はじめに
最近、脆弱性や攻撃のニュースが本当に多いですよね。
特に衝撃的だったのが、GMOインターネットの「お名前.com デスクトップクラウド」(FX自動売買向けのクラウドデスクトップ)への不正アクセスです。
GMOの発表によると、影響を受けた可能性があるサーバーは26,739台。全プランのサーバーが停止され、取引ツールに保存されていた口座のログイン情報などが不正に利用された可能性も認められています。さらに10月27日には、攻撃者による情報公開も始まりました。
GMOといえば、国内最大規模のホワイトハッカー組織を傘下に持つ会社です。
そんな会社でも、こういうことが起きます。
「自分のPCは大丈夫か?」と不安になって調べ始めると、専門用語の海に溺れそうになります。
でも、先に結論を言ってしまうと、個人のPCでやれることは限られていて、しかも割と当たり前のことばかりです。
この記事では、その「当たり前」を改めて整理します。
新しい裏技はありません。ただ、当たり前のことを本当にやれている人は意外と少ないです。
※ 本記事執筆時点(2026年10月28日)の情報です。GMOの件は状況が更新されているため、最新情報はGMOの公式発表を確認してください。
個人にできること(=全部やっておきたいこと)
1. OSとソフトを最新にする
地味ですが、これが一番効きます。
ニュースになる脆弱性の多くは、修正パッチがすでに出ているものです。つまり、更新していれば防げた攻撃が大半です。
- Windows Update / macOSのソフトウェアアップデートを自動にする
- ブラウザ(Chrome, Edge, Firefoxなど)は自動更新のまま使う
- 使っていないソフトは消す(更新対象を減らす)
- サポートが切れたOSは使い続けない
「再起動が面倒で更新を後回しにする」のが一番もったいないです。
2. パスワードの使い回しをやめる
個人がいちばん被害を受けやすいのは、PCの脆弱性よりもアカウントの乗っ取りです。
どこかのサービスから流出したID/パスワードで、別のサービスにログインを試される「リスト型攻撃」が定番です。
- パスワードマネージャーを使う(ブラウザ標準のものでも、使っていないよりずっと良い)
- パスワードは長くランダムなものにして、サービスごとに変える
- 覚えるパスワードはマネージャーのマスターパスワードだけにする
3. 多要素認証(MFA)とパスキーを使う
パスワードが漏れても、2段階目で止められます。
- 重要なサービス(メール、銀行、SNS、クラウド、GitHubなど)から優先的に有効化する
- 対応しているならパスキーを使う(フィッシングに強い)
- SMS認証より、認証アプリやパスキーのほうが望ましい
特にメールアドレスのアカウントは最優先で守ってください。他サービスのパスワードリセットの入口になっているからです。
4. バックアップを取る
ランサムウェアや故障、操作ミスなど、何が起きても最終的に助かるのはバックアップです。
- 大事なデータは「3つのコピー、2種類の媒体、1つは別の場所」(3-2-1ルール)を目安にする
- 外付けHDDは、バックアップ時だけ接続して普段は外しておく(つなぎっぱなしだと一緒に暗号化されることがある)
- 実際に復元できるか、たまに確認する
5. 怪しいものを開かない・入れない
結局ここは人間が最後の砦です。
- 心当たりのないメールやSMSのリンク、添付ファイルは開かない
- 「アカウントが停止されます」系の連絡は、メールのリンクではなく公式アプリやブックマークから確認する
- ソフトは公式サイトか公式ストアからだけ入れる
- ブラウザ拡張機能は必要最低限にする(乗っ取られて悪用される例がある)
- 「無料で全機能が使える」系の海賊版・クラック版には手を出さない
6. 標準のセキュリティ機能を切らない
- Windows Defenderなどの標準のウイルス対策は有効のままにする
- ファイアウォールを無効にしない
- ディスクの暗号化(BitLocker / FileVault)を有効にする(紛失・盗難対策)
- 普段使いのアカウントは管理者権限にしない
高価なセキュリティソフトを何本も入れるより、標準機能をちゃんと有効にしておくほうが大事です。
7. 「つなぎっぱなし」「預けっぱなし」を減らす
今回のGMOの件でも、被害を大きくした要因として、口座にログインしたままの取引ツールや、手元PCとのドライブ共有が取り沙汰されています(攻撃者側の主張を含み、すべてが確認されているわけではありません)。
一般化すると、便利さのために常時つなげているものほど、突破されたときの被害が大きいということです。
- 口座などのログイン情報を、外部のサーバーやツールに保存したままにしない
- リモートデスクトップ接続では、手元PCのドライブ共有を必要なときだけ有効にする
- 取引口座などは、出金制限や取引通知の設定を見直しておく
個人にはどうにもできないこと
ここが大事な部分です。
- ゼロデイ脆弱性:修正パッチが出る前に悪用される脆弱性。個人は防ぎようがありません
- サプライチェーン攻撃:信頼していたソフトやライブラリ自体が汚染されるケース
- サービス側からの情報漏洩・侵入:自分が何をしていても、事業者側が突破されれば被害を受けます。今回のGMOの件がまさにこれです
つまり、「完全に防ぐ」ことは個人にはできません。
専門家でも、完璧にやっているわけではありません。
だから「被害を小さくする」という考え方
防げないものがある以上、目指すのは**「やられても致命傷にならない状態」**です。
| 起きること | 備え |
|---|---|
| サービスからパスワードが漏れる | 使い回しをしない、MFAを有効にする |
| マルウェアに感染する | バックアップがあれば復旧できる |
| PCを紛失・盗難される | ディスク暗号化、パスワードロック |
| 不正ログインされる | ログイン通知を有効にして早く気づく |
| 預けていたサーバーが突破される | ログイン情報を預けっぱなしにしない、共有機能は必要なときだけ使う |
ここまで読んで、「結局さっきの当たり前のことじゃん」と思った方、正解です。
当たり前のことを積み重ねることが、そのまま被害を小さくする対策になっています。
最近の状況が気になったら
- IPA 情報セキュリティ10大脅威 :毎年、個人向けの脅威もまとまっています
- Have I Been Pwned :自分のメールアドレスが流出事件に含まれていないか確認できます
- 使っているサービスの公式アナウンスや、JPCERT/CC・IPAの注意喚起
不安なニュースを見たときは、不安になる前に「アップデートした? MFAは? バックアップは?」と確認する。これで十分です。
まとめ
- 個人にできることは限られている。でも、その限られたことで被害の大半は防げる
- 優先順位は、アップデート、パスワード管理とMFA、バックアップの3つ
- 防げない攻撃はある。GMOのような会社でも起きる。だから「やられても大丈夫」な状態を作る
- 派手な対策より、地味な習慣のほうが効く
ニュースを見て怖くなったら、まず自分のPCが更新されているか確認してみてください。
それだけで、昨日より少し安全になっています。