1. お名前.comの「乗っ取り」で何が起きたのか(概要と時系列)
まず言葉の整理です。Xでは「お名前ドットコムの乗っ取り」という言い方が目立ちます。ただ、今回不正アクセスを受けたのはドメイン(サイトの住所)を登録するサービスではありません。同じブランド名で提供されている「お名前.com デスクトップクラウド」です。
これは、クラウド上にWindowsのパソコン環境を借りるサービス(VPS)です。ITmedia NEWSによると、MetaTrader 4/5などのFX自動売買ツールを24時間動かす用途で人気があり、月額2640円から使えます。累計契約は20万件以上です。自宅のPCを付けっぱなしにしなくても自動売買を続けられる。この便利さが売りでした。
発覚から10月28日までの流れ
GMOインターネットの公式発表(第4報)、piyolog、ITmedia NEWS、読売新聞、TBS NEWS DIGなどの報道をもとに整理すると、次のとおりです。
| 日付(2026年) | 出来事 |
|---|---|
| 10月19日 | 利用者からの問い合わせを受け、GMOインターネットが調査を始める |
| 10月20日 | 一部のサーバーで第三者の不正なプログラムを確認。新規申し込みとコントロールパネルを停止 |
| 10月21日 | 午前4時から全プランのサーバーを順次停止し、第1報を出す。同日、攻撃者とみられる者から脅迫メールが届く |
| 10月22日 | 第2報で、取引口座のログイン情報が悪用された可能性に言及。警察に相談。金融庁がFX業者に通知 |
| 10月24日 | 第4報で顧客情報の外部持ち出しを確認したと発表。不正取引の損失の補償、全利用者に一律5000円の見舞金、代替サービスを6か月無償にすることを公表。政府に「能動的サイバー防御」の適用を要請 |
| 10月25〜26日 | グループ代表の熊谷正寿氏がブログで謝罪。損失は取引所が返金しない場合も全額支払うと表明。社員が全国で利用者のPCを預かり、解析を始める |
| 10月27日 | 攻撃者が予告した正午を前に、利用者へ「PCの電源を切って」と呼びかけ。正午過ぎ、攻撃者が1人分の個人情報とされるものを公開。GMOは最大300万円の特別見舞金と、総額100万ドルの懸賞金を発表。片山金融相が「FX業者5社から顧客被害の報告」と公表 |
| 10月28日 | 午前4時ごろ、攻撃者のサイトのドメインが停止(米国のプロバイダーによる措置とみられると報道)。警視庁が不正アクセス禁止法違反などの疑いで捜査していると報じられる。懸賞金の窓口は正午に受付を開始 |
要求額は途中で変わっています。熊谷氏のブログによると、最初は10月21日午後5時までに5000万ドル(約80億円)を求められました。その後、攻撃者は27日正午までに100万ドルを払うよう求めました(ITmedia NEWS)。GMOはどちらにも応じていません。「払っても、取得された情報の削除や不正利用の防止が保証されるものではない」というのが理由です。
注意したいのは「2万6739台」という数字です。GMOはこれを「影響を受けた可能性がある数」と説明しており、侵害を確認した台数ではありません(piyolog、GMO第3報)。不正取引の件数や被害総額も、10月28日の時点では公表されていません。
2. 何が問題なのか ― 5つの論点
サイバー攻撃は珍しくなくなりました。それでも今回の件がここまで注目されたのは、いくつかの問題が重なったためです。報道と公式発表から、論点を5つに分けて見ていきます。
① サーバーに置いていた「鍵」がまとめて盗まれた
自動売買ツールは、FX口座にログインしたまま動き続けます。そのためサーバーの中には、口座のIDとパスワードが保存されていました。東洋経済オンラインによると、攻撃者はVPSに侵入して認証情報を取り出し、利用者の証券会社・FX会社の口座で売買を繰り返したとみられています。利用者が口座を開いていた国内外の証券会社は70社以上です。
口座からお金を直接引き出すのは簡単ではありません。それでも、不利な売買を何度も決済させれば、差損と手数料で残高は削られます。読売新聞やITmedia NEWSは、利用者から「数十万〜数百万円の損失が出た」という声が出ていると伝えました。
