お名前.com デスクトップクラウドの不正アクセス — VPSに保存した取引口座のログイン情報が狙われた経緯と、クラウドを使う企業の3つの対策

お名前.com デスクトップクラウドの不正アクセスとは

2026年10月21日、GMOインターネット株式会社は、「お名前.com デスクトップクラウド」に第三者の不正アクセスがあり、一部の利用者のサーバー環境に不正なプログラムが設置されたと発表しました。このサービスは、MT4やMT5といったFXの取引ツールを動かす用途で使われるWindowsデスクトップのVPS（仮想専用サーバー）です。同社は被害の拡大を防ぐため、10月21日4時から全プランのサーバーを順次止めています。

その後の続報で、被害の中身がはっきりしてきました。10月24日の第4報で同社は、サービスのシステムにセキュリティ上の問題があり、環境への不正なアクセスと利用者の情報の外部への持ち出しを確認したと公表しています。あわせて、攻撃者とみられる者から金銭の要求を受けていること、要求には応じないこと、利用者へのお見舞金と不正取引による損失の補償を行うことも明らかにしました。最新の動きは、当社の事例速報「お名前.com デスクトップクラウドに不正アクセス」で更新しています。

発覚から第5報までの経緯

調査の始まりは、利用者からの問い合わせでした。同社は翌日に不正なプログラムの設置を確かめて新規申し込みとコントロールパネルを止め、その翌日に全プランのサーバー停止へ進んでいます。

影響を受けた可能性のある範囲

影響の可能性があるサーバーの数は26,739件です。同社は第3報で、この数は対象となり得るサーバーの数であり、不正アクセスや情報の取得が確認された件数ではないと説明しています。

同社は攻撃者から、国内外の70を超える証券会社・FX会社などの取引口座への不正操作の継続や、利用者のPCに関する情報の公開などを示す脅迫を受けていると明かしました。不正取引の遮断に向けて、主要な取引所や証券各社に、このサービスからのアクセスの遮断と全セッションの強制切断を要請しています。

VPSが不正アクセスされると、なぜ取引口座まで被害が及ぶのか

VPSに取引ツールを置くと、そのサーバーには取引口座のログイン情報が保存された状態になるため、サーバーへの侵入がそのまま口座の不正操作につながります。今回の事例は、提供元の基盤で起きた問題が、利用者の持ち物である認証情報を経由して、証券会社やFX会社という第三者のサービスにまで広がった形です。公表資料から読み取れる構造を、3つに分けて整理します。

サーバーに置いた情報は、利用者が守る範囲に入る

GMOインターネットは第3報で、利用者が自分でサーバー内に保存した情報も影響の範囲に含まれると明記しました。提供元が決済情報を持っていなくても、利用者がサーバーに入れたパスワードは、サーバーが読まれれば一緒に読まれます。IPAの「中小企業のためのクラウドサービス安全利用の手引き」も、クラウドのセキュリティは提供する事業者と利用者がそれぞれ役割と責任を分け合って保つものだと説明しています。

パスワードを変えても、つながったままのセッションが残る

第3報と第5報には、見落とされやすい注意が書かれています。証券会社やFX会社のサーバーの仕様によっては、パスワードを変えた後も既存の接続がしばらく保たれ、第三者が取引を続けられる場合がある、という内容です。そのため同社は、パスワードの変更と別に、全セッションの切断を自分で行うか、事業者の窓口に依頼するよう求めました。

共用の基盤では、1か所の問題が多くの利用者に及ぶ

IPAの手引きは、クラウドに固有のリスクとして、1台のコンピュータを多数で共用するため1台のインシデントが多数に影響する点を挙げています。今回、影響の可能性が2万台を超えるサーバーに及んだのも、同じ基盤の上で多くの利用者の環境が動いていたためだといえます。

クラウドやVPSを使う中小企業が狙われる理由

攻撃者がクラウドやVPSに目を付けるのは、会社の外にありながら、業務のパスワードやデータが1か所に集まりやすい場所だからです。中小企業では、ホームページ、受発注の仕組み、取引ツールを手ごろなVPSに同居させ、そこへ各種サービスのログイン情報を保存して運用している例が少なくありません。当社代表の青山は、総合解説「サプライチェーン攻撃の起点は中小企業にある」で、認証情報の置き場所のルールがない会社では、従業員一人の便宜が全社の穴になると指摘しています。会社の規模にかかわらず、パスワードが集まる場所は狙われる側に入ると考えておくべきでしょう。

