GMO不正アクセス、サーバを止めてもパスワードを変えても…被害が続く“ある抜け穴”（ビジネス＋IT）
2026年10月21日、GMOインターネットは「お名前.com デスクトップクラウド」の全プランで、サーバの順次停止に踏み切った。FXの自動売買などに使われてきたこのサービスで不正プログラムの設置が確認され、利用者の取引口座が不正に操作されたとの報告も相次いでいる。だが、サーバを止めても、被害は止まらない。パスワードを変えるだけでも足りない。なぜなのか。サイバーセキュリティ分野に約20年携わる筆者が、多くの企業が見落としがちな“抜け穴”と、経営として考えるべき“責任の継ぎ目”を読み解く。
本稿では、今回の事案から、技術的に気になった点と、経営として考えなくてはならないことを書く。なお、本稿は2026年10月29日午後時点の公表情報に基づき、GMOが公表した事実、攻撃者側の主張、筆者の考えを、できるだけ分けて整理する。 GMOインターネット（以下、GMO）の公表によれば、10月20日に不正プログラムを確認して新規申し込みとコントロールパネル（管理画面）を止め、21日に全プランのサーバを停止した。24日には顧客情報の流出を確認したと発表している。 一方、回収した端末の解析では、28日18時20分時点でマルウェア感染やランサムウェア攻撃の痕跡は確認されていない（注1・2）。※注1：GMO「第1報」https://www.onamae.com/news/article/11584、「第2報」https://www.onamae.com/news/article/11593、「第4報」※注2：GMO「第14報」https://group.gmo/info/alert/2026102802/ 攻撃者側は、共通の管理者アカウントやドライブ共有の初期設定、脆弱性の悪用などを主張しているが、未検証だ。侵入経路は確認されていない。 数字の読み方にも注意したい。影響の可能性があるとされた「2万6739」という数字は「サーバの数」であり、被害者や被害口座の数ではない。また、攻撃者の金銭要求と、GMOが情報提供者向けに設けた懸賞金は別のものだ。（図表1枚目：GMO不正アクセスはどう進んだ？ 事案の経過（左：GMOなどの公表、右：攻撃者の主張・報道で未検証））日付GMO・各社・当局の公表攻撃者の主張・報道（未検証））（出典：GMOの公表資料、各種報道を基に筆者作成） 27日には、「当社およびお客様に関する情報と称するもの」が公開されたと、GMOが確認した。GMOは、顧客に関係すると思われる情報が公開されたとしつつ、事実と異なる内容が含まれるおそれもあると説明している。 29日には、GMOが犯人の特定につながると考えられる有力情報の入手を公表した。ただし、公表されている範囲では、その情報の中身は明らかになっていない（注3）。※注3：GMO「第10報」https://group.gmo/info/alert/2026102703/、「第15報」https://www.onamae.com/news/article/11623 政府は26日、関係閣僚会議を開くと発表するなど、対応を進めている（注4）。総務省が27日付で通信分野の業界団体に、攻撃者側サイトへの接続遮断を要請したとも報じられている（注5）。※注4：首相官邸「令和8年10月26日（月）午前 内閣官房長官記者会見」https://www.kantei.go.jp/jp/tyoukanpress/202610/26_a.html、共同通信「不正アクセスで閣僚会議開催へ 政府、省庁横断で対応協議」https://kumanichi.com/articles/2050593※注5：朝日新聞「GMO不正アクセスの脅迫サイト 総務省が通信会社に強制遮断を要請」https://www.asahi.com/articles/ASVBX42PGVBXULFA01KM.html、日本経済新聞「GMO攻撃者側サイト、総務省が強制遮断要請 通信各社に」https://www.nikkei.com/article/DGXZQOUA292570Z21C26A0000000/
捜査やサイトの停止が進んでも、すでに持ち出された情報による二次被害への備えは残る。では、なぜサーバを止めても被害は止まらないのか。そこには、多くの企業が見落としがちな“抜け穴”がある。