② クラウドの被害が「手元のPC」にまでつながり得る設計
本来、クラウドのサーバーが侵害されても、手元のPCは別物のはずです。ところが今回はGMO自身が、利用者のPCの解析や電源オフを呼びかけました。理由として専門家が指摘しているのが、リモートデスクトップの「ドライブ共有」です。詳しくは4章で説明します。
③ 課題は事前に指摘されていた
J-CASTニュースによると、熊谷氏はブログで次のことを認めています。グループのホワイトハッカーが、このサービスのセキュリティの課題を事前に指摘していたこと。対策は進めていたものの、サービスの安定稼働などとの兼ね合いで、深さと速さが足りなかったこと。「攻撃者にその間隙を突かれた」という表現もありました。外から見えにくい部分を自ら明かした形で、これが批判の大きな的にもなっています。
④ 劇場型の脅迫と「情報公開」
攻撃者はウェブサイトで声明を出し、期限を区切って情報の公開を予告しました。利用者の不安をあおって圧力をかける、いわゆる「劇場型」の手口です(Yahoo!ニュース エキスパートの山口健太氏の解説)。27日には1人分の個人情報とされるものが公開されました。ただしGMOは、事実と異なる内容を含むおそれがあるとしています。読売新聞の取材に専門家は「公開情報の拡散は攻撃に加担することになる」と答えており、GMOもアクセスや拡散を控えるよう呼びかけています。
⑤ 補償の範囲と、まだ分からないこと
GMOの補償は、次の4つに分かれています(第4報、第12報の報道、ITmedia)。
- お見舞金:現在の利用者全員に一律5000円(被害の有無は問わない)
- 不正取引の損失:不正アクセスが原因とGMOが確認した取引の実現損失(差損・手数料など)。相場の変動による損失、得られたはずの利益、間接的な損害は対象外
- 特別見舞金:公開された情報に本人の情報が含まれていた人が対象。氏名・連絡先などは1万円、口座ID・パスワードなどは1万5000円、機微情報は2万5000円。1公開につき上限300万円
- 端末の補償:PCがランサムウェアの被害を受けた人には、同等性能の新しいPCを提供
一方で、侵入経路の詳細はまだ明らかになっていません。GMOは「セキュリティ上の観点および捜査に関わる」として説明を控えています(山口健太氏の解説)。攻撃者側はActive Directory(多数のPCをまとめて管理する仕組み)の運用に問題があったと主張していますが、裏付けは取れていません。
3. 証券会社・FX会社に「取引を凍結する仕組み」はあるのか
「口座を乗っ取られたら、会社が取引を止めてくれないのか」「自分で口座を凍結できないのか」。今回の件で多くの人がそう感じたはずです。答えは「会社側が止める仕組みも、利用者が自分でかけるロックもある。ただし、会社や口座の種類によって範囲がまちまち」です。
今回、FX会社が実際にとった措置
片山金融相は10月27日、ゴールデンウェイ・ジャパン(FXTF)、OANDA証券、アヴァトレード・ジャパン、外為ファイネスト、デューカスコピー・ジャパンの5社から顧客被害の報告があったと明らかにしました(毎日新聞、朝日新聞)。5社はいずれも、不正な注文の遮断や対象顧客のパスワードの初期化を行っており、新たな被害の報告は受けていないとされています。各社の発表をまとめたpiyologやセキュリティ対策Labの記事から、代表的な措置を抜き出します。
| 会社 | 主な措置 |
|---|---|
| アヴァトレード・ジャパン | 対象になり得る口座で新規注文を一時停止(決済は可能、強制ロスカットは通常どおり)。10月26日にパスワードを強制リセット |
| OANDA証券 | 一部の口座で不正ログイン・不正取引を確認し、影響の可能性がある口座の取引を制限 |
| FXTF(ゴールデンウェイ・ジャパン) | 該当する複数のMT4口座の取引を一時制限。再開は精査のあと |
| IS6FX | 全口座にパスワード変更を依頼し、新規注文を一時制限 |
| GMOクリック証券ほか | 自社サービスで発生したものではないと説明し、注意を呼びかけ |
