乗っ取られた売買サーバ、空にされた FX 口座：お名前.com デスクトップクラウドの不正アクセス

公開 2026-10-24

2026 年 10 月 20 日、GMO インターネットは、FX 自動売買を 24 時間動かす場所として販売している Windows VPS「お名前.com デスクトップクラウド」の一部顧客のサーバに、第三者が不正なプログラムを設置したことを確認しました。21 日 4 時（日本時間）からは全プランのサーバを順次停止しています。影響の可能性があるサーバは最大 26,739 台です。翌日には、身に覚えのない取引が自分の口座で行われたという報告が利用者から相次ぎました。

このサービスの役割は、トレーダー自身のパソコンを消している間も MetaTrader 4／5 とエキスパートアドバイザー（EA）を動かし続けることです。そのために、取引口座のログイン ID とパスワードはサーバ上の取引ツールに保存されています。サーバを掌握した者は、そこに保存されたログイン情報をすべて読めたことになります。

何が起きたのか

• 10 月 19 日：利用者からの問い合わせを受け、GMO が調査を開始。
• 10 月 20 日：不正なプログラムを確認し、新規申し込みとコントロールパネルを停止。
• 10 月 21 日 4 時：全プランのサーバを順次停止。第 1 報では、サーバ内の情報が閲覧された可能性があるとし、不正利用は確認されていないとしていました。
• 10 月 22 日：第 2 報で、MT4／MT5 などの取引ツールに保存された取引口座のログイン情報が取得・不正利用された可能性があり、取引口座で第三者による不正な操作が行われたとの報告を受けていると公表。警察に相談し、外部のセキュリティ会社と調査を進めています。

決済情報はサーバに保存されていないとのことです。侵入経路、侵入が始まった時期、不正利用された口座の数、再開の時期は明らかにされておらず、全プランの停止が続いています。

口座はどうやって空にされたのか

報告されている損失は、出金ではなく取引によるものです。X では「勝手に取引されて 55 万円なくなった」「230 万円」「600 万円失った」といった投稿が相次いでいます（ITmedia NEWS。金額は未確認）。攻撃者を名乗り、GMO に金銭を要求するかのような内容のメールを受け取ったという報告もあります。

乗っ取られた証券・FX 口座が空にされるのは、たいてい取引を通じてです。多くの業者は出金を本人名義の登録口座にしか送らないため、取引用のログイン情報だけでは資金を自分に送れません。それでも、意図的に負ける取引を短時間に重ねれば口座は空になり、流動性の低い銘柄で反対側に攻撃者の口座がいれば、お金はそちらへ移ります。金融庁は 2025 年初めからこの手口を追っており、乗っ取られたネット証券口座での不正な売買は、3 か月で約 6,000 件、5,000 億円を超えました（Finance Magnates）。

FX 会社と金融庁の対応

• OANDA 証券は、不正な出金を防ぐ予防措置として 22 日に受け付けた出金を一時保留し、顧客資産は法令どおり分別管理されていると説明しました。GMO のサービスで MetaTrader を使っている顧客に、口座と MT4／MT5 のパスワード変更と二段階認証の利用を求めています。MT4 は 11 月 27 日に提供を終える予定です。
• 外為ファイネストは、他社サービスから漏えいした可能性のある ID とパスワードで第三者がログインし取引していたことを確認し、該当口座を制限しました。アヴァトレード・ジャパンは、VPS など外部サービスを使う顧客の口座で不正な取引があったと報告し、デューカスコピー・ジャパンは VPS 利用者全員に取引パスワードの変更を求めました。
• FXTFは、VPS から取引する一部の顧客の ID とパスワードが他社 VPS への攻撃で盗まれたとし、23 日から MT4／MT5 でワンタイムパスワードを必須にしました。
• ThreeTraderも同じ時期に、不正アクセスの可能性について顧客へメールしましたが、詳細は公表していません。
• 金融庁は 22 日付で、金融先物取引業協会を通じて FX 業者に通知を出し、顧客にパスワード変更と身に覚えのない取引の確認を促すこと、不審な取引の監視を強めることを求めました。

