GMO不正アクセスの全経緯と、リモートデスクトップのドライブ共有を確認する方法

GMOインターネットの「お名前.com デスクトップクラウド」が不正アクセスを受けた件について、これまでの経緯、補償の内容、そして話題になっている「リモートデスクトップのドライブ共有」の仕組みと確認方法を、詳しく整理します。

📌 この記事は10月29日までのGMOの公式発表と報道をもとにしています。状況は日々動いているので、最新の情報はGMOの公式サイトで確認してください。

💻 どんなサービスが狙われたのか 「お名前.com デスクトップクラウド」は、インターネットの向こう側に自分専用のWindowsパソコンを借りられるサービスです。主な用途はFXの自動売買でした。自動売買のプログラムは24時間動かし続ける必要がありますが、自宅のパソコンをつけっぱなしにするのは、停電や回線の不安があります。そこで、クラウド上のパソコンにプログラムを置いておくわけです。

利用者は、手元のパソコンから「リモートデスクトップ」という機能でこのクラウド上のパソコンに接続し、操作します。遠くにあるパソコンの画面を、自分の画面に映して操作する仕組みです。

なお、今回対象とされているのはこのデスクトップクラウドで、お名前.comのドメイン登録とは別のサービスです。GMOは10月28日時点で、このサービス以外のグループのサービスへの影響は確認されていないと発表しています。

📅 日ごとの経緯（GMOの公式発表より） 🔹10月19日 利用者からの問い合わせを受けて、GMOインターネットが調査を開始。

🔹10月20日 一部の利用者のサーバーで、不正なプログラムが置かれていることを確認。新規の申し込みと管理画面を停止。

🔹10月21日 午前4時から全プランのサーバーを順次停止し、第1報を公表。同日、攻撃者とみられる者から脅迫メールが届く（GMOの発表では、要求額は約80億円）。この日以降、利用者から取引口座の不正操作の報告を受け付け始める。

🔹10月22日 金融庁が、業界団体を通じてFX事業者各社に注意を促す通知。

🔹10月23日 利用者に、取引口座などでログイン中のすべてのセッションを切断するよう依頼。

🔹10月24日 顧客の情報が外部に持ち出されたことを確認したと公表。あわせて、損失の補償、見舞金、代替サービスの方針を発表。影響を受けた可能性があるサーバーは2万6,739件（実際に被害が確認された数ではなく、対象になり得る数）。

🔹10月25日 熊谷代表がブログを公開。このサービスの問題点は社内のホワイトハッカーから事前に指摘されており、対策は進めていたものの、その深さとスピードが足りなかったと認める。利用者に、接続に使っていたパソコンの提出を依頼。

🔹10月26日 預かったパソコンの解析を開始。犯行グループから「27日の正午に情報を公開し、ランサムウェア攻撃を行う」と予告されていることを公表。

🔹10月27日 午前、利用者にデータのバックアップ、ネットワークからの切断、電源を切ることを依頼。正午過ぎ、犯行グループが「顧客のもの」と称する1人分の個人情報を公開したことを確認。午後、ランサムウェア攻撃は確認されていないと発表。夜、要求には今後も一切応じない方針と、特別お見舞金、懸賞金を発表。総務省が通信事業者の団体に、情報が掲載されたサイトへの接続遮断を要請したと報じられる。

🔹10月28日 情報が掲載されたサイトのドメインが停止されたことを確認。懸賞金の専用サイトを開設。預かったパソコンの解析で、ウイルスなどの痕跡は見つかっていないと発表（すべてのパソコンの解析が終わったわけではなく、調査は継続）。

🔹10月29日 犯人の特定につながる情報を入手し、警察に提出したと発表。

🗣️ 犯行グループは何を主張しているのか 10月26日、犯行グループは熊谷代表のブログに反論する形で、「GMOは1行消せば済む設定を放置していた」と主張しました。SNSで拡散した「1秒で終わる修正を怠った」という投稿は、この内容を紹介したものです。

その「1行」とは、リモートデスクトップで接続するときに使う設定ファイルの中の、ドライブ共有の設定です。犯行グループは、GMOが利用者に配っていた接続用ファイルに「手元のパソコンの、すべてのドライブを共有する」という設定が入っていて、それを足がかりに利用者のパソコンからも情報を取ったと言っています。あわせて、すべてのサーバーに共通の管理者アカウントがあった、とも主張しています。

❓ ただし、確かめられていないこと GMOは、この手口を認めていません。侵入経路も公表していません。

第三者による検証でも、次の点は確認できていないとされています。犯行グループが示した画像が、GMOが実際に配っていたファイルそのものかどうか。その設定がいつから続いていたのか。共通の管理者アカウントが本当にあったのか。

現時点では、「本当かもしれないし、事実に嘘を混ぜたものかもしれない」という段階です。

⚠️ 犯行グループの言葉を、そのまま信じてはいけない理由 犯行グループが詳しい反論を出す目的は、真実を伝えることではなく、会社にお金を払わせるための圧力です。利用者の不安をあおり、世間の批判を会社に向けさせれば、支払いに傾くかもしれない。そのために、確かめようのない話ももっともらしく混ぜてきます。

実際、犯行グループは「27日の正午に顧客のパソコンを攻撃する」と予告していましたが、その日に起きたのは1人分の情報の公開でした。ランサムウェアは確認されておらず、預かったパソコンからもウイルスなどの痕跡は見つかっていません。予告のすべてが実行されたわけではありません。

一方で、社内で事前に問題を指摘されながら対応しきれなかったことは、熊谷代表自身が認めています。攻撃者の主張だからといって全部が嘘とも限らない。だからこそ、「誰が言っていることなのか」を分けて見ることが大事だと思っています。

