GMOインターネットのFX自動売買向けVPS「お名前.com デスクトップクラウド」が侵害された。影響の可能性があるサーバーは26,739件、利用者が口座を持つ証券会社・FX会社は国内外で70社を超える。GMOは10月24日の第4報で「システムにセキュリティ上の問題が存在し」、顧客情報が外部に持ち出されたことを認めた。利用者の口座では意図しない取引が相次ぎ、攻撃者はGMOに金銭を要求している。
攻撃者の主張が事実なら、侵害は利用者のVPSで止まらず、接続元である利用者の自宅PCにまで及んだ。使われたとされるのは、脆弱性ではなくリモートデスクトップ（RDP）の標準機能である。本稿では、公式に確認された事実、報道、攻撃者の主張、第三者の分析を区別しながら、サービスの構造、攻撃チェーン、被害、対策を順に整理する。
1. サービスの構造
1.1 FXの自動売買にVPSが要る理由
FXの自動売買では、MT4/MT5（MetaTrader 4/5）という取引ソフトに、EA（Expert Advisor）と呼ばれる自動売買プログラムを組み込んで動かす。EAはブローカー（証券会社・FX会社）のサーバーではなく、利用者側で動くMT4/MT5のクライアント端末（ターミナル）の中で実行される。ターミナルはブローカーの取引サーバーに常時接続して価格を受け取り、EAが条件を判定して注文を送る。ターミナルが止まれば、EAも止まる。
FX市場は平日ならほぼ24時間動いている。自宅PCで運用すると、電源断、スリープ、Windows Updateによる再起動、回線障害のたびに売買が途切れる。建玉を持ったままEAが止まれば、決済注文を出せずに損失が膨らむこともある。データセンターのWindows VPSは、この「止まらないターミナル」を月額数千円で手に入れる手段として普及した。
ターミナルは口座番号とパスワードを保存でき、保存しておけば再起動や回線断のあとも自動でログインし直す。EAを無人で動かす運用では、この保存が事実上の前提になる。つまりFX用VPSは、構造的に取引権限を持つ認証情報の集積所になる。
1.2 サービスの仕様
お名前.com デスクトップクラウドは、GMOのデータセンター上の仮想Windowsデスクトップに、PC・タブレット・スマートフォンから接続するサービスである。FX向けの「for MT4」とビジネス向けの「for Biz」がある。2019年1月に「for MT4」を用意してリニューアルし、2020年3月に最大56%値下げした。累計契約数は20万件を超え、現在の利用者は2万人以上と報じられている（読売）。
2024年5月30日以降のプランは次のとおりである。
| プラン | メモリ | vCPU | SSD | MT4の推奨数 | 月額（1か月契約） |
|---|---|---|---|---|---|
| StartUp 2GB | 2GB | 2コア | 150GB | 3 | 2,640円 |
| StartUp 3GB | 3GB | 2コア | 150GB | 5 | 3,630円 |
| Standard 4GB | 4GB | 3コア | 150GB | 8 | 4,620円 |
| Standard 5GB | 5GB | 3コア | 150GB | 10 | 5,610円 |
| Premium 8GB | 8GB | 8コア | 150GB | 20 | 7,260円 |
| Premium 9GB | 9GB | 8コア | 150GB | 23 | 8,250円 |
OSは全プランでWindows Server 2019、回線は10Gbps共有、転送量は無制限である。月間稼働率99.99%以上のSLAを掲げ、MT4/MT5のプリインストール、稼働異常の通知、EA・インジケーターの無料提供、「VPN不要のリモート接続」を売りにしていた。
1.3 接続方式
接続方式は、2019年9月のGMO開発者ブログに書かれている。利用者はコントロールパネルから.rdpファイルをダウンロードして実行し、RDゲートウェイ（RD Gateway）経由で自分のVPSに入る。コントロールパネルにはRDゲートウェイのサーバー名とユーザー名が表示される。同じ記事は、大きなファイルを「接続元ドライブをエクスプローラーで参照してコピー」する使い方も案内している。この案内が、後述する攻撃経路の前提になる。
第三者（AI時短ラボ）の確認では、公式ガイドに載っているユーザー名はドメイン形式である。ドメイン形式は、VPSがActive Directory（AD）のドメインに参加していることを示す。
