FX口座の不正操作事件

本稿は2026年（令和8年）10月25日に確認できた公式発表（10月24日の第5報まで）に基づきます。調査中の事件であり、以後の発表によって被害範囲や手続きが変わる場合があります。挿絵は理解を助ける概念図で、実際の被害者や現場を描いたものではありません。

1. 事件の概要
2. ドメイン管理サービスが、なぜFXと関係する？
3. 原因は？　犯行手口は？
4. 被害規模は？
5. GMOの対応と補償
6. 被害はほかの口座や自宅の端末へ波及する？
7. ドメイン管理機能への影響はあった？
8. 利用者としてできる対策
9. 参考サイト

同社は10月19日に利用者の問い合わせを受けて調査を始め、20日に不正なプログラムを確認しました。新規申し込みとコントロールパネルを止め、21日午前4時から全プランのサーバーを順次停止しました。22日には警察へ相談しています。公表された経緯では、調査と停止措置の時点を分けて説明しています。

当初の第1報では、情報の悪用は確認されていないとされていました。しかし、その後の第4報では、システムにセキュリティ上の問題があり、情報が外部へ持ち出された事実を認めています。初期発表だけで「漏えいも被害もない」と判断してはいけません。

「お名前.com」はドメイン登録で知られていますが、今回の対象は、その名前を使った別のサービスであるデスクトップクラウドです。インターネット上にあるWindows環境を借り、手元のパソコンやスマートフォンから遠隔操作できます。仮想的な専用サーバーを貸す仕組みは「VPS」と呼ばれます。サービスの案内では、FX自動売買向けに提供されています。

FXは、円とドルなど異なる通貨の値動きを利用する取引です。利用者はFX会社に口座を作り、MT4・MT5といった取引ソフトや、EAと呼ばれる自動売買プログラムを動かします。自宅のパソコンを消してもソフトを動かし続けるための「借りたパソコン」が、このクラウドです。

役割を分けると、GMOインターネットはソフトを動かす場所を提供し、証券会社・FX会社は注文を受け付け、口座を管理する場所を提供します。公式FAQでは、提携先以外のFX会社のMT4も利用できるとされています。そのため、影響を考える対象はGMOグループの金融口座だけに限られません。

確認されたのは、クラウド環境への不正アクセスと不正なプログラムの設置、そして情報の持ち出しです。一方、第5報でも、侵入経路と影響範囲は調査中です。どの弱点が使われたのか、誰が実行したのか、どの口座をどう操作したのかまで、公表資料から確定することはできません。

同社は、サーバー内に保存されていた取引口座のログイン情報などが取得され、不正利用された可能性を説明しています。仕組みとしては、取引に使う環境や認証情報を奪われると、第三者でも本人の口座で注文できるおそれがあります。これが「なりすまし」の問題です。図は関係を示す概念図であり、個々の被害で全工程が確認されたことを意味しません。

被害は「お金を外へ送ること」だけではありません。本人が望まない注文や決済によって損失が確定することもあります。FXは預けた証拠金より大きな金額を取引できるため、口座の操作権限を奪われる危険は重大です。ただし、特定のEAの改変や特定銘柄での操作を、今回の確定した手口として断定することはできません。

公表された対象は、デスクトップクラウドの全プラン、影響の可能性があるサーバー26,739件です。これは「26,739人が被害に遭った」「26,739口座が不正操作された」という意味ではありません。第5報は、不正アクセスや情報取得が確認された件数ではないと明記しています。

今回参照した第5報までの公式発表には、確定した被害口座数、被害者数、被害総額の集計は示されていません。SNSの個別の損失報告を足し合わせても、重複や原因の確認ができないため、全体の被害額としては扱えません。

影響し得るのは、利用者がサーバーに保存した情報です。取引ソフトのログイン情報のほか、保存ファイルやブラウザ内の認証情報にも注意が必要です。同社は本サービスのサーバー上で決済情報を保有していないと説明していますが、利用者自身がそこへ保存した情報は別です。

見舞金は、発表時点で同サービスを利用中の全利用者へ一律5,000円です。損失補償は、本件による不正取引と同社が認めた取引の差損や手数料など、実現した損失が対象です。相場変動の損失、得られたはずの利益、間接的な損害は対象外としています。返金済みの分を重ねて受け取ることはできません。

