#102「パスワードを変えれば止まる」と言った私が、GMO不正アクセスの14報を読んで青ざめた話

対象読者: 実務層

「お名前.comのデスクトップクラウド、FXの口座で勝手に取引されてるらしいよ」

10月23日の昼休み、先輩がスマホのニュースを見ながらそう言いました。私は深く考えずに返しました。「パスワードを変えてもらえば、とりあえず止まりますよね」。

先輩は一言だけ。「セッションは？」

…言葉に詰まりました。その日の夕方に出たGMOの第3報には、まさにその答えが書かれていたんです。パスワードを変えたあとも、第三者が取引を続けられる場合がある、と。

悔しくて、そこから毎日GMOのお知らせを追いかけました。10月28日までに出たお知らせは第14報まで。脅迫、予告された「12時」、情報の公開、そして懸賞金。たった1週間で、事態は私の想像よりずっと遠くまで進んでいました。

この記事では、GMOインターネットグループの公表資料をもとに、「お名前.com デスクトップクラウド」への不正アクセスで何が起きたのかを第1報から順に整理します。そのうえで、私が見落としていたセッションの話と、今日からできる点検をまとめました。

※本記事は2026年10月28日18時20分時点（第14報まで）の公開情報にもとづいています。状況は日々更新されているため、最新の情報はGMOの公式発表をご確認ください。

1. GMOの不正アクセス、何が起きたのか

お名前.com デスクトップクラウドは、GMOインターネットが提供する、Windowsのデスクトップ環境をクラウドで借りられるサービスです。証券会社・FX会社の取引ツール（MT4/MT5など）を、この環境で使っている人もいました。

始まりは10月19日、利用者からの問い合わせでした。翌日には、一部の利用者のサーバー環境に、第三者が不正なプログラムを置いていたことが分かります。GMOは新規申し込みと管理画面を止め、その翌日の未明から全プランのサーバーを順次停止しました。

影響の可能性があるサーバーは26,739件。桁を見て一瞬ひるみましたが、これは対象になりうる数で、侵入が確認された件数ではないと注記されています。

狙われたのは、サーバーに保存されていた取引口座のログイン情報などでした。それらが盗まれ、不正に使われた可能性があり、利用者からは口座で身に覚えのない取引があったという報告も届いています。

ふつうの情報漏えいなら、盗まれた情報の悪用は「これから起きるかもしれないこと」です。今回は、盗まれた認証情報が、そのまま利用者のお金を動かす鍵になっていました。

2. 第1報〜第5報：止めて、認めて、補償を決めるまで

前半の4日間（10月21〜24日）を、報ごとに並べるとこうなります。

• 第1報（10月21日）：全プランのサーバーを停止。この時点では「情報が閲覧された可能性」で、個人情報の漏えいや悪用は確認されていないとしていました

• 第2報（10月22日）：取引口座で第三者による不正な操作があったという報告を受け、取引ツールと口座のパスワード変更、ログオフ（セッションの切断）をお願い。同じ日に警察へ相談しています

• 第3報（10月23日）：パスワードを変えても既存のセッションが残る場合があるとして、全セッションの切断を強くお願い。変更はFX取引に使っていない端末から、とも

• 第4報（10月24日）：システムにセキュリティ上の問題があり、利用者の情報が外部に持ち出された事実を確認したと公表

• 第5報（10月24日）：利用者自身の端末のフルスキャンと、データのバックアップをお願い

第4報で、事態の性質がはっきり変わります。GMOは、攻撃者とみられる者から金銭の要求と脅迫を受けていると明かしました。のちの報の経緯欄には、10月21日に約80億円を要求する脅迫メールを受け取っていたと書かれています。

脅しの中身は3つでした。70を超える証券会社・FX会社に開かれた利用者の口座への不正操作を続けること。サービスと、そこにつないだ利用者のPCの情報を公開し、ランサムウェア攻撃をすること。GMOのシステムや運用体制の情報を公開すること。

GMOの答えは「要求には応じない」。払っても、盗まれた情報が消される保証はないからです。同時に、サービスを今使っている全員へ見舞金を一律5,000円支払うと発表しました。さらに、本件の不正アクセスによる不正取引と認められた場合は、取引の差損や手数料などの実現した損失を補償します（市場の変動による損失や、得られたはずの利益は対象外です）。能動的サイバー防御に関する措置の実施も、政府の関係機関に要請しています。

3. 第6報〜第14報：予告された「12時」と、その後

10月25日からの4日間は、攻撃者の予告との時間勝負でした。

予告に備える（第6〜9報）

GMOは利用者に端末の調査への協力を呼びかけ、従業員が全国を回ってPCを預かりました。解析するのは、グループのホワイトハッカーチームです。トレンドマイクロなどのセキュリティ企業や、AI企業からも協力の申し出がありました。

攻撃者が予告していたのは、10月27日12時の「情報の公開とランサムウェア攻撃」。第8報と第9報は、その時刻の前にバックアップを取り、ネットワークを切って電源を落とし、ケーブルまで抜くよう求めています。ランサムウェアの被害に遭った人には、同等の性能の新しいPCを提供するとも書かれていました。

…「コードを抜いてください」というお願いを企業の公式発表で読んだのは、初めてです。

情報が公開される（第10〜12報）

予告の30分後、GMOは攻撃者とみられる者による情報の公開を確認しました。そのサイトには「アクセスも拡散もしないで」と強く呼びかけています。アクセスした人の情報は、攻撃者に取得されていることを確認したからです。悪質な拡散者には、法的措置の準備を進めるとしました。

