情報漏えい原因調査レポート　No.002

GMOのFX用サーバーから、取引口座はなぜ勝手に動かされたのか

FXの自動売買に使うサーバーの貸し出しサービスで、利用者のサーバーに不正なプログラムが置かれた。サーバーに保存されていた取引口座のパスワードが取得された可能性があり、報道によると、ある利用者の口座では2秒で400万円を超える損失が出た。発表の経緯と被害の実態、2025年から続く証券口座の乗っ取りとの関係を、公開情報で追う。

2026年10月23日公開KEYRING編集部2026年10月23日時点の公開情報にもとづく読了の目安約30分

数字で見る今回の事案

出典は各数字の下に記載

影響の可能性があるサーバー: 26,739台
お名前.com デスクトップクラウドの全プラン。GMOインターネットの第1報・第2報
ある利用者の口座で出た損失: 2秒で400万円超
10月21日16時22分。その後2分近く取引が続き、損失は600万円を超えた（朝日新聞）
顧客に告知したFX事業者: 8社
10月21〜22日。うちFXTFと外為ファイネストの2社は、本件との関係を明らかにしていない（各社の告知、piyolog）
証券口座への不正アクセス: 19,252件
2025年1月〜2026年9月の合計。うち不正取引まで進んだのは10,642件（金融庁、暫定値）
GMOクリック証券の補償総額: 1.43億円
2025年の乗っ取り被害への補償。ネット証券で初めて原則全額とした（GMOフィナンシャルHD）
同じ月にGMO系で漏洩した会員情報: 94.8万件
GMOリサーチ&AIのアンケートサービス「infoQ」。保有する全件（10月5日公表）

エグゼクティブ
サマリー

狙われたのは、取引ツールに保存されたパスワードだった。FXの自動売買ソフト「MT4」「MT5」は24時間動かし続けるため、再起動しても自動でログインするよう、パスワードをサーバーに保存して使うのが普通だ。GMOは第2報で、この情報が第三者に取得され、不正に利用された可能性を認めた。
最初の告知は「メンテナンス」だった。10月20日18時30分時点の告知は不正アクセスに触れず、契約中のサーバーは引き続き使えると書いていた。GMOが不正なプログラムを確認した時刻は公表されておらず、この告知との前後関係は分からない。不正アクセスを公表したのは翌21日の午前4時、取引口座の不正な操作の報告を公表したのは22日の夕方だった。
サーバーの停止を始めたあとも、口座は動かされた。21日午前4時にサーバーの順次停止が始まったが、利用者の口座では同日16時台と翌22日の早朝に、身に覚えのない取引が続いた。停止がいつ終わったかは公表されていない。パスワードが外に出てしまえば、サーバーを止めるだけでは口座は守れない。
証券の口座で進んだ対策が、FXの取引ツールには届いていない。2025年の証券口座の乗っ取りを受けて、証券会社はログイン時のパスキーの必須化を進めた。一方、MT4・MT5は口座番号とパスワードでログインする仕組みで、二段階認証は事業者ごとに足している段階にある。
同じ月、GMOグループでは不正アクセスが続いた。10月5日に「infoQ」の会員情報94万8498件の漏洩を公表し、9日には熊谷正寿会長兼社長が全社の緊急点検を表明していた。その約10日後、別のサービスで今回の不正が見つかった。不正なプログラムが置かれた時期は公表されていない。

1はじめに

2026年10月21日、GMOインターネットは、FXの自動売買に使うサーバーの貸し出しサービス「お名前.com デスクトップクラウド」で、利用者のサーバーに不正なプログラムが置かれたと発表しました。翌22日には、利用者から「取引口座で第三者による不正な操作が行われた」との報告を受けていると公表しました。

このサービスは、利用者がFXの自動売買ソフトを24時間動かすために借りるWindowsのサーバーです。影響の可能性があるサーバーは2万6739台で、GMOは全プランのサーバーを止めました。10月23日時点で、再開の時期は決まっていません。

「GMOの口座が勝手に操作された」という受け止めも広がりましたが、操作されたのは、利用者がこのサーバーで使っていたFX会社などの取引口座です。どの会社の口座かをGMOは公表しておらず、OANDA証券や海外のFX事業者などが、自社の顧客に注意を呼びかけています。一方、GMOグループのGMOクリック証券では、2025年に証券口座の乗っ取りによる不正な取引が実際に起き、ネット証券で初めて被害を原則全額補償しました。

