【第4報】お名前.comデスクトップクラウド、全利用者に5,000円・不正取引は補償｜攻撃者の脅迫には応じず

「お名前.com デスクトップクラウド」へのサイバー攻撃で、GMOインターネットグループとGMOインターネットは10月24日、第4報を公表しました。現在の利用者全員へのお見舞金5,000円、取引口座で起きた不正取引による損失の補償、代替サービスの6か月無償提供を発表しています。

あわせて、攻撃者とみられる者から金銭を要求され、応じなければ情報を公開するなどと脅されていることも明らかにしました。GMOは要求に応じない方針で、政府に対して「能動的サイバー防御」の発動を要請するとしています。この記事では、第3報（10月23日）と第4報の公式発表をもとに整理します。これまでの経緯は第1報・第2報の記事をご覧ください。

第3報・第4報で分かったこと
お見舞金・補償・代替サービス
攻撃者からの脅迫とGMOの方針
1. 緊急の防衛措置と政府への要