GMOインターネット「お名前.com デスクトップクラウド」不正アクセスの全体像まとめ＆解説

この記事の読み方

この記事は、2026年10月28日11:00時点の公式発表（GMOインターネットグループの第13報）までをもとにしています。調査は続いており、新しい情報が出しだい更新します。公式の各報は「第N報」と書き、末尾の時系列に日時と要点をまとめています。

この事案は、事実、推測、攻撃者の主張が、報道やSNSの中で混ざって伝わっています。この記事では、公式発表、報道、攻撃者の主張を区別しながら、何が起きたのか、そして、発表や報道を読むだけでは分かりにくい点（なぜ利用者のPCにまで影響が及びうるのか、など）を解説します。

Q1　お名前.com デスクトップクラウドとは何か

「お名前.com デスクトップクラウド」は、GMOインターネットが提供する、Windowsのデスクトップ環境を借りられるVPSです。

VPS（Virtual Private Server、仮想専用サーバー）は、インターネット越しに借りるコンピューターの一種です。仕組みは次のとおりです。

• 事業者のデータセンターにある、1台の物理的なサーバー（CPU、メモリ、ディスクを持つ実際のコンピューター）を、「仮想化」というソフトウェアの技術で、複数に分けます。分けられたそれぞれが、独立したコンピューターとして動きます。これが「仮想サーバー」です。
• 利用者は、自分の仮想サーバーに管理者としてログインし、好きなソフトウェアをインストールして使えます。Webサイト用の共用レンタルサーバーより自由度が高く、設定や管理は利用者が行います。
• 同じ物理サーバーを使う他の利用者とは、互いに見えないように分離される設計です。ただし、物理サーバーや、それらを管理する仕組みは、事業者が共通で持っています。この分離や管理の仕組みが適切だったかは、今回の事案でも論点になりえます（Q5）。
• 「デスクトップクラウド」は、その仮想サーバーが、画面（デスクトップ）つきのWindowsで動くものです。

報道では、FX自動売買の用途で多く使われていたと伝えられています。FX自動売買は、MT4・MT5（MetaTrader 4・5）などの取引ツールに登録したプログラムが、証券・FX会社の口座に接続して、あらかじめ決めた条件で自動的に注文を出す取引です。取引ツールは動かし続ける必要があるため、手元のPCをつけっぱなしにせず、24時間動くサーバーを借りて動かす使い方が広まりました。

利用者は、自宅などのPCから、リモートデスクトップ（RDP）でそのサーバーに接続して、画面を操作します。

この構造では、利用者のサーバーが、外部の口座に入るための認証情報の置き場所になります。今回の被害が、GMOの外側にある口座に広がった理由は、ここにあります。

Q2　何が起きたのか

GMOは10月19日に顧客からの問い合わせを受けて調査を始め、10月20日に、一部のサーバー環境に第三者が不正なプログラムを設置していたことを確認しました。同日の午後9時ごろから、新規申し込みとコントロールパネルへのログインを停止しています。

10月21日午前4時以降、被害の拡大を防ぐために、全プランのサーバーを順次停止しました。10月21日に、第三者による不正アクセスを公表しています。

影響の可能性があるサーバーは、最大26,739件です。GMOは、この数字は「対象となり得る件数」で、実際に不正アクセスや情報の取得が確認された件数ではないと明記しています。

被害を受けた現行の基盤は、そのまま再開しない方針です（第4報）。サービスは、10月21日から停止しています。

Q3　どんな被害が出ているのか

被害は、3つの層に分けると整理できます。

②の被害が、最も具体的に出ています。報道では、利用者から数百万円の損失が出たとの声が寄せられていると伝えられています。OANDA証券、AIゴールド証券などは、利用者にパスワードの変更や取引履歴の確認を呼びかけました。GMOグループ代表のブログ（10月25日）は、国内外70社以上の証券会社・FX事業者等に開設された口座への不正な操作が続いていると述べています。

なぜ、サーバーを止めても被害が止まらなかったのか。 これは公式の説明ではなく、本記事の解釈です。取引口座のログイン情報が既に取得されていた場合、攻撃者は、GMOのサーバーを使わなくても、証券・FX会社の側の口座に入れる可能性があります。そのため、GMOは第3報（10月23日）で、パスワードの変更に加えて、ログイン中の全セッションの切断を求めました。パスワードを変えても、すでに接続済みのセッションが残る場合があるためです。

