【追記 2026年10月28日】身代金期限の10月27日正午は過ぎました。期限のあとに起きたこと（攻撃者による情報の公開、世間の反応、利用者が今やること）は、続報の記事にまとめました。→ GMO次に起きたのは「情報公開」、利用者がいま確認すること
GMOの件が徐々に明らかになってきました。
GMOが公式に認めているのは、「お名前.com デスクトップクラウド」のシステムに「セキュリティ上の問題が存在した」ことと、攻撃前に社内のホワイトハッカーが改善課題を指摘していたこと。また公式発表でないもののこの問題は7年前からそのまま放置されていた可能性が高いとして一部ネットで荒れています。
新たな情報として、「100万ドルの追加要求」「利用者の自宅PCの乗っ取ったぜ宣言」は、攻撃者を名乗る側の主張です。
尚、当初PHPの脆弱性を付いたサーバー攻撃が原因の可能性が高いと考えられていましたが、現時点でPHP脆弱性とこの件を結び付ける証拠も発言もなく、別問題の可能性が高まってきました。
政府への「能動的サイバー防御」の要請は、まだ要請の段階。10/26に行われた「サイバーセキュリティに関する関係閣僚会議」はGMOの要請によるものではなく、チームみらいの安野党首の働きかけによるもののようです。
期限は本日、正午
攻撃者が示した期限は、日本時間10月27日12:00ジャスト。原因や時系列は前回の記事をご確認ください。
2026年、現在は一般人のPCやデータが人質にとられ、メールで脅迫され、ビットコインで要求される時代。
昭和の刑事ドラマのように、黒電話に逆探知取り付けて「もっと話を引き伸ばして!」って時代じゃないです。「緑の鞄に５００万入れて白の紙で黄色の鞄言うて書きながら赤の鞄言いながら置いてくれたら俺黒の鞄言いながら取りいく」時代でもないです。不謹慎ですみません。m(__)m
払えばどうなる？
攻撃者を名乗る側は、100万ドル（約1億5,700万円）を日本時間10月27日正午までに払うよう要求。
※ドル円が100円なら1億円で済むのに。。と思ってしまうのはFXトレーダーの職業病のようなものでしょうか。
払われなければ、利用者のPCをランサムウェアで攻撃し、盗んだ情報を公開する。そう予告しています。（日本経済新聞、セキュリティ対策Lab）
イヤ過ぎますね。利用者からすれば何もできず、GMOと攻撃者の交渉結果を待つしかありません。
利用者のPCに侵入できる状態なので、PC内の全ての情報にアクセスできる状態ですから、被害はFX運用口座の範囲に収まりません。
払わなければどうなる？
過去、類似の事件で脅迫者に支払った（と推測される）ケースの内、8割程度が再度被害にあっていると言われています。つまり支払ったところで人質が解放される保証も確約もありません。※身代金の支払いは公にされないケースが多いので確実な話とは言えません。あくまで推測となります。
GMOは、要求に応じない方針で、脅迫の通信記録は警察に提出したと公表しています。（GMOインターネット第4報）
GMOの熊谷正寿代表のブログでは、10月21日時点で5,000万ドル（約80億円）の要求があり、その後100万ドルまで下がったとされています。
いやディスカウント率半端ないですが、どうなんでしょう?「お買い得ぅ」、とは、ならない気がしますが、一旦払って時間を稼ぐ作戦とかもあるんですかね?
※くどいようですが、もしドル円100円なら50億、、と思うとホント為替って怖いですよね。逆に為替変動を見方に付けられればFXトレーダー冥利に尽きるってものですが。
「7年放置」は本当？ 公式の主張、攻撃者の主張
SNSでは「7年放置」という言葉が広がっています。出どころは、攻撃者が10月24日に公開した説明です。分けて見ると、こうなります。
| 公開された内容 | 主張している側 | 出典 |
|---|---|---|
| システムにセキュリティ上の問題があった | 公式が認めた | 公式 |
| 攻撃前に、社内のホワイトハッカーが改善課題を指摘していた | 熊谷代表のブログで説明 | 報道 |
| 現場は対策を進めたが、深さと速さが足りなかった | 熊谷代表のブログで説明 | 報道 |
| 危険な構成が2019年から続いていた（＝7年） | 攻撃者の主張。公式は期間を公表していない | 未確認 |
| 仮想サーバーをActive Directoryで管理し、共通の管理者権限で横に動けた | 攻撃者の主張 | 未確認 |
| 解約済みのサーバーが残っていた | 攻撃者の主張 | 未確認 |
| 初回の侵入経路、悪用された欠陥 | 公式は公表していない | 未確認 |
「7年」という数字は、今のところ攻撃者側からの説明のみで、熊谷代表はその事に否定も肯定も言及していません。ただ自社のホワイトハッカーから改善提案されていたにも関わらず対応が間に合わず「間隙」を突かれたと説明しています。
7年が事実なら間隙とは言えないだろ！が、今、炎上している点でもあります。ま、宇宙の歴史を考えたら7年は一瞬ですが。。そういう事でしょうか。（違うと思うよ）
利用者はどうすれば良い？個人のPCが本当に乗っ取られる？
脅迫の中身は、VPSの話にとどまりません。VPSに接続した利用者のPCまで狙うと言っています。
鍵になるのが、リモートデスクトップ（RDP）の「ドライブ共有」です。自分のPCのドライブを、接続先のVPSから見える状態にする設定です。攻撃者は、この設定が使われていた環境から、利用者PCのファイルを集めたと主張しています。
どういう事かというと