1.4 VPSに置かれていたもの
GMOによれば、サーバー内には利用者が取引ツールに保存した証券会社・FX会社の取引口座のログイン情報などがあった。クレジットカードなどの決済情報は、本サービスのサーバーには保存していない。
2. 公式に確認された事実
GMOは侵入経路を公表していない。公式発表とIR開示から確認できるのは次の事実である。
| 日時 | 出来事 |
|---|---|
| 10/19 | 顧客からの問い合わせを受けて調査を開始 |
| 10/20 | 一部の利用者サーバーで、第三者が設置した不正なプログラムを確認。新規申し込みとコントロールパネルを停止 |
| 10/21 4:00 | 全プランのサーバーを順次停止（第1報） |
| 10/21 11:57 | 攻撃者とみられる者から要求文書を受領（熊谷正寿代表のブログ、10/26追記） |
| 10/22 | 警察に相談（第2報） |
| 10/23 | 利用者に全セッションの切断を依頼（第3報）。政府に能動的サイバー防御の適用を要請 |
| 10/24 | 顧客情報の持ち出しを確認。見舞金と損失補償の方針を公表（第4報）。端末のフルスキャンとバックアップを依頼（第5報） |
| 10/25 | 熊谷代表がブログで謝罪し、事前の指摘があったことを明かす |
熊谷代表のブログによれば、社内のホワイトハッカーが本サービスのセキュリティについて改善すべき課題を事前に指摘していた。現場は対策を進めていたが、「サービスの可用性への影響や他の対処事項との優先順位を考慮しながら慎重に」進めた結果、深さとスピードが足りず「攻撃者にその間隙を突かれ」た。指摘の時期と内容は公表されていない。報道では、匿名のGMO関係者が「システム側に脆弱性があった」と話している（読売）。
3. 攻撃者が主張する攻撃チェーン
以下は、攻撃者が交渉用サイトで公開した声明と、それを整理した第三者（セキュリティ対策Lab、x402 Inc.、AI時短ラボ）の分析に基づく。いずれも独立した検証はされていない。
- 初期侵入：サポート業務で使う管理者権限の認証情報を取得した。
- 横移動（lateral movement）：VPS群は単一のADドメインで管理され、全VPSに共通の管理者アカウントがあった。これを使って約2万7千台を手中に収めた。
- 口座認証情報の窃取：各VPSのMT4/MT5に保存された口座情報を回収した。
- 利用者PCへの逆流：利用者がRDPで接続している間に、VPS側から利用者PCのドライブを読み、ファイルとブラウザのデータを複製し、バックドアを設置した。
- 口座の「破壊」：盗んだ認証情報で口座にログインし、不利な取引を短時間に繰り返して残高を削った。
- 恐喝：GMOに金銭を要求し、応じなければ口座の破壊を続け、情報を公開し、ランサムウェアを展開すると予告した。
公式発表と一致するのは、不正プログラムの設置、口座ログイン情報の取得と不正利用の可能性、情報の持ち出し、3種類の脅迫である。2の構成と4の経路は、GMOが認めても否定してもいない。以下、段階ごとに検証状況と技術的な意味を見る。
3.1 初期侵入
攻撃者は、サポート技術者が利用者の環境に接続するときに使う、管理者権限のアカウントの認証情報を取得できたと主張している（x402 Inc.の整理）。具体的なソフトウェアの欠陥やCVEは公表されていない。同じ時期にPHPの重大な脆弱性（php2shell）が報じられているが、本件との関係を示す根拠はない。
3.2 単一ドメインと共通管理者アカウント
公式ガイドのユーザー名がドメイン形式であることは確認されている。ただし、全VPSに共通の管理者アカウントがあったかどうかは確認されていない。攻撃者は、解約済みの契約者のサーバーが停止されずに残っていたとも主張している。
2の主張が事実なら、これはマルチテナント（複数の顧客が同じ基盤を共有する構成）設計の典型的な失敗である。数万の顧客VPSを1つのADドメインで管理すれば、プロビジョニング（環境の自動構築）、パッチ配布、サポートでのログインは楽になる。その代わり、ドメインの管理権限やローカル管理者のパスワードが共通だと、1台の侵害が全台の侵害と同じ意味になる。テナント間の境界が、ネットワークではなく「認証情報を知っているかどうか」だけになるからだ。