このレポートは、GMOインターネットの公式発表、取引口座を持つ事業者の告知、金融庁の統計、報道をもとに、次の問いに答えます。

何が、いつ、どの順番で起きたのか
なぜ、取引口座のパスワードが外に出たのか
利用者の口座で、何が起きたのか
2025年から続く証券口座の乗っ取りと、どうつながるのか
被害は補償されるのか
利用者と企業は、いま何を確かめればよいのか

調査の方法と範囲

2026年10月23日までに公開された情報を対象にしました。数値は出典の値をそのまま使い、編集部が計算した値はその旨を記しています。金融庁の統計は発生日ごとの暫定値で、あとから過去の月の値が増えることがあります。このレポートでは10月9日公表の最新版を使いました。侵入の経路や被害の総額など、当事者が公表していないことは「公表されていない」と書き、推測では埋めていません。

2発覚から公表までの全経緯

発端は、10月19日の利用者からの問い合わせでした。GMOは翌20日に不正なプログラムを確認し、同じ日に「メンテナンス」の告知を出しました。確認の時刻と告知の前後関係は公表されていません。不正アクセスの公表、取引口座の不正な操作の公表と、発表は3日かけて段階的に進みます。

図表110月の経緯（日本時間）

10月2日〜5日
グループ会社のinfoQで漏洩
GMOリサーチ&AIのアンケートサービス「infoQ」に不正アクセス。会員情報94万8498件が漏洩し、ポイント611件・286万9500円分が不正にギフトコードへ交換された。5日に公表。
出典：Impress INTERNET Watch、ITmedia NEWS
10月9日
全社の緊急点検を表明
熊谷正寿会長兼社長が、グループ全社・全サービスの緊急点検と、従業員の再教育を行うと表明した。
出典：日本経済新聞
10月19日
利用者の問い合わせで調査を始める
お名前.com デスクトップクラウドの利用者からの問い合わせを受け、GMOインターネットが調査を始めた。
出典：GMOインターネット第2報
10月20日
不正なプログラムを確認
一部の利用者のサーバー環境に、第三者が不正なプログラムを置いたことを確認。新規の申し込みと、利用者の管理画面（コントロールパネル）を止めた。
出典：GMOインターネット第1報・第2報
10月20日 18:30
「メンテナンス」として告知
「【緊急】システムメンテナンス」を掲載。21時ごろから新規の申し込みと管理画面へのログインができなくなるとし、「ご契約中のサーバーはメンテナンス中もご利用いただけます」と書いた。不正アクセスには触れていない。不正なプログラムを確認した時刻との前後関係は公表されていない。
出典：お名前.com お知らせ
10月21日 4:00
全プランのサーバーを止め、第1報
被害の拡大を防ぐため、全プランのサーバーの順次停止を開始。第1報で、影響の可能性があるサーバーを2万6739台とし、「閲覧された情報が悪用された事実は確認されておりません」と書いた。利用者には、サーバーに保存したIDとパスワードの変更を求めた。
出典：GMOインターネット第1報
10月21日
FX事業者が自社の顧客に告知を始める
IronFXが、このサービスでMT4を使う顧客に確認を呼びかけた。外為ファイネストも、他社のサービスなどから漏れた可能性のあるIDとパスワードで、不正なログインと取引があったと公表した（本件との関係は明らかにしていない）。
出典：外為ファイネスト、piyolog
10月21日 16:22
利用者の口座で、2秒で400万円超の損失
朝日新聞の取材に応じた神奈川県の男性の口座で、身に覚えのない取引が始まった。最初の2秒ほどで400万円を超える損失が出て、損失は最終的に600万円を超えた。
出典：朝日新聞（10月23日）
10月22日 5:00前
別の利用者の口座でも、意図しない取引
愛知県の女性の口座で、短時間に大量の取引が繰り返され、430万円あまりあった資金はほぼ底をつき、残高は6768円になった。
出典：朝日新聞（10月23日）
10月22日
警察に相談。FX事業者の告知が相次ぐ
GMOインターネットが警察に相談。OANDA証券、Titan FX、AXIORY、IS6FX、XMTradingが、自社の顧客にパスワードの変更などを求めた。FXTFも、他社のVPSへの攻撃で顧客のIDとパスワードが取得された可能性があると告知した（本件との関係は明らかにしていない）。
出典：GMOインターネット第2報、各社の告知、piyolog
10月22日 16:59
第2報：取引口座の不正な操作を公表
サーバー内に保存されていた取引口座のログイン情報などが第三者に取得され、不正に利用された可能性があると公表。証券会社・FX会社の取引ツール（MT4・MT5など）と取引口座のパスワードが閲覧された可能性があるとして、ほかの端末からのパスワードの変更を求めた。
出典：GMOインターネットグループ、GMOインターネット第2報