Page 2
まず、技術的に押さえておきたい。侵害されたサーバを止めれば、そのサーバを通じた新たな情報窃取は抑えられる。問題はその先だ。すでに盗まれた情報が使われる場所は止まらない。それは、FX会社や証券会社にある取引口座だ。 盗まれた認証情報（IDやパスワードなど、本人であることを示す情報）が有効なままなら、攻撃者は停止したサーバと無関係に、別の端末から口座へ入れてしまう。GMOがパスワードの変更を本サービスのサーバ以外の端末で行うよう求めたのは、そのためだ（注6）。※注6：GMO「第2報」https://www.onamae.com/news/article/11593 もう1つ、見落とされがちなのが、認証情報とセッションの違いだ。ビルにたとえると分かりやすい。パスワードは入り口の鍵であり、セッションやトークンは、その鍵で入った人に渡される入館証だ。入館証さえ持っていれば、鍵を使わなくても館内を歩ける。 ここで入り口の鍵を付け替えても、発行済みの入館証が有効なままなら、すでに館内にいる人は締め出されない。パスワードを変えても、サービスの実装によっては発行済みの接続が残る、というわけだ。 GMOも、取引先のサーバの仕様によってはパスワード変更後も既存の接続が残り得るとして、10月23日の第3報で全セッションの切断を求めた（注7）。ただし、本件で既存の接続が実際に悪用されたかどうかは公表されておらず、ここで述べるのは一般的な仕組みだ。※注7：GMO「第3報」https://www.onamae.com/news/article/115955※2026年10月28日時点、本事例において実際に既存のセッションが悪用されたかどうかは公表されていない。（出典：筆者作成） つまり、止めるべき層は少なくとも4つある。保存された認証情報、発行済みの接続、取引口座そのもの、そして利用者の端末だ。（図表3枚目：盗まれた情報の「層」ごとに、止める手段は異なる）（出典：筆者作成）※2026年10月28日現在、本事例において実際に既存のセッションが悪用されたかどうかは公表されていない。 GMOは24日、取引所や証券会社にも全セッションの強制切断を要請した（注8）。※注8：GMO「第4報」https://www.onamae.com/news/article/11598、「第5報」https://www.onamae.com/news/article/11599 問われるのは、外部基盤の侵害を知った時点で、該当する顧客の認証情報の失効、全セッションの切断、取引・出金の一時制限までを、利用者任せにせず金融会社が主導して実行できるか、ということだ。 FinTech Journalによれば、金融庁も22日付でFX事業者に緊急通知を出し、パスワード変更の促しと注意喚起に加え、普段と異なるIPアドレスからの接続を即座に検知できる監視体制の強化を求めている（注9）。
※注9：FinTech Journal「金融庁がFX各社に緊急通知、GMO他国内5社が不正アクセス被害報告」https://www.sbbit.jp/article/fj/187824
Page 3
パスキーは、確かに強力な対策だ。パスワードの代わりに暗号の鍵でログインする仕組みで、サービス側には公開鍵しか預けない。鍵は登録したサイトのドメインにもひも付くので、偽サイトに誘導されても使えない、という寸法だ。入力すれば偽サイトを通じて攻撃者に渡ってしまうパスワードやSMSのコードとは、この点が決定的に違う（注10）。※注10：FIDOアライアンス「Deploying Passkeys in the Enterprise」https://fidoalliance.org/white-paper-fido-deploying-passkeys-in-the-enterprise-introduction/?lang=ja（図表4枚目：偽サイトに誘導されたら？ パスワード・コードとパスキーの違い（パスキーの標準化団体FIDOアライアンスの説明に基づく図解））※ドメイン名は例。ただしログイン後のセッションの窃取や、弱い方式への誘導（ダウングレード）は、別の問題として残る。（出典：FIDOアライアンスの資料を基に筆者作成） しかし、パスキーを入れれば安全になる、と考えるのは早計だ。鍵そのものではなく、回復手続きや同期アカウント、端末、ログイン後のセッションといった周辺が突かれる。