「能動的サイバー防御」の前に、説明すべきことがある——GMOのFX用サーバー不正アクセスを元セキュリティコンサルが読み解く

はじめに——「昔取った杵柄」を引っ張り出します

ここ最近、企業や団体がサイバー攻撃の被害に遭ったというニュースが、毎週のように流れてきます。
そしてこの10月、ついに国内大手のGMOインターネットまでもが大きな被害を受けました。

実は私、区議会議員になる前は、ITセキュリティコンサルタントとして働いていました。
企業のシステムやネットワークをどう守るかを考え、提案する仕事です。

板橋区議になってからは、個人情報保護審議会委員を務めるなどこの分野での貢献もしてきましたが、「プロ」としての発言は控えていました。
しかし、これだけ被害が相次ぐと、黙って見ているわけにはいきません。
「昔取った杵柄」を引っ張り出し、できる限りの貢献をしたいと思い、この記事を書きました。

今回の事件で何が起き、何が問題だったのか。
そして、GMOが政府に求めた「能動的サイバー防御」を、この件に使うことは正しいのか。
順を追って考えていきます。

※本記事は2026年10月25日時点で公表されている情報をもとにしています。
※攻撃者の主張など、まだ確かめられていない情報は、そのように明記しています。

何が起きたのか

「FX自動売買専用」のクラウドが破られた

被害に遭ったのは、GMOインターネットの「お名前.com デスクトップクラウド」というサービスです。
クラウド上に「24時間動き続けるWindowsのパソコン」を借りられるサービスで、主にFX（外国為替証拠金取引）の自動売買に使われていました。

自動売買のプログラムは、パソコンが止まると動きません。
自宅のパソコンを24時間つけっぱなしにするのは大変なので、多くの個人投資家がこのサービスを借りて、取引ツール（MT4/MT5）を動かしていました。
そして、その取引ツールには、証券会社やFX会社の 口座のIDとパスワード が保存されていました。

経緯

• 10月19日 ：利用者からの問い合わせを受け、GMOが調査を開始。
• 10月20日 ：一部の利用者のサーバーに「不正なプログラム」が設置されているのを確認。
• 10月21日 ：全プランのサーバーを順次停止。影響の可能性があるサーバーは 2万6,739台 と公表。
• 10月22日 ：サーバー内に保存された口座のログイン情報が盗まれ、悪用された可能性を公表。警察に相談。
• 10月24日 ：「顧客の情報が外部に持ち出された事実」を確認したと公表。不正取引の損失の補償と、全利用者への5,000円の見舞金を発表。攻撃者からの金銭の要求には応じないと表明し、政府に「能動的サイバー防御」の適用を緊急要請。

被害

報道によれば、ある利用者は 約2秒で400万円超 を失いました。
別の利用者は、口座の資金430万円余りがほぼ底をついたといいます。

攻撃者を名乗る人物は、GMOに100万ドル（約1億5,700万円）を要求しています。
さらに、国内外70社を超える証券・FX会社の口座で不正な操作を続けることや、利用者のパソコンへの攻撃を予告しています。
（いずれも攻撃者側の主張で、事実かどうかは確かめられていません。）

何が問題だったのか

1. 「口座の鍵」をまとめて預かる場所が破られた

このサービスには、性質上、たくさんの利用者の「口座の鍵」が集まっていました。
いわば、合鍵をまとめて預かる管理会社のようなものです。

証券会社やFX会社のシステムがどれだけ堅牢でも、利用者が鍵を預けた先が破られれば意味がありません。
一か所が破られただけで、何十社もの金融機関の口座が危険にさらされたのです。

2. 問題は「利用者」ではなく「事業者のシステム」にあった

GMOは10月24日の発表で、「 本サービスのシステムにセキュリティ上の問題が存在 」したと認めました。
そして、今のシステムをそのまま再開せず、仕組みを根本から作り直すと表明しています。

ここが重要です。
利用者がパスワードを使い回していた、といった個人の不注意の話ではありません。
事業者が用意した基盤そのものに問題があった、ということです。

侵入の経路はまだ公表されていません。
ただ、2万6,739台という規模を考えると、利用者一人ひとりのパスワードを破ったとは考えにくいところです。
全てのサーバーに共通する「管理の仕組み」を握られたと考えるのが自然です。
攻撃者自身も、全サーバーが一元管理され、共通の管理者権限で渡り歩けたと主張しています（未確認）。

3. 被害が「自宅のパソコン」にまで広がるおそれ

もう一つ、見過ごせない問題があります。

利用者は、自宅のパソコンからリモートデスクトップという仕組みでクラウド上のパソコンに接続し、操作していました。
GMOの公式の利用ガイドによれば、GMOが配っていた接続用のファイルは、 「あらかじめファイルの共有についても設定されて」 いました。

これは、接続している間、クラウド側から利用者の自宅パソコンのファイルが見える設定です。
FXの自動売買には、ほとんど必要のない機能です。

クラウド側が破られると、この経路を通じて、自宅パソコンのファイルまで抜き取られるおそれがあります。
実際に攻撃者は、利用者のパソコンから書類やブラウザに保存したパスワードを盗んだと主張しています（未確認）。
GMOも、利用者に自宅パソコンのウイルス検査とバックアップを急いで行うよう呼びかけています。

4. サービスの歩み——「汎用」のまま「FX専用」を名乗った

このサービスの歴史をたどると、もう一つの問題が見えてきます。

GMOは、取引ツールを自ら入れて配り、「FX自動売買専用」と名乗っていました。
利用者が口座のIDとパスワードを保存し、24時間ログインし続けることは、GMOが想定し、勧めていた使い方そのものです。

