GMOインターネットは2026年10月21日、FX自動売買向けのVPS「お名前.com デスクトップクラウド」で第三者による不正アクセスがあったと公表し、全プランのサーバーを順次止めました。翌22日の第2報では、サーバーで動かしていたMT4/MT5などの取引ツールに関連して、利用者の取引口座で不正な操作が行われたとの報告を受けていると明かしています。本記事では、第1報と第2報、メンテナンス告知の3つの公式発表から、対象になるサーバー、取引口座のパスワードを変える手順、再開時期の現状を整理した内容です。後半では、サーバーが再開したあとに保存済みの認証情報とリモートデスクトップの接続履歴を確かめるPowerShellのコマンドを示します。
まとめ：デスクトップクラウドの不正アクセスで確定した事実と今日中に行う4つの対応
確定しているのは、2026年10月20日に一部の利用者のサーバーで不正なプログラムの設置が確認されたこと、影響の可能性があるサーバーが26,739件あること、全プランのサーバーが停止中で再開時期は未定であることです。第2報は、サーバー内に保存されていた取引口座のログイン情報等が第三者に取得され、不正に利用された可能性があるとしています。
デスクトップクラウドで取引ツールを使っていた人が今日中に行うのは、次の4つです。
- MT4/MT5と取引口座のパスワードを、デスクトップクラウド以外の端末から変更し、ログオフ（セッションの切断）をする
- 取引口座の取引履歴と残高を確かめ、覚えのない取引があれば取引先の証券会社・FX会社に連絡する
- 証券会社・FX会社が二段階認証を提供していれば設定する
- サーバー内に保存していたほかのIDとパスワード、同じパスワードを使い回しているサービスも変更する
クレジットカード情報を含む決済情報は、GMOがこのサーバー上で保持していないと明記しています。侵入経路は調査中で、公表されていません。
自分のサーバーは対象か｜全プラン停止・26,739件の意味と再開時期の公式表現
全プランのサーバーが停止し再開時期は未定とされた10月22日時点の状況
対象サービスは「お名前.com デスクトップクラウド（全プラン）」です。プランの種類や契約時期による区別は書かれていません。デスクトップクラウドを契約していれば、自分のサーバーも対象に含まれると考えて動くのが安全です。同じお名前.comでも、ドメインやレンタルサーバー、Linux向けのVPSについては、今回の発表に記載がありません。
再開時期について、第2報は「サービスの再開時期は未定です。安全を確認したうえで、確定次第お知らせいたします」と書いています。サーバーの停止中はサービスを使えないため、自動売買のEA（エキスパートアドバイザー）も止まっています。保有中のポジションは取引口座の側に残るので、手元のPCやスマートフォンのアプリから証券会社・FX会社の口座にログインし、状況を確かめてください。
26,739件は不正プログラムの設置台数ではなく影響の可能性がある件数
第1報と第2報が示す26,739件は「影響の可能性があるサーバー」の数です。不正なプログラムが見つかったのは「一部のお客様のサーバー環境」と書かれており、実際に設置されていた台数は公表されていません。
この区別は対応の要否を変えません。自分のサーバーに不正なプログラムが置かれたかどうかを、利用者がいま確かめる手段はないからです。停止中のサーバーにはログインできず、GMOから個別の判定結果も出ていません。対象かどうかを待たずに、パスワードの変更を先に済ませてください。
第1報から第2報で変わった点｜10月19日の問い合わせから警察への相談まで
10月19日の調査開始から22日の警察相談までの4日間の公式時系列
3つの公式発表を日付順に並べると、最初の問い合わせから全プランの停止まで2日足らずで進んだことが分かります。
| 日時 | 出来事 | 出典 |
|---|---|---|
| 10月19日 | 利用者からの問い合わせを受けて調査を開始 | 第2報 |
| 10月20日 | 不正なプログラムの設置を確認 | 第1報・第2報 |
| 10月20日 18時30分 | 新規申込・コントロールパネル停止の緊急保守を告知 | メンテナンス告知 |
| 10月21日 4時 | 全プランのサーバーを順次停止し第1報を掲載 | 第1報 |
| 10月21日以降 | 取引口座での不正な操作の報告を受け付け | 第2報 |
| 10月22日 | 警察に相談し第2報を掲載 | 第2報 |
10月20日18時30分のメンテナンス告知は、当初「ご契約中のサーバーはメンテナンス中もご利用いただけます」としていました。21日の更新で「サーバーの利用停止」に改められています。20日夕方の告知の段階では、契約中のサーバーは引き続き使える前提で案内されていました。
