「お名前.com デスクトップクラウド」で第三者による不正アクセスが発生し、一部ユーザー環境に不正プログラムが設置されたことが明らかになりました。
ニュースの見出しだけを見ると、
- GMOのサービスが破られた
- FX口座が不正利用された
- GMOに大きな責任がある
という印象を受けるかもしれません。
しかし、公表されている情報を冷静に読むと、少し違った見方もできそうです。
本記事では、公表されている事実と、そこから考えられる推察を分けながら整理してみます。
まず事実として分かっていること
GMOインターネットは、
- 第三者による不正アクセスが発生したこと
- 一部ユーザー環境に不正プログラムが設置されたこと
- サーバー内の情報が閲覧された可能性があること
- 影響の可能性があるサーバー数が26,739台であること
を公表しています。
【重要】[お名前.com デスクトップクラウド]第三者による不正アクセスに関するお詫びとお知らせ
また、MT4やMT5などの取引ツールに保存されていた認証情報が第三者に閲覧された可能性があるとして、パスワード変更などを呼びかけています。
【重要】「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第2報）
一方で、
- どのような方法で侵入されたのか
- GMOの設備が侵害されたのか
- 利用者のパスワードが突破されたのか
- VPS基盤そのものに問題があったのか
については、現時点では公表されていません。
つまり、被害の事実は公表されていますが、原因はまだ確定していない状況です。
「FXサービスが破られた」という理解は正しいのか
今回の報道では、「FX口座の不正利用」が強調されています。
そのため、
「GMOが運営するFXシステムが破られた」
ような印象を受けます。
しかし実際には、お名前.com デスクトップクラウドはFX会社ではありません。
利用者にWindows Server環境を提供するサービスであり、その上にMT4やMT5といった取引ソフトを利用者自身がインストールして利用します。
イメージとしては、
「FXサービス」
というより、
「インターネット経由で利用できるWindowsパソコンを借りるサービス」
に近いものです。
AmazonやMicrosoftのクラウドで同じことが起きたらどう考えるか
少し分かりやすい例で考えてみましょう。
もし、Amazonが提供するクラウドサービスであるAmazon Web Services（AWS）や、Microsoftが提供するクラウドサービスであるMicrosoft AzureでWindows Serverを借り、その上でMT4を動かしていたとします。
そのWindows Serverに不正ログインされ、MT4を操作された場合、多くの人は、
「AWSがFX口座を乗っ取られた」
「MicrosoftがFX口座を乗っ取られた」
とは考えないでしょう。
まず考えるのは、
- どのようにログインされたのか
- パスワードは適切だったのか
- 利用者側の設定に問題はなかったのか
という点です。
今回のお名前.com デスクトップクラウドも、技術的な構造だけを見るとかなり近いサービスです。
そのため、
「FX口座が不正利用された」
↓
「だからGMOが悪い」
と短絡的に結論づけるのは適切ではありません。
重要なのは、
どこから侵入され、誰の管理範囲で問題が発生したのか
です。
この事件の本質は「FX自動売買」という仕組みそのものかもしれない
ここからは推察です。
今回の事件で最も注目すべきなのは、Windows Serverそのものではなく、そこで運用されていたFX自動売買ソフトの特徴です。
一般的な株式取引アプリの場合、
- 一定時間経過すると再ログインが必要になる
- スマートフォン認証が必要になる
- ワンタイムパスワードが必要になる
- 取引時に追加認証が発生する
といった仕組みが導入されていることが少なくありません。
つまり、仮にWindows Serverへのログインに成功したとしても、その先で証券会社の認証を突破しなければ取引できません。
ところが、MT4やMT5は考え方が大きく異なります。
これらのソフトは、
24時間365日、自動売買を止めずに動かし続けること
を前提として設計されています。
そのため、
- 一度ログインすると長期間ログイン状態を維持する
- 認証情報を保存する
- 自動的に再接続する
- 運用中の再認証を極力発生させない
という運用が一般的です。
なぜなら、頻繁に再認証が必要になると、自動売買そのものが停止してしまうからです。
MFAやパスキーとの相性が悪い構造的な問題
近年、多くの金融サービスでは、
- MFA（多要素認証）
- スマートフォン承認
- パスキー
- FIDO認証
などが導入されています。
これは、
「本当に本人なのか」
を継続的に確認するためです。
しかし、FX自動売買の世界では事情が異なります。
自動売買の理想は、
利用者が何も操作しなくても24時間365日動き続けること
だからです。
もし、
- スマホで承認してください
- パスキーで認証してください
- ワンタイムパスワードを入力してください
という要求が定期的に発生すると、自動売買は成立しません。
つまり、
人間が操作することを前提とした高度な認証
と、
人間が一切操作しないことを前提とした自動売買システム
は、本質的に相性が良くありません。
言い換えると、
一般的なネット証券はAAL2やAAL3相当(AALについてはNISTのAuthenticator Assurance Levels参照)の認証を導入しやすいのに対し、FX自動売買環境ではそれを運用しにくいという構造的な問題が存在します。
仮にWindowsへ侵入されたら何が起こるのか
もし攻撃者がWindows Serverへのログインに成功した場合、
一般的な株式取引アプリなら、その後も証券会社側の認証が壁になります。
しかしMT4やMT5の場合、
すでに認証済みの状態で稼働している可能性があります。
攻撃者から見れば、
「FX会社の認証を突破した」
のではなく、
「すでにFX会社へログイン済みのパソコンへ侵入した」
状態になります。
これは大きな違いです。
もし今回の被害がそのような構造だった場合、問題の本質はGMO固有ではありません。
同じ構成を、
- Amazonのクラウド
- Microsoftのクラウド
- 自宅PC
で運用していたとしても、同様のリスクは存在します。
それでもGMOに全く責任がないとは言い切れない
ただし、GMOを全面的に擁護するつもりもありません。
なぜなら、このサービスは単なるWindows Serverのレンタルサービスではなく、
- FX自動売買向け
- MT4・MT5向け
として提供されているからです。 FX自動売買専用VPS
利用者は、
「Windows Serverを借りている」
という感覚ではなく、
「FX自動売買に適した環境を利用している」
という認識で契約しているはずです。
その意味では、
仮に侵入経路が利用者側のパスワード管理に起因していたとしても、
「知識情報だけでアクセス可能なWindows環境の上で、認証済み状態の金融システムを長期間運用するリスクについて、十分な説明や注意喚起が行われていたのか」
という議論は避けられないでしょう。
もっとも、それは
「FX口座が不正利用されたからGMOが悪い」
という単純な話ではありません。
犯人探しより重要なこと
現時点では、
- GMOの設備が侵害されたのか
- 利用者の認証情報が突破されたのか
- VPS基盤に問題があったのか
すら分かっていません。
その段階で、
「GMOが悪い」
あるいは
「利用者が悪い」
と断定するのは難しいでしょう。
むしろ今回の事件が問いかけているのは、
一度ログインすると長期間認証済み状態を維持するFX自動売買システムを、現在の脅威環境の中でどのように守るべきか
という問題です。
もしWindows環境への侵入が被害の起点だったのであれば、それはGMOだけの問題ではありません。
今回の事件は、単なる不正アクセス事件というよりも、
MFAやパスキーが当たり前になりつつある時代に、24時間365日動き続ける自動売買システムをどのように安全に運用するのかという、業界全体の課題を浮き彫りにした出来事
として捉えるべきなのではないでしょうか。