Windowsには、ローカル管理者のパスワードを端末ごとにランダム化するWindows LAPSがある。管理アカウントを階層ごとに分け、上位の資格情報を下位の端末に置かない「階層型管理（tiering）」の考え方もある。どちらも、この種の横移動を前提にした対策である。稼働中の数万台で認証基盤を作り直すのは停止リスクの大きい作業であり、2章の熊谷代表の説明にある「可用性への影響」は、この種の改修を指していた可能性がある。
3.3 口座認証情報の窃取
この段階は公式発表と一致する。1.1で述べたとおり、ターミナルに保存された認証情報は、VPSの管理権限を握られた時点でそのまま取り出せる。攻撃者は約14万口座分を得たと主張している（東京スポーツ）が、この数は検証されていない。
3.4 RDPドライブリダイレクトによる「逆流」
4はこの事案でもっとも技術的に重い論点である。
仕組み：RDPのドライブリダイレクトは、RDPの仮想チャネル（デバイスリダイレクト用のRDPDRチャネル）でファイル操作を中継する仕組みだ。有効にして接続すると、接続先のVPSには接続元PCのドライブが \\tsclient\C のようなUNCパスとして現れる。VPS上のプロセスがこのパスのファイルを開くと、要求はRDPセッションを通って接続元に届き、接続元PCのRDPクライアント（mstsc.exe）がそれを実行して結果を返す。クラウド上のデスクトップに手元のファイルを持ち込むための機能で、仕様どおりの動作だ。
この構造から、次の性質が決まる。読み書きは、接続元PCでmstsc.exeを起動したユーザーの権限で行われる。そのユーザーが読めるファイルは、ユーザープロファイル配下にあるブラウザのデータベースも含めて、すべて届く範囲にある。通路が開いているのはセッションの接続中だけで、切断すれば \\tsclient は消える。そして接続元PCから見ると、ファイルを読んでいるのは正規のmstsc.exeである。
問題は信頼の向きにある。利用者は「自分がVPSを操作している」と考えているが、ドライブを共有した時点で、VPS側のプロセスも利用者PCのファイルシステムを読み書きできる。VPSの管理者権限があれば、利用者のセッション内でプロセスを起動して \\tsclient にアクセスできる。VPSの管理権限を握った攻撃者にとって、ドライブを共有したまま接続してくる利用者は、手元PCへの入口になる。
設定：.rdpファイルはテキストで、ドライブ共有は次の行で制御される。
drivestoredirect:s:* ← すべてのローカルドライブを共有する
drivestoredirect:s: ← 値が空なら共有しない
redirectdrives:i:1 ← 旧形式。1で共有を有効にする
攻撃者は、GMOが配布した.rdpファイルでは全ドライブの共有が既定で有効で、それが2019年から続いていたと主張している。配布ファイルの実物は確認されていない。Microsoft Learnの「Supported RDP properties」では、drivestoredirectの既定値は空、つまり共有しない設定である。主張が事実なら、GMOはクライアントの既定値をわざわざ「全ドライブ共有」に変えて配っていたことになる。1.3の開発者ブログが接続元ドライブの利用を案内していたことは、この主張と矛盾しない。なお、redirectdrivesは同ページに載っていない旧形式の項目である（x402 Inc.の整理による）。
ログ：攻撃者は「見本」として作業ログを公開しており、二つの分析がある。いずれもログが本物かどうかは検証されていない。
| 分析元 | 内容 |
|---|---|
| satoru.net（AI時短ラボ経由） | VPS10台分の作業ログ。2026年10月14日22:53〜23:16に、10台中7台がほぼ同時刻に、利用者PCのドライブから計4,352件のファイルを複製した（PDF 1,805件、画像1,464件、CSV・Excel・Wordなど）。7台では、ChromeとEdgeの閲覧履歴、ブックマーク、パスワード保存用のデータベースも複製されていた。書き込みの記録は見当たらない |
| セキュリティ対策Lab | 利用者PC 6台分のファイル収集ログ。コピー処理の記録は計3,566行。タイムゾーンの記載がなく、実行日時は検証されていない |
このログが本物なら、二つのことが言える。第一に、侵入はGMOが不正プログラムに気づいた10月20日の少なくとも6日前に始まっていた。複数台がほぼ同時刻に動いていることから、スクリプトによる一斉実行とみられる。第二に、ログの範囲では利用者PC上で攻撃者のプログラムは実行されていない。マルウェアを利用者PCに置かず、RDPの正規機能でファイルを読むだけで窃取が完結する。