悪用は未確認から取引口座で不正に利用された可能性へ変わった第2報の文言
21日の第1報は、サーバー内の情報が「閲覧された可能性」があるとしつつ、「閲覧された情報が悪用された事実は確認されておりません」と書いていました。お願いも、サーバー内に保管した認証情報の変更と、使い回したパスワードの変更の2点だけでした。
22日の第2報で表現が変わります。利用者から取引口座で不正な操作が行われたと報告があったことを受け、取引ツールと取引口座の認証情報が「第三者に閲覧された可能性がある」として、パスワードの変更とログオフを「至急」求めています。変更をサーバー以外の端末から行うこと、取引履歴と残高の確認、二段階認証の設定も、第2報で加わった項目です。親会社側のGMOインターネットのお知らせは詳細をお名前.comのページに委ねているため、続報はお名前.comのお知らせ一覧で確かめるのが確実です。
取引口座を守る順番｜MT4/MT5のパスワードをサーバー以外の端末で変える理由
公式の「お客様へのお願い」を口座の被害が大きい順に並べた実行手順
第2報の「お客様へのお願い」を、お金が動く危険の大きい順に並べ直すと、作業の順番は次のようになります。
- 手元のPCかスマートフォンで、証券会社・FX会社の会員ページにログインし、取引口座のパスワードを変える
- 同じ画面で、ログイン中の他の端末やセッションがあれば切断する（ログオフ）
- 取引履歴、出金履歴、出金先口座の登録内容を確かめる
- 二段階認証やログイン通知が用意されていれば有効にする
- MT4/MT5のログインパスワードを、取引先が案内する方法で変える
- サーバー内に保存していたメールやブローカー以外のサービスのパスワードを変える
「サーバー以外の端末から」と指定されているのは、不正なプログラムが置かれた可能性のあるサーバー上で新しいパスワードを入力すると、それも盗まれるおそれがあるためです。いまはサーバーが止まっているので、自然と手元の端末で作業することになります。再開後も、パスワードの変更をデスクトップクラウドの画面上で行わないでください。
MT5のマスターパスワードと投資家パスワードの権限差と強制変更で失効する範囲
MetaTraderの口座には、取引のできるパスワードと、見るだけのパスワードがあります。MT5の公式ヘルプは、マスターパスワードでのログインは口座を操作する全権限を持ち、投資家パスワードでは口座の状態の確認や価格の分析はできても取引はできない、と説明しています。
同じヘルプには、「Save password（パスワードを保存）」を有効にすると、次回の起動時に最後に使った口座へ自動で接続されるとあります。VPSでEAを24時間動かす使い方では、再起動後に自動で再接続させるため、マスターパスワードを保存していた人が多いはずです。マスターパスワードの強制変更が行われると、投資家パスワードなどの他のパスワードも無効になると書かれています。会社によって変更の画面や手順は違うため、取引先のFAQで「MT4 パスワード変更」の案内を確かめてください。
ログイン時・取引時・出金時の多要素認証を証券会社側で設定する判断
金融庁の注意喚起（令和8年10月9日更新）は、ログイン時、取引時、出金時、出金先口座の変更時に多要素認証を設定するよう求めています。パスキーなど、フィッシングに耐性のある方式の提供が始まったら、すぐに設定することも勧めています。
ここで分けて考えたいのは、MT4/MT5のログインと、会員ページのログインです。EAが自動で注文を出すMT4/MT5の接続に、毎回の認証を挟むことは現実的ではありません。そのため守りの重点は、出金と出金先口座の変更に多要素認証を掛けることに置きます。仮にMT4/MT5のパスワードが盗まれても、口座からお金を外へ動かす操作を止められれば、被害は不正な売買の範囲にとどまるということです。認証方式の違いは多要素認証（MFA）とはで比べています。
サーバー再開後の点検｜保存済み認証情報とRDPログオン履歴をPowerShellで確認
cmdkeyとファイル検索でサーバー内に残る認証情報の置き場所を洗い出す
サーバーが再開したら、まずサーバー内に残っている認証情報を洗い出します。Windowsの資格情報マネージャーに保存された項目は、cmdkeyの/listで一覧にできます。メモ帳やCSVにパスワードを書き残していないかも、同時に確かめてください。
# PowerShell で実行する（読み取りのみ）
# 1. Windows の資格情報マネージャーに保存された認証情報の一覧
cmdkey /list
# 2. デスクトップとドキュメントのテキスト類から、パスワードらしき語を含むファイルを探す
$paths = "$env:USERPROFILE\Desktop", "$env:USERPROFILE\Documents"