GMO側も、主要な取引所と証券会社に「本サービス経由のアクセスの遮断」「全セッションの強制切断」「不正取引の監視と抑止」を要請しています(第4報)。金融庁は10月22日、金融先物取引業協会を通じて全FX業者に、パスワード変更の呼びかけと顧客取引のモニタリング(監視)強化を求めました。つまり今回は、被害の兆候が出たあとに会社側が口座単位で取引を止める形で凍結が行われています。
利用者が自分でかけられる「ロック」
株などの証券口座では、2025年に相次いだ口座乗っ取りをきっかけに、利用者が自分で口座を止められる機能が広がりました。
- 楽天証券:「取引やサービスの一時的な利用停止」。ウェブなら「投資信託の買付以外を停止」から「ログイン・すべての取引を停止」まで5段階から選べ、自動音声の電話でも設定できます(公式サイト)。
- SBI証券:ダイヤモンド・ザイの比較記事によると、オンラインで口座を一時的に利用停止(ロック)できます。
- SMBC日興証券・野村證券:海外の特定地域や一部のネットワークからのアクセスを制限しています。野村證券は、普段と違う端末や回線からのアクセスに追加の認証をかけています(各社公式サイト)。
業界全体のルールもあります。日本証券業協会は2025年7月、ガイドラインの改正案を公表しました(Impress Watch)。ログイン・出金・出金先の変更に「フィッシングに強い多要素認証」(パスキーなど)を必須にすること。認証に続けて失敗したら、アカウントを自動でロックする機能を必須にすること。凍結した口座を再開するときは、改めて本人確認をすること。こうした内容が盛り込まれています。
注意: 「株の口座」と「FX口座」は別物
見落としやすい点があります。楽天証券の公式ページには、この利用停止を設定しても「外国為替取引(FX)は停止されません」と書かれています。今回狙われたのは、MT4/MT5で使うFX口座が中心です。FX専業の会社で、利用者が自分で口座をロックできる機能があるかどうかは、今回の取材では確認できませんでした。おかしいと感じたら、すぐにその会社の窓口へ電話し、取引の制限を依頼するのが確実です。
4. 利用者のPCへの影響ってなに?
「クラウドのサーバーがやられたのに、なぜ自宅のPCの電源まで切るのか」。Xで一番多かった疑問の一つです。鍵になるのは、リモートデスクトップの仕組みです。
リモートデスクトップの「ドライブ共有」
デスクトップクラウドは、Windowsの「リモートデスクトップ(RDP)」で自宅のPCから操作します。RDPには、手元のPCのドライブを接続先のサーバーから見えるようにする「ドライブリダイレクト(ドライブ共有)」という機能があります。ファイルのやり取りが楽になる便利な機能です。ただし、接続先のサーバーが乗っ取られると、サーバー上のプログラムから手元のPCのファイルを読み書きできる状態になり得ます。
山口健太氏は、利用者のPCに影響が及んだのは、VPSとPCの間でドライブを共有する設定になっていたためとみられると解説しています。一方、GMOが配っていた接続ファイルが最初から共有をオンにしていたかどうかについては、確定した公式の説明は確認できませんでした。共有がオンかどうかは、手元の接続ファイル(拡張子 .rdp)をメモ帳で開くと確かめられます。drivestoredirect:s:* という行があれば、すべてのドライブを共有する設定です(note「Katomasa」の解説)。
GMOが利用者に呼びかけたこと
- 接続に使ったPCやスマートフォンをウイルス対策ソフトでフルスキャンする
- 大事なデータを外部の記憶媒体にバックアップする
- 取引口座や各サービスのパスワードを、別の安全な端末から公式サイトに入って変更する
- 27日正午の予告の前に、ネットワークを切ってPCの電源を落とし、ケーブル類も抜く(ITmedia ビジネスオンライン、読売新聞)
- GMOがパスワードや認証コードを尋ねることはない。「被害金を取り戻す」などと費用を求める連絡には応じない
分かっていること・分かっていないこと
| 区分 | 内容 |
|---|---|
| 確認されていること | サーバーへの不正なプログラムの設置、顧客情報の持ち出し、FX口座での不正取引の報告(GMO第4報) |