AI時短ラボは、この動作をウイルス対策ソフトでは止められなかったと見ている。理由として筆者は次のように考える。ウイルス対策ソフトやEDR（Endpoint Detection and Response）は端末内の不審なプロセスを監視するが、この場合にファイルを読むのは正規のmstsc.exeであり、不審なプロセスとして扱われにくい。
ブラウザの保存パスワードはWindowsのDPAPI（データ保護API）で暗号化されている。それでも、データベースを複製されただけで安全とは言えない。ドライブ経由で書き込みができるなら、スタートアップフォルダーへのファイル配置などで利用者PC上のコード実行につなげる余地がある。攻撃者が主張する「バックドアの設置」はこの経路を指すが、ログには書き込みの記録が見当たらず、実際に置かれたかは確認されていない。
3.5 口座の「破壊」――盗むのではなく壊す
被害者は、意図しない取引が短時間に繰り返され、差損と手数料で残高が減ったと証言している（個別の被害は4章）。攻撃者は利用者に「GMOが交渉を拒否したため残高を消去した」とメールしており、資金を抜き取るのではなく、残高を減らすこと自体を圧力に使っている。
筆者の見立てでは、資金を盗むより口座を壊すほうが攻撃者にとって安易で安全だからである。FX口座の出金は通常、本人名義の登録口座に限られるため、受取用口座を用意するのは難しい。一方、取引の権限さえあれば、南アフリカランドのようにスプレッドの広い通貨で高レバレッジの売買を繰り返すだけで、残高は減っていく。
攻撃者は規模について「顧客アカウントの15%を破壊済み」「24時間で約66億円相当の口座を破壊」（10/22付のサイト）、「24時間で約77億円相当」（TBS）、「利用者に数十億円の損害」（読売）と主張している。いずれも検証されていない。
3.6 多重恐喝
GMOが公表した脅迫は、口座への不正操作の継続、利用者PCの情報の公開とランサムウェア攻撃、GMOの内部情報の公開の3つである。要求額は、熊谷代表のブログによれば5,000万ドル（約80億円、10月21日11:57付の要求文書）である。一方、報道では、攻撃者が「100万ドルを10月27日正午までに」支払わなければ利用者PCを乗っ取り、閲覧履歴などの個人的な情報を家族・知人・仕事先へ送ると予告したとされる（日経、ANN、東京スポーツ）。両者の関係は分かっていない。
攻撃者は利用者に直接メールを送り、GMOに交渉を促すよう働きかけている。草加市の男性には、データの一部を添付した脅迫メールが届いた（読売）。訴訟支援をにおわせる記述もあり、利用者を通じてGMOに圧力をかける手法である（mackdaddy）。
4. 攻撃者について分かっていること
攻撃者は特定されていない。GMOは「第三者による不正アクセス」とし、IR開示では「国境を越えて暗躍する高度なサイバー犯罪集団」と表現しているが、国や組織を示す根拠は公表していない。GMOは通信記録などを警察に提出して捜査を要請し、裁判所を通じた開示請求で攻撃者の足取りを追っている。
| 項目 | 内容 | 出典 |
|---|---|---|
| 名乗り | 「Hacking Team」「ハッキングチーム」 | TBS、読売 |
| メールの差出人 | 表示名は「Dmitry Orlov」。表示名は自由に設定できるため、実在の人物とは確認されていない | mackdaddy |
| 言語 | 利用者へのメールの件名は日本語（「お名前.com デスクトップクラウド アカウント破壊について」） | mackdaddy |
| 拠点 | 交渉用サイトで声明、破壊したとする口座の一覧、今後の計画を公開 | 日経、ANN |
| 経緯の主張 | 「この構成は2019年時点から存在し、2025年1月までGMOグループが直接運営していた」 | 攻撃者の主張（AI時短ラボ） |
メールが日本語であることから日本人の関与を疑う声もあるが、言語だけで国籍は判断できない。東京スポーツは匿名のIT関係者の話として「内部犯行説」を報じているが、裏付けはない。
同じ時期のGMOグループでは、ほかに二つの事案がある。GMOリサーチ&AIの「infoQ」は10月2日以降に不正アクセスを受け、最大94万8,498件の個人情報が持ち出され、611件・計2,869,500円分のポイントが不正に交換された。GMOサイバーセキュリティ byイエラエは10月19日、日本企業約20社への攻撃でAI侵入テストツール「ARTEX」が悪用されたと発表した。どちらも本件との関連は確認されていない。