クラウド・VPSの不正アクセスに備えるには？利用企業が取るべき3つの対策

クラウドやVPSを使う企業が優先したいのは、①サーバーに置く認証情報を減らし、漏れたら別の端末で変更して全セッションを切る、②提供元が止まっても別の環境で戻せるよう、データと設定を手元に持つ、③提供元の発表を受け取る窓口を決め、便乗詐欺や脅迫の連絡に応じない、の3つです。①は被害の連鎖を断つため、②は業務を止めないため、③は事故の後の混乱に巻き込まれないための備えにあたります。

対策1：サーバーに置く認証情報を減らし、漏れたら「別の端末で変更→全セッション切断」を当日に行う

クラウドやVPSで最初に見直したいのは、サーバーの中にどのサービスのパスワードが置かれているかを把握し、置く数そのものを減らすことです。お名前.com デスクトップクラウドの事例では、サーバー内の取引口座のログイン情報などが取得されて不正に利用された可能性があり、利用者の口座で身に覚えのない取引が報告されました。サーバーが1台読まれただけで、そこに保存された分だけ外部のサービスへの入口が開いてしまいます。

GMOインターネットが利用者に求めた手順は、ほかのクラウドで同じことが起きたときにもそのまま使える内容です。社内の手順書には、次の5段を書いておきます。

1. クラウドやVPSのサーバーごとに、保存しているID・パスワード（取引ツール、業務システム、メール、ブラウザに記憶させたもの）を一覧にする
2. サーバーに置かなくても動くものは外し、残すものはそのサーバー専用のパスワードにして使い回しをやめる
3. 漏えいが疑われたら、そのサーバーではなく、別のパソコンやスマートフォンからパスワードを変える
4. 変更の後に、接続先のサービスでログイン中の全セッションを切り、自分で切れない場合は事業者の窓口に依頼する
5. 二段階認証（多要素認証）が使えるサービスはすべて有効にし、取引や操作の履歴に身に覚えのないものがないかを確かめる

判断の目安は、「サーバーが丸ごと読まれても、そこから直接ログインできる外部のサービスがない」状態です。避けたいのは、不正なプログラムが置かれたかもしれないサーバーの上で、新しいパスワードを打ち込んでしまうことでしょう。ブラウザに記憶させたパスワードも一覧から漏れやすく、第3報でも変更の対象に挙げられています。一覧づくりは情報システムの担当者が半日ほどで終えられ、サーバーを入れ替えるときと半年に1回、見直せば十分です。

対策2：提供元のサービスが止まっても戻せるよう、データと設定を手元に持ち、移す先を決めておく

2つ目は、提供元の基盤が使えなくなった日に、別の環境で業務を立て直せるようにしておく備えです。今回は全プランのサーバーが止まり、GMOインターネットは現行の基盤をそのまま再開せず、独立した基盤の代替サービスへの乗り換えを案内する判断をしました。業務のデータや設定が止まったサーバーの中にしかなければ、移る先があってもすぐには元の仕事に戻れません。

IPAの手引きはチェック項目の1つに「バックアップに責任を持つ」を挙げ、サービスの停止やデータの消失に備えて重要な情報を手元に確保するよう求めています。直前より前の状態にもさかのぼれる、複数世代のバックアップも勧めています。手元に残すものは、次の表のように決めておくと漏れが減ります。

判断の目安は、「提供元が今日止まっても、決めておいた日数のうちに別の環境で業務を再開できる」ことです。落とし穴は、バックアップを同じ事業者の同じサービスの中にだけ置き、事業者側の停止と一緒に取り出せなくなることにあります。戻すデータに古い認証情報や不正なプログラムが紛れ込むこともあるため、戻す前にウイルス対策ソフトで調べ、パスワードを新しくする手順も加えておくと確実です。止まって困る業務と許せる停止日数を経営者と業務の責任者が決め、手順はシステム担当者が1〜2週間で整えます。

対策3：提供元の発表を受け取る窓口を決め、便乗詐欺や脅迫の連絡には応じないルールを持つ

3つ目は、事故の後に届く正しい案内を確実に受け取り、偽の案内や脅しには乗らない態勢をつくることです。GMOインターネットは、補償や代替サービスの手続きを登録メールアドレス宛てに知らせるとしており、同時に、補償・返金を装う不審な連絡や、攻撃者を名乗る者からのメールへの注意も呼びかけています。攻撃者が情報と称するものを公開する可能性があり、その中に事実と異なる内容が含まれるおそれがある、とも書いています。