第1報の「悪用された事実は確認されておりません」から、第2報の「不正に利用された可能性がある」まで、約37時間でした。その間に、少なくとも2人の利用者の口座で、身に覚えのない取引が起きています。

3デスクトップクラウドの仕組み

お名前.com デスクトップクラウドは、FXの自動売買専用をうたうWindowsのサーバーです。月額2640円から借りられ、GMOによると契約は累計20万件を超えます。利用者は自宅のパソコンやスマートフォンからリモートデスクトップで接続し、サーバーの上でMT4やMT5を動かします。OSはWindows Server 2019で、利用者には管理者の権限が渡されます。

自動売買ソフトは、利用者のパソコンを切っても取引を続けるために、外のサーバーで24時間動かします。サーバーが再起動しても取引が止まらないよう、ソフトは取引口座の番号とパスワードを保存して、自動でログインするのが普通の使い方です。MT4の公式の説明書も、設定を有効にすると、最後に使った口座に次の起動時に自動でログインすると書いています。

図表2取引口座のパスワードが、どこにあったか

GMOインターネットの第1報・第2報、お名前.com のヘルプ、MetaTrader 4の説明書をもとにKEYRING編集部が作成。第三者がどこから口座を操作したか（サーバーの上か、別の場所か）は公表されていない

つまり、このサーバーには、利用者の取引口座に入るための鍵がそのまま置かれていました。サーバーを貸す側から見れば利用者のデータの1つですが、利用者から見れば、口座のお金を動かせる情報です。GMOが第2報で、パスワードの変更を「本サービスのサーバー以外の端末から」行うよう求めたのは、サーバーそのものがまだ安全と言えないためと考えられます。

サービスの主な仕様

接続の方法

リモートデスクトップ。「VPN不要で安全にリモート接続」をうたい、接続用のライセンスを無料で付けている

利用者の権限

管理者（Administrator）の権限を利用者に渡す。どのソフトを入れるかは利用者が決める

料金と規模

3プラン、月額2640円〜7260円。契約は累計20万件以上。今回は全プランを停止

出典：お名前.com デスクトップクラウドのサービスサイト、お名前.com ヘルプ、ITmedia NEWS（2026年10月21日）

4口座で起きたこと

GMOは、不正な操作の件数も被害の額も公表していません。被害の様子が分かるのは、朝日新聞が10月23日に伝えた2人の利用者の証言です。

図表3神奈川県の男性（44）の口座に残った取引の記録（10月21日）

時刻	損益	この時点までの損失
16時22分12秒	−86万4336円	86万4336円
16時22分13秒	−176万7186円	263万1522円
16時22分13秒	−152万7716円	415万9238円
その後の約2分	身に覚えのない取引が続く	600万円超

出典：朝日新聞「2秒で失った400万円　GMO系サービスで『意図しないFX取引』」（2026年10月23日）。「この時点までの損失」は、記事の3件の値を編集部が足したもの。取引した業者の名前は記事にない

男性によると、取引は自分で設定した条件とはまったく違う形でした。そのあと、「Hacking Team」を名乗る人物から、日本語で「アカウントの残高をすべて破壊しました」と書かれたメールが届いたといいます。男性はGMOに連絡を試みましたが、電話にもメールにも応答がなかったとしています。

愛知県の女性（29）の口座では、22日の午前5時前から、短時間に意図しない大量の取引が繰り返されました。430万円あまりあった資金はほぼ底をつき、残高は6768円になりました。

読むときの注意

2人の取引は、どちらもGMOが21日午前4時にサーバーの順次停止を始めたあとに起きています。停止がいつ終わったかは公表されていません。取引がサーバーの上のソフトから行われたのか、取得されたパスワードで別の場所から行われたのかも、公表された情報からは分かりません。