| 確認されていないこと | 利用者のPCへのランサムウェア感染。GMOは、預かって解析を終えた端末からは、10月27日11時59分の時点でランサムウェアを含むマルウェアは見つかっていないと説明(ITmedia NEWS) |
| 攻撃者の主張のみ | 利用者の自宅PCからデータを抜き取った、バックドアを置いた、という主張。裏付けは確認されていない |
電源オフは「FXの被害」を止めるものではない
ここは混同されがちです。FX口座の不正取引は、サーバーから盗まれたIDとパスワードを使い、FX会社の側で行われたものです。手元のPCの電源を切っても防げません。電源オフは、予告されたランサムウェア攻撃への備えです。FX口座を守るのは、パスワードの変更、二段階認証、そしてFX会社による取引の制限です。対象もあくまでデスクトップクラウドの利用者で、GMOのほかのサービスを使っている人全員ではありません。
5. GMO不正アクセスへのXの反応(全体の割合)
Yahoo!リアルタイム検索で、2026年10月28日22時59分〜23時01分(JST)にXの投稿を集めました。クエリは次の10種類です。「お名前ドットコム 乗っ取り」「GMO 不正アクセス」「デスクトップクラウド」「お名前ドットコム」「GMO PC 電源 ドライブ共有」「GMO VPS FX 不正取引 証券会社」「GMO 電源を切って」「GMO 見舞金 補償」「VPS 不正取引 FX」「熊谷 GMO 対応」「GMO 能動的サイバー防御」(「証券口座 凍結 GMO」は0件)。
集めた投稿から、IDで重複を除きました。さらに、報道や公式発表をそのまま流す投稿、自動生成とみられる同じ文面の要約、FXツールや自動売買の宣伝、無関係な話題を外しました。残った180件を、肯定・否定・中立に分けています。判断が割れるものは中立にしました。
| 分類 | 件数 | 割合 | 主な内容 |
|---|---|---|---|
| 肯定 | 20件 | 11% | 身代金を払わない姿勢、補償・懸賞金、犯人サイトの停止を評価 |
| 否定 | 92件 | 51% | 代表の発信、事前指摘の放置、お名前.comの使い勝手、「電源を切って」への皮肉 |
| 中立 | 68件 | 38% | 仕組みの解説、誤解の訂正、補償の条件への質問、賛否両方を含む意見 |
| 合計 | 180件 | 100% | 集計: 2026-10-28 22:59〜23:01 JST |
否定が半数を超えました。ただし、否定の中身は一様ではありません。「攻撃が許せない」という怒りよりも、GMOの事前対策とトップの情報発信に向けた批判が中心でした。また、「お名前ドットコム」で検索した投稿には、今回の事件より前からある不満(ドメインの更新画面や、自動で付いてくるサービスへの不満)が多く混じっています。これが否定の割合を押し上げた点は、割り引いて読む必要があります。
投稿量の目安として、検索の該当件数(total_available)は「GMO 見舞金 補償」が641件、「GMO 電源を切って」が444件、「GMO 不正アクセス」が394件でした。検索で取れる件数には上限があるので、実際の投稿はこれより多いと考えられます。
6. 肯定的な反応 ― 「身代金は払わない」への支持
肯定は20件(11%)と少数でしたが、論点ははっきりしていました。
論点1: 攻撃者に屈しない姿勢
身代金を払うと、同じ手口が繰り返されやすくなります。この考え方は、セキュリティの世界ではおおむね共通しています。「払わない」と早い段階で公に約束したことを、ランサム攻撃への対応の手本になり得ると見る声がありました。元社員を名乗り「乗り切ってほしい」と応援する投稿もありました。
論点2: 補償と懸賞金の「手数の多さ」
一律5000円、損失の補償、特別見舞金、新しいPCの提供、懸賞金。対応が次々に出てきたことを「守りの手数が多い」と評価する投稿がありました。懸賞金については「これで犯人を特定する人が出たらヒーローだ」と期待する声もありました。
論点3: 犯人サイトの停止と、利用者側の協力
サイトの停止を受けて、通報の手順を共有したり、「消えたのを確認した」と報告したりする投稿が、反応の多い投稿に入りました。騒ぎに乗るのではなく、自分にできる形で協力しようという動きです。
