所へ提出するとした⁠［30］。

脅迫行為についてGMOインターネットは第4報で、通信記録等の全証拠を警察当局（サイバー犯罪対策部門）へ提出し、刑事事件として捜査を要請していると説明した⁠［8］。警察と所管官庁への初報も行った⁠［8］。代表はブログで、裁判所を通じた開示請求の手続きに着手し、ICPO（国際刑事警察機構）出身者を含む200名規模のセキュリティ人財が防御とログ解析に当たっていると書いた⁠［14］。FNNプライムオンラインの10月28日の記事によると、警視庁は不正アクセス禁止法違反の疑いなどで捜査しており、個人情報を公開されたとみられる被害者にも10月27日に接触して話を聞いた⁠［60］。

GMOインターネットは第4報で、今回の不正アクセスを能動的サイバー防御の「発動第1号」と位置付け、国主導で攻撃基盤を追跡・遮断・無力化する措置を講じるよう政府関係機関に具申（緊急要請）した⁠［8］。INTERNET Watchは、2026年10月1日にサイバー対処能力強化法と同整備法が施行されて無害化措置が可能になったが、日本での実施事例はないと報じた⁠［58］。代表はブログで、「GMOは、法が定める『特定社会基盤事業者』ではない」といった指摘を挙げ、法的な位置付けを理解した上で具申したと書いた⁠［14］。

目次へ

未公表の事項

• 詳細な手口と初期侵入経路、設置された不正なプログラムの種類、2024年の指摘の内容、再発防止策（＠ITの記事では、副社長が同等の攻撃を未然に防ぐことと捜査への影響を理由に、詳細な手口の説明を控えた⁠［70］）
• 外部に持ち出された顧客の情報の件数と項目（GMOインターネットは第3報で、個別の情報取得と不正利用の有無・範囲は引き続き調査中とした⁠［5］）
• 不正取引の件数・被害額と、情報を公開された顧客の数（GMOインターネットグループは、金額に関わる対応の総額を算定できていない理由に、対象となる顧客の数、公開された情報の範囲、補償の対象となる取引の確認が確定していないことを挙げた⁠［26］）
• 攻撃者の正体と、代替サービスの提供開始の時期と申込方法
• 経営責任の検証の方法と時期（両社は、発生前の経緯等を今後検証し、結果を踏まえて経営責任のあり方を改めて検討するとした⁠［63、64］）

注

• 〔注1〕＠ITは副社長の発言として、4回の緊急メンテナンスの期間を「2026年4月26日～5月20日」と書く⁠［70］。
• 〔注2〕会見を伝えた報道は、問い合わせを受けて調査を始めた日を10月20日と書く⁠［69、70］。
• 〔注3〕第3報によると、26,739件は対象となり得るサーバー数で、不正アクセスまたは情報取得が確認された件数ではない⁠［5］。会見の報道は、アカウントや顧客VM、顧客データの数として書く⁠［69、70］。

出典

更新記録

• 2026年11月1日：公開した。
• 2026年11月3日：11月2日の適時開示と説明会を伝えた報道、総務省の10月30日の会見概要、サービスサイトの11月3日の掲示から、会見での説明と総務大臣の答弁を「経緯」に、侵入の時期と捜査本部の設置を「時系列」に、役員報酬の減額と補償・懸賞金の報道を「対応と現状」に加え、リードの最後の文と「未公表の事項」と注を改めた。

目次へ