GMOインターネットグループとGMOインターネットは2026年10月22日、インターネット経由でサーバー上のデスクトップ環境を使う仮想デスクトップサービス「お名前.com デスクトップクラウド」への不正アクセスについて第2報を公表した。利用者から、サーバー上で使っていた取引ツールに関連して、証券会社・FX会社の取引口座で第三者による不正な操作が行われたとの報告が寄せられているという。同社は、サーバー内に保存されていた取引口座のログイン情報などが第三者に取得され、不正に利用された可能性があるとして、取引ツールと取引口座のパスワードを至急変更するよう利用者に求めている。
サーバーの被害から取引口座での不正な操作の報告へ
同社は10月21日の第1報で、一部の利用者のサーバー環境に第三者が不正なプログラムを設置していたことを公表し、全プランのサーバーを順次停止していた。第2報によると、その後の調査と利用者からの報告によって、被害がサーバーの中だけにとどまらない可能性が出てきた。
第2報が示した経緯は次のとおりである。
- 10月19日：利用者からの問い合わせを受けて調査を開始
- 10月20日：不正なプログラムの設置を確認し、新規申し込みとコントロールパネルを停止
- 10月21日：被害拡大を防ぐため全プランのサーバーを順次停止し、第1報を掲載。以降、利用者から取引口座での不正な操作の報告を受け付け
- 10月22日：警察に相談
影響を受けた可能性があるサーバーは、全プランで26,739件。対象となる情報はサーバー内に保存されていたもので、取引ツールに保存された取引口座のログイン情報なども含まれるとしている。同社は、利用者の決済情報（クレジットカード情報を含む）は本サービスのサーバー上で保持していないと説明している。
侵入の経路や、実際に不正な操作を受けた口座の数、被害の額は公表されていない。同社はセキュリティ専門会社とともに侵入経路や影響範囲を調べており、関係する事業者と連携して被害の確認と拡大防止に取り組んでいるという。サービスの再開時期は未定である。
利用者に求められている対応
同社が利用者に求めている対応は、主に次の4点である。
- 取引ツール（MT4/MT5など）と取引口座のパスワードを至急変更する。変更は本サービスのサーバー以外の端末から行い、その後ログオフ（セッションの切断）をする
- 取引口座の取引履歴と残高を確認し、身に覚えのない取引があれば取引先の事業者に連絡する
- 取引先の事業者が二段階認証などを提供していれば設定する
- サーバー内に保管していたIDやパスワードを変更し、同じパスワードを他のサービスでも使っていれば併せて変更する
パスワードの変更をサーバー以外の端末から行うよう求めているのは、侵害された可能性のあるサーバー上で変更すると、新しいパスワードも盗み見られるおそれがあるためと考えられる。
サーバーに保存した認証情報が被害を広げるおそれ
この種の仮想サーバーは、パソコンを起動し続けなくても自動売買ツールなどを24時間動かせるため、取引ツールにログイン情報を保存したまま運用する場合がある。今回の第2報では、サーバーに保存されたIDやパスワードなどの認証情報が第三者に取得され、金融機関の取引口座で不正に利用された可能性が示された。被害がサーバー事業者の設備を越えて、別の事業者の口座にまで及びうることになる。
企業の業務でも構図は同じである。クラウド上の作業用サーバーや、他のシステムへ接続する際の中継点となる踏み台サーバーに、他システムのIDやパスワード、システム間の連携に使うAPIキーを保存していないか点検しておきたい。保存が避けられない場合でも、接続先の側で多要素認証（パスワードに加えてスマートフォンなど別の要素で本人を確かめる仕組み）を有効にする、サーバーごとに異なるパスワードを使う、といった対策で、1台の侵害が他のサービスに連鎖する範囲を小さくできる。
同じ手口に、自社は備えられていますか？