「お名前.com デスクトップクラウド」不正アクセス、犯人が「利用者の自宅PCにも侵入」と声明公開された見本のログと、GMOの第4報・第5報

2026年10月24日23時（日本時間）時点のまとめです。GMOインターネットのFX自動売買向けのVPS「お名前.com デスクトップクラウド（おなまえドットコム デスクトップクラウド）」への不正アクセスで、犯人を名乗る集団が10月24日15時ごろ、交渉用のサイトを書き換えて「利用者の自宅のPCにもアクセスし、バックドアを設置した」と主張しました。GMOは同じ日に、見舞金と損失の補償（第4報）、利用者のPCとスマホのフルスキャンとバックアップのお願い（第5報）を出しています。同じ内容を動画（YouTube）でも解説しました。

• 犯人を名乗る集団は、配布されたRDPファイルの「ドライブのリダイレクト」が既定で有効だったため、約2万7千台のVPSから利用者のローカルPCに届いたと主張している（GMOは認めても否定してもいない）
• 犯人が見本として出したログには、10月14日夜にVPS10台から利用者のPCのドライブを読み、4,352件をコピーした記録があった（satoru.netの分析・本物かは未検証）
• GMOは第4報で見舞金一律5,000円と確定損失の補償、要求に応じない方針を公表し、第5報でPCとスマホのフルスキャンとバックアップを求めた

GMOが発表していること

まず、GMOの発表で確定していることだけを並べます。

第4報でGMOは、「本サービスのシステムにセキュリティ上の問題が存在し、本サービスの環境に対する不正なアクセスと、お客様の情報が外部に持ち出された事実を確認しております」と書いています。被害の件数と金額は、10月24日時点で公表されていません。

利用者側の被害は、報道で具体的に伝えられています。朝日新聞によると、神奈川県の44歳の男性は10月21日午後4時22分から2秒ほどの間に400万円を超える損失を出し、損害は600万円を超えました。愛知県の29歳の女性は、430万円余りの資金がほぼ底をつき、残高は6768円だったといいます。被害者のX投稿では、取引履歴に「DEMO_FAST_LOSS」という名前の自動売買ソフトの記録が残っていたと報告されています。

犯人が被害者に送ったメール

被害を受けた利用者のもとには、犯人からのメールが届いています。10月22日に1通目を受け取った利用者は、メールに書かれた口座の番号と被害額が本物と一致したとXに投稿しました。

1通目の件名は「お名前.com デスクトップクラウド アカウント破壊について」、差出人の表示は「Dmitry Orlov」、署名は「Hacking Team」です。本文には「本来、皆様の口座を破壊する意図はありませんでした。GMO側が交渉に応じなかったため、やむを得ず実行に移しています」「皆様は、GMOから全残高分の補償を受けられるものと確信しています。訴訟で勝利できるよう、私たちも支援します」とあります。

10月23日の2通目（件名「【続報】破壊は継続中、そして次の段階へ」）では、「すべてのVPSサーバーから機密データを取得した。これには現在利用中のサーバーだけでなく、すでにサービスが終了したサーバーも含まれる」「GMOは、サービス終了済みのサーバーを数ヶ月間も放置していた」と主張し、解約済みの利用者の口座の残高の消去と、顧客データの公開を予告しています。同じ日の夜、この利用者は、犯人から自分が最近アクセスしたサイトのURLを添付で送られたとXに書いています。

三井物産セキュアディレクションの福田美香氏は朝日新聞に対し、顧客の資産に直接打撃を与えて脅迫の材料にする事象は「把握する限り聞いたことがない」と話しています。

15時の声明「GMOの過失」で犯人が言っていること

犯人は交渉用のサイトを持っており、10月24日の昼には「本日15:00（JST）に重大発表を行う」と予告していました。15時すぎに書き換えられたページの画面を、WOLF氏（@FXWOLF2）がXに投稿しています。以下はその画面に書かれている犯人の主張で、裏付けはありません。

• VPSのネットワークが「Active Directory（アクティブ ディレクトリ）」の環境で構成されていて、あるVPSから別のVPSへ移動できる経路があった
• すべてのVPSに管理者権限を持つアカウントがあり、サポートの担当者が利用者のPCに接続した際に、その認証情報を取得できる状態だった
• 利用者が接続に使うRDPファイルで「ドライブのリダイレクト」が（オプションではなく）既定で有効になっていて、VPSから利用者のローカルPCへつながる経路があった
• すべてのVPSを侵害したので、利用者のローカルPCすべてにアクセスできる状態にあり、データを抽出してバックドアを設置した
• この構成は少なくとも2019年時点で設定されていて、2025年1月まではGMOグループが直接運営していた
• 次の行動として、利用者の自宅PCを暗号化するランサム攻撃を行い、支払いがなければ閲覧履歴などを本人の知人・家族・仕事の連絡先に送る

最後は「我々を止めることは可能か？」という問いに「はい、可能です。GMOにはそれができます」と答える形で締められています。犯人のサイトには、訪問者の情報を記録する仕掛けがあると報告されているので、アクセスしないでください。

公開された「見本」のログに残っていたこと

犯人は15時の書き換えと一緒に、「VPSおよび自宅PCから取得したデータ（一部）」としてsamples.zipを配布しました。これをsatoru.netが分析し、固有名を伏せて件数と手口だけをまとめています。

分析によると、10月14日はGMOが不正なプログラムの設置を確認した10月20日の6日前です。ほぼ同じ秒に複数台で実行されていることから、多数のVPSで一斉に自動で動かされたと考えられる、としています。ウイルス対策ソフトが入っていた台でも止まっていないのは、利用者のPCでマルウェアを動かしたのではなく、RDPの正規の機能で共有ドライブを読んだだけだから、という見立てです。分析した本人は、データが本物かどうかは検証していないと明記しています。