社内で決めておきたいルールは、次の5つです。

1. クラウドやサーバーの契約に登録するメールアドレスを、担当者個人ではなく複数人が読める共有のアドレスにする
2. 契約している事業者のお知らせ、障害情報、RSSを、担当者が毎朝確かめる対象に入れる
3. 「復旧」「補償」「返金」「本人確認」をうたう連絡は、メールの中のリンクを使わず、公式サイトのお知らせと窓口で照らし合わせてから動く
4. 攻撃者を名乗る者からの連絡は、URLや添付ファイルを開かず返信もせず、記録を残して警察のサイバー事案の窓口に相談する
5. 攻撃者が公開したとされる情報は社内で広めず、提供元の正式な発表で事実を確かめる

判断の目安は、「提供元の発表に半日以内に社内の誰かが気づき、公式の情報だけをもとに判断できる」状態です。よくある落とし穴は、登録メールアドレスが退職した人や個人のアドレスのまま残り、補償や移行の大事な案内が誰にも届かなくなる点でしょう。事故の直後は窓口に問い合わせが集中するため、同社が第3報から土日・祝日を含む24時間の電話窓口を設けたように、提供元の連絡先を手順書に控えておくと動きやすくなります。登録先の変更は総務か情報システムの担当者が30分ほどで済ませられ、あとは契約を足すたびに確かめるだけの作業です。

現状把握・修復・継続監視の3段階で見る、ガーディアンの支援

この事例から持ち帰る課題は、外から見える状態を知る、守りの手間を減らす、変化を見続ける、の3段階に分けると整理しやすくなります。各段階に当社のサービスを当てはめたのが次の表です。

現状把握：VPSで公開しているWebの穴を、SCAN DOG 正規版で外から洗い出す

自社で借りたVPSやクラウドの上で会員ページや受発注の画面を公開している場合、その画面は外から誰でも届く入口になります。SCAN DOG 正規版は、こうした公開Webアプリケーションを外から診断し、修正を急ぐべきものから順に結果を示します。取引先や委託先の公開サイトの状態をまとめて知りたいときは、URLの一覧から一度に診断する SCAN DOG ライト版が手早い入口です。

修復と継続監視：公式サイトは SCSC Dog に任せ、診断と有人監視で見続ける

業務のサーバーと会社の公式サイトを同じVPSに同居させていると、提供元の停止で、取引先や顧客に状況を知らせる窓口まで一緒に止まります。SCSC Dog は、公式サイトを当社の基盤に移し、更新、WAF、24時間365日の有人監視、障害時の復旧までを当社が受け持つサービスです。直近365日の稼働率は99.99994%（当社集計）で、業務の基盤に何かあった日にも、お知らせを出す場所を別に確保できます。改修を重ねる公開Webは、SCAN DOG 正規版を毎月や毎週など決めた頻度で回し、変化を見続けるのが向いています。

SCS評価制度で問われる、クラウドとの関係とバックアップ

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、企業のセキュリティ対策の水準を★の数で示す任意の制度で、★3・★4の申請受付は2026年度末に始まる予定です。取引を直接縛る制度ではないものの、クラウドで業務を回す企業ほど、取引先から外部サービスの使い方を尋ねられる場面は出てくると考えられます。

今回の事例に関わるのは、★3の要求事項「2-1-1 取引先とのビジネス又はシステム上の関係」と「4-3-4 適切なバックアップ」です。前者では、クラウドサービスの提供者を含む外部の組織が管理・提供し、自社の資産がつながっているシステムを把握する仕組みを整えることが求められます。後者では、取得の対象・頻度・保管期間を決めたバックアップに加え、重要な機密情報の遠隔地バックアップと、対象ごとのリストア手順書が求められています（IPA「★3・★4 要求事項・評価基準」）。対策1の一覧と対策2の手順書は、この2つの準備を兼ねます。制度の全体像はSCS評価制度への対応で解説しています。

まとめ

お名前.com デスクトップクラウドの事例では、利用者のサーバー環境に不正なプログラムが設置され、利用者の情報が外部に持ち出されました。影響の可能性があるサーバーは26,739件で、GMOインターネットは全プランを止め、代替サービスへの乗り換えと損失の補償を進めています。

クラウドやVPSを使う企業が今日から手をつけたいのは、次の3つです。

• サーバーに置いている認証情報を一覧にして減らし、漏れたら別の端末で変更して全セッションを切る
• 業務のデータと設定をサービスの外に複数世代で残し、別の環境で戻す手順を一度試す
• 契約の登録メールを共有アドレスにし、補償や復旧をうたう連絡は公式の発表と照らし合わせる

会社のホームページについては、守りの基本がどこまでできているかを 77's Check!! で無料で確かめられます。

よくある質問

あわせて読みたい

• 
  総合解説

  サプライチェーン攻撃の起点は中小企業にある
• 
  事例一覧

  2026年 日系企業のサイバー被害事例一覧
• 
  SCS評価制度

  SCS評価制度への対応