FXの自動売買のために借りるGMOのサーバー「お名前.com デスクトップクラウド」に入り込んだ攻撃者が、2026年10月24日、ネット上に出している「GMOインターネットへ」というページで、危ない作りが7年以上も放置されていたと主張しました。

その主張を要約した投稿がXで広く読まれ、「流石にネタだろ」と疑う返信もついています。

ところが、攻撃者の主張のうちの1つは、GMO自身が公式サイトの案内に書いていたことでした。

さらに10月25日の夜には、熊谷正寿社長が自身のブログで、社内のホワイトハッカー（攻撃から守る側の腕利き）から、改善すべき課題を事前に指摘されていたと明かしています。

上の投稿に写っているのは、GMOがホワイトハッカーを集めて開いた拠点のニュースの画面です。

そして10月27日の正午すぎ、攻撃者とみられる側が、利用者の個人情報だとするものの一部をネットに載せたと、共同通信やNHKが伝えました。

GMOは、その真偽について「個々の事象についてはコメントを差し控える」と答えています。

本当にガバガバだったのか、7年放置は本当なのか、そして利用していた人のパソコンは大丈夫なのか。


ハッカーが書いた「過失」

お名前.com デスクトップクラウドは、FXの自動売買ソフトを1日中動かしておくために、ネット上のWindowsパソコンを借りるサービスです。

10月20日に第三者の不正なプログラムが見つかり、21日から全プランが止まっていて、影響の可能性があるサーバーは26,739件とのこと。

GMOがこの件で順に出しているお知らせ（10月27日の昼までに第9報）によると、サーバーの中に保存されていたFX口座のログイン情報などが取られ、口座で勝手に取引された可能性があるそうです。

ITmedia NEWSは、「600万円の損失」「55万円なくなった」といった利用者の報告が相次いでいると伝えています。

 

GMOの熊谷正寿社長は10月15日、グループのアンケートサイトの情報漏えいを受けて、社員の前で「2度目はない」と話していて、今回の不正が見つかったのはその5日後でした。

この秋にGMOで続いた情報漏えいと、熊谷社長の言葉については、こちらにまとめています。

GMOインターネットグループの熊谷正寿社長が講演する姿を、色鉛筆とパステルで描いたイラスト
「2度目はない」と言ったGMO熊谷社長…5日後に起きたことが怖すぎる「2度目はない」 GMOインターネットグループの熊谷正寿社長が、グループ全社が集まるカンファレンスでそう話し、その様子を動画にして自分の...

そして10月24日、その攻撃者のページに「10月24日GMOの過失」という項目が足され、その画面を撮った投稿がXで回りはじめました。

冒頭には「以下に、なぜこうなったのか、これから何が起きるのかを説明する」とあり、利用者に向けて経緯を伝える体裁です。

書かれていた主張を短くまとめると、こんな中身でした。

  • 借りるサーバー（VPS）どうしが社内のパソコンのように1つにつながっていて、1台から別の1台へ渡り歩けた
  • すべてのサーバーに入れる管理者のアカウントがあり、サポート担当が利用者のパソコンにつないだときに、その鍵の情報が取れる状態だった
  • 接続に使う設定ファイルで、利用者のパソコンのドライブを共有する機能が最初から有効だった
  • 解約されたサーバーが次の注文まで止められず、常に数千台が動いていた
  • こうした作りは、少なくとも2019年から続いていた

そのうえで、すべてのサーバーを乗っ取ったので利用者のパソコンにも手が届いた、データを抜き出して裏口になるプログラムを仕掛けたと書いています。

書いてあることが本当なら、利用者にとってはかなり怖い話です。

 

このページが出る前には、攻撃者がGMOに宛てたとされる英文の声明文の画像も出回っていました。

その画像を貼って、Web系のエンジニアでYouTubeでも発信している勝又健太はこう書いています。

その声明文には「10月24日の正午（日本時間）までに返事がなければ、過失を証明する証拠を公開する」という一文。

GMOは正午の少し前に出した第4報で、攻撃者から金銭の要求があったことを明かし、「当社は、攻撃者からの要求には応じません」と書いています。

「過失」のページは、その正午の期限が過ぎたあとの午後に出てきたものでした。


7年放置は本当なのか

声明を書いたのは、犯罪をした当事者です。

GMOも第4報で、攻撃者が情報と称するものを公開するおそれがあり、「その中には事実と異なる内容が含まれるおそれがあります」と注意を呼びかけていました。

「2019年から」という年には、GMO側の記録があります。

お名前.com デスクトップクラウドは、2019年1月23日にサービスを全面的に作り直して提供を始めたと、お名前.comのお知らせに残っていました。

2019年1月から今年の10月までで、7年と9か月ほど。

「7年以上」という言い方は、今の形のサービスが動いてきた期間とそのまま重なります。

 