公表内容は、段階的に訂正された

第1報の「確認されていない」は、「なかった」という意味ではありませんでした。初期の調査では、二次被害が見えにくいことを示しています。

補償

GMOは第4報で、不正アクセスに起因すると認めた不正取引の実損失（取引の差損や手数料）の補償、全利用者への一律5,000円の見舞金、独立した基盤での代替サービス（6か月無償）を発表しました。第12報では、情報が公開された利用者への、公開された情報の区分ごとの見舞金も加わりました。条件や金額の詳細は、公式の案内を確認してください。

Q4　どんな脅迫が出ているのか

GMOは、10月21日に、攻撃者とみられる者から脅迫メールを受け取ったと公表しています。要求額は約80億円で、代表ブログでは5,000万ドルと書かれています。第4報によれば、脅迫の内容は次の3つです。

1. 国内外70社超の証券会社・FX会社等に開設された顧客口座への不正操作（不正な注文による残高の毀損）を続ける
2. 本サービスと、それに接続された顧客PCに関する情報を公開し、ランサムウェア攻撃を行う
3. GMOのシステムや運用体制などの情報を公開する

10月27日正午に起きたこと

攻撃者は、10月27日正午に、利用者のPCの情報の公開とランサムウェア攻撃を行うと予告していました。GMOは、10月27日9:58の第8報で、正午の予告に備えて、バックアップを取ったうえで、ネットワークを切断し電源を落とすよう利用者に求めました。

報道では、顧客1名の個人情報とされる内容が公開されたと伝えられています。ただし、そのサービスの顧客のものかは確認されていません。

10月28日：攻撃者が情報を公開していたサイトが停止された

GMOは、第13報（10月28日11:00時点）で、攻撃者とみられる者が顧客の情報とされる情報を掲載していたWebサイト（ミラーサイトを含む）のドメインが、10月28日午前4時ごろに停止されたことを確認したと報告しました。GMOは、関係事業者等と連携して対応してきたとしています。このような停止は、テイクダウンと呼ばれます。

ただし、停止されたことは、掲載されていた情報が消えたことや、すでに拡散した情報が回収されたことを意味しません。GMOは、新たに同様のサイトが開設された場合は、確認しだい、直ちにテイクダウンに向けた対応を行うとしています。

GMOは第13報で、攻撃者のサイトや、新たに開設されたサイトに載った情報の投稿、転載、拡散のうち悪質性の高いものに対して、刑事告訴を含む法的措置を講じるとしています。サイトへのリンクの掲載、リポスト、引用投稿なども、控えるよう求めています。

GMOの対応方針

GMOは、攻撃者の要求には永久に応じないと表明しています（第12報）。理由は、支払っても取得された情報の削除や不正利用の防止が保証されないこと、犯罪者への資金提供になり、さらなる被害を助長するおそれがあることです。

なお、報道では、S&Jの分析として、攻撃者が10月27日正午までに100万ドルを追加で要求していたとされています。これは、第12報でGMOが発表した「GMOサイバー犯罪撲滅・懸賞金」（総額100万米ドル）とは、別のものです。懸賞金は、犯人の特定や事件の解明につながる情報を募るもので、10月28日12:00に受付を始めると発表されています。

Q5　どこから侵入されたのか

公式には、公表されていません。 侵入経路、悪用された脆弱性、設置された不正プログラムの機能は、第12報の時点でも示されていません。GMOは、セキュリティ専門会社と調査中で、警察にも相談しています。

分かっているのは、次の手がかりまでです。

• 一部のサーバー環境に、第三者が不正プログラムを設置していた（公式）。
• 侵害の範囲を特定する前に、全プランのサーバーを停止した（公式）。
• 被害を受けた現行の基盤は再開せず、抜本的なセキュリティの刷新を行う（第4報）。
• 報道では、システムの脆弱性を突いたと伝えられているが、具体的な製品や脆弱性は示されていない。

GMOグループ代表のブログ（10月25日）には、社内のホワイトハッカーから事前に改善の指摘があったが、対応の深度とスピードが不十分だった、という趣旨の記述があります。どの点を指すのかは書かれておらず、次に述べる攻撃者の主張との関係も不明です。