取引口座を持つ事業者の告知

GMOは、どの会社の取引口座で不正な操作があったかを公表していません。10月21〜22日に、次の事業者が自社の顧客に告知を出しました。

図表4顧客に告知を出したFX事業者

事業者	日付	告知の内容
OANDA証券	10月22日	表題で「お名前.com デスクトップクラウド」を名指し。同サービスで同社のMT4・MT5を使っていた顧客は、ログイン情報が第三者に閲覧された可能性があるとし、二段階認証の設定を案内。今後の方針は協議中
FXTF	10月22日	「他社VPSサーバ」へのサイバー攻撃で、一部の顧客のログインIDとパスワードが不正に取得され、ログインや取引が行われた可能性を検出。自社への直接の攻撃ではないとした。お名前.comの名指しはない
外為ファイネスト	10月21日	他社のサービスなどから漏れた可能性のあるIDとパスワードで、不正なログインと不正な取引があったことを確認。利用の制限と追加の確認を実施。お名前.comの名指しはない
IronFX	10月21〜22日	同サービスでMT4を動かす顧客に、影響の確認を呼びかけ（X）
Titan FX	10月22日	パスワードの変更と、取引の履歴・口座の状況の確認を依頼
AXIORY	10月22日	MT4・MT5・cTraderの利用者のログイン情報が閲覧された可能性。自社のシステムへの不正アクセスは確認されていないとした
IS6FX	10月22日	関連は断定しないとしたうえで、全口座のパスワードの変更を依頼し、新規の注文を一時制限
XMTrading	10月22日	自社のVPSの利用者に影響は確認されていないとし、お名前.comのVPSの利用者に一時停止とパスワードの変更を依頼（X）

出典：各社の告知、piyolog「お名前 .com デスクトップクラウドへの不正アクセスについてまとめてみた」（2026年10月23日）。FXTFと外為ファイネストは本件との関係を明らかにしていない。GMOクリック証券、GMO外貨の本件に関する告知は、10月23日時点で確認できなかった

5分かっていること、分かっていないこと

10月23日時点で、GMOの発表は第2報までです。原因の中心にあたる侵入の経路は、まだ公表されていません。

図表5公式発表で確認できる範囲（10月23日時点）

項目	公表されていること
侵入の経路	公表されていない。「セキュリティ専門会社とともに、侵入経路と影響範囲の調査を進めております」
不正なプログラムの種類	公表されていない。「不正なプログラム」とだけ書かれている
実際に置かれた台数	公表されていない。第1報は、置かれた先を「一部のお客様のサーバー環境」、2万6739台を「影響の可能性のあるサーバー数」と書き分けている
閲覧された可能性がある情報	サーバー内に保存されていた情報。取引ツールに保存された取引口座のログイン情報などを含む
個人情報・決済情報	GMOが預かる個人情報の漏洩は確認されていない。クレジットカードを含む決済情報は保持していない（第1報）
不正な操作の件数と被害の額	公表されていない
不正な操作があった事業者	公表されていない。各社の告知は図表4
補償	公式発表に記載がない。OANDA証券は今後の方針を「協議中」としている
サービスの再開	未定
当局への届け出	10月22日に警察に相談

出典：GMOインターネット第1報（10月21日）、第2報（10月22日）、OANDA証券、外為ファイネスト。piyologの整理も参照した

GMOは、全プランを止めた理由を「被害の拡大を防ぐため」としています。不正なプログラムが置かれた先は「一部」でしたが、台ごとに安全かを切り分けられる段階になかった可能性があります。利用者ごとに置かれるはずのサーバーに、事業者の側が不正なプログラムを見つけた経緯からは、個々の利用者の設定の問題だけでなく、サービス全体に関わる経路があった可能性も残ります。ただし、どちらかを判断できる材料は、まだ公表されていません。

同じ週に、証券会社の委託先も狙われた

10月20日には、岩井コスモ証券が、ネット取引のシステムの運用を委託しているトレードワークスがサイバー攻撃を受け、7口座で顧客の意図しない注文が出され、うち5口座で取引が成立したと公表しました。取引は前の状態に戻されています。金融庁は、トレードワークスのシステムを使うほかの証券会社への聞き取りを始めました。同じ時期には、マネックス証券の委託先へのアクセスの試みも報じられています。いずれも、今回の事案との関係を示す情報はありません。

出典：時事通信（2026年10月21日）、ITmedia NEWS（2026年10月21日）

6背景：2025年から続く証券口座の乗っ取り

今回の事案が大きく受け止められたのは、日本では2025年から、証券口座が乗っ取られ、勝手に売買される被害が続いてきたためです。偽のサイトなどで盗んだIDとパスワードで証券口座にログインし、持っている株を売って、そのお金で国内外の小型株を買わせます。犯人は、先に買っておいた同じ株を、値上がりしたところで売り抜けます。被害者の口座から現金は出ていかず、値下がりする株が残ります。

図表6証券口座への不正アクセスの件数（月別、2025年1月〜2026年9月）

144

2,321

5,490

3,404

1,865

1,099

1,448

326

778

363

382

330

217

158

339

222

171

12025234567891011121202623456789

2025年5月GMOクリック証券が、自社の口座での不正アクセスと不正取引を公表（5月2日）
2025年10月金融庁の監督指針と日本証券業協会のガイドラインを改正（15日）
2026年6月ログイン時のパスキーなどの必須化の期限（月末）