Get-ChildItem -Path $paths -Recurse -Include *.txt, *.csv, *.ini -ErrorAction SilentlyContinue |
Select-String -Pattern "password", "パスワード", "口座番号" -List |
Select-Object Path, LineNumber1で見つかった項目のうち不要なものはcmdkey /delete:対象名で消せます。2で見つかったファイルは、中身のパスワードを変更したうえで削除してください。MT4/MT5の「パスワードを保存」に入っている認証情報は、ここには出てきません。ターミナルを起動し、ログイン画面で保存を外して入れ直す操作が別に要ります。
イベントID4624のログオンタイプ10で見覚えのない接続元IPを抽出する
次に、自分以外がリモートデスクトップで入っていないかを確かめます。Microsoftの資料では、ログオン成功のイベント4624のうち、ログオンタイプ10がリモートデスクトップ経由のログオンを示し、接続元のIPアドレスが記録されます。
# 管理者の PowerShell で実行する（読み取りのみ）
$since = (Get-Date).AddDays(-30)
# リモートデスクトップ経由のログオン成功（4624・ログオンタイプ10）を接続元IPごとに集計
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4624; StartTime = $since } |
ForEach-Object {
$d = @{}
([xml]$_.ToXml()).Event.EventData.Data | ForEach-Object { $d[$_.Name] = $_.'#text' }
if ($d['LogonType'] -eq '10') {
[pscustomobject]@{ Time = $_.TimeCreated; User = $d['TargetUserName']; IP = $d['IpAddress'] }
}
} |
Group-Object IP |
Select-Object Count, Name, @{ n = 'LastLogon'; e = { ($_.Group | Sort-Object Time)[-1].Time } } |
Sort-Object Count -Descending
# ログオン失敗（4625）が多い接続元IPの上位10件
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4625; StartTime = $since } -ErrorAction SilentlyContinue |
ForEach-Object { (([xml]$_.ToXml()).Event.EventData.Data | Where-Object Name -eq 'IpAddress').'#text' } |
Group-Object | Sort-Object Count -Descending | Select-Object -First 10 Count, Name自宅や職場のIPアドレス以外が成功側に出ていたら、その日時をメモし、GMOの窓口に伝えます。失敗側に知らないIPが大量に並ぶのは、インターネットに公開されたリモートデスクトップでは珍しくありません。ただし今回の侵入経路はリモートデスクトップだったとは公表されていないので、このログに何も出なくても安全とは言い切れません。ログの読み方は不正アクセスの調べ方でも解説しています。
query userとlogoffで残ったリモートデスクトップのセッションを切る操作
第2報が求める「ログオフ（セッションの切断）」は、まず証券会社・FX会社の側の話です。サーバー側でも、自分の知らないセッションが残っていないかをquery userで確かめられます。ユーザー名、セッションID、状態（接続中か切断か）、ログオンした日時が一覧で出ます。
# サーバーにログオン中のユーザーとセッションIDを一覧にする
query user
# 自分のもの以外のセッションがあれば、セッションIDを指定してログオフさせる（例: ID 3）
logoff 3logoffはセッションIDを指定すると、そのセッションを終了させるコマンドです。切断状態のまま残ったセッションは、他人の操作でも自分の操作でも、次の接続で引き継がれます。自分の作業が終わったら「切断」ではなくサインアウトで閉じる習慣に変えると、このコマンドで探す手間も減ります。
Set-NetFirewallRuleでリモートデスクトップの受付を自宅のIPに絞る
