GMOインターネットグループは2026年10月20日、Onamae.com Desktop Cloudの一部の顧客サーバー環境に不正プログラムが設置されていたことを確認しました。これにより最大26,739台のサーバーが不正アクセスにさらされる可能性があり、取引アカウントの認証情報が直接侵害の危険にさらされています。

今回のインシデントは、日本最大級のインターネットインフラ企業グループの、特に機微なレイヤーに影響を及ぼしています。対象となったのは、個人FX・暗号資産トレーダーがMetaTrader 4およびMetaTrader 5で自動売買戦略を実行するために使用するクラウドホスト型デスクトップ環境です。攻撃者が取引アプリケーション自体ではなくホスト環境を侵害した場合、認証情報の窃取はユーザーが設定したアプリケーション層の保護を迂回します。

GMOが確認した内容

GMOの公式発表によると、同社はOnamae.com Desktop Cloudのサーバー環境に第三者の不正プログラムが設置されていたことを特定しました。GMOは、その後顧客から取引アカウントへの不正操作の報告があったこと、および当該サーバーに保存されていた取引アカウントのログイン認証情報が攻撃者に閲覧された可能性があることを確認しています。

同社はサービス全体で26,739台のサーバーが影響を受ける可能性があると報告しました。この数字は潜在的な暴露範囲を示すものであり、不正アクセスやデータ取得が確認されたサーバーの確定数ではありません。

GMOは2026年10月21日4:00 JSTから、Onamae.com Desktop Cloud全プランのサーバーの停止を開始し、被害の拡大を防ぐ予防措置であると説明しました。全サービス停止により、プラットフォーム上で自動売買ボットやアクティブなMetaTraderセッションを実行していたすべての顧客が同時にアクセスできなくな。

10月23日に公開された3回目の更新(GMOの注意喚起)によると、同社は10月22日に警察へ相談し、外部のセキュリティ専門機関を委託し、関係する規制当局への報告および協議を開始したと述べています。侵入手法、攻撃者の正体、侵害が確認されたサーバー数は、確認した公式発表では公表されていません。

取引アカウント認証情報リスクが特異である理由

Onamae.com Desktop Cloudは仮想デスクトップインフラ製品です。トレーダーはローカルハードウェアを占有せずにMetaTraderを継続稼働させるために利用しています。このアーキテクチャのため、証券口座、FXプラットフォーム、暗号資産取引所の認証情報が、トレーダーのローカル環境だけでなく、ホストサーバー上のブラウザセッション、アプリケーション設定、クリップボード履歴に日常的に保存されることになります。

こうしたサーバー環境への実行アクセスを持つ攻撃者は、証券会社側でアラートを発することなく、保存された認証情報を受動的に収集できた可能性があります。顧客から取引アカウントへの不正操作の報告があったとするGMOの発表は、少なくとも一部のケースでは認証情報の抽出が単なる可能性にとどまらなかったことを示唆しています。

GMOの封じ込めガイダンスは、本インシデントを通常のパスワードリセット対応と区別する重要な点を強調しています。証券会社のパスワードを変更しても、既存の認証済みセッションは直ちに終了しないという点です。顧客には、認証情報の変更に加え、証券会社の画面からアクティブなセッションをすべて明示的にログアウトするよう案内されました。有効なセッショントークンを保持する攻撃者は、パスワード変更後も操作を続けられるためです。このセッション永続化リスクは、影響を受けたユーザーにとって運用上最も重要な詳細であり、本インシデントの二次報道の多くでは扱われていません。

米国サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA)は、これに直接関連するガイダンスを提供しています。CISAは、多要素認証(MFA)が第2の本人確認を追加するものであり、「たとえ不正ユーザーがパスワードを盗んでも、第2のステップ要件を満たせずアカウントにアクセスすることはできない」と同庁のMFAガイダンスページで述べています。影響を受けたサーバーに認証情報が保存されており、かつ証券会社側でMFAが設定されていなかったトレーダーにとって、認証情報の変更のみでは限られた安心感しか得られません。

スコープ:潜在的暴露と確認された侵害

26,739台というサーバー数は、慎重に捉える必要があります。GMOの10月23日の報告は、これが潜在的暴露数であることを明確にしています。これは、侵害期間中に影響を受けたサービス環境内で稼働していたサーバーを指すものであり、不正アクセスやデータ取得が個別に確認されたサーバーではありません。調査の進展に伴い実際の影響範囲を評価するうえで、この区別は重要です。

これまで確認した公式発表には、影響を受けた顧客を抱えるFX証券会社の数、リスクにさらされた取引アカウントの総数、された金銭的損失、サービス復旧のタイムラインは記載されていません。ある暗号資産メディアは、70社以上の証券会社に及ぶ恐喝要求と影響を報じましたが、これらの主張はGMO自身の発表にはなく、同社または法執行機関によって確認されるまで未検証として扱われるべきです。

本インシデントは、共有インフラを標的とするサプライチェーン侵入と構造的な類似性があります。単一のクラウドデスクトッププロバイダーが数千のトレーディングクライアントにサービスを提供している場合、1つの不正なインプラントだけで広範な証券会社や取引所にまたがる横断的な認証情報暴露が発生し、直接的な証券会社への侵入が到達しうる範囲をはるかに超えて攻撃対象領域が拡大します。Electrumの悪意あるサーバー攻撃ベクターも同様の乗数効果を示しており、インフラ層の侵害が分散したユーザーベース全体に認証情報と資金の損失をもたらしました。

調査の進展に伴う注視点

GMOはOnamae.com Desktop Cloudサービスの復旧時期を示していません。10月21日の停止以降、プラットフォーム上でアクティブなMetaTrader戦略や未決済のFXポジションを持つ顧客は引き続きアクセスできない状態が続いています。外部セキュリティ専門機関の委託と警察への相談は正式なフォレンジック調査が進行中であることを示唆しますが、結果の公表時期は示されていません。

今後のGMOの更新で注視すべき3つの情報開示のギャップがあります。第一に、不正プログラムが標的型のインプラントだったか日和見マルウェアだったか。第二に、初期侵入の確認されたベクター。第三に、顧客口座に影響する認証情報暴露が確認された場合、特定の証券会社やカストディアンが個別に通知を受けたかどうかです。

プラットフォーム上でアクティブなセッションを持っていたトレーダーにとって、直近のリスク対象はFX口座にとどまりません。取引に使用される仮想デスクトップ環境には、暗号資産取引所接続用のAPIキー、ウォレットソフトウェアの設定、オンチェーンポートフォリオツールのブラウザ保存認証情報が保存されていることが少なくありません。Bitcoinが高まる市場の変動の中で8万ドルの水準を試す中、接続された暗号資産アカウント全体でのセッション終了や認証情報変更の遅れは、暴露期間を拡大させます。Fear and Greed Indexは中立の50で推移していますが、侵害されたインフラ上の未決済ポジションは、市場の方向性とは無関係にプロトコルレベルのリスクを伴います。

GMOが確認された侵害数を公表しサービスを再開するまでの間、影響を受けたユーザーは、Onamae.com Desktop Cloudサーバーに保存されたすべての認証情報を侵害されたものとして扱い、パスワードリセットとは独立に証券会社および取引所のセッションを終了させ、サーバー環境がアクセスできたすべてのアカウントでMFAを有効にすべきです。