各社とも、自社のシステムから情報が漏れたわけではないと強調しています。ログイン情報は、顧客が他社で借りていたサーバから盗まれました。

今やるべきこと

お名前.com デスクトップクラウド、または取引ログインを保存していた VPS を使っていた方は、今日のうちに次の対応をしてください。GMO の案内に、FX 会社側の対応を加えています。

1. サーバで使っていたすべての取引口座と取引ツールのパスワードを変更します（MT4／MT5、cTrader、FX 会社のマイページ）。変更は VPS ではなく別の端末から行ってください。ログインできない場合は FX 会社に電話します。
2. 変更後はすべてのセッションをログオフします。プラットフォームでできない場合はマイページかサポートで切断し、盗まれたセッションで取引を続けられないようにします。
3. 取引履歴と残高を確認し、身に覚えのない取引はすぐ FX 会社に連絡します。画面のスクリーンショットも残しておきましょう。
4. FX 会社が提供していれば、二段階認証、ワンタイムパスワード、パスキーを有効にします。
5. サーバ上にあったその他のパスワードも変更します。サーバのブラウザに保存したログイン、暗号資産取引所、メール、サーバに置いたメモやファイルの中身です。
6. 同じパスワードを使い回していたサービスでも変更します。
7. この件に関する連絡は疑ってかかってください。GMO は、メールや電話でパスワードやカード情報を尋ねることはないとしています。FX 会社には、メッセージ内のリンクではなく直接アクセスしてください。

KeyRotate の対応：脅威情報がアプリに届く

KeyRotate は Enfour の Mac 用キーマネージャです。API キーや認証情報を保管し、それぞれがどこで使われているかを把握し、ベンダの API が対応していればキーを差し替えます。今月からは脅威情報がアプリに配信されるようになりました。利用しているサービスが侵害されると、アプリのアップデートを待たずに KeyRotate に警告が届きます。

• リリースではなく数時間で届く。Enfour は新しいインシデントを、自社の鍵で署名したアドバイザリとして公開します。KeyRotate は少なくとも 12 時間ごとに新しいアドバイザリを確認し、アプリに組み込まれた鍵で署名を検証できたものだけを受け入れます。改ざんされたものや偽物は無視されます。
• 今回の件はすでに配信済み。お名前.com デスクトップクラウド、FXTF、外為ファイネスト、ThreeTrader のアドバイザリを 10 月 24 日に配信しました。それぞれに経緯、概要、公式のお知らせ、上の対応手順が含まれています。
• 必要なことを尋ねる。概要画面のカードと通知で、該当サービスを使っていたかを尋ねます。使っていた場合は手順がカード上のチェックリストになり、進み具合が保存されるので、慌ただしい夜でも途中で抜け落ちることがありません。
• 差し替えられるものは差し替える。STUDIO の不正アクセスのように API キーが漏れた場合、KeyRotate はそこに保存したキーを「漏えい」として示し、Touch ID 1 回でまとめて差し替えられます。取引パスワードは事情が違います。アプリから変更できる FX 会社はないため、今回の件では KeyRotate がチェックリストとリンクを示し、変更はご自身で行います。
• 外出中でも届く。通知はご自身の ntfy や Gotify サーバにも送れます。アドバイザリの取得はダウンロードだけで、キーや口座、利用している FX 会社の情報が Mac の外に出ることはありません。

KeyRotate でできることもご覧ください。

教訓

代わりに取引してくれるサーバは、あなたのお金の鍵を持っています。次のインシデントの被害を小さくする習慣は 4 つです。

• FX 会社ごとに別のパスワードを使い、メールと同じものは使わないこと。1 台のサーバから盗まれたログインで開くのは 1 口座だけにします。
• FX 会社が用意している追加の確認はすべて有効にすること。ワンタイムパスワード、パスキー、出金時の確認コード、ログインと取引の通知です。今週、必須にした会社が複数あります。待つ理由はありません。
• EA が動かせる残高は小さくしておくこと。可能なら、自動売買はその戦略のための別口座で動かし、資金のすべてを置いた口座では動かさないようにします。
• どのマシンにどのパスワードがあるかを把握しておくこと。ホストが侵害されたとき、変更すべきものの一覧がすでにあるべきです。その一覧を保つのが KeyRotate です。

参考：GMO のお知らせ、Impress Watch、BleepingComputer（英語）。