外から確かめられること、確かめられないこと

犯人の主張のうち、公開されている資料で照らせる所を、この記事を書く前に確かめました。

Active Directoryの話：お名前.com デスクトップクラウドの公式の活用ガイドでは、接続に使うユーザー名の例が「*******@dc.srv」と書かれています。「ユーザー名@ドメイン名」は、Windowsのドメインでまとめて管理されたアカウントの書き方です。利用者のアカウントがドメインで管理されていたことは、公式の説明書から読み取れます。ただ、全部のVPSに入れる共通の管理者アカウントがあったかどうかまでは、この説明書からは分かりません。

RDPファイルの話：GMOがコントロールパネルの「サーバー接続情報」からRDPファイルを配っていたことは、公式の活用ガイドに書かれています。一方、MicrosoftのRDPのプロパティの説明では、ドライブのリダイレクトを決める drivestoredirect の既定値は「Empty」（リダイレクトしない）です。犯人の言うとおり既定で有効だったのなら、配られたファイルにその設定が書き込まれていたことになります。配られたRDPファイルの実物の中身は、この記事で確認できた範囲では公開されていません。

同じ手口の前例：Microsoftは2024年10月29日、ロシアのMidnight Blizzard（APT29）が10月22日から100を超える組織に署名つきのRDPファイルを送り、接続した人の手元のドライブを攻撃者のサーバーに見せる形で、マルウェアの設置などが可能になると注意を呼びかけました。標的には日本も含まれていました。今回の犯人の主張は、攻撃者が自分で用意したサーバーではなく、乗っ取った正規のVPSから同じ仕組みを使ったというものです。

GMOの書き方：GMOは手元のPCへの侵入を認めても否定してもいません。ただ、第3報と第5報で「お客様の端末への影響を含め、調査を進めております」と書き、PCとスマホのフルスキャンとバックアップを至急求めています。

GMOの対応と、残っている疑問

第4報の対応は次のとおりです。

第4報には、犯人が「国内外の70を超える証券会社・FX会社等」の口座への不正操作の継続、利用者のPCに関する情報の公開とランサムウェア攻撃、GMOのシステムに関する情報の公開を予告していることも書かれています。

残っている疑問は3つあります。1つ目は脅迫の時期です。satoru.netが整理した犯人の時系列では、犯人は10月21日11時55分にGMOの窓口と役職員に交渉用のURLを送ったと主張していますが、GMOが脅迫を公表したのは10月24日の第4報が最初で、いつ受け取ったかは書かれていません。2つ目は補償の範囲で、対象は確定した損失だけです。3つ目は能動的サイバー防御で、日本経済新聞は「企業側が政府に申請する法的な仕組みはない」と報じ、政府高官は「解析を進めなければいけない」と話しています。なお金融庁は10月22日付で、金融先物取引業協会を通じてFX業者にパスワードの注意喚起と監視の強化を通知しています（朝日新聞）。

使っていた人が今すぐやること

GMOの第5報の呼びかけです。

1. 取引口座と取引ツール（MT4/MT5等）のパスワードを、FX取引に使っていない端末（スマホや別のPC）から変える
2. ログイン中の全セッションを切断する（パスワードを変えても、既存のセッションが残って取引を続けられる場合がある）
3. 取引履歴と残高を確認し、二段階認証を設定する
4. サーバーやブラウザに保存していたID・パスワードを変える。同じパスワードを使い回しているサービスも変える
5. PCとスマホをウイルス対策ソフトでフルスキャンし、データのバックアップを取る（バックアップしたファイルの取り扱いに注意）
6. 犯人を名乗る者からのメールのURLやファイルは開かず、返信もしない

見本を分析したsatoru.netは、これに加えて、PCをネットから切ること、RDPのドライブ共有をオフにすること（接続画面の「ローカル リソース」→「詳細」で「ドライブ」のチェックを外す、または.rdpファイルの drivestoredirect:s:* の行を消す）、ウイルス対策ソフトでは見つからない前提でできればOSを入れ直すことを勧めています。犯人は解約済みの利用者のデータも持っていると主張しているので、解約した人も同じ対策をしておく方が安全だとAI時短ラボは考えています。

このチャンネルの見方

ここからはAI時短ラボの見方です。犯人の主張が本当なら、FXの口座だけでなく利用者の家のPCまで巻き込んだ、史上最悪クラスのサイバー攻撃です。犯人の言う設定の穴が本当で、それを7年も放置し続けていたのなら、GMOの責任は重すぎます。口座のお金は補償で戻っても、家のPCの書類や閲覧履歴、保存したパスワードまで抜かれていたのなら、補填ではすまない話です。

この記事の作り方と、確かめていないこと

この記事と動画を作るにあたって、犯人のサイトには一度もアクセスしていません。犯人側の主張は、WOLF氏と被害者がXに投稿した画面と、satoru.netが保存・分析した内容から読んでいます。動画の台本を書いている途中の10月24日21時すぎにsamples.zipの分析が公開され、「自宅PCまで届いたのか」の章をその内容で書き直しました。

確かめていないこと：配布されたRDPファイルの実物の設定、利用者のPCが実際に侵害されたかどうか、犯人の公開したデータが本物かどうか、犯人の主張する数字（17%・約77億円・約2万7千台など）、被害の件数と総額。前の動きは「4日で発表された漏えいは約3,549万件」にまとめています。本記事は、GMOの続報（見舞金の案内・補償の申請方法）や犯人の次の動きがあり次第更新します。