日本のGMOに対するサイバー攻撃：取引口座が荒らされ、GMO Coinは無傷を主張

取引ロボットがその所有者に対して反転しました。 日本で、GMOインターネットは、外国為替トレーダーがMT4やMT5を稼働させるために利用する仮想サーバーサービス「お名前.com デスクトップクラウド」で顧客情報の盗難を確認しました。自社の取引所GMO Coinは、自社の口座で不正な取引が確認されていないと述べています。

この記事の重要なポイント：

• GMOインターネットは、外国為替トレーダーによって使用される「お名前.com デスクトップクラウド」で顧客情報の盗難を確認しました。
• グループの暗号通貨取引所GMO Coinは、不正な取引から免れたが、ユーザーに追加のセキュリティ対策を講じるよう勧告しました。
• 一部のサーバーでマルウェアが発見された後、GMOは身代金の支払いを拒否し、サイバー防御のために国家の介入を求めました。

GMO Coinは無傷だが警戒中

GMO Coin、グループの暗号通貨取引所は、10月23日に警告を発表しました。現時点で顧客の口座に不正な取引が確認されていないと明言しています。

それでも、取引所はユーザーに取引履歴と残高を確認し、パスキーと接続通知を有効にするよう求めています。特に、未使用または不明なAPIキーを削除することを勧めています。APIキーは、サードパーティのソフトウェア、例えばボットがあなたの代わりに注文を出すための鍵です。

グループのステーブルコインは、GMOインターネットが発表した5つの報告書には一切登場しません。GYENとZUSDは、いずれもニューヨークのGMOトラストによって発行されており、いずれも清算中です。保有者は2026年11月11日まで、攻撃とは無関係に等価で買い戻すことができます。

GMOのサーバーで何が起こったのか

すべては10月19日の顧客からのメッセージから始まりました。翌日、GMOインターネットは一部のサーバーにマルウェアがインストールされていることを発見しました。10月21日午前4時、ホスティング業者はすべてのサービスを停止しました。

26,739台のサーバーという数字がXで多く流布されています。これは正確ですが、潜在的に危険にさらされているマシンの数を指しています。GMOは、実際に侵害されたサーバーの数ではないと明言しています。

問題は、これらのマシンに何が含まれていたかにあります。トレーダーは、ブローカーに常時接続されたMT4およびMT5ソフトウェアを稼働させていました。顧客は、決して出していない注文が通過するのを目撃しました。日本のメディアは、神奈川県のある個人が約400万円を2秒で失ったと報じています。

OANDA Japan、XMTrading、Titan FX、AXIORY、IronFXは、顧客にパスワードの変更を求めました。10月22日、金融庁（FSA）は、外国為替ブローカーに対し、業界団体を通じて異常な取引を監視するよう求めました。

身代金の拒否と国家への呼びかけ

10月24日付のGMOの第4報告書は、顧客情報が確かに流出したことを確認しています。企業はどの情報が流出したかは明らかにしていません。また、金額は公表されていない身代金の要求を受けたことも明らかにしました。

脅迫はGMOの公式発表に詳細に記載されています。攻撃者は、70以上の日本および外国のブローカーに開設された口座で破壊的な注文を出し続けること、顧客データを公開すること、ランサムウェアを起動することを約束しています。この70という数字は、攻撃者自身から来ています。公式な確認はありません。

GMOは支払いを拒否し、警察にやり取りを送信しました。グループは不正な注文による損失を補償し、影響を受けたかどうかにかかわらず、各顧客に5,000円を支払います。サービスは復旧しません。

【重要】「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第4報）

お客様には、多大なるご迷惑とご心配をおかけしておりますこと、心より深くお詫び申し上げます

以下の対応を決定しましたのでご報告します
①ご利用中の全てのお客様へ、お見舞金5,000円をお支払い...
--- GMOインターネットグループ (@GMOGroup) 2026年10月24日

さらに異例なことに、GMOは政府にサイバー防御の実施を求めました。これは10月1日に施行された法律で、警察または自衛隊が攻撃者のサーバーを遠隔で無力化することを許可します。メディアからの質問に対し、政府の事務局長木原稔は特定のケースについてコメントを拒否しました。彼によれば、国家は企業の要求の有無にかかわらず、無力化の必要性を判断します。

日経によると、政府は今晩、サイバー攻撃の一連の対応のために関係閣僚を招集しています。

暗号ボットとVPS：同じ弱点

MT5をグリッドトレーディングボットに置き換え、外国為替ブローカーをBinanceに置き換えます。図式は同じです。多くの暗号トレーダーは、スクリプトを昼夜問わず稼働させるためにVPSを借りており、APIキーはマシン上に平文で保存されています。

日本はこれらの脆弱性の代償を知っています。2024年5月、DMM Bitcoinは4,502.9 BTC、約3億500万ドルを失いました。FBIと日本の警察は、この盗難を北朝鮮のグループTraderTraitor、Lazarusの一部に帰属させました。この取引所は2024年12月に閉鎖を発表しました。

GMOに関しては、現時点で著者を特定する手段はありません。手法も異なります。誰もウォレットを空にしていません。攻撃者は被害者のアクセスを利用して資本を破壊するために損失注文を出しました。

もしボットが借りたサーバーで稼働しているなら、そのAPIキーは決して引き出し権を持つべきではなく、そのサーバーのIPアドレスに制限されるべきです。GMOの顧客は、11月6日までに補償の条件を受け取ります。