出典：金融庁「インターネット取引サービスでの不正アクセス・不正取引の被害状況」（2026年10月9日公表）。発生日ごとの暫定値で、あとから増えることがある。2026年7月の公表時点の値は14件で、最新版では18件。棒の高さは件数に比例し、ごく少ない月は見えるよう最小の高さをとる

不正アクセスは2025年4月に5490件でピークに達し、その月の不正な売却は約1625億円にのぼりました。被害が出た証券会社は、5月に16社と最も多くなります。2025年の1年間で、不正アクセスは1万7717件、不正取引は9861件でした（月別の値を編集部が合計）。

その後、件数は大きく減りました。2026年7月は1社・不正アクセス18件まで下がりましたが、8月は4社・43件に増え、9月も37件ありました。2026年2月と3月は、件数が減る一方で売却額が約115億円、約159億円と増えています。被害がなくなったわけではありません。

図表72025年1月から2026年9月までの合計

19,252件

不正アクセス

10,642件

そのうち不正取引まで進んだもの

約4,372億円

不正な売却の額。買い付けは約3,837億円

出典：金融庁（2026年10月9日公表）。売却と買い付けの額は不正取引の売買代金の合計で、金融庁は「顧客の損失額と一致しない」としている

手口：ID・パスワードとワンタイムパスワードが破られた

入り口の多くはフィッシングでした。証券会社を装うメールやSMSから偽のサイトに誘い、IDとパスワードを入力させます。2025年には、入力されたワンタイムパスワードをその場で本物のサイトに中継する「リアルタイムフィッシング」も確認され、SMSやメールで届く確認のコードでは防げないことが分かりました。被害者のパソコンの調査では、情報を盗むウイルス「Lumma Stealer」への感染も見つかっています。2026年9月には、AppleやGoogleのアカウントが乗っ取られ、そこに保存されたパスワードで証券口座にログインされたとみられる事案について、日本証券業協会が加盟社に注意を呼びかけるよう求めました。

今回のデスクトップクラウドの事案は、利用者がだまされて入力したのではなく、サーバーに保存されていたパスワードが取得された可能性がある点で、入り口が違います。ただ、パスワードだけで口座に入れる仕組みが狙われた点は共通しています。

出典：金融庁、Wikipedia「証券口座乗っ取り事件」、piyolog「国内証券口座のっとりによる不正取引についてまとめてみた」、ラック「急増する金融犯罪の手口をFC3マトリクスで読み解く（3）」（2026年6月22日）

規制：ログインにパスキーを

金融庁は2025年10月15日、証券会社向けの監督指針を改め、同じ日に日本証券業協会も不正アクセスを防ぐためのガイドラインを改めました。ログイン、出金、出金先の口座の変更といった重要な操作で、パスキーなどフィッシングに強い多要素認証を必須にすることを求め、対応の期限を原則2026年6月末としています。売買の注文を出すときの認証は「望ましい」にとどまりました。

このガイドラインは日本証券業協会の会員の証券会社に向けたものです。FXの取引口座に入るMT4・MT5は、口座番号とパスワードでログインする仕組みで、楽天証券がワンタイムパスワードの方式を入れ（2026年2月28日から）、OANDA証券が二段階認証を案内しているように、事業者ごとに守りを足している段階です。

出典：金融庁「金融商品取引業者等向けの総合的な監督指針」等の一部改正（2025年10月15日）、ニッキン（2025年10月15日）、楽天証券、OANDA証券

7GMOクリック証券の1年半

GMOグループの証券会社、GMOクリック証券（GMOフィナンシャルホールディングスの子会社）は、2025年の乗っ取りの被害を受けた証券会社の1社です。被害のあとの補償と認証の強化を、日付の順に並べます。

