---
title: "お名前.comデスクトップクラウド不正アクセスの経緯と身代金の要求"
description: "「お名前.comデスクトップクラウド」への不正アクセスで、攻撃者はGMOに金銭を要求し、利用者の情報と称するものを公開しました。8月の侵入から、北朝鮮系ハッカー集団の関与の可能性を伝えた11月1日の報道、11月2日の会見までを、GMOの公表と報道で日付順に並べます。"
url: https://udon-dev.com/notes/gmo-desktop-cloud-extortion-timeline/
lang: ja
published: 2026-10-27
updated: 2026-11-03
topic: [security]
tags: ["security", "不正アクセス", "ランサムウェア", "GMO", "VPS", "能動的サイバー防御", "北朝鮮"]
---

# お名前.comデスクトップクラウド不正アクセスの経緯と身代金の要求

- FX自動売買用のVPS「お名前.comデスクトップクラウド」に不正なプログラムが置かれ、サーバーに保存された取引口座のログイン情報が取られ、不正に使われた可能性がある。影響の可能性があるサーバーは26,739件で、全プランを10月21日から止めている
- GMOは11月2日の会見で、攻撃者は8月5日に利用者のリモートデスクトップに侵入し、管理サーバーを経由して9月20日から10月14日にマルウェアを配ったと説明した。2024年にグループ会社から課題を指摘されながら、対策が足りなかったことも認めた
- 攻撃者側は21日に5000万ドル（約80億円）、24日には「27日正午までに100万ドル」を求めた。GMOは応じず、27日に利用者の情報と称するものが公開された
- 共同通信は11月1日、GMOが北朝鮮系のハッカー集団の関与の可能性が高いと分析していると報じた。GMOは会見で「調査中」として、認めていない
- 予告には利用者のPCへのランサムウェア攻撃も含まれていた。預かった端末の解析で痕跡は見つかっていないが、会見では27日に利用者のPCのデータなどが盗み取られたことを確認したと説明した

GMOインターネットのFX自動売買用VPS「お名前.comデスクトップクラウド」への不正アクセスは、不正なプログラムが置かれたという報告から始まり、取引口座の不正操作、攻撃者からの金銭の要求、利用者の情報と称するものの公開にまで広がりました。11月1日には、攻撃側に北朝鮮系のハッカー集団がいる可能性が高いとGMOが分析していると、共同通信が報じています。

GMOの続報は第16報まであり、11月2日には初めての記者会見も開かれました。この記事では何がいつ分かったのかを、GMOの公表と報道で時系列に並べます。攻撃者側の主張と、攻撃者が誰かについての報道は、GMOが公表した内容ではないので分けて書きます。

## どんなサービスが狙われたか

デスクトップクラウドは、Windowsのデスクトップ環境を貸すVPSです。利用者はFX会社や証券会社の取引ツール（MT4/MT5など）をVPSで24時間動かし、自動売買に使います。取引ツールには取引口座のログイン情報を保存するので、VPSに入られると、口座を操作する権限まで取られるおそれがあります。

[第2報](https://internet.gmo/news/article/247/)によると、影響の可能性があるサーバーは全プランの26,739件です。[第3報](https://internet.gmo/news/article/248/)は、この数は対象になりうるサーバーの数で、不正アクセスや情報の取得が確認された件数ではないと補っています。GMOはクレジットカードを含む決済情報はこのサーバーに置いていないとしています。