（図表5枚目：パスワード・SMS・パスキー、どこが違う？ 認証方式の比較（一般的な傾向を示す筆者の整理））（出典：筆者作成） そして今回、考えておきたいのが、人が介在しない自動接続だ。人のログインをパスキーで強化しても、自動売買に使う認証情報をサーバに保存する問題まで解消するわけではない。（図表6枚目：パスキーも万能ではない…主なリスクと対策）（出典：筆者作成） 岩井コスモ証券の事案も参考になるだろう。同社は10月21日、不正取引は「パスキー認証が突破されたものではない」と説明した。同社によれば、委託先の取引システムへの総当たり攻撃で7口座に意図しない注文が出て、5口座で約定したが、取引は原状回復されている（注11）。玄関の鍵をいくら強くしても、その外側が破られれば取引は実行されてしまう可能性があるわけだ。※注11：岩井コスモ証券「不正アクセスによる個人情報漏洩および不正取引に関するご報告」https://www.iwaicosmo.net/info/post_499.html 実務上の答えは、場面ごとに役割を分けることだと筆者は考える。ログインにはパスキー、自動化の接続には取引専用で出金できない認証情報と接続元IPの制限、出金や出金先の変更には追加認証を置く。仮に1つが破られても、被害が広がりにくい設計にしておくことだ。（図表7枚目：認証は「入り口」だけでは足りない──4つの層と、今回の事案で問われた層）
※層ごとに別の防御を置けば、1つが破られても被害が口座の外へ広がりにくいと考える。（出典：筆者作成）
Page 4
GMOは、侵害された現行の基盤ではサービスを再開せず、別の基盤への移行を6カ月間無償で案内する方針を示した（注8）。では、同様の侵害を受けた場合、復旧を宣言する前に何を確かめるべきか。（図表8枚目：「安全に復旧した」と言う前の確認項目）（出典：筆者作成） このうち、侵入経路、残存物、特権の認証情報、流出した認証情報の4項目は必須だ。残る4項目も、再発防止を考えると、実施を勧めたい。
復旧の判断では「安全を断定しないこと」が極めて重要になる。確認できた範囲と未確認の範囲を明示し、限定的な再開、監視強化期間、第三者による検証といった段階的な措置を組み合わせるのが現実的だろう。では、こうした事態が起きたとき、責任は誰が負うのか。そこには、技術だけでは片付かない問題がある。
Page 5
もう1つ、筆者が感じたのは、意思決定の問題だ。GMOインターネットグループの熊谷正寿代表は自身のブログで、社内のホワイトハッカーから課題が事前に指摘されていたものの、優先順位を考慮した結果、対応の深さと速さが十分でなかったと説明した。指摘された課題の内容は公表されておらず、今回の入り口と同じかどうかも分からない（注14）。※注14：ITmedia NEWS「社内ホワイトハッカーの事前指摘と熊谷代表の説明に関する報道」https://www.itmedia.co.jp/news/article/2610/26/2000002571/ それでも、現場の危機感が意思決定の場に伝わらない、あるいは伝わっても「GOサイン」が出ないもどかしさは、程度の差こそあれ、多くの組織に覚えがあるのではないだろうか。
いくら優れた診断や製品があっても、直すと決めるのは人だ。指摘を台帳で管理し、重大度ごとに期限を決め、期限を過ぎたら経営に報告し、直せないなら暫定策で緩和する。そうした仕組みがあって初めて、現場の指摘は経営の意思決定につながる。ただし、これは一般論であり、今回そうだったという意味ではない。
Page 6
セキュリティ対策は、道具を買うだけでは完結しない。何が危険かを知り、どこを守るかを決め、そのうえで道具を選ぶ。この順序を取り違えなければ、道具は生きる。 最後に、経営と実務の両面から確認しておきたい点を整理する。（図表9枚目：自社は大丈夫？ 自己点検チェックリスト（10項目））（出典：筆者作成） 今回の事案は、GMOに固有の問題として片付けるべきではない。クラウドの利用、金融の自動化、認証の強化が並行して進む今、継ぎ目で何が起きるかは、どの企業にとっても他人事ではない。 侵入経路などの詳細は今後の公表を待って評価したいが、自社でも同じことが起きたとき、誰が、何を、どこまで止めるのか。その判断を平時から用意しておく必要がある。
〔参考文献〕