ところが、FX向けに足されたのは、取引ツールを便利に動かすための機能ばかりでした。
「口座の鍵を守る」ための仕組みが足された形跡は、公開資料からは見当たりません。
その一方で、利用規約では、サービスの利用で生じた損害について「何ら負わない」としていました。

「お金の鍵を預かる場所」として売りながら、中身は汎用の仕組みのまま。
危険な初期設定も、事業者自身が配っていた。
これは、ソフトウェアの未知の欠陥を突かれた「防ぎようのない攻撃」ではなく、 設計と運用の問題 だったと私は考えます。

「能動的サイバー防御」を、この件に使うべきか

能動的サイバー防御とは

能動的サイバー防御は、重大なサイバー攻撃を 未然に防ぐ ための国の仕組みです。
重大な攻撃の兆候がある場合に、警察や自衛隊が攻撃元のサーバーに入り込み、攻撃を無害化することができます。
関連する法律が整備され、この10月から本格的に動き始めたばかりです。

GMOは10月24日、この能動的サイバー防御を今回の件に適用するよう、政府に緊急要請しました。
国会議員の中にも、政府はこの制度を活用すべきだと、この要請に賛同する声があります。

私の考え——国に求める前に、説明すべきことがある

私は、この要請には賛成できません。

国の介入を求める前に、GMOには「なぜ2.6万台が一度に破られたのか」を説明する責任があります。
能動的サイバー防御は、事業者の設計の甘さを肩代わりする制度ではありません。

理由は三つあります。

一つ目は、 制度の趣旨と合わない ことです。
能動的サイバー防御は、国全体に関わる重大な攻撃を未然に防ぐための仕組みです。
一企業のサービスで起きた被害の後始末に使うことは、もともと想定されていません。
政府関係者も、「個別企業の要請に応じて発動を決める制度ではない」と述べていると報じられています。

二つ目は、 順番が逆 だということです。
GMOは、侵入の経路も、持ち出された情報の中身も、まだ説明していません。
自らのシステムに問題があったと認めながら、その中身を明らかにしないまま国の介入を求めるのは、責任を外に向けているように見えます。

三つ目は、 前例の問題 です。
もし今回の要請が通れば、「設計が甘くても、破られたら国が何とかしてくれる」という前例になりかねません。
これでは、事業者が自らの守りに投資する理由が薄れてしまいます。
国民の税金と、警察・自衛隊という強い権限を使う制度だからこそ、その使い道は慎重であるべきです。

もちろん、攻撃は今も続いています。
被害に遭った利用者を守るために、警察が捜査し、海外の当局と連携して攻撃者を追うことは当然必要です。
私が問題にしているのは、 国に助けを求めること自体ではなく、その順番と、制度の使い方 です。

まず、GMOが原因を明らかにすること。
被害者への補償を誠実に行うこと。
そして、同じことが他の事業者で起きないよう、教訓を社会と共有すること。
国の強い権限を持ち出すのは、その後の話です。

AI時代、「破られるのは仕方ない」のか

今回の事件を見て、「AI時代の攻撃は高度すぎて、もう防ぎようがない」と感じた方もいるかもしれません。
しかし、私はそうは思いません。
AI時代の攻撃だからといって、お手上げではないのです。

「絶対に破られない」は言えない。でも「広げない」はできる

正直に言えば、「絶対に破られない守り」は、誰にも約束できません。
未知の欠陥も、人のうっかりも、ゼロにはできないからです。

しかし、 一か所を破られても、それを全体に広げない ことはできます。

• システム・ネットワーク・組織に、絶えず点検を入れる。
• 見つかった問題を、その都度見直す。
• 管理者の権限を一つにまとめず、分けておく。
• 不要な共有やつながりは、最初から切っておく。
• 使わなくなったサービスやデータは、確実に消す。

こうして、一か所が突破されても次の壁で止まる「 多段の防護壁 」を整えておけば、被害の拡大は防げます。

今回の事件で問題だったのは、侵入されたことそのものより、 一か所の侵入が2.6万台と利用者の自宅パソコンにまで広がったこと です。
攻撃者が指摘した弱点は、どれもAI時代になる前から「やってはいけない」とされてきた基本でした。
AI時代に変わったのは、そうした甘さが見つかり、突かれるまでの時間が短くなったことです。

「守る側」もAIを使える

AIを使うのは、攻撃者だけではありません。
守る側もまた、AIを使えるようになりました。

設定の点検、ログ（記録）の見回り、システムの構成の見直し。
これまで専門家を雇わなければできなかった作業を、AIの助けを借りて続けられるようになったのです。

大企業には、専任のセキュリティ担当者がいます。
しかし、地域の中小企業の多くには、そんな余裕はありません。
だからこそ、 中小企業にとっては、攻撃が高度になったことより、守りにAIを使えるようになったことの変化の方が大きい と私は考えています。

板橋区にも、多くの中小企業や個人事業主の皆さんがいます。
「大手だから安全」ではなく、「自分たちの守りは、設計と点検で決まる」。
今回の事件を、そう考えるきっかけにしていただければと思います。

私も、元セキュリティコンサルタントとして、そして区議会議員として、地域の守りを固めるためにできることを続けていきます。

参考

• GMOインターネット 第4報（2026年10月24日）
• GMOインターネット 第5報（2026年10月24日）
• お名前.com デスクトップクラウド 活用ガイド
• GMOインターネット プレスリリース（2019年1月 フルリニューアル）
• 日本経済新聞：能動的サイバー防御、GMOが政府に要請 識者「ハードル高い」
• piyolog：お名前.com デスクトップクラウドへの不正アクセスについてまとめてみた