## 経緯

時刻は日本時間です。出典がGMOの公表でないものは、括弧に書きました。

| 日時 | できごと |
|---|---|
| 8月5日 | 攻撃者が利用者のリモートデスクトップに侵入し、管理者アカウントを盗む（11月2日の会見の説明。時事通信） |
| 8月17日 | 盗んだ管理者権限で、GMOの管理サーバーに侵入（同） |
| 9月20日〜10月14日 | 管理サーバーを経由して、マルウェアが配られる（同） |
| 10月19日 | 利用者の問い合わせを受け、GMOが調査を始める |
| 10月20日 | 一部のサーバーで不正なプログラムを確認。新規の申し込みとコントロールパネルを止める |
| 10月21日4:00 | 全プランのサーバーを順次停止。第1報で、悪用された事実は確認されていないと公表 |
| 10月21日 | 攻撃者とみられる者から脅迫メールが届く。5000万ドル（約80億円）を、21日午後5時までに暗号資産で払うよう求める内容（期限は日本経済新聞） |
| 10月21日以降 | 利用者から、取引口座で身に覚えのない操作があったと報告が届く |
| 10月22日 | 警察に相談。16:59の第2報で、保存されていたログイン情報が取られ、不正に使われた可能性を公表 |
| 10月23日16:10 | 第3報。パスワードを変えても、FX会社の仕様によっては接続中のセッションが残り、第三者が取引を続けられると注意 |
| 10月24日11:50 | 第4報。システムにセキュリティ上の問題があり、情報が外部に持ち出された事実を確認。見舞金と補償、代替サービスを発表し、要求には応じないと表明。能動的サイバー防御の適用を政府に要請 |
| 10月24日 | 攻撃者側が自らのサイトで、27日正午までに100万ドルを払えば利用者への攻撃をしないと公表（日本経済新聞、FNN） |
| 10月24日15:00 | 第5報。利用者の端末のフルスキャンとバックアップを求める |
| 10月25日 | 熊谷正寿代表がブログを公開。GMOが利用者に、端末の調査への協力を求める（第7報の経緯） |
| 10月26日 | ブログに追記し、5000万ドルの要求と脅迫文の金額の部分を公開 |
| 10月26日23:10 | 第7報。預かった利用者の端末を、グループのホワイトハッカーが解析していると公表 |
| 10月27日12:00 | 攻撃者側が示した期限。第7報は、この時刻に利用者の情報の公開とランサムウェア攻撃を行うと予告されたとしている |
| 10月27日12:30 | 攻撃者とみられる者が、GMOと利用者の情報と称するものを公開したことを確認。ランサムウェア攻撃は13:55の時点で確認されていない（第10報） |
| 10月27日19:10 | 第12報。情報が公開された利用者への特別見舞金と、総額100万ドルを上限とする懸賞金を発表 |
| 10月28日4:00ごろ | 攻撃者のサイトのドメインが停止されたことを確認（第13報） |
| 10月28日12:00 | 懸賞金の情報提供の受付を開始。18:00までに113件が寄せられる（第14報） |
| 10月29日 | 警視庁が約70人の捜査本部を設置（朝日新聞）。GMOは、犯人の特定につながると考える情報を警察などに提出すると公表（第15報） |
| 11月1日 | 共同通信が、GMOは北朝鮮系ハッカー集団の関与の可能性が高いと分析していると報道 |
| 11月2日 | 熊谷代表らが初めて記者会見。侵入の時期と、2024年に受けた指摘への対策が足りなかったことを説明 |

## 会見で説明された侵入の時期

表の8月5日から10月14日までの経路は、11月2日の会見でGMOインターネットの山下浩史副社長が説明したものです（[時事通信の会見詳報](https://www.jiji.com/jc/v8?id=202611GMO-team)）。GMOが気づいたのは、利用者の問い合わせを受けて調べた10月20日でした。詳しい手口は同じような攻撃を招くおそれがあるとして、明かしていません。

グループ会社のGMOサイバーセキュリティbyイエラエが2024年4月24日に改善点を報告し、GMOインターネットは4月26日から5月20日に4回の緊急メンテナンスをしましたが、対策は十分ではなかったとしています。[朝日新聞](https://news.yahoo.co.jp/articles/ab9be0c20ddce26a06002dfe55b6519d7f7e1b12)によると、この報告は熊谷代表まで上がっていませんでした。山下氏は、対策が不十分だった理由を「開発の優先順位の中での判断だった」と述べています。朝日新聞は侵入経路の詳細は現時点で判明していないとも伝えており、2024年に指摘された課題が今回の経路と同じかどうかは分かりません。

## 北朝鮮系の関与は報道の段階

[共同通信](https://news.jp/i/1489596340819509877)は11月1日、GMOが攻撃側に北朝鮮系のハッカー集団がいる可能性が高いと分析していると、関係者への取材をもとに報じました。マルウェアの特徴など攻撃者の複数の痕跡から判断したとみられ、GMOは政府側に報告したもようだとしています。