攻撃者の主張（二次情報による要約）

攻撃者とみられる者は、自分のWebサイトで、侵入の方法などを主張しています。本記事は、そのサイトを確認していません。以下は、第三者がその内容を要約した記事（参考に記載）をもとにしています。いずれもGMOは確認しておらず、技術的な証拠も示されていません。 GMOは、攻撃者の公開内容に、事実と異なるものが含まれるおそれがあると注意を促しています。

ADやRDPは、Windows環境で一般的に使われる技術です。使っていること自体が問題とは限らず、問われるのは、顧客ごとの分離や、権限の持たせ方です。この点も含めて、GMOの調査結果の公表を待つ必要があります。

Q6　利用者のPCにまで被害は及んだのか

確認されていません。 一方で、GMOは、利用者のPCが攻撃の対象になりうるものとして、段階的に対応を強めてきました。

GMOが、利用者にPCの電源を切るよう求めた

第8報は、利用者のPCの電源を切ることまで求めています。電源を落とす理由は、本文に書かれていません。電源を落とした端末には、ネットワーク越しに指示を送れないため、正午に予告された攻撃の実行を防ぐための予防的な措置と読めます（本記事の解釈）。

GMOは、端末にマルウェアが仕掛けられているかを確認中としており、感染が確認されたことを前提にした要請ではないと読めます。実際に、第9報（11:59）の時点では、解析を終えた端末から、マルウェアは確認されていません。ただし、これは解析を終えた端末の話で、全利用者の端末の安全を確認したものではないと、GMOは明記しています。

ランサムウェアの被害を受けた利用者には、同等性能の新しいPCを提供するとしています（第9報）。

Q7　なぜ、利用者のPCに影響が及びうるのか

リモートデスクトップには、接続元のPCの資源を、サーバー側から使えるようにする設定があります。ドライブ、クリップボード、プリンターなどです。この設定は、リダイレクトと呼ばれます。

たとえば、ドライブを共有すると、サーバー側のエクスプローラーに、手元のPCのドライブが表示され、ファイルをドラッグして移せます。GMOの公式ヘルプも、手元のPCとデスクトップクラウドの間でファイルをコピーするために、接続時に「ドライブ」にチェックを入れる手順を案内しています。そのため、共有を有効にしていた利用者は、少なくないと考えられます（これは本記事の推測です）。

この仕組みは、接続先のサーバーを信頼できることを前提にしています。サーバー側で不正なプログラムが動いている場合、そのプログラムは、共有されたドライブに、接続している利用者の権限でアクセスできる可能性があります。

GMOが、利用者に、ブラウザに保存したパスワードの変更や、端末のフルスキャンを求めているのも、PCに保存された情報への影響を考慮しているためと読めます（第3報・第5報）。

Q8　条件がそろうと、何が起きうるのか

以下は、リモートデスクトップの仕組みの上で、起きうることの整理です。これらが実際に起きたことは、確認されていません。

影響の大きさを分ける条件

実際に起きたかどうか、起きたとして範囲がどこまでかは、利用者ごとに異なります。分かれ目になるのは、次の点です。

• ドライブやクリップボードの共有が有効だったか。共有したドライブの範囲（Cドライブ全体か、一部か）。書き込みができたか。
• 接続した時期が、サーバーが侵害されていた期間と重なるか。
• 接続の方法。報道（BleepingComputer、2026年4月14日）によれば、2026年4月のWindows更新で、.rdp ファイルを開いて接続するときの共有は、既定で無効になり、警告が出るようになりました。ただし、この保護は、更新を適用したPCで、RDPファイルを開いて接続する場合に限られます。リモートデスクトップ接続のクライアントから直接接続する場合は対象外です。
• 攻撃者は、RDPファイルでの共有が既定で有効だったと主張していますが、GMOは確認していません。GMOのヘルプは、接続時にチェックを入れる手順を案内していて、既定値は書かれていません。