GMOの第4報の中にも、気になる一文がひとつ。

「これまでの調査により、本サービスのシステムにセキュリティ上の問題が存在し」と書き、お客様の情報が外に持ち出された事実を確認したとしています。

問題があったこと自体は、会社も認めたわけですね。

その「問題」が何だったのかは、第4報のどこにも書かれていません。

 

いちばん引っかかるのは、攻撃者の主張の3つ目にあった「ドライブの共有」です。

GMOがこのサービスの公式サイトに載せている「ご活用ガイド」には、パソコンとサーバーのあいだでファイルを共有する方法が書いてあり、その最後にこうあります。

「なお、コントロールパネルからダウンロードしたRDPファイルでの接続では、あらかじめファイルの共有についても設定されておりますため、お客様にて上述の設定は不要です。」

RDPファイルというのは、借りたサーバーに画面ごとつなぐための設定ファイルのこと。

攻撃者が「最初から有効だった」と書いた共有は、GMO自身の案内に「設定は不要」として書かれていたんです。

 

手元のパソコンの一部を、つないだ先のコンピューターに使わせる仕組みを、リダイレクトと呼びます。

Microsoftは公式の解説で、ドライブのリダイレクトを「最も危険なリダイレクトの1つ」としていました。

つないだ先から、手元のドライブのファイルを読んだり書き込んだりできるようになるからです。

相手が乗っ取られていれば、ファイルを盗まれたり、次にパソコンを立ち上げたときに動く不正なプログラムを置かれたりするおそれがある、とのこと。

 

同じ解説によると、2026年4月のWindowsの更新からは、RDPファイルを開くたびに確認の画面が出て、ドライブの共有も自分でチェックを入れない限りオフになっています。

つまり危なかったのは、4月の更新より前にこのファイルでつないでいた時期と、確認の画面でドライブにチェックを入れてつないだ場合です。

そういう人がどれくらいいたのかは、外からは分かりません。

この話はXでも、自分のパソコンにまで入られるかもしれない話として広まりました。

この共有がいつから続いていたのか、そこが本当に入り口になったのかも、まだ分かっていないんです。

ガイドのページに日付はなく、GMOは侵入の経路を調査中としています。

5つの主張のうち、GMO自身の資料と重なるのは、「2019年」が今のサービスの始まった年と同じことと、接続用のファイルでドライブの共有がはじめからオンになっていたことまで。

残りの3つ、サーバーどうしのつながり方、管理者のアカウント、解約したサーバーの扱いは、攻撃者の言い分のままです。


事前に指摘されていた

10月25日の夜、熊谷社長が自分のXで、ブログを更新したと知らせました。

タイトルは「今こそ官民連携で日本を守ろう」で、国に「能動的サイバー防御」（攻撃の元を国の手で止めてもらう仕組み）を求めた理由を説明する長い文章です。

その後半、「なぜ、防げなかったのか」という見出しの下に、こんな一文がありました。

「本サービスのセキュリティに関しても、社内のホワイトハッカーから改善すべき課題が事前に現場へ指摘されておりました。」

前置きは「言い訳ではなく、事実としてお話しいたします」。

危ないところがあることを、GMOの中の人は先に知っていたわけです。

 

ブログによると、現場のチームも指摘を受け止めて、対策を進めていたと書かれています。

けれど、サービスの可用性への影響や、ほかの作業との優先順位を考えながら慎重に進めた結果、「その対応の深度とスピードが十分ではなく、攻撃者にその間隙を突かれてしまいました」という説明でした。

可用性というのは、サービスを止めずに使える状態を保つことです。

直す作業で利用者が使えなくなることを気にしているうちに、間に合わなかった、と読めます。

ブログは、いちばん悔しい思いをしているのは、危険に気づいて警告していた現場のホワイトハッカーたち自身だ、とも書いていました。

 