リモートデスクトップを誰からでも受け付ける状態のままにしていたなら、接続元を自分のIPアドレスに限ります。Set-NetFirewallRuleの-RemoteAddressで、既存の受信規則に接続元の条件を付けられます。規則の名前はOSの版や設定で異なるため、下の例は待ち受けのポート番号から規則を探す書き方です。
# 管理者の PowerShell で実行する
# 1. 3389番ポート（リモートデスクトップの既定）を許可している有効な受信規則を探す
$rules = Get-NetFirewallPortFilter -Protocol TCP |
Where-Object LocalPort -eq 3389 |
Get-NetFirewallRule |
Where-Object { $_.Direction -eq 'Inbound' -and $_.Enabled -eq 'True' }
# 2. 規則名と、現在の接続元の制限を確認する（Any なら誰からでも受け付ける状態）
$rules | Select-Object Name, DisplayName
$rules | Get-NetFirewallAddressFilter | Select-Object InstanceID, RemoteAddress
# 3. 自宅の固定IP（例: 203.0.113.10）からだけ受け付ける
$rules | Set-NetFirewallRule -RemoteAddress 203.0.113.10待ち受けのポートを3389から変えている場合は、1の数字を変更後の番号に置き換えてください。自宅の回線が固定IPでない場合、IPアドレスが変わった瞬間に自分も入れなくなる点に注意が必要です。コントロールパネルからコンソール接続できることを確かめてから実行し、固定IPが無いならポート番号の変更と強いパスワード、アカウントロックアウトの組み合わせで代えます。リモートデスクトップの接続方式の基本はリモートデスクトップとは、接続クライアント側の設定はWindows Remote Desktopの使い方にまとめています。
取引用VPSに認証情報を置く運用の判断｜自動売買を続ける条件と見送る場面
EAを動かす口座だけをVPSに置き出金と資金移動の権限は持ち込まない基準
FX用のVPSで自動売買を続けるなら、VPSに置く認証情報は「EAが注文を出すのに要る分だけ」と決めます。具体的には、MT4/MT5のマスターパスワードはEAを動かす口座の分に限り、証券会社の会員ページ、出金先の銀行、メールのパスワードはVPSに保存しません。ブラウザに会員ページのパスワードを覚えさせる操作も、VPS上では行わない。
この線を守れば、VPSが乗っ取られても攻撃者が触れるのはMT4/MT5の売買までで、出金には会員ページの認証が要ります。そこに多要素認証が掛かっていれば、口座の資金を外へ動かす経路はさらに狭まるということです。反対に、複数の口座のマスターパスワードと会員ページの情報をまとめてVPSに置く使い方は、本件のような事故で被害を全口座に広げます。この形での運用は採用しません。
口座の残高を見るだけの監視用途なら、マスターパスワードではなく投資家パスワードで足ります。取引しない端末には投資家パスワードだけを入れる、という使い分けも有効です。使い回しをやめる具体策はパスワード管理のベストプラクティス、盗まれたパスワードが別のサービスで試される手口はパスワードリスト攻撃とはで解説しています。
再開を待たずに別のVPSへ移る場合でも先に終えておく作業と移行の落とし穴
再開時期が未定のため、別のVPSへ移ってEAを再開する人もいるはずです。移るときの落とし穴は、パスワードを変える前の古い設定ファイルやバックアップを新しいVPSへそのまま持ち込むことです。古いパスワードが入ったままの設定を復元すると、移行先でも同じ情報を抱え続けます。
先に済ませるのは、パスワードの変更、取引履歴の確認、会員ページの多要素認証の3つです。そのうえで、新しいVPSでは新しいパスワードを手で入れ直し、EAのファイルは配布元から取り直します。デスクトップクラウドの契約やデータの扱いは、GMOの続報を待ってから判断して構いません。
取引ツールやWindowsサーバーを顧客に提供している事業者、リモートデスクトップで業務サーバーを外部に公開している企業にとっても、本件は入口の点検を見直すきっかけになります。外から到達できる入口と保存された認証情報の置き場所を第三者の目で確かめたい場合は、脆弱性診断・セキュリティ診断で、公開しているサーバーやWebシステムから内部に至る経路を含めて点検できます。
便乗詐欺と相談先｜GMOが電話やメールで聞かない情報と金融庁の相談窓口
パスワードやカード番号を聞く連絡は本物ではないと判断できる公式の記載