「電源を切って」という呼びかけを擁護する投稿もありました。「非常時は、高度な正解より誰でも実行できる指示のほうが価値がある」「もはや四の五の言っていられない、一番確実な対策だ」という見方です。笑いの種にされがちだったこの呼びかけを、危機対応として理にかなっていると評価しています。
7. 否定的な反応 ― トップの発信と「お名前.com離れ」
否定は92件(51%)です。反応(いいね・リポスト)の多さで見ると、論点は次の3つに集まっていました。
論点1: 代表個人のXでの発信
今回の集計で最も反応が多かった投稿(1万件超のいいね)は、熊谷氏の一連の振る舞いを批判するものでした。主な指摘は3つです。原因は初歩的な設定の問題なのに、話を攻撃の高度さにすり替えている。政府に「能動的サイバー防御」を求めている。被害が続く中で、笑顔の写真付きの経過報告を投稿している。
批判した投稿者に刑事告訴を予告したことや、公開された情報の真偽にトップ自ら言及したことにも、「かえって情報に信憑性を与えた」「有事の発信は公式広報に一本化すべきだ」という声が目立ちました。会社の対応は評価しつつ、代表個人の発信は別の問題として切り分ける投稿が多かったのが特徴です。
論点2: 事前に指摘されていたのに防げなかった
社内のホワイトハッカーが課題を指摘していたと代表自身が認めたことで、「人災ではないか」という受け止めが広がりました。「ドライブ共有がオンのまま提供していたなら、不正アクセスがなくてもGMO側の責任だ」という技術的な批判もありました。数千件の反応を集めた投稿の中には、「美談として総括されるだろうが、始まりは脆弱性の放置だ」という見方もありました。
論点3: ドメインの移管・解約の表明
「お名前ドットコム」で検索すると、ドメインを他社に移す、GMOのサービスを解約する、という投稿が数多く出てきました。「乗っ取り対策のはずの機能が追加オプションになっている」「更新を促す画面がわかりにくい」など、以前からの不満と今回の事件が結び付いています。DNSの移管先を相談する投稿もあり、事件が実際にサービスを選び直すきっかけになっているようです。
そのほかの論点
- 「電源を切って」への皮肉:「クラウドなのに昭和の家電サポート」「永遠に電源を入れられない」など。500件ほどのいいねを集めた投稿もありました。
- 見舞金の名前と額:「見舞金ではなく損失補償だろう」「『特別』という名前が恩着せがましい」という声。
- 能動的サイバー防御の要請:「国の防衛の仕組みを一企業のために使うのは筋が違う」「相手国との外交問題になりかねない」という慎重論。
なお、否定の中には、GMOの社員を「同罪」などと責める強い言葉の投稿もありました。個人への攻撃になるため、この記事では引用していません。
8. 反応の分析と、サイバー被害への関心の動向
話題の中心は「被害」から「対応の見せ方」へ
投稿日時を見ると、論点が日ごとに移っています。10月22〜24日は、「600万円失った」といった被害の報告や、FX業界内での情報共有が中心でした。27日は「電源を切って」と情報公開の予告で一般の人まで巻き込んだ騒ぎになり、28日には代表の発信と懸賞金が中心になりました。被害を受けたのはGMOでもあるのに、批判の矛先が会社に向かう。危機のときの広報の難しさがはっきり出たと言えそうです。
中立の4割は「誤解を正す」投稿
中立の68件で目立ったのが、誤解の訂正でした。たとえば次のような投稿です。
- 「補償は5000円だけ」は誤り。5000円は全員へのお見舞金で、損失は別に補償される。被害に遭った人ほど、この誤解で諦めないでほしい
- GMOクリック証券が攻撃されたわけではない。被害者がクラウドに置いていたログイン情報で取引された
- 「最大300万円」は全員がもらえる額ではなく、公開された情報の区分ごとの上限
- PHPの脆弱性(PHP2Shell)とは別の件(中国語での説明もありました)
一方で、「犯人は○○系だ」といった推測や、「顧客のPCはすべて乗っ取られている」という裏付けのない話も流れていました。真偽の分からない情報が広がるのは、前回取り上げたPHPの件と同じ傾向です。
数字で見る関心の高さ
| 指標 | 数値(出典) |