見舞金の手続きや代替サービスの案内は10月30日23時59分まで、補償の申請方法・必要書類・受付期間・支払時期は11月6日までに案内する予定です。後者は申請締め切りではなく、案内の予定日です。現行基盤をそのまま再開せず、独立した基盤の代替サービスを希望者へ案内し、移行後6か月間を無償とする方針も示しました。

また、攻撃者とみられる者からの金銭要求には応じず、警察と連携するとしています。政府への能動的サイバー防御に関する要請も公表しましたが、要請したことと政府が措置を実施したことは別です。

GMOは、攻撃者とみられる者が「国内外の70を超える証券会社・FX会社等の口座で不正操作を続ける」などと脅迫していると公表しました。これは攻撃者側の主張を含む脅迫内容であり、70社以上のシステム侵入や、全社での被害が確認されたという発表ではありません。

自宅の端末についても、クラウドへ接続しただけですべて感染したと確認されたわけではありません。ただし同社は端末への影響も調べており、予防措置としてフルスキャンとバックアップを求めています。情報公開やランサムウェア攻撃を予告する脅迫があるため、端末とデータの両方を守る備えが必要です。

ドメイン管理機能自体への侵入と、流出したID・パスワードを使った二次被害は分けて考えましょう。もしクラウド内にドメイン管理の認証情報を保存していたり、同じパスワードを使い回していたりすれば、管理アカウントまで狙われる可能性があります。これは一般に考えられる波及経路であり、今回その被害が確認されたという意味ではありません。

該当する利用者は安全な端末から認証情報を変更し、登録者情報、ネームサーバーやDNSの設定、移管・更新に関する通知に不審な変更がないか確認してください。お名前.comは2026年（令和8年）9月28日、Naviなどへのパスキーログインの提供開始を発表しています。利用できる保護機能を確認し、設定を見直しましょう。

1．安全な別の端末から、口座と取引ソフトのパスワードを変更する
GMOはFX取引に使っていないスマートフォンや別のパソコンからの変更を求めています。クラウド内に保存していたほかのサービスの認証情報と、使い回したパスワードも見直してください。

2．ログイン中の全セッションを切断する
セッションは、ログイン後に維持される接続のことです。仕様によっては、パスワードを変更しても既存の接続が残ります。自分の画面を閉じるだけで済ませず、利用する金融事業者の案内に従って全接続を切断し、操作できなければ窓口へ依頼してください。変更済みの人も必要です。第3報が特に注意を促しています。

3．注文・取引履歴と残高を確かめ、事業者へ相談する
身に覚えのない注文や決済があれば、まず口座を管理する証券会社・FX会社へ連絡し、利用制限や不審な接続への対応を相談してください。日時、注文番号、取引内容、損失、通知メールなどを保存します。記録を消してしまうと、被害の確認や補償の手続きが難しくなるおそれがあります。

4．端末を点検し、バックアップと追加認証を整える
第5報に従い、手元の端末をウイルス対策ソフトでフルスキャンし、大切なデータをバックアップしてください。バックアップ先は作業後に切り離し、不審な実行ファイルを移行先で開かないよう注意します。利用できる二要素認証なども設定します。ただし、接続済みのセッションの切断を追加認証だけで代用することはできません。

5．補償を装う連絡に飛びつかない
メールのリンクから急いで手続きせず、ブックマークなどから公式サイトを開いて案内を確かめてください。取引・出金に使うパスワードや暗証番号を、メールや電話で渡してはいけません。第4報は履歴確認用の「閲覧専用パスワード」を正式手順で求める可能性に触れています。通常の取引用パスワードと混同せず、提出先と権限を必ず確認してください。

• 第三者による不正アクセスに関するお詫びとお知らせ（第1報）：GMOインターネット／お名前.com
• 不正アクセスに関するお詫びとお知らせ（第3報）：GMOインターネット／お名前.com
• サイバー攻撃について（第4報）――見舞金と不正取引による損失の補償：GMOインターネット／お名前.com
• 被害拡大の防止のためのお客様へのお願い（第5報）：GMOインターネット／お名前.com
• お名前.com デスクトップクラウド：GMOインターネット／お名前.com
• デスクトップクラウド よくある質問：GMOインターネット／お名前.com
• 自動売買ツールによるものと考えられる不正取引に関する注意喚起とお願い：GMO外貨
• お名前.com パスキーログイン提供開始のお知らせ：GMOインターネット／お名前.com