同じ日の夜には、2つの手が打たれます。1つめは、情報が公開された利用者への特別見舞金です。公開された情報の区分に応じて1万〜2万5,000円とし、複数の区分は合算して、1公開につき上限300万円としました。

2つめは、犯人の特定・検挙につながる情報への懸賞金で、総額の上限は100万米ドル（1ドル＝150円の換算で約1億5,000万円）。要求には「永久に」応じないとも書き添えられていました。

反撃に転じる（第13・14報）

10月28日の未明、犯人サイトのドメインが停止されたことを確認。昼に開いた懸賞金サイトには、6時間で113件の情報が寄せられました。預かった端末の解析では、今のところマルウェアの感染やランサムウェア攻撃の痕跡は見つかっていません。

まだ分かっていないこと

• 侵入経路の詳細

• 情報を盗まれた人や、不正取引の被害に遭った人の数

• 見舞金や補償の総額（GMOは「現時点では算定できていない」としています）

4. 私が見落としていた「セッション」

第3報の一文に戻ります。証券会社・FX会社のサーバーの仕様によっては、パスワードを変えたあとも既存の接続セッションが一定期間維持され、第三者が取引を続けられる場合がある。だから全セッションを切断するか、事業者の窓口に切断を頼んでほしい。すでにパスワードを変えた人も必ず、と。

…セッションって、そもそも何でしたっけ。改めて整理しました。

セッション：一度ログインしたあと、「この人は認証済み」という状態を保つための通行証のようなもの。毎回パスワードを入れなくて済むのは、これのおかげです。

パスワードを変えれば、これからログインしようとする人は締め出せます。でも、すでに通行証を持っている人まで追い出されるかは、サービスの作りしだいです。攻撃者がすでにログインしていたら、パスワード変更だけでは取引を止められないかもしれません。

変更をFX取引に使っていない端末から行うのも、同じ考え方です。不正なプログラムが残っているかもしれない環境で新しいパスワードを打てば、それも盗まれかねません。

先輩に言った「パスワードを変えれば止まる」は、半分しか合っていませんでした。

5. 「自分で置いた情報」と「見に行かない」判断

第3報には、考えさせられた一文がもう1つあります。GMOはカード情報などの決済情報をこのサーバー上に持っていない。一方で、利用者が自分でサーバー内に保存した情報は影響範囲に含まれる、というものです。

クラウドの環境を借りるとき、私はつい「預け先がちゃんと守ってくれる場所」だと考えてしまいます。でも預け先が破られれば、そこに自分で置いた認証情報も一緒に持っていかれる。ブラウザに保存したパスワードまで変えるよう求めていたのは、そのためでした。

もう1つは、公開された情報を「見に行かない」ことです。正直に書くと、第10報を読んだとき、どんな情報が出ているのか一瞬だけ気になりました。でも、そのサイトを開いた時点で、自分の情報が攻撃者に渡ります。興味本位のクリックが、そのまま次の被害の入口になる。リンクを共有するだけでも、拡散に手を貸すことになります。

6. 先輩に答え直す前に、私が点検したこと

まず、利用者として。私はFXをやっていませんが、個人で使っているサービスで同じことを確かめました。

• ログイン中の端末を一覧で確認した：Googleアカウントなどの「ログイン中のデバイス」画面で、覚えのない端末がないかを見ました

• パスワード変更と全端末のログアウトをセットにした：変更画面に「他の端末からログアウトする」の選択肢があるサービスでは、必ずチェックを入れるようにしました

• 多要素認証が未設定のサービスを洗い出した：2つ見つかり、その場で設定しました

作る側としては、個人の学習用に作ったログイン機能つきの練習アプリ（ダミーデータ）を見直しました。パスワードを変えてみると、別のブラウザでログインしていた状態は、そのまま残っていました。…これ、第3報に書かれていたことの小さい版です。

パスワードを変えたら、そのユーザーの他のセッションを無効にする処理は足しました。ただ、「ログイン状態を保持する」にチェックしたときの長く有効な仕組みまで本当に消えているかは、まだ確かめられていません。

まとめ

• GMOの「お名前.com デスクトップクラウド」への不正アクセスは、取引口座の認証情報が狙われたところから、脅迫、情報の公開、懸賞金の創設へと、1週間で第14報まで進みました

• パスワードを変えても、既存のセッションが残っていれば取引を続けられる場合があります。変更は別の安全な端末から行い、全セッションの切断までをセットにします

• 自分でクラウドに置いた認証情報は、預け先が破られれば一緒に持っていかれます。公開された情報は見に行かず、広めません

先輩には、「パスワード変更と全セッションの切断はセットでした」と答え直しました。うなずいてはもらえたものの、自分の練習アプリの「ログイン状態を保持する」が本当に消えるのかは、まだ答えられません。第15報が出るまでに、テストを書くつもりです。

最後に…ちょっとだけ宣伝です：一緒に働く仲間を探しています！

この記事を書いているアクシスNWチーム広報部をはじめ、当社では現在、新しいメンバーを積極的に採用しています。 最先端のAIをパートナーに、ワクワクするような挑戦ができる環境が整っています。まずはカジュアルにお話ししませんか？ 新卒の方も、キャリア採用の方も、ぜひお気軽にチェックしてください！
⇒株式会社アクシス人事採用担当(note)
⇒株式会社アクシス求人情報(私の仲間の取材がいっぱいあります)
⇒株式会社アクシス中途採用サイト
⇒株式会社アクシスホームページ

#アクシス　#セキュリティ　#AI　#エンジニア　#スキしてみて　NWチーム広報部　#ゼロトラスト　#サイバーセキュリティ　#IT　#脆弱性 #GMO