この記事の中身は、この1枚に入っています。左があなたの家、真ん中がGMOのビルの中にある「借りた部屋」、右がFX会社です。赤い線が、攻撃者の動きです。

※①の侵入経路は、2026年10月26日時点でGMOから公表されていません。④は攻撃者側の主張で、本当かどうかは確認されていません。GMOは「予防的な対応」として、利用者に自分の端末の検査を頼んでいます。

まず、このサービスが何なのかを、部屋のたとえで説明します。

FXの自動売買をする人は、取引ロボット（EA）というプログラムを動かします。ロボットは、パソコンが動いている間しか働きません。自宅のパソコンを24時間つけっぱなしにするのは大変です。停電やWindowsの更新で止まることもあります。

そこで、大きなビルの一室を借りて、そこでロボットを24時間働かせる。これが「お名前.com デスクトップクラウド」のようなサービスです。部屋の中にはWindowsのパソコンがあり、あなたは自宅から遠隔でその画面を操作します。報道によると、料金は月額2,640円から、契約は累計で20万を超えるそうです。

ロボットが勝手に注文を出すには、FX会社の口座の鍵（ログインIDとパスワード）を部屋の中に置いておく必要があります。取引ソフトのMT4やMT5に「パスワードを保存」して、ずっとログインしたままにしておくのがふつうの使い方です。

今回は、ビルの管理側が破られ、たくさんの部屋に泥棒が入れる状態になりました。部屋の中には、口座の鍵が置いてありました。泥棒はその鍵を持ち出し、FX会社の窓口で、持ち主のふりをして勝手に売買したとみられています。

このたとえで分かる、3つのポイント

• ポイント1あなたの家のドアを閉めていても、借りた部屋のビルの管理側が破られれば、部屋の中の物は盗まれます。今回、利用者に大きな落ち度があったわけではありません。
• ポイント2盗まれたのは「部屋に置いてあった鍵」です。だから、部屋に置いていた鍵は全部替える必要があります。FXの口座だけでなく、ブラウザに保存したほかのパスワードも含みます。
• ポイント3鍵を替えても、泥棒がすでに持っている入館証は、FX会社の側で無効にしてもらうまで残ることがあります。これが「全セッションの切断」です。

運営するGMOインターネットは、10月21日から25日までに5回のお知らせと、代表のブログを出しました。数字で見ると、こうなります。

時間の流れ

1. 10月19日：利用者からの問い合わせ
   GMOが調査を始めます。
2. 10月20日：不正なプログラムを発見
   一部の利用者の部屋に、第三者が置いた不正なプログラムが見つかりました。新規の申し込みと管理画面を止めます。
3. 10月21日 午前4時：全部の部屋を止める
   被害を広げないため、全プランのサーバーを順に停止。この時点の発表は「閲覧された可能性」「個人情報の漏えいや悪用は確認されていない」でした。
4. 10月21日以降：「口座で勝手に売買された」という報告
   利用者から、取引口座で身に覚えのない操作があったと報告が届きます。22日に警察へ相談。FX会社のアヴァトレード・ジャパンは23日、一部の口座で不正ログインと不正取引を確認したと発表し、新規注文を止めました。
5. 10月24日：情報の持ち出しを確認、そして脅迫
   GMOは「システムにセキュリティ上の問題があった」「利用者の情報が外部に持ち出された」と認めました。攻撃者とみられる者から金銭を要求されていることも公表し、見舞金と補償を発表しました。
6. 10月25日：代表がブログで説明
   社内のホワイトハッカー（守る側の専門家）から事前に課題を指摘されていたのに、対応の深さとスピードが足りなかった、と書いています。

「分かったこと」と「まだ分からないこと」を分ける

ニュースやSNSには、いろいろな情報が混ざっています。誰が言っているのかで、確かさが違います。

侵入の入り口はまだ公表されていません。ここでは、公表された事実をつないで「鍵が盗まれてから、口座が動かされるまで」を順番に見ます。

1. ビルの管理側に入る
   攻撃者が、デスクトップクラウドを管理する仕組みのどこかから入ります（くわしい経路は調査中）。
2. たくさんの部屋に不正なプログラムを置く
   部屋（借りたパソコン）の中で、情報を集めるプログラムが動きます。
3. 部屋に置いてあった鍵を持ち出す
   取引ソフトに保存された口座のログイン情報や、ブラウザに保存されたパスワードなどが対象になりえます。GMOは「サーバー内に保存されていた情報」が影響範囲だとしています。
4. FX会社に、持ち主のふりをしてログイン
   正しいIDとパスワードなので、FX会社から見ると本人と区別がつきにくい状態です。
5. 勝手に売買して、口座のお金を減らす
   GMOの発表では、攻撃者は「不正な注文による口座残高の毀損（減らすこと）」を続けると脅しています。
6. 運営会社に「やめてほしければ払え」と要求
   口座を動かせることを、脅迫の材料にしています。

なぜ「パスワードを替えたのに」取引されるのか

今回いちばん大事な話がこれです。GMOは第3報から、パスワードを替えたあとも、FX会社のサーバーの仕組みによっては、しばらく前の接続が残り、第三者が取引を続けられる場合があると注意しています。