報道に出ている根拠は2種類です。1つは攻撃を受けたサービスへの通信ログなどの特徴で、GMOが確認したとされるものです。もう1つは共同通信がセキュリティ関係者の協力を得て解析した結果で、攻撃者の「犯行声明」サイトの公開直後に接続していたIPアドレスのうち5つが、過去に北朝鮮のハッカー集団が使っていたものと一致したといいます。

GMOはこの見方を公式には肯定も否定もしていません。熊谷代表は会見で北朝鮮系の可能性を問われ、「データを解析してしかるべき機関に報告する。調査中で申し上げられない」と答えました（[日本経済新聞](https://www.nikkei.com/article/DGXZQOUC0235C0S6A101C2000000/)）。会見の前には、GMOの幹部がJNNの取材に、北朝鮮の関与の可能性を含めて調べていると話しています。手口が幼稚だという専門家の指摘に対しては、攻撃者が「あえてレベルを低く見せている可能性もある」との見方を示しました（[TBS NEWS DIG](https://news.livedoor.com/article/detail/32711522/)）。

[セキュリティ対策Lab](https://rocket-boys.co.jp/security-measures-lab/gmo_north_korea_attribution_kyodo_counteranalysis_20261102/)は、声明サイトには研究者や報道関係者、自動の巡回も接続できることと、IPアドレスはVPNやクラウドを通じて別の利用者が使うことがあることを挙げ、声明サイトへの接続者とGMOに侵入した者が同じとは限らないと指摘しています。マルウェアの検体や照合の方法は公開されておらず、外部からは確かめられません。

## 金銭の要求は2つの金額で報じられている

第4報によると、攻撃者は金銭を求め、払わなければ次のことをすると伝えてきました。

1. 国内外の70を超える証券会社・FX会社の口座で、不正な注文を続ける
2. VPSと、VPSに接続した利用者のPCの情報を公開し、ランサムウェア攻撃をする
3. GMOのシステムや運用体制の情報を公開する

GMOが明かしたのは、21日の脅迫メールにあった5000万ドルです。[熊谷氏のブログ](https://www.kumagai.com/?eid=19600)の26日の追記で、初めて金額が出ました。一方、NHKなどが報じた「27日正午までに100万ドル」は、攻撃者側が24日に自らのサイトで公表したもので、[日本経済新聞](https://www.nikkei.com/article/DGXZQOUC266DU0W6A021C2000000/)も別の時期の要求として伝えています。

GMOは要求には応じないとしています。払っても取られた情報の削除や不正利用の防止が保証されないためです。第4報は、攻撃者がGMOや利用者の情報と称するものを公開する可能性があり、事実と異なる内容が含まれるおそれがあるとも注意しています。

期限の27日、攻撃者側は利用者の情報だとするものを公開しました。朝日新聞によると、GMOが確認した公開は1人分だけでした。GMOは23日夜以降、攻撃者側と接触していません。[第11報](https://internet.gmo/news/article/257/)は公開したサイトに接続した人の情報は攻撃者に取られていると注意し、サイトを開かず、拡散しないよう求めています。このサイトのドメインは、28日午前4時ごろに停止されました。

[第12報](https://internet.gmo/news/article/258/)で、GMOは要求に「永久に応じません」とし、関与者の特定と事件の解明につながる情報に、総額100万ドル（約1億5,000万円）を上限とする懸賞金を設けました。受付を始めた28日12時から6時間で113件、会見の日までに約700件の情報が寄せられました。

## 利用者のPCまで心配される理由

予告の2つ目が狙うのは、利用者が手元で使っているPCです。GMOは接続経路を公表していませんが、[第6報](https://internet.gmo/news/article/252/)は、VPSに接続した端末について、クイックスキャンではなくフルスキャンを求めています。

このサービスには、Windowsのリモートデスクトップ接続（RDP）で接続します（[サービスのサイト](https://www.onamae-desktop.com/)）。RDPには、手元のPCのドライブを接続先から使えるようにする機能があります。[Microsoft Learn](https://learn.microsoft.com/ja-jp/azure/virtual-desktop/rdp-properties)によると、接続の設定で`drivestoredirect:s:*`と書くと、あとから接続したものも含めて全てのドライブがリダイレクトされます。既定値はリダイレクトしない設定です。有効にして接続していた場合は、接続先のサーバーが乗っ取られると、手元のファイルもサーバー側から見えるおそれがある、というのが私の見立てです。この機能が今回の経路になったかどうかは、GMOの公表では分かりません。