図表8GMOクリック証券の対応の経緯

2025年4月30日
多要素認証の必須化を決定
機能の内容と時期は「詳細が確定次第改めてお知らせ」とした。
出典：GMOクリック証券
2025年5月2日
自社の口座で不正アクセスと不正取引を確認
「当社を騙るフィッシング詐欺等によるものとみられる、お客さま口座への不正アクセスおよび不正取引を確認しております」。ログインのパスワードと取引の暗証番号の変更を求めた。
出典：GMOクリック証券
2025年7月22日
ログインの追加認証を始める
メールかSMSで届く確認を、本人が承認する方式。8月9日に出し直した。
出典：GMOクリック証券、piyolog
2025年8月5日
被害を原則全額補償。ネット証券で初めて
被害者に元の株を市場で買い戻してもらい、その代金を同社が払う。日本経済新聞によると、6月以降は被害が確認されておらず、5月までの被害者が対象。
出典：日本経済新聞
2025年9月22日・26日
補償から外れうる条件を明記
追加認証を設定していない場合、身に覚えのない認証を拒否しなかった場合、認証の方法をメールにしていた場合は、補償の対象外か、限られる可能性があるとした。
出典：GMOクリック証券
2025年10月8日
ログインの追加認証を必須に
設定していない顧客は取引を規制した。
出典：GMOフィナンシャルホールディングス
2025年10月31日
補償の総額は1億4300万円に
7〜9月期に1億600万円の特別損失を計上し、補償の総額は1億4300万円になった。必須化の前に確認された不正取引は「特例として原状回復の観点で全額を補償」、必須化のあとは調査の結果を踏まえて「一定の補償」とした。
出典：GMOフィナンシャルホールディングス決算説明資料
2026年6月13日〜27日
パスキーを導入
13日にパソコン、20日にAndroid、27日にiPhoneのアプリで使えるようにした。この時点では設定は任意。
出典：GMOクリック証券
2026年9月8日
パスキーの必須化を順次開始
設定していない顧客には、取引や出金などの一部の機能を制限する。
出典：GMOクリック証券
2026年11月28日（予定）
パスキーを設定した顧客は、パスワードでのログインを終える
10月14日に告知。設定していない顧客は、パスワードでログインはできるが、パスキーを設定するまで取引や出金に規制がかかる。
出典：GMOクリック証券

補償の範囲については、資料の間で食い違いがあります。日本経済新聞は「5月までに被害にあった顧客」が対象と報じましたが、親会社の10月の資料は「ログイン追加認証の必須化（2025年10月8日実施）前に確認された不正取引」を全額補償の対象とし、7〜9月期に損失を追加で計上しています。6月以降に被害が見つかったのか、5月以前の分があとから認められたのかは、公表された資料からは分かりません。

パスキーは2026年6月13日から27日にかけて導入され、9月8日から順次必須化されています。セキュリティの情報サイト「やさしいサイバーセキュリティ」は、2026年8月15日時点の11社の比較で、GMOクリック証券を三菱UFJ eスマート証券とともに「必須化が進行中」の段に置いています。

今回の事案との関係

デスクトップクラウドの事案について、GMOクリック証券とGMO外貨の告知は、10月23日時点で確認できませんでした。同じグループでも、サーバーを貸すGMOインターネットと、口座を預かるGMOクリック証券は別の会社です。なお、GMO外貨は10月17日から、パスキーの順次必須化を始めています。

8補償はどうなるのか

2025年の証券口座の乗っ取りでは、補償の方針が会社によって大きく分かれました。対面の大手が元の状態に戻す「原状回復」を選んだ一方、SBI証券と楽天証券は被害の50%を金銭で補償しました。GMOクリック証券はネット証券で初めて、原状回復による全額補償に踏み切りました。

図表92025年の乗っ取り被害への主な補償方針

会社	補償の方針	損失の計上
野村證券	原状回復（2025年1月〜6月28日の被害）	66億円
大和証券	原状回復（2025年1月〜7月5日。過失がなければ全額）	引当金6億円
SMBC日興証券	原状回復（二要素認証の必須化前の被害）	公表なし
SBI証券	被害の50%を金銭で補償し、見舞金1万円。元から持っていた株を売られた分は計算の対象外	約80億円
楽天証券	被害の50%を基本に金銭で補償し、見舞金1万円。元から持っていた株を売られた分は計算の対象外	10億5800万円
松井証券	2分の1を金銭で補償（2025年9月29日より前の被害）	2億4700万円
GMOクリック証券	原則全額（原状回復）。必須化の後は調査の結果を踏まえて一定の補償	補償総額1億4300万円

出典：piyolog「国内証券口座のっとりによる不正取引についてまとめてみた」（2025年12月9日更新）が整理した各社の発表、日本経済新聞（2025年8月5日）、GMOフィナンシャルホールディングス。日本証券業協会は2025年5月2日、主要10社が約款にかかわらず一定の補償を行う方針を申し合わせた（GMOクリック証券は10社に入っていない）

2026年以降、複数の証券会社が、自社が認証を必須にした日を境に、補償を個別の判断に切り替えています。GMOクリック証券も、必須化のあとは「お客様のユーザーID・パスワードの管理状況や取引時の状況など」を調べたうえで補償を決めるとしています。2026年8月27日には、被害者79人が、SBI、楽天、マネックス、松井の4社に原状回復を求めて、東京簡易裁判所に民事調停を申し立てました。

出典：やさしいサイバーセキュリティ（2026年8月15日時点の内容）、GMOフィナンシャルホールディングス決算説明資料（2025年10月31日）、朝日新聞（2026年8月27日）