VPSとはネット上にある別宅のようなものであり、その別宅へは「どこでもドア（鍵付き）」を使う事で、本宅から別宅へ直接入る事ができます。
つまりそのドアを使えば別宅側からも本宅側へ入る事ができます（鍵は必要）。今回、犯罪者に別宅に侵入されているので本宅も脅威にされされているのです。
そもそも別宅の鍵（複数の別宅のマスターキー）を管理人（GMO）が盗まれたので、すべての別宅にやすやすと侵入され、その別宅から各本宅へ侵入され乗っ取られる事となります。攻撃者からすればやりたい放題です。（怖すぎますね）
その為、次のような対策が必要です。
- 取引口座やツールのパスワードを変える
- ログイン中のセッションをすべて切る
- PCのフルスキャンをかける
- バックアップを取る
最も堅実なのはPCの電源を切っておく事だと思います。物理的にアクセスできなければ相手は何もできませ。但し自分も何も出来ないですが。。その後はスマホでニュースを随時確認して、安全が確保されたニュースが報道されればアクセスする感じですね。
その他の対策は前回記事をご参考ください：PHPの脆弱性とGMOのFX VPS被害、及び当サイトのPHP状況の報告
PHPの脆弱性が原因？これって同じ事件？
GMOの公式発表に、PHPへの言及はありません。
一方で熊谷正寿代表のブログでは、PHPへ言及する文があります。が、PHP脆弱性と本件を結び付ける書き方はしてません。このあたりがなんとも誤解を生むように仕組まれている気がしてなんだかモヤモヤしました。（邪推ではありますが）あたかも自社のセキュリティ軽視の問題でなくPHP脆弱性を突いた現代特有の問題だと、読者が誤認しやすい文章運びになっている気がします。とは言え、正しく読めば因果関係について一切触れていないので間違った事は言っていません。
お名前.comのレンタルサーバーは、別のサービスとしてPHPの修正パッチを適用したと公式に報告しています。デスクトップクラウドとは、切り分けて見る必要があります。
PHPの件はなにもVPSに限った問題ではありません。ネット上の7割のサイトに関係します。私のサイトの状況は前回の記事で報告しています。
GMOが政府に頼んだ「能動的サイバー防御」は申請する制度ではない
GMOは10月24日、攻撃に使われた基盤を国主導で追跡・遮断し、無力化するよう政府に緊急要請しました。今回の事案を、制度の「発動第1号」にしてほしいとも求めています。（GMOインターネット第4報）
制度の中身は、こうです。
| 項目 | 内容 | 出典 |
|---|---|---|
| 根拠 | 「サイバー対処能力強化法」。2025年5月に成立し、2026年10月1日にアクセス・無害化措置などの規定が施行 | 報道 |
| やる人 | 警察と自衛隊。企業ではない | 報道 |
| やること | 攻撃に使われるシステムにアクセスし、プログラムの停止や削除などを行う | 報道 |
| 条件 | 警察の措置は重大な危害のおそれなどが要件。原則、独立機関の承認が必要。国外のサーバーなら外務大臣との事前協議も要る | 報道 |
| 企業の立場 | 企業が攻撃者に反撃する制度ではない。企業が申請する枠組みも、法律上はない | 報道 |
熊谷正寿代表は10月25日のブログで、GMOが法律上の「特定社会基盤事業者」にあたらないことは理解していると説明しています。そのうえで、国民の金融資産への影響を踏まえて、適用の可能性を検討してほしいと訴えました。（ITmedia NEWS）
政府は、個別の事案への対応を明かしていません。木原官房長官は10月26日の会見で、措置を実施するかどうかは、要請の有無にかかわらず法律の要件に照らして判断すると述べました。（日本経済新聞）私が確認した範囲では、政府が「発動第1号」と認めた情報はありません。
SNSでは「自社の不備を国の問題にしている」という批判が多いと報じられています。AIが攻撃に使われたという根拠も示されていません。支持する声は少数とされています。（ITmedia NEWS）
要請と発動は、別のものです。10月27日正午の期限に、政府の措置が間に合うとは限りません。
今回の疑問点
Q. 「7年放置」は本当か？
期間は未確認です。公式が認めているのは、システムにセキュリティ上の問題があったことと、攻撃前に社内から改善課題の指摘があったことです。7年という数字は、攻撃者の主張です。
Q. PHPの脆弱性が原因か？
確認されていません。GMOの発表にPHPへの言及はなく、侵入経路も公表されていません。攻撃者の説明どおりなら、設定の問題で、PHPのバグとは別問題です。ただし、これも未確認です。
Q. 政府は「能動的サイバー防御」を発動するか？
発動したという情報は、私が確認した範囲ではありません。GMOが10月24日に要請した段階で、実施の判断は政府が法律の要件に照らして行います。
Q. 自分のPCは大丈夫か？
GMO(のサービスで)VPSに接続しドライブ共有を使っていた場合は、念のため確認が必要です。安全の為、PCのフルスキャンをかけるのが良いと思います。※この方法で安全を保証するものではありません。
Q. MT4とMT5どちらが安全か？
今回の件を受けてセキュリティ面を比較・調査した結果は先日こちらの記事に公式資料を調査してまとめましたのでご参考ください。
最後まで読んで頂き、ありがとうございます。記事が役に立ったと思った時は、ブログランキングのバナーをクリックして頂けると励みになります。
関連記事
以下のクリックで応援して頂けると嬉しいです。
いつもして頂いている方本当に有難う御座います。
↓