[第14報](https://internet.gmo/news/article/260/)の時点で、預かった端末の解析では、マルウェアの感染やランサムウェア攻撃の痕跡は見つかっていません。一方で、GMOインターネットの伊藤正社長は会見で、27日に利用者のPCのデータなどが盗み取られたことも確認したと説明しています（時事通信）。

## 補償と代替サービス

第4報で示された対応は3つです。

- 現在の利用者全員に、被害の有無にかかわらず見舞金として一律5,000円を払う。案内は10月30日23:59までにメールで届く
- 不正アクセスを受けた基盤はそのまま再開しない。希望者は独立したクラウド基盤の代替サービスに乗り換えられ、6か月間は無償。同意なく移行はしない
- 不正取引で口座に出た実現損失（取引の差損と手数料など）を補償する。市場の変動による損失や得られたはずの利益は対象外。取引所などが返金した分は差し引き、返金に応じなくても払う。申請方法は11月6日までに案内する

その後、第9報と第12報で次の2つが加わりました。

- ランサムウェアの被害に遭った利用者には、被害の状況を確かめた上で、同等の性能の新しいPCを渡す
- 攻撃者が公開した情報に自分の情報が含まれているとGMOが確かめた利用者には、特別見舞金を払う。氏名・連絡先などは1万円、取引口座のIDとパスワードなどは1万5,000円、要配慮個人情報などは2万5,000円で、複数の区分にあたるときは合計する（上限300万円）。第4報の見舞金と損失の補償とは別に払う

不正取引の損失の補償額は集計中で、業績への影響は集計が進んだ段階で開示するとしています（朝日新聞）。

補償の申請ではMT4/MT5の閲覧専用パスワードなどを求めることがあると第4報に書かれています。それ以外のパスワードや暗証番号をGMOが尋ねることはないので、補償や返金を名目にそれらを尋ねる連絡は、GMOからのものではありません。

## 能動的サイバー防御の要請

GMOは第4報で、本件を能動的サイバー防御の「発動第1号」事案とするよう、政府に要請しました。攻撃に使われるサーバーを警察や自衛隊が無害化する措置の規定は、10月1日に施行されたばかりです。[CNET Japan](https://news.yahoo.co.jp/articles/36c053369c72711e477f107a7a4e4375bb2544bb)によると、実施するかは企業の要請とは別に政府が判断し、原則として独立機関の事前の承認も要ります。

## 分かっていないこと

- 侵入の詳しい手口。会見で時期と大まかな流れは説明されましたが、利用者のリモートデスクトップにどう入ったのかは明かされていません
- 攻撃者が誰か。警視庁の捜査本部は不正アクセス禁止法違反の疑いなどを視野に調べています
- 実際に不正取引の被害を受けた口座の数と金額。報道には、2秒で400万円以上を失ったという利用者や、約182万円の損失が出たという利用者の話があります
- 利用者のPCから何が取られたか。会見では盗み取られたことを確認したとしていますが、範囲は公表されていません

## 利用者が今すること

GMOの第3報から第6報と第11報の依頼を、優先の順にまとめます。操作はVPSに接続していない別の端末から、公式サイトを開いて行います。

1. 取引口座と取引ツールのパスワードを変える
2. FX会社のマイページか窓口で、全セッションを切断する。パスワードを変えただけでは、既存の接続が残ることがある
3. 取引履歴と残高を確かめ、身に覚えのない取引があれば取引先に連絡する
4. 二段階認証を設定し、同じパスワードを使っているサービスやブラウザに保存したパスワードも変える
5. VPSに接続した端末をフルスキャンし、重要なデータをネットワークから切り離した媒体にバックアップする
6. 攻撃者が情報を公開したと称するサイトは開かない。開いてしまった場合は、端末をフルスキャンする

攻撃者を名乗る相手からメールが届いても、URLやファイルは開かず、返信もしないよう、GMOは呼びかけています。