5. 被害
5.1 公式に確認された被害
顧客情報の外部への持ち出しは確認されているが、情報の種類と件数は公表されていない。一部の顧客から身に覚えのない取引の報告があるものの、件数と総額も公表されていない。サービスは10月21日から全プランが停止しており、再開は未定である。連結業績への影響は算定中で、10月26日午前にはGMOインターネットグループの株価が一時11.09%下落した（CRYPTO TIMES）。
5.2 報道された個人の被害
| 被害者 | 内容 | 出典 |
|---|---|---|
| 大阪府の37歳女性 | 10/22 0:40の南アフリカランド売り・ユーロ買い1回で119万円の損失。自動決済を含めた損失は178万円。残高は約300万円から約120万円に | 読売、共同 |
| 埼玉県草加市の32歳男性 | 10/22未明に約55万円の損失 | 読売 |
| 40代男性（FX歴10年） | 約2秒で約416万円を失い、残高がゼロに | TBS |
| 神奈川県の男性 | 約2秒で400万円超。その後を含めた損害は600万円超 | 朝日（piyolog経由） |
| 愛知県の女性 | 10/22未明から意図しない取引が繰り返され、約430万円がほぼなくなった | 朝日（piyolog経由） |
| 利用者A・B | Aは約300万円、Bは180万円で残高ゼロ | J-CAST |
同じ人物が複数の記事に登場している可能性があり（TBSの40代男性と朝日の神奈川県の男性など）、合計はできない。日付が報じられた被害は10月22日未明に集中している。10月21日の要求にGMOが応じなかったため残高を消したという攻撃者の説明と、時期は合う。
5.3 被害の種類と確度
| 被害の種類 | 確度 |
|---|---|
| 取引口座の不正取引による金融資産の損失 | 公式（報告あり）と報道 |
| VPSに保存した認証情報と顧客情報の漏えい | 公式（持ち出しを確認） |
| 利用者PCからのファイル、閲覧履歴、保存パスワードの漏えい | 攻撃者の主張と第三者のログ分析（検証されていない） |
| 脅迫メール、情報公開やランサムウェアの予告、便乗フィッシング | 公式（注意喚起）と報道 |
| サービス停止で自動売買が止まったことによる機会損失 | 停止は公式。損失額は不明で、補償の対象外 |
6. リスクはいつまで続くか
終わりの時期は公式には示されていない。判明している日程は次のとおりである。
| 日時 | 内容 |
|---|---|
| 10/27 正午 | 攻撃者が予告した期限（3.6） |
| 10/30 23:59まで | 見舞金の受け取り手続きと、代替サービスの提供開始時期・申込方法をメールで案内（公式） |
| 11/6まで | 不正取引の損失補償の申請方法、必要書類、受付期間、支払い時期を案内（公式） |
| 時期未定 | 侵入経路と影響範囲の調査結果、連結業績への影響の開示（公式） |
日程とは別に、リスクは条件で決まる。取引口座の不正取引は、盗まれた認証情報が変更されず、既存のセッションも残っている間は続く。持ち出された情報による脅迫は、情報が攻撃者の手元にある限り続き、支払っても削除される保証はない。攻撃者の主張が事実なら、利用者PCに置かれたバックドアは除去されるまで残る。同じパスワードを使い回したサービスも、変更されるまで危険にさらされる。補償手続きが続く11月以降は、補償や返金を装った便乗詐欺にも注意が要る。
7. 対策
7.1 利用者がすぐやるべきこと
GMOの案内（第3報・第5報）は次のとおりである。
- FX取引に使っていない端末から、取引口座とMT4/MT5のパスワードを変更する。
- 証券会社・FX会社のマイページや窓口で、ログイン中の全セッションを切断する。
- 取引履歴と残高を確認し、身に覚えのない取引があれば取引先に連絡する。
- 二要素認証を設定する。
- 使い回していたパスワードと、ブラウザに保存したID・パスワードを変更する。
- PCとスマートフォンをウイルス対策ソフトでフルスキャンし、データのバックアップを取る。
2が独立した手順になっているのは、GMOが第3報で「パスワードを変更しても既存の接続が残っている場合がある」と説明しているからだ。認証情報を差し替えても、攻撃者がすでに確立したセッションが生きていれば、そこから注文が通り続けるおそれがある。パスワードの変更とセッションの切断は、別々の操作として両方行う必要がある。
