GMOクラウドが破られ、FX口座が勝手に売買された――見舞金5000円で済ませるな。財産は「やられても止めない備え」で守れ

 まとめ

• GMOのクラウドへの不正アクセスで、利用者のFX口座が勝手に取引された。盗まれたのは情報ではなく、口座を操作する鍵そのものである。壁は、すでに破られた。
• 財産を守るのは、事後の金だけではない。見舞金5000円と損失の補償は別物であり、被害を小さくするのは、非常時にも業務を止めない代替の運用を事前に用意しておくことである。
• 進行中の攻撃を止める国の力も動き始めた。だが無害化措置が使えるようになったのは10月1日、わずか3週間前であり、発動の有無は原則として公表されない。止める力には、検証の仕組みが要る。

知らない間に、自分の口座で取引が行われていた。GMOインターネットが提供する「お名前.com デスクトップクラウド」への不正アクセスで、利用者の情報が外部に持ち出され、証券・FXの取引口座が不正に操作された。読売新聞によれば、大阪府の会社員女性は、約300万円あったFX口座の残高が一夜で約120万円に減っていた。身に覚えのない1回の取引で119万円の損失が出て、関連する決済を含めた損失は計178万円に上るという。埼玉県の会社員男性も約55万円を失った。

しかも事件は終わっていない。攻撃者はGMOに金銭を要求し、応じなければ不正操作を続けると予告している。本当の問いは、攻撃を防げるかどうかではない。サイバー攻撃は防ぎ切れない。突破された後に、不正を止め、業務を止めず、損失を償い、その判断を検証できるかどうかである。国民の財産は、誰が、どう守るのか。

1️⃣何が起きたのか――盗まれたのは情報ではなく、口座の鍵だった

経緯は短い。GMOは10月19日に利用者からの問い合わせで調査を始め、20日に不正なプログラムを確認して新規申込とコントロールパネルを止め、21日未明に全サーバーを順次停止、22日に警察へ相談した。発表は第5報まで重ねられている。第3報の「影響の可能性があるサーバー」2万6739件は、被害が確認された件数ではない。GMO自身がそう注記しており、数字の大きさで煽る報道は正確ではない。

侵入の仕組みと6日間の経緯（図解、AI生成画像）クリックすると拡大します

手口の本質は、情報の窃取にとどまらない点にある。サーバー内に保存されていた取引口座のログイン情報などが取得され、口座そのものが操作されたとみられる。自動売買を24時間動かすために利用者がクラウド上に置いた取引ツールごと破られれば、資産への鍵をまとめて渡したことになる。専門家からは、調査開始の5日以上前から侵入が続いていた可能性も指摘されている。壁は、気付かないうちに破られていた。

さらに異例なのは、攻撃者の振る舞いである。GMOの第4報によれば、攻撃者は金銭を要求し、応じなければ、70を超える証券会社・FX会社の口座への不正操作の継続、情報の公開とランサムウェア攻撃、システムや運用体制に関する情報の公開を行うと伝えてきた。専門家も「極めて異例」と指摘する手口である。GMOは要求に応じず、証拠を警察に提出した。応じても、盗まれた情報の削除も不正利用の防止も保証されないからだ。つまり本件は、一度破られて終わる事故ではない。問われるのは、破られた後である。

2️⃣償う仕組みと、止めない備え――企業の責任は事後と事前の両方にある

報道では「5000円」が一人歩きしている。だが、見舞金と補償は別物である。見舞金は、現在利用しているすべての人に被害の有無にかかわらず一律5000円を払う、不安と迷惑への見舞いであり、損失の補填ではない。連絡は10月30日までに登録メールアドレスへ送られる。

補償の対象は、GMOが本件に起因する不正取引と認めた取引の実現損失、すなわち差損と手数料に限られる。市場の変動による損失、得られたはずの利益、間接的な損害は含まれない。手続も、まず利用者が取引先に取消しや返金を相談し、残額をGMOが払う2段階であり、申請方法は11月6日までに案内される。

10月25日夜、GMOインターネットグループの熊谷正寿会長兼社長は自身のブログで謝罪し、社内技術者からセキュリティーの「改善すべき課題」を事前に指摘されていたことを明らかにした。優先順位を考慮して対応を進めた結果、「その間隙をつかれてしまった」という。見舞金は「初動の誠意の印」にすぎず、確認した対象損失は全額支払うと改めて表明した。