「事前に指摘されていた」という一文には、社長の投稿への返信欄ですぐに声が集まっています。

「社内の警告がありながら可用性を優先したのなら、未知の攻撃ではなく『自社の判断ミス』」という声。

ずっと穴を放置していたのか、と受け取った人もいます。

利用者の大事なお金がかかっていたのですから、知っていたのに間に合わなかったと聞くと、怒りと一緒に、なんともやるせない気持ちになりますよね。

 

社長のブログで、「7年放置」は本当だと決まったのでしょうか。

ブログには、指摘された課題が何だったのか、いつ指摘されたのかは書かれていません。

攻撃者が挙げたドライブの共有や管理者のアカウントの話なのか、2019年から続いていたことなのかも、分からないままです。

会社の言い方は「放置」ではなく「進めていたが遅かった」。

それでも利用者の側から見れば、中で気づかれていた穴を、攻撃者のほうが先に通ったことに変わりはありません。

 

翌26日には、攻撃者のページに、社長の説明へ言い返す書き込みが足されました。

その画面を撮った投稿によると、攻撃者は「修正にどれだけかかるのか？」と自分で問いを立てて、こう書いています。

「テキストから1行消して、コマンドを1つ打つ。」

サービスを止めたくなくて直すのが遅れた、という社長の説明に、直すのは一瞬だったと言い返したことになります。

Xには「社長とハッカーがレスバしてる」（レスバは、ネットでの言い合いのこと）と書く人も出ました。

もちろん、これも攻撃者の言い分で、GMOのお知らせはこの書き込みに触れていません。


自分のパソコンは大丈夫か

利用していた人にとっていちばん怖いのは、借りたサーバーの中だけでなく、つないでいた自分のパソコンまで見られていたかもしれない、という話ですよね。

被害を受けた人のパソコンを心配する声も出ていました。

実はGMOは、「過失」のページが出る前の10月23日の第3報で、すでに手元の端末を調べるようお願いしていたんです。

24日午後の第5報「ご利用のお客様へ改めてのお願い」では、その端末の確認とバックアップを、文面の冒頭で「至急」とお願いしています。

 

報道では、犯人を名乗る人物からメールが届いたという利用者の声も紹介されていて、第5報はそうしたメールへの注意も含めて、こんなお願いを並べていました。

  • 自分の端末（PC・スマホなど）を、ウイルス対策ソフトでフルスキャンする
  • データのバックアップを取る（取ったファイルの扱いには注意する）
  • 取引口座と取引ツールのパスワードを、FXに使っていない端末から変える
  • ログインしたままの状態（セッション）をすべて切り、二段階認証を設定する
  • ブラウザに保存しているIDとパスワードも変える
  • 犯人を名乗るメールが来ても、URLやファイルを開かず、返信もしない

パソコンだけでなくスマホも調べるよう書かれていますが、スマホまで含める理由は書かれていません。

GMOは、端末への影響も含めて調べているとして、これは二次被害を防ぐための予防の対応だと説明しています。

ただ、第4報には攻撃者の脅しの中身として、「本サービスに接続したお客様のPCに関する情報の不正公開と、ランサムウェア攻撃の実行」も挙がっていました。

ランサムウェアは、パソコンのデータを使えなくして、元に戻す代わりにお金を求めるウイルスのことです。

25日の熊谷社長のブログも、同じ脅しを「卑劣を極める脅迫」として並べています。

パソコンが実際に入り込まれたのかどうかは、この時点では、まだ誰にも分かりませんでした。

 

もうひとつ気をつけたいのが、攻撃者のページそのもの。

Xにはリンクが貼られていますが、ページの作りを調べた人によると、訪れた人の情報を集める仕組み（トラッカー）まで入っていたそうです。

中身が気になっても、出回っているリンクは開かずにそっとしておくのが安心。

そのページには10月24日の夜、「27日正午までに100万ドルを支払え」という要求も書き足されました。

ネットでは、犯人は元社員ではないかという声まで出ていて、その説が何を手がかりにしているのかは、別の記事で調べています。

GMOのビルを背に、フードで顔の隠れた人物がノートパソコンの前でうつむく様子を色鉛筆で描いたイラスト
GMOハッキングの犯人は元社員？内部告発に見える犯行声明が怖いGMOの「お名前.com デスクトップクラウド」を攻撃した犯人は、中の事情を知る元社員なのではないか。 2026年10月24日の夜から、...