ドライブを共有してVPSに接続していたPCでは、5を一歩進め、ブラウザに保存していたパスワードがすべて漏れた前提で、ネットバンキング、メール、証券口座の順に変更する。3.4のログ分析で、保存パスワードのデータベースが複製されたとされているためである。攻撃者を名乗るメールは、URLや添付ファイルを開かず、返信しない。GMOが補償手続きでパスワードやカード情報を尋ねることはない（補償の確認に使うMT4/MT5の閲覧専用パスワードは除く）。
7.2 RDPクライアント側の確認
RDPを使う立場では、クライアント側で次の確認ができる。PowerShellで手元の.rdpファイルを走査し、ドライブ共有が有効なものを洗い出す。
Get-ChildItem -Path $env:USERPROFILE -Recurse -Filter *.rdp -ErrorAction SilentlyContinue |
Select-String -Pattern '^drivestoredirect:s:.+$', '^redirectdrives:i:1$' |
Select-Object Path, Line
該当した行は drivestoredirect:s: に書き換える。接続ダイアログでは「オプションの表示」→「ローカル リソース」→「詳細」で「ドライブ」のチェックを外す。ファイルの受け渡しが必要なら、そのときだけ受け渡し用のドライブ（USBメモリなど）に限って共有し、終わったら外す。
7.3 被害にあった場合と補償
GMO（第4報）は、まず取引先の証券会社・FX会社に、第三者の不正アクセスによる取引であることを説明し、取引の取消しや返金を相談するよう求めている。対象取引の日時、内容、損失額は保存しておく。
補償の方針は次のとおりである。
- 全利用者に、被害の有無にかかわらず一律5,000円の見舞金を支払う。
- 不正取引による実現損失（差損と手数料など）を補償する。取引先から返金があれば、その残りをGMOが支払う。市場の変動による損失や逸失利益は対象外である。
- 申請には、本人確認書類やMT4/MT5の閲覧専用パスワードなどが必要になる見込みである。
- 現行の基盤は再開せず、独立したクラウド基盤の代替サービスを6か月無償で提供する。利用者の同意なく移行することはない。
7.4 サービス提供者が取るべき設計
ドライブ共有は、クライアント設定に頼らず、サーバー側で禁止するのが筋である。グループポリシーの「コンピューターの構成 > 管理用テンプレート > Windows コンポーネント > リモート デスクトップ サービス > リモート デスクトップ セッション ホスト > デバイスとリソースのリダイレクト > ドライブのリダイレクトを許可しない」を有効にすると、接続側の.rdpの内容にかかわらずドライブは共有されない。この設定は、レジストリでは HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services の fDisableCdm=1 に対応する。DISA STIG（米国防総省のセキュリティ設定基準）は、Windows Server 2019/2022/2025でこの設定を有効にすることを必須項目にしている。利用者に配る.rdpファイルも、Microsoftの既定値どおり共有なしにしておく。
マルチテナントの基盤では、3.2の横移動を前提に設計する。顧客VPSを共通ドメインに入れない。入れる場合は、管理アカウントを階層ごとに分け、ローカル管理者のパスワードをWindows LAPSで台ごとに分ける。サポート用の管理経路は顧客ネットワークから分離し、サポート用の資格情報で全台に入れる構成を避ける。解約したインスタンスは即時に破棄する。
利用者側の運用としては、取引口座のパスワードをVPSに置く以上、口座側で被害を限定する仕組みが要る。閲覧専用と取引用で権限を分ける、二要素認証を使う、といった対策は、ブローカー側の機能に依存する。
8. GMO、業界、政府の対応
GMOは全サーバーを停止して影響を受けたシステムのネットワーク接続を止め、主要な取引所・証券会社に、本サービス経由のアクセスの遮断、全セッションの強制切断、不正取引の監視を要請した。調査はセキュリティ専門会社と進めており、グループのイエラエやFlatt Securityなど約200名を投入している。
取引口座を提供する事業者も個別に対応している（piyologの整理による）。
| 事業者 | 主な内容 |
|---|---|