|---|---|
| GMOインターネットグループの株価 | 10月26日の終値は前週末比15%超安の3179円。中核子会社のGMOインターネットは14%超安(共同通信) |
| 影響の可能性があるサーバー | 最大2万6739台(GMO発表) |
| 国内のランサムウェア被害 | 2026年上半期に123件で、半期として過去最多(警察庁の発表を伝える@IT、熊本日日新聞) |
| 2025年の証券口座乗っ取り | 1〜7月の不正取引8111件、売買総額は約6205億円(金融庁の集計の報道) |
| Xの投稿量(目安) | 「GMO 見舞金 補償」641件、「GMO 電源を切って」444件(Yahoo!リアルタイム検索の該当件数。上限があるため目安) |
株価の急落は、補償額に上限がなく、市場が負担の大きさを見積もれないことの表れとも報じられています。ランサムウェアの被害が過去最多を更新し、去年は証券口座の乗っ取りが社会問題になりました。そこに今回の件が重なり、「ネットに預けたお金と情報は大丈夫か」という関心が一段と高まっていると考えられます。なお、検索の量(Googleトレンドなど)の数値は、今回は確認できませんでした。
9. 一般的に気を付けること・今後の注目とまとめ
デスクトップクラウドを使っていなくても、今回の件から学べることは多くあります。報道や各社の呼びかけをもとに、一般の人向けに整理しました。
日ごろからできること
- パスワードを使い回さない:1か所から漏れると、同じパスワードのサービスがすべて危なくなります。アヴァトレードも、サーバーに保存していた別サービスのパスワードの変更を呼びかけています。
- 多要素認証・パスキーを設定する:証券業界はフィッシングに強い認証を必須にする方向です。用意されているなら必ず使いましょう。
- ログイン通知と取引履歴を見る:普段と違うログインや身に覚えのない取引は、早く気付くほど被害を抑えられます。
- 口座ロックの場所を確かめておく:楽天証券のように自分で止められる会社もあります。株とFXでは止まる範囲が違うことも含め、いざというときの手順と電話番号を控えておきましょう。
- リモート接続の共有設定を絞る:リモートデスクトップを使う人は、ドライブやクリップボードの共有を必要なときだけオンにします。
- バックアップをネットから切り離して持つ:ランサムウェアへの一番の備えです。
事件のあとにしないこと
- 攻撃者のサイトを見に行かない。公開された情報を拡散しない(被害者を追い詰め、攻撃者の思うつぼになります)
- 「補償金の受け取り」「被害金の回収」をうたうメールや電話に応じない。GMOはパスワードや認証コードを尋ねないとしています
- 見舞金の案内は、登録メールアドレスと公式サイトで確かめる。メール内のリンクから個人情報を入力しない
今後の注目
- 10月30日(金)23:59まで:見舞金の支払い方法と、代替サービスの開始時期・申し込み方法がメールで案内される予定
- 11月6日(金)まで:損失補償の申請方法・必要書類・受付期間・支払時期が案内される予定
- 捜査と原因の説明:警視庁の捜査、懸賞金への情報提供、侵入経路の公表があるか
- 能動的サイバー防御:政府が「発動第1号」の要請にどう応えるか
まとめ
「お名前ドットコムの乗っ取り」と呼ばれた今回の件の実体は、FX自動売買用のクラウド環境から口座の鍵がまとめて盗まれた事件です。問題は大きく3つあります。サーバーに認証情報が集まっていたこと、手元のPCまでつながり得る接続の仕組み、そして事前の指摘に対応しきれなかったことです。
取引の凍結については、FX会社が口座単位で取引を制限し、証券口座では利用者が自分でロックできる会社もあります。ただし、止まる範囲は会社と口座の種類で違います。Xでは否定が51%と多数でしたが、その多くは攻撃そのものより、事前対策と代表の発信に向けられていました。身代金を払わない姿勢を支持する声や、誤解を正そうとする投稿も少なくありません。
便利なサービスに何を預けているのかを見直すこと。いざというときに口座を止める方法を知っておくこと。そして、真偽の分からない情報を広げないこと。この3つが、利用者にできる一番の備えだと言えそうです。