今回のデスクトップクラウドの事案は、さらに複雑です。パスワードが外に出たのはサーバーを貸すGMOインターネットの側で、損失が出たのは口座を預かるFX会社などの側です。利用者が自分でパスワードを漏らしたのではない場合、誰がどこまで負担するのか。10月23日時点で、GMOも、告知を出したFX事業者も、補償の方針を示していません。

9同じ月にGMOグループで続いた事案

GMOインターネットグループは、レンタルサーバー、ドメイン、決済、証券、セキュリティの診断までを手がけます。10月は、そのグループの中で事案が続きました。

図表102026年10月にGMOグループが公表した主な事案と対応

日付	会社	内容
10月5日	GMOリサーチ&AI	アンケートサービス「infoQ」に10月2日から不正アクセス。保有する全件の会員情報94万8498件（氏名、住所、電話番号、暗号化したパスワードなど）が漏洩。ポイント611件・286万9500円分が不正にAmazonのギフトコードへ交換され、全額を補填する
10月9日	GMOインターネットグループ	熊谷正寿会長兼社長が、グループ全社・全サービスの緊急点検と再教育を表明。対象の人数は、日本経済新聞は約8000人、本人の投稿は8300人としている
10月19日	GMOサイバーセキュリティ byイエラエ	国内への不正アクセスで、中国のエンジニアが開発したAIソフト「ARTEX」が使われていたことを確認したと発表。日本企業を狙う攻撃の基盤を6台見つけ、標的のうち8社は9〜10月に情報の漏洩を公表していたとした
10月21日〜22日	GMOインターネット	お名前.com デスクトップクラウドで不正なプログラムを確認。全プランを停止し、取引口座の不正な操作の報告を公表

出典：Impress INTERNET Watch（10月6日）、ITmedia NEWS（10月6日）、日本経済新聞（10月9日、19日）、Impress Watch（10月20日）、GMOサイバーセキュリティ byイエラエ（10月19日）、GMOインターネット第2報（10月22日）。infoQとデスクトップクラウドが、イエラエの見つけた攻撃の標的に含まれるかは公表されていない

イエラエの発表によると、ARTEXはAIが自分で判断しながら侵入を試す仕組みで、もともとは公開されていましたが、開発者が公開を取りやめています。標的の業種には、デジタルギフト、ポイント、保険・金融などが挙がりました。infoQやデスクトップクラウドが、イエラエの見つけた攻撃の標的に含まれるかは公表されていません。

10被害が広がった5つの理由

1口座の鍵が、サーバーにそのまま置かれていた

自動売買を止めないために、取引口座のパスワードをサーバーに保存するのが普通の使い方でした。サーバーに入られると、口座に入るための情報まで取られます。サーバーを貸す側も、借りる側も、そこに口座の鍵があることを前提にした守りを敷いていたかが問われます。

2パスワードだけで、売買ができた

MT4・MT5は口座番号とパスワードでログインする仕組みです。二段階認証は事業者ごとに用意され、使うかどうかは利用者に任されてきました。証券会社のログインで進んだパスキーの必須化は、FXの取引ツールには届いていません。

32万6739台が、1つの事業者の基盤にあった

サーバーごとに利用者は違っても、提供しているのは1社です。GMOは「被害の拡大を防ぐため」として全プランを止めました。不正なプログラムが置かれたのは「一部」でも、止めている間は、すべての利用者の自動売買が止まります。

4最初の告知が、危険を伝えなかった

10月20日18時30分時点の告知は「メンテナンス」で、サーバーは使えると書いていました。GMOが不正なプログラムを確認した時刻は公表されていませんが、利用者がパスワードを変える必要を知ったのは、翌21日の午前4時の第1報からです。

5売買の速さが、気づく時間を奪った

神奈川県の男性の口座では、最初の2秒で400万円を超える損失が出ました。FXの取引は1秒に満たない間に成立します。人が異常に気づいてから止めるのでは間に合いません。ログインの段階で止めるか、普段と違う取引を仕組みで自動に止める必要があります。