| OANDA証券 | MT4/MT5のログイン情報が第三者に閲覧された可能性を公表し、パスワード変更などを依頼 |
| AXIORY | ログイン情報が閲覧された可能性を公表。自社への不正アクセスは確認されていない |
| Titan FX | VPSにログイン情報を保存していた利用者に、パスワード変更と取引履歴の確認を依頼 |
| XMTrading | お名前.comのVPSを利用している顧客に、利用の一時停止と関連するパスワードの変更を依頼 |
| IS6FX | 本件との関連は断定していないが、全顧客にパスワード変更を依頼し、新規注文を一時制限 |
| IronFX | パスワードの使い回しをやめることと二段階認証を推奨 |
| FXTF、外為ファイネスト | 他社のVPSなどから漏れたとみられるログイン情報による不正ログインを公表。本件との関連は明らかでない |
金融庁は10月22日、金融先物取引業協会を通じてFX事業者に注意喚起し、顧客取引の監視を要請した（日経、朝日）。
GMOは10月23日、本件を能動的サイバー防御の「発動第1号」事案と位置付け、政府関係機関に適用を要請した。同制度は10月1日に施行されたばかりで、重大なサイバー攻撃の兆候があるときに、警察と自衛隊が攻撃元のサーバーを無害化する仕組みである。目的は被害の未然防止で、すでに被害が出た事案への適用には法解釈上の論点がある。熊谷代表は、GMOが「特定社会基盤事業者」ではないことを承知のうえで要請したと述べている。政府関係者は「個別企業の要請に応じて発動を決める制度ではない」としており（ビジネス+IT）、適用されるかは不透明である。
9. 未解明の論点と考察
技術的に解明されていない点は多い。初期侵入の経路と脆弱性の内容、ADによる横移動の実態、配布された.rdpファイルの既定値、利用者PCへの書き込みの有無、公開されたログの真偽と侵入の開始時期は、いずれも公式に確認されていない。持ち出された情報の種類と件数、不正取引の総件数と被害総額、要求額の食い違い（5,000万ドルと100万ドル）、ホワイトハッカーが指摘した課題の中身も公表されていない。
攻撃者の主張は、GMOに責任を寄せて利用者の怒りを交渉の圧力に変える方向に働くため、額面どおりには受け取れない。それでも、主張された構成――単一ドメイン、共通管理者アカウント、全ドライブ共有を既定にしたRDP――は、どれも単独で見れば運用の利便性から選ばれがちな設定である。
この事案が示すのは、リモートデスクトップは双方向の通路であり、接続先が侵害されれば接続元も無傷ではないという、RDPの仕様からすれば当然の帰結だ。「サーバーを預けている」つもりの利用者にとって、手元PCが攻撃面に含まれるという認識は薄い。サービス提供者が既定値と分離設計でその溝を埋めない限り、同じ構造は他のVPSやVDI（仮想デスクトップ基盤）でも再現する。
参考資料
- GMOインターネット 第1報〜第5報（2026/10/21〜24）、GMOインターネットグループ IR（10/23、10/24）
- 熊谷正寿「今こそ官民連携で日本を守ろう ――『能動的サイバー防御』を具申した理由」（2026/10/25、10/26追記）
- お名前.com デスクトップクラウド サービスサイト、プレスリリース（2020/3/5）、新プランのお知らせ（2024/5/30）
- GMO Developers「生まれ変わった『お名前.com デスクトップクラウド』～リモートデスクトップ編～」（2019/9/25）
- GMOリサーチ&AI「infoQ」への不正アクセスに関するお知らせ（10/5）
- Microsoft Learn「Supported RDP properties」（
drivestoredirectの既定値）、DISA STIG Windows Server 2022 V-254366（ドライブのリダイレクトを許可しない） - 読売新聞（10/24、10/25）、共同通信（10/25）、日本経済新聞（10/24、10/25）、TBS（10/25）、ANN（10/26）、ビジネス+IT（10/25）、J-CAST（10/26）、東京スポーツ（10/26）、CRYPTO TIMES（10/26）、ITmedia（10/21）
- セキュリティ対策Lab（10/23、10/25）、x402 Inc.（10/24）、AI時短ラボ（10/24）、mackdaddy（10/25）、piyolog（10/23〜）
- 詳細な出典と時系列は [[2026-10_お名前.comデスクトップクラウド不正アクセス]] を参照