29日には、北朝鮮のハッカー集団の仕業ではないかという説まで出てきました。

GMOハッキングの犯人は北朝鮮？『水すもも』と言われる理由
GMO犯人特定｜北朝鮮プロハッカーWaterPlumはどんな組織なのかGMOの「お名前.com デスクトップクラウド」を攻撃したのは、北朝鮮のハッカー集団だったのかもしれない。 このサービスは、FXの自動売...

25日にGMOが出したお知らせは、社長のブログの紹介と、相談の電話を24時間受け付けるという案内でした。


第4報で決まったこと

第4報で決まった利用者への対応は、この4つ。

  • 利用中の全員に、被害の有無にかかわらず見舞金5,000円
  • 不正アクセスによる取引で実際に出た損失（差損・手数料など）を補償
  • 今のサーバーの基盤はそのまま再開せず、別の基盤の代わりのサービスを6か月無料で用意
  • 案内は10月30日までにメールで、補償の申請方法は11月6日までに知らせる

前日までの発表には補償のことが何も書かれていなかったので、ここは大きく動いたところです。

ただし、「市場の変動による損失、取引で得られたはずの利益、その他の間接的な損害は、対象に含まれません」とのこと。

戻ってくるのは、実際に出た損の分だけ。

この補償について、熊谷社長は25日のブログで「一律5,000円のお見舞金で幕引きにするつもりか」という声に触れ、「決してそうではありません」と書きました。

5,000円は初動の誠意の印で、取引所などが返金に応じない場合も、対象になる損失の全額をGMOが払うそうです。

ここで全額とされているのは、不正な取引で出た損失のこと。

パソコンの中の情報を公開されたり、データを壊されたりした場合の扱いには、ブログは触れていません。

 

同じ第4報によると、GMOは今回の件を「能動的サイバー防御」の「発動第1号」にしてほしいと、政府の関係機関に求めたそうです。

能動的サイバー防御は、攻撃の元になっているサーバーを国が突き止めて無害にする仕組みのことで、関連の法律は2026年10月1日に施行されたばかり。

日本経済新聞によると、この制度は個別の企業の要請で動かすことを想定しておらず、政府は話を聞いたうえで対応を考えるそうです。

26日には高市首相がサイバーセキュリティーの関係閣僚会議で、「アクセス無害化措置も含め、あらゆる対処オプションを戦略的に選択し、実行する」と述べました（時事通信）。

これは企業への不正アクセスが続いていることを受けた発言で、GMOの件だけを名指ししたものではありません。

社長のブログは、GMOが法律の想定する電力やガスのような事業者ではないことは分かったうえで頼んだと書き、補償や作り直しの費用はすべて自社で持つとしています。

AIの悪用で攻撃が誰にでもできるようになり、インターネットそのものが壊れかけている、というのが社長の訴えです。

それでも返信欄には、第4報が要請の理由に書いた「国民の財産」という言葉に首をかしげる声や、自社の話を国の話へ広げているように見えるという声が目立ちました。


27日の正午に起きたこと

27日の正午の期限に向けて、GMOのお願いは26日から一気に強くなっていきます。

26日の19時、GMOは第6報で、手元の端末のフルスキャンとバックアップを改めてお願いしました。

パスワードの変更などは「別の安全な端末から」行うよう書き、協力してくれる利用者からは、つないでいたパソコンを借りて調べたいとしています。

そして23時10分の第7報で、攻撃者とみられる者から、27日の12時に利用者の情報を公開し、ランサムウェアの攻撃をすると予告されていることを明かしました。

申し出のあった利用者のもとへ社員が出向いて端末を預かり、グループのホワイトハッカーが解析を始めたそうです。

 

27日の朝、9時58分の第8報には、こんなお願いが加わりました。

「10月27日（火）12:00になる前に、バックアップを取得したうえで、ネットワークを切断、電源を落とし、PCにつながっているコードを抜いてください。」

利用者に最後に求められたのは、自分のパソコンの電源を落とすことでした。

期限の1分前、11時59分の第9報によると、解析を終えた端末からは、ランサムウェアを含めて不正なプログラムは見つかっていないそうです。

すべての端末の安全を確かめたわけではないとも書いていて、ランサムウェアの被害に遭った人には、同じくらいの性能の新しいパソコンを渡すとしています。

 