「PCは無関係」とも、「全員のPCが被害を受けた」とも言えません。GMOの端末の解析結果が、公表されるのを待つことになります。

Q9　GMOは何をしているのか

• サーバーの停止： 10月21日から、全プランを停止している。現行の基盤は再開せず、独立した基盤の代替サービス（6か月無償）を案内する（第4報）。
• 端末の預かりと解析： 利用者の端末を全国で預かり、ホワイトハッカーチームが解析している（第7報）。
• 要求の拒否： 攻撃者の要求には、永久に応じない（第12報）。
• 攻撃者のサイトの停止： 10月28日午前4時ごろ、ドメインが停止されたことを確認した。新たなサイトが開設された場合は、直ちにテイクダウンに向けて対応する（第13報）。
• 補償： 不正取引の実損失の補償、一律5,000円の見舞金、情報が公開された利用者への区分別の見舞金。
• 警察と国： 10月22日に警察に相談し、通信記録などの証拠を提出して捜査を求めた。国には、能動的サイバー防御の適用を要請した。能動的サイバー防御は、国が攻撃の基盤を追跡し、遮断・無力化することを含む制度です。適用されるかどうかは、国が明らかにしていません。
• 懸賞金： 総額100万米ドル。10月28日12:00に受付を始めると発表した。
• 体制： 代表ブログによれば、ICPO出身者を含む約200名が、防御とログ解析にあたっている。
• 他のサービスへの影響： GMOグループは、10月28日の開示で、本サービス以外のグループのサービスで、不正アクセスや情報漏えいは、現時点で確認されていないとしている。

Q10　利用者や関係者は何をすべきか

最新の案内は、GMOグループのお知らせ（一覧は参考に記載）で確認してください。これまでの公式の要請は、次のとおりです。

• 取引口座と取引ツールのパスワードを、取引に使っていない端末から変更する。
• ログイン中の全セッションを切断する。パスワードを変えても、接続中のセッションが残る場合がある。
• 取引履歴と残高を確認し、身に覚えのない取引があれば、取引先の証券・FX会社に連絡する。
• 取引業者が提供する二要素認証を設定する。
• サーバー内に保存した認証情報、同じパスワードを使う他のサービス、ブラウザに保存したパスワードも変更する。
• 端末のウイルス対策ソフトで、フルスキャンを行う。データのバックアップを取る（バックアップの取り扱いには注意する）。
• 攻撃者を名乗る連絡や、「被害金を取り戻す」といった連絡は、URLやファイルを開かず、返信もしない。GMOが、パスワードや認証コードを尋ねることはない。
• 攻撃者が公開したとされるサイトや、今後開設されるおそれのある同様のサイトには、アクセスしない。サイトへのリンクの掲載、リポスト、引用投稿なども控える（第13報）。

電源については、10月27日朝の第8報と、第10報で、バックアップ後にネットワークを切断し、電源を落とす案内がありました。第12報と第13報には、電源についての案内はありません。電源を入れ直してよいかを含め、現在の案内は、公式のお知らせを確認してください。

分かっていないこと

• 侵入経路、悪用された脆弱性、不正プログラムの機能。
• 持ち出された情報の種類と件数。取引口座のログイン情報が取得された利用者の範囲。
• 利用者のPCが、実際に侵害されたか。ランサムウェア攻撃が行われるか。
• 10月27日に攻撃者が公開した情報が、実在する顧客の情報か。範囲はどこまでか。
• 不正取引の被害件数と、損失の総額。
• 攻撃者が主張する管理上の問題（共通の管理者アカウント、サポート担当の認証情報、解約後のサーバーなど）が、実際にあったのか。
• 攻撃者が、停止されたサイトの代わりに、新たなサイトを開設するか。
• サービスの再開（代替サービスへの移行）の時期と、再発防止策の内容。
• 能動的サイバー防御の適用の有無。

企業が確認したいこと

この事案は、利用者から見ると、自分が管理できない基盤の侵害が、自社の外にある口座や端末にまで影響を及ぼしうることを示しています。侵入経路が分からなくても、確認できることが3つあります。

1. サーバーに、外部サービスのログイン情報を置いていないか。 外部の口座、クラウド、SaaSの認証情報が、サーバーや設定ファイルに保存されていないか、一覧にできるか。侵害の疑いが出たときに、それらを一括で変更し、ログイン中のセッションを切断する手順と担当者が決まっているか。
2. リモート接続で、接続元の端末の資源を、不要に共有していないか。 ドライブやクリップボードの共有を、必要なときだけ有効にしているか。業務や取引に使う端末を、他の用途と分けているか。
3. 初報の「確認されていない」が、後から訂正される前提で備えているか。 公表文の更新と利用者への再通知の手順を決めているか。金銭要求を受けた場合の対応方針（支払いの是非、警察への連絡、公表の方針）を、事前に決めているか。

この事案の台帳のページは、お名前.com デスクトップクラウドへの不正アクセスです。