理由の整理は、公開された情報をもとにKEYRING編集部が行ったものです。侵入の経路が公表されれば、見直します。

11利用者と企業が取るべき対応

GMOインターネットと取引口座を持つ各社が求めている対応を、時間の順に並べます。

図表11デスクトップクラウドの利用者が確かめる順番

いますぐ取引口座のパスワードを、別の端末から変える
デスクトップクラウドのサーバーではなく、自宅のパソコンやスマートフォンから、取引口座のパスワードを変える。変えたら、ログアウトしてセッションを切る。同じパスワードをほかのサービスで使っていれば、そちらも変える。
いますぐ取引の履歴と残高を確かめる
身に覚えのない取引があれば、取引口座を持つ会社に連絡する。GMOインターネットの窓口（お問い合わせフォーム、電話03-5456-2560、平日10時〜18時）にも報告する。
今日中二段階認証を設定する
取引口座を持つ会社が二段階認証やワンタイムパスワードを用意していれば、設定する。OANDA証券はMT4・MT5の二段階認証を案内している。
今日中サーバーに置いていたほかの情報を変える
サーバーにメールやほかのサービスのIDとパスワードを置いていた場合も、すべて変える。
再開のあとパスワードを保存しない使い方に切り替える
自動ログインの設定を見直し、可能なら事業者が用意する、使える期間の短いパスワードの方式に切り替える。便乗したフィッシングのメールにも注意する。

出典：GMOインターネット第1報・第2報、OANDA証券、楽天証券をもとにKEYRING編集部が作成

サービスを提供する企業が確かめること

サーバーを貸す事業者

利用者がサーバーに何を保存しているか（取引口座の鍵など）を前提に、守りの水準を決めているか
侵入を確認してから、利用者に危険を伝えるまでの時間と文面を決めているか
どのサーバーが安全かを、台ごとに切り分けられるか

口座を預かる金融事業者

取引ツールのログインに、パスワード以外の要素を求めているか
普段と違う場所や速さの取引を、自動で止める仕組みがあるか
他社の事案で認証情報が漏れたとき、顧客に知らせ、口座を守る手順があるか

経営層

グループ会社の事案を、自社の点検にすぐつなげる仕組みがあるか
他社のサービスで起きた漏洩の損失を、誰が負担するかを決めているか
「メンテナンス」と「不正アクセス」の告知を、誰が判断するかを決めているか

12提言

今回の事案では、サーバーを貸す会社と、口座を預かる会社が別だったことで、口座の鍵を守る責任があいまいになりました。証券口座の乗っ取りで進んだ対策も、その隙間には届いていませんでした。この調査から、KEYRINGは次の4つを提言します。

1お金を動かせる情報は、パスワードだけで守らない

取引ツールのログインにも、パスキーやワンタイムパスワードなど、盗まれただけでは使えない認証を求める。

2他社のサーバーに置かれる鍵を、自社の問題として扱う

顧客が外のサーバーで取引ツールを使うことを前提に、漏れたときに口座を止める手順と、補償の考え方を決めておく。

3不正アクセスの疑いは、疑いの段階でも伝える

確定を待つあいだに、利用者は身を守る時間を失う。分かっていないことは、分かっていないと書いて先に知らせる。

4グループの点検は、サービスの性質から順番を決める

お金やポイントに換えやすい情報を扱うサービスから点検する。今回は、全社の点検の表明から約10日後に、別のサービスで不正が見つかった（不正なプログラムが置かれた時期は公表されていない）。

提言は、公開された情報をもとにKEYRING編集部が考えたものです。

自社の状況を確かめるAI開発セカンドオピニオン

委託先の管理、システムに渡している権限、認証の設定を、第三者の基準で確かめた結果を表示します。設問に回答、約8分、無料。

診断を始める→

ほかの調査レポート

No.001　2026年10月22日PHP2Shellは、なぜ世界中のサイトを止めたのか→

用語集

FX: 外国為替証拠金取引。預けたお金を担保に、その何倍もの額の通貨を売買する取引
MT4・MT5: MetaTrader 4・5。多くのFX会社が提供する取引ソフトで、自動売買のプログラムを動かせる
VPS: 仮想専用サーバー。1台の機械を区切って、利用者ごとに専用のサーバーとして貸すもの
リモートデスクトップ: 離れた場所のWindowsの画面を、手元の端末から操作する仕組み
多要素認証: パスワードに加えて、スマートフォンへの確認など別の要素も使ってログインする方式
パスキー: 端末の中の鍵と指紋や顔の認証でログインする方式。偽のサイトでは使えないため、フィッシングに強い
リアルタイムフィッシング: 偽のサイトに入力されたパスワードや確認のコードを、その場で本物のサイトに送ってログインする手口
原状回復: 不正な取引の前の状態に、口座を戻すこと。売られた株を買い戻すなどの方法をとる

参考文献

このレポートは2026年10月23日時点の公開情報にもとづきます。GMOインターネットの調査は続いており、侵入の経路や被害の範囲は今後の発表で変わる可能性があります。新しい情報があれば更新します。英語の資料の引用は編集部の翻訳です。最終閲覧日はいずれも2026年10月23日です。