正午を過ぎると、共同通信が、攻撃者とみられる声明がネットに出たと伝えました。

GMOが交渉に応じていないとして、顧客のものとする個人情報の一部を載せた、という複数のセキュリティー関係者の話です。

NHKも、ハッカー集団が交渉に応じなかったとして1人の個人情報を公開したと報じています。

その情報が本当に利用者のものなのかは、どの報道もまだ確かめられていない段階です。

載せられた中身を、ここに書き写すことはしません。

24日に注意を呼びかけた人と同じく、27日にはセキュリティー関係者も、攻撃者のものとみられるサイトは見ないよう呼びかけていて、見るだけで個人情報を集められたり、不正アクセスを受けたりするおそれがあるそうです（共同通信）。

 

要求された額についても、26日に熊谷社長がブログへ書き足しています。

J-CASTニュースによると、21日の時点で求められていたのは5,000万ドル（約80億円）で、社長は「当社は、これらの要求に応じておらず、支払いも一切行っておりません」と書いたそうです。

24日の夜にページへ書き足された100万ドルとは額がまるで違い、なぜ変わったのかは、どこにも説明がありません。

ランサムウェアが実際に動いたという報道も、27日の午後の時点では見当たらないままです。

27日には片山さつき金融相が、FX業者5社から「GMO関連と考えられる顧客被害」の報告があったと明かしました（時事通信）。

5社はゴールデンウェイ・ジャパン、OANDA証券、アヴァトレード・ジャパン、外為ファイネスト、デューカスコピー・ジャパンで、取引の一時停止や不正な注文の遮断をしていて、新しい不正取引の報告は受けていないそうです。


理由を書いたのは攻撃者

23日から27日までのお知らせを順に読んでも、出てこない説明がひとつあります。

借りたサーバーの話が、なぜ利用者の手元のパソコンにまで及ぶのか、です。

  • 10月23日夕方　GMOの第3報。手元の端末をフルスキャンしてほしいとお願い
  • 10月24日正午の少し前　第4報。「セキュリティ上の問題が存在し」と認め、要求には応じないと発表
  • 同じ日の正午　攻撃者が「返事がなければ証拠を公開する」と切っていた期限
  • 同じ日の午後　攻撃者側のページに「GMOの過失」が足され、Xで回りはじめる
  • 同じ日の午後　GMOの第5報。端末の確認を、文面の冒頭で「至急」とお願い
  • 同じ日の夜　攻撃者側のページに「27日正午までに100万ドル」の要求が足される
  • 10月25日夜　熊谷社長のブログ。社内のホワイトハッカーから事前に指摘があったと明かす
  • 10月26日　攻撃者側のページに、社長のブログへ言い返す書き込みが足される
  • 同じ日の19時　第6報。端末の点検をあらためてお願いし、パソコンを借りて調べたいと書く
  • 同じ日の23時10分　第7報。27日12時に情報の公開とランサムウェアの攻撃をすると予告されていると公表
  • 10月27日9時58分　第8報。12時になる前にパソコンの電源を落としてほしいとお願い
  • 同じ日の11時59分　第9報。解析を終えた端末から不正なプログラムは見つかっていないと報告
  • 同じ日の正午すぎ　攻撃者側が、利用者の個人情報だとするものの一部を載せたと報道される

GMOが書いたのは、システムに「セキュリティ上の問題」があったこと、それが社内で前から指摘されていたこと、そして端末の確認は予防のためだということまで。

その答えは、どの発表にも、社長のブログにも書かれていません。

GMOのガイドとMicrosoftの解説から分かるのは、そういう道があったということまで。

実際にそこを通ったと書いているのは、今のところ攻撃者のページだけです。

 

ただ、攻撃者にも狙いはあるはず。

「過失」のページが出る前、10月23日の朝の時点で、こんなふうに見ていた人もいます。

実際に「過失」のページも、「顧客の皆様にお伝えします」と利用者に語りかける形で、矛先はGMOに向いていました。

GMOはセキュリティの専門会社と侵入の経路を調べていて、第3報では「新たな事実が判明次第、随時お知らせいたします」と約束しています。

けれど第9報まで出た27日の正午になっても、どこから入られたのかは書かれていません。

社長のブログによると、攻撃者の足取りや通信の記録をつかむために、裁判所を通じた開示請求の手続きにも入ったそうです。

 

25日の夜、社長は「なぜ防げなかったのか」には自分の言葉で答えました。

けれど、社内で何が指摘されていたのかは、まだ一言も書いていません。

利用者が「何が穴だったのか」を知りたいときに読めるのが、攻撃者の文章と、GMOのガイドに残っていた1行しかないのは、おかしなことだと感じてしまいますね。