第1報と第2報はどちらも、本件に便乗したフィッシングメールや不審な連絡に注意を呼びかけています。そのうえで「当社からお客様に、パスワードやクレジットカード情報をメールや電話でお伺いすることはありません」と明記しました。お名前.comを名乗ってパスワードやカード番号を尋ねる連絡は、この記載だけで偽物と判断できます。
本件の公式の窓口は、お問い合わせフォーム（help.onamae.com/contact/）と電話（03-5456-2560）の2つです。第1報では電話の受付時間を平日10時から18時としています。メールやSMSのリンクから開かず、お名前.comの公式サイトを自分で開いて、お知らせ一覧から辿ってください。
身に覚えのない取引を見つけたときの連絡順と金融サービス利用者相談室
取引履歴に覚えのない売買や出金があった場合、最初の連絡先は取引口座のある証券会社・FX会社です。第2報も、取引先の事業者へ連絡するよう求めています。口座の凍結や出金の停止ができるのは、その会社だけです。
次に、デスクトップクラウドの利用者であることと、被害に気づいた日時をGMOの窓口に伝えます。証券会社とのやり取りで困ったときは、金融庁の注意喚起が案内する金融サービス利用者相談室（平日10時から17時、0570-016811）が相談先です。証券会社側で起きた不正注文の事例と、事業者側の対策は岩井コスモ証券の不正アクセスで扱っています。
よくある質問
お名前.com デスクトップクラウドの不正アクセスについて、利用者から出やすい質問をまとめました。2026年10月22日の第2報時点の情報です。
デスクトップクラウドはいつ再開しますか？
2026年10月22日の第2報時点で、再開時期は未定です。GMOは「安全を確認したうえで、確定次第お知らせいたします」としています。停止は10月21日4時から全プランで順次行われ、停止中はサーバーを使えません。再開の案内は、お名前.comのお知らせ一覧とメンテナンス情報のページに掲載されます。自動売買のポジションは取引口座側に残るため、手元の端末から証券会社・FX会社の口座を確かめてください。
不正なプログラムが自分のサーバーに置かれたか確かめる方法はありますか？
現時点では、利用者が自分で確かめる方法はない状況です。サーバーは停止中でログインできず、GMOから個別の判定結果も公表されていません。影響の可能性があるサーバーは26,739件で、実際に不正なプログラムが置かれた台数は明らかにされていません。対象かどうかを待たずに、取引口座とMT4/MT5のパスワードをサーバー以外の端末から変えてください。
クレジットカード情報は漏れていますか？
GMOは、クレジットカード情報を含む決済情報をデスクトップクラウドのサーバー上で保持していないと説明しています。ただし、利用者が自分でサーバー内のファイルやブラウザにカード番号を保存していた場合は別です。第2報は、サーバー内に保存されていた情報が影響を受けた可能性があるとしているため、保存していた心当たりがあればカード会社に連絡し、利用明細を確かめてください。
MT4のパスワードだけ変えれば十分ですか？
十分ではありません。第2報は、MT4/MT5に加えて取引口座のパスワード等の認証情報の変更と、ログオフ（セッションの切断）を求めています。証券会社・FX会社の会員ページのパスワードを変え、ログイン中の他の端末を切断し、取引履歴と残高を確かめてください。二段階認証が用意されていれば設定し、サーバー内に保存していた他のサービスのパスワードや、使い回していたパスワードも変更します。
侵入の原因はリモートデスクトップのパスワードが弱かったからですか？
2026年10月22日時点で、侵入経路は公表されていません。GMOはセキュリティ専門会社とともに侵入経路と影響範囲を調査中としています。リモートデスクトップのパスワードや利用者側の設定が原因だったとは書かれていないので、原因を決めつけた情報には注意してください。それでも、再開後にリモートデスクトップの接続元を絞り、ログオン履歴を確かめておく価値はあります。
関連記事
- 岩井コスモ証券の不正アクセス：4,975名の漏洩と7口座の不正注文、委託先の管理機能を守る設計：証券会社側で起きた不正注文の事例
- パスワードリスト攻撃とは？検知の指標と漏えい照合・レート制限の実装：盗まれたパスワードが別サービスで試される手口
- Windows Remote Desktopの使い方｜Windows App移行と.rdpファイル署名【2026年10月】：VPSへの接続に使うクライアント側の設定
- 不正アクセスの調べ方｜ログの確認方法と痕跡を見つけるコマンド例：サーバーのログから痕跡を探す方法
- API不正アクセス対策の実装手順：JPCERT注意喚起に沿うレート制限・認可・トークン失効：盗まれた認証情報を失効させる実装