ホテルで部屋のカードキーを作り直しても、すでに中にいる人は追い出せません。フロントに「今いる人を全員出して」と頼む必要があります。「全セッションの切断」は、その頼みごとです。セッションの仕組みは「パスキー使っているのに不正送金？Cookie乗っ取りの盲点」でもくわしく説明しています。

自動の損切りも止まっている

もう1つ見落としやすい点があります。GMOは被害を広げないために全部の部屋を止めました。そのため、部屋の中で動いていたロボットも止まっています。アヴァトレード・ジャパンは、ロボットによる自動の決済や損切りが動かない状態なので、持っているポジションは自分で管理するよう呼びかけています。

つまり、泥棒が入らなくても、相場が動けば損が出る状態です。ポジションを持ったままの人は、スマホのアプリなどで今の状態を確かめてください。

これまでよくあった情報漏えいと比べると、今回の特徴がはっきりします。

GMOは代表ブログで、今回の手口を「一般の人の取引口座（金融資産）を狙った不正操作」という、前例のないものだと説明しています。

発表は、あとから大きくなる

もう1つの学びは、最初の発表が「いちばん小さく」出ることです。今回の5回のお知らせで、書き方はこう変わりました。

「確認されていない」は「なかった」という意味ではなく、「その時点ではまだ確かめられていない」という意味です。お詫びの文章の読み方は「『個人情報は漏えいしていません』は、何が漏れたという意味か」で、範囲・確かさ・時点の3つのものさしとして説明しています。

このサービスを使っていた人（今も・過去も）

1. 別の端末で鍵を替えて、全員退室させる
   スマホや、FX取引に使っていないパソコンから、FX会社のマイページと取引ソフト（MT4/MT5）のパスワードを替えます。続けて全セッションを切断。できなければ窓口に頼みます。2段階認証やパスキーがあれば設定します（FXTFはパスキー登録を案内しています）。
2. 口座の中を確かめる
   ログイン履歴、取引履歴、残高、持っているポジションを確認します。身に覚えのない取引や出金の申請があれば、まずFX会社・証券会社に連絡。ロボットが止まっているので、ポジションは自分で管理します。
3. 自宅のPCを点検し、ほかの鍵も替える
   自宅のパソコンとスマホでウイルス対策ソフトのフルスキャンをし、データのバックアップを取ります。借りた部屋に保存していたほかのID・パスワード、同じパスワードを使い回しているサービスも替えます。犯人を名乗るメールや「補償」をうたう連絡は開きません。

使っていない人が、この事件から覚えておくこと

メールのリンクを押してしまったときの対処は「怪しいメールを開いてしまった。どこまでなら大丈夫？」に、段階ごとにまとめています。FX・証券の口座の守りの強さは「証券11社の比較表」が参考になります。

GMOは10月24日の第4報で、3つの特別な対応を発表しました。まだ申請の方法は出ていないので、今は記録を残して待つ段階です。

GMOは、FX会社などにも「第三者の不正アクセスによる取引だ」と説明し、取引の取り消しや返金を相談するよう求めています。補償を二重に受けた場合や、事実と違う申請は、返還を求めることがあるとしています。

今のうちに残しておく記録

ここからは、クラウドやリモートデスクトップを運用する人向けです。以下の「主張」は、報道で紹介された攻撃者側の犯行声明によるもので、GMOは侵入経路や悪用された脆弱性（CVE）を公表していません。事実としてではなく、「本当なら何が問題か」を考える材料として読んでください。

※出典：セキュリティ対策Lab（2026年10月25日）が紹介した犯行声明の内容。同記事も、攻撃者が実際の侵入者と同じかどうかや、ログの真正性は検証できていないとしています。

利用者側でできる、リモートデスクトップの設定

Windows標準の「リモートデスクトップ接続」では、接続前の［オプションの表示］→［ローカル リソース］→［詳細］で、接続先から自分のPCのドライブを使えるようにする設定を選べます。借りたパソコンにファイルを渡す必要がないなら、ドライブにはチェックを入れないのが安全です。クリップボードの共有も、必要なときだけにします。これは今回の主張が本当かどうかにかかわらず、リモートで他人の設備につなぐときの基本です。

取引口座の側で効く守り

• 2段階認証・パスキー：パスワードが盗まれても、それだけではログインできなくします。ただし、すでに発行されたセッションには効かないことがあるため、切断とセットです。
• ログイン通知：見慣れない端末からのログインを知らせる通知を受け取れるようにします（アヴァトレード・ジャパンも通知メールの確認を案内）。
• 事業者側の対応：GMOは、主要な取引所・証券会社に、このサービス経由のアクセス遮断、全セッションの強制切断、不正取引の監視を要請しています。

「能動的サイバー防御」の要請について

GMOは第4報で、今回の件を能動的サイバー防御の「発動第1号」事案として、政府に措置を求めたと発表しました。能動的サイバー防御は、国が攻撃に使われているサーバーなどに入り、無害化して被害を防ぐ仕組みです。2025年に関連の法律が成立し、報道によると、攻撃元への「アクセス・無害化措置」は2026年10月1日からできるようになりました。

ただし、使うかどうかを決めるのは政府です。GMOの代表ブログ自身も、GMOは法律でいう「特定社会基盤事業者」ではないこと、政府が主体的に判断するものであることを理解した上で要請した、と書いています。2026年10月26日時点で、政府が今回の件に措置を行ったという発表は見当たりません。