補償の方針を条件まで明示したこと、攻撃を受けた基盤は再開せず代替サービスへ移行させて6か月間無償にしたことは、評価できる。だが構造的な問題は残る。対象かどうかを認めるのはGMO自身の調査であり、被害者はその認定を待つしかない。読売の取材に応じた女性は、問い合わせへの返信がないことに不信感を募らせているという。課題の指摘が社内にあったとトップ自ら認めた以上、問われるのは金額ではなく、認定の基準と進み具合を被害者ごとに示し続けられるかである。

見舞金と補償、そして止めない備え（図解、AI生成画像）クリックすると拡大します

企業の責任は、事後の償いだけではない。被害を小さくする事前の備え、攻撃を受けても業務を止めない代替の運用こそが問われる。筆者は先の記事「相次ぐ個人情報流出――AI時代に日本のサイバー防衛は追いつけるか」で、こう書いた。「多少の不便や費用を受け入れてでも、非常時に機能する独立した手段を残す。これはデジタル化への逆行ではなく、デジタル社会を守るための備えである」。その「独立した手段」は観念ではなく、今まさに現場で使われている。

直近の実例が、同じ10月にある。むさし証券のネット取引「トレジャーネット」は10月16日、大規模なサイバー攻撃を受けて取引画面を閉鎖したが、同社は同日朝から、現物株式の売却と信用取引・先物オプションの返済注文を電話で受け付け、受付を売り・返済・訂正・取消に絞った。全機能の維持ではなく、利用者が損失を確定し身動きを取れる出口だけを残す。この割り切りが、代替手段の設計の要である。

「メールで取引を続ける」という話にも原型がある。2023年11月、中国工商銀行（ICBC）の米国部門がランサムウェア攻撃を受け米国債取引の決済が滞った際には、社内メールが使えなくなり、職員はGoogleのメールに切り替えたとロイターは伝えた。決済情報を収めたUSBメモリを担当者が取引先へ運ぶ形で取引もつないだ。ただしこれは整備された仕組みではなく、現場の即興である。即興でも市場は止まらなかったが、一般のメールでは本人確認も記録の保全も弱い。教訓は、代替の経路を認証と記録の手順まで含めて平時に決めておけということである。

守られるのは金融だけではない。アサヒグループは2025年9月の攻撃で受発注システムが止まった後、電話やFAX、表計算ソフトを用いた手作業で受注と出荷を約2か月続け、12月からシステム受注を順次再開した。効率は大きく落ちたが、供給は止めなかった。金融庁も「オペレーショナル・レジリエンス」として、攻撃時にも重要な業務を最低限維持し続ける能力を金融機関に求めている。代替運用は現場の工夫ではなく、求められる備えなのである。

具体策は三つある。第一に、金融機関は通常の画面を閉じても、返済・決済・出金など被害を止める手続だけは電話などで受け付けられる手順と本人確認の方法を、あらかじめ決めて公表しておくこと。第二に、代替の経路でも受付の記録と二重の確認を欠かさず、即興の私用メールに流れないこと。第三に、バックアップを本番から隔離し、復旧の訓練まで行うこと。バックアップがあることと、業務を再開できることは別である。

利用者自身の備えも欠かせない。第5報が示すとおり、パスワードはFX取引に使っていない端末から変更し、ログイン中の全セッションを切断すること。パスワードを変えても既存の接続が残り、第三者が取引を続けられる場合があるからである。取引履歴と残高の確認、二要素認証の設定も要る。クラウド上に金融の認証情報を置く人すべてへの警告である。

3️⃣止める力と、検証する仕組み――生まれたての制度の最初の実戦

企業の備えにも限界はある。攻撃の基盤は国境の向こうにあり、一企業には攻撃者の拠点を無力化する手は届かない。警察の捜査は起きた犯罪を裁くもので、進行中の被害を止める無害化とは役割が違う。進行中の攻撃を止める力は、国にしかない。GMOは本件を能動的サイバー防御の「発動第1号」事案と位置付け、国主導による攻撃基盤の追跡・遮断・無力化を求める緊急要請を行い、熊谷社長も改めてそれを求めた。

ここで、報道がほとんど伝えない時間軸を確認しなければならない。能動的サイバー防御の関連法が成立したのは2025年5月である。だが法律は段階施行であり、柱の一つである通信情報の監視・分析は今も施行されておらず、全面施行は2027年内の予定である。警察と防衛省・自衛隊が攻撃元のサーバーに侵入しプログラムの停止や削除を行う「無害化措置」が使えるようになったのは、今年10月1日。具申のわずか3週間前である。高市首相自身、施行前日の9月30日にSNSで、無害化措置によりサイバー攻撃に有効に対処できると発信していた。つまり本件は、生まれたばかりで一度も使われたことのない力の、最初の実戦である。

手続は重い。無害化措置は、政府が基幹インフラ事業者などからの報告を受けて必要性を検討し、場合によっては国家安全保障会議の審議を経て、独立した第三者機関であるサイバー通信情報監理委員会の承認を得て、初めて実施できる。他国のサーバーに侵入する力である以上、この慎重さは正統性を支える要だが、刻一刻と続く脅迫と不正操作の速度に間に合うのか。慎重さと速度の緊張は、この制度が最初から抱えた宿題である。適用の範囲にも曖昧さが残る。制度は基幹インフラへの重大な脅威を主な念頭に設計されており、民間のクラウドと個人投資家の資産が狙われた本件が、その想定のどこに位置付くのかは定かではない。

霞が関の官庁街（イメージ、AI生成画像）クリックすると拡大します

政府側の姿勢も報じられた。毎日新聞によれば、発動は政府が主体的に判断し、個別企業の要請で決めるものではない。産経新聞によれば、当面は被害企業への技術支援を中心とし、能動的サイバー防御の適用は慎重に判断するという。

そして、止める力には検証の仕組みが要る。読売新聞は、政府は「原則、実施したかどうかを事案ごとに公表しない方針だ」と報じた。毎日新聞も、政府高官が「手の内をさらすことにもつながりかねないので、（有無は）公表しない」と述べたと伝えている。10月23日の国会でも、政府側は、実施状況を明らかにすれば攻撃側に対抗措置を講じられ運用に支障を生じる恐れがあるとして、説明を差し控えると答弁していた。公表しないのは本件限りの沈黙ではなく運用上の原則であり、法律が公表を禁じているわけではない。作戦上の理由による運用である点は区別しておく必要がある。

だから国民が問うべきは「使ったか、使わないか」ではない。公表されない制度に、どのような事後の説明責任と検証の仕組みがあるのかである。監理委員会の承認や実施の記録が、事後に誰によって、どこまで検証されるのか。公表しない運用を採る以上、その代わりの検証の筋道を示さなければ、沈黙は制度への不信を育てるだけである。止める力が強いほど、検証は欠かせない。

結論

結論は単純である。サイバー攻撃は防ぎ切れない。だから財産を守るとは、壁を高くすることではない。突破されても、不正を止め、業務を続け、損失を償い、力の行使を検証できる仕組みを用意しておくことである。

国民の財産は、いまやサイバー空間の中に置かれている。預金も、証券も、FXの証拠金も、画面の向こう側にある。その空間で起きる犯罪に、従来の「企業のセキュリティ事故」という枠組みだけで対応する時代は終わった。

守りは三層でしか成り立たない。資産を預かる企業の備えと補償、そして攻撃を受けても業務を止めない代替の運用。進行中の攻撃を止める国の対処能力と、その行使を事後に検証する仕組み。そして利用者自身の自衛である。本件を一企業の不祥事として終わらせてはならない。止める力、止めない備え、償う仕組み、検証する仕組み。その四つがそろって初めて、国民の財産は守られる。

【関連記事】

相次ぐ個人情報流出――AI時代に日本のサイバー防衛は追いつけるか 　2026年10月11日
大規模な情報流出が相次ぐなか、AIで高度化する攻撃に我が国の防衛は追いつけるのか。本稿の原点である「非常時に機能する独立した手段を残せ」という主張を論じた記事。

10月1日、日本の電気・銀行・病院を守るサイバー防衛が変わる 　2026年9月30日
電力、金融、医療など16分野を守る新たなサイバー防衛制度を解説。GMOが要請した能動的サイバー防御の制度的な出発点が分かる。

国家情報局が動き始めた――日本の弱点は「情報不足」ではなく「情報を国家の判断に変える力」だった　2026年9月28日
情報を集めるだけでは国は守れない。収集、分析、政策判断を結び付ける仕組みを解説し、サイバー攻撃への対応にも通じる国家の判断力を考える。

変電所を「要塞化」するリトアニア 海洋国家・日本は生命線を守れるか 　2026年9月26日
攻撃を受けても電力供給を維持するために何が要るのか。リトアニアの変電所防護強化から、我が国の重要インフラの備えを考察する。

北朝鮮のサイバー攻撃グループは「採用手続」から入る――日本企業の内側に迫る新たな安全保障の危機　2026年9月23日
攻撃は外からだけ来るのではない。求人やオンライン面接を悪用して企業の内側に入る手口を解説し、技術的防御だけでは防げない弱点を明らかにする。