🔑 リモートデスクトップの「ドライブ共有」とは何か ここからは、今回の件を離れても役に立つ話です。犯行グループの主張が本当かどうかにかかわらず、リモートデスクトップを使う人には知っておいてほしい機能です。

ドライブ共有（ドライブのリダイレクト）は、本来は便利な機能です。接続先のパソコンから、手元のパソコンのファイルを開いたり、ファイルをやり取りしたりできます。例えば、手元にある資料を、接続先のパソコンで使いたいときに役立ちます。

問題は、接続先のパソコンが乗っ取られていた場合です。接続している間、乗っ取った者からも、共有されている手元のドライブの中身が見えてしまいます。🏨 ホテルの部屋（接続先）に入るときに、🏠 自宅（手元のパソコン）の合鍵を置いてきてしまうようなものです。

逆に言えば、届く範囲は「接続中の相手」と「そのとき接続している自分のパソコン」だけです。ドライブ共有をオンにしていたからといって、他の人のパソコンにまで広がるわけではありません。

🔍 自分の設定を確認する方法 Windowsの「リモートデスクトップ接続」を使っている場合は、次の手順で確認できます。

1️⃣ 「リモートデスクトップ接続」を起動し、左下の「オプションの表示」を押す 2️⃣ 「ローカル リソース」のタブを開く 3️⃣ 「ローカル デバイスとリソース」の欄にある「詳細」を押す 4️⃣ 「ドライブ」にチェックが入っていたら、必要な場合を除いて外す

接続用の「.rdp」ファイルを配られている場合は、そのファイルをメモ帳で開いて中身を確認することもできます。「drivestoredirect:s:*」という行があれば、すべてのドライブを共有する設定です。「drivestoredirect:s:」のように後ろが空なら、共有しない設定です。

⚠️ ひとつ注意があります。出どころが分からない「.rdp」ファイルは、ダブルクリックで開かないでください。開くと、そのまま接続しにいってしまいます。中身を確認するときは、メモ帳などで開くようにしてください。

💡 なお、Windowsの標準の設定では、ドライブは共有しないのが既定です。また、2026年4月以降のWindowsでは、接続用ファイルが共有を求めてきても、利用者が自分で選ばない限りオフになるよう変わったとされています。それでも、古い接続用ファイルを使い続けている場合などもあるので、一度確認しておくと安心です。

💴 補償とGMOの対応（全項目） GMOは要求には一切応じない方針を示したうえで、次の対応を発表しています。

• お見舞金 — サービスの現利用者全員に、被害の有無にかかわらず一律5,000円。受け取りの手続きは、10月30日にGMOから案内が出ています。
• 不正取引の損失補償 — 不正アクセスが原因とGMOが認めた取引で生じた損失（実際に確定した損失と手数料など）を補償。相場の変動による損失、得られたはずの利益、間接的な損害は対象外。取引所などから返金があった場合は、その分を差し引いて支払う。申請方法や支払い時期は、11月6日までに案内予定。
• 特別お見舞金 — 情報の公開が確認された人に、公開された情報の種類ごとに支払う。氏名や連絡先などの基本情報は1万円、取引口座のIDやパスワードなどの金融・認証情報は1万5,000円、機微な情報や要配慮個人情報は2万5,000円。複数にあたる場合は合計し、1回の公開につき上限300万円。上記のお見舞金や損失補償とは別に支払われます。
• 新しいパソコンの提供 — ランサムウェアの被害を申し出た人に、同等性能のパソコンを提供。
• 代替サービス — Windowsのデスクトップ環境を続けたい人に、独立した別の基盤で動くサービスを用意し、乗り換えから6か月間無料。利用者の同意なしに移行はしない。
• 懸賞金 — 犯人の特定・逮捕につながる情報に、総額で最大100万米ドル。

✅ いま、できること このサービスを使っていた方は、GMOの公式の案内に従ってください。そのうえで、次のことをおすすめします。

☑️ FX口座など、そのサーバーに保存していたログイン情報を、すべて変更する。クラウド上のパソコンとは別の端末から行ってください ☑️ 取引会社のサイトで、すべての端末からのログアウトを行う ☑️ 取引履歴、残高、注文、保有ポジションを確認し、身に覚えのない取引があればすぐに取引会社へ連絡する ☑️ 二段階認証を設定する ☑️ メールや業務システムなど、そのサーバーに保存していた他のログイン情報も、順に変更する

🙏 そして、このサービスを使っていない方も含めて、すべての人にお願いしたいことが2つあります。

🚫 ひとつは、公開された個人情報や、犯行グループのサイトを見に行かないこと。被害者をもう一度傷つけることになりますし、そうしたサイトを開くこと自体にも危険が指摘されています。

📩 もうひとつは、便乗した詐欺に気をつけること。「お見舞金の受け取りはこちら」「補償の手続きが必要です」といったメールやSMSが出回る可能性があります。お見舞金や補償の案内は、メールのリンクからではなく、自分で開いたGMOの公式サイトで確認してください。

✍️ 最後に 仮に犯行グループの主張どおりだったとすれば、使われたのは高度なハッキング技術ではなく、設定の隙間だったことになります。セキュリティの事故は、映画のような天才ハッカーよりも、こうした設定や運用の隙間から起きることのほうがずっと多い、というのが私の実感です。他社を責める気持ちはまったくありません。同じ仕事をしている者として、身が引き締まる思いです。

💬 続報があれば、この記事に追記していきます。分からない点があれば、お問い合わせページから気軽にどうぞ。仕組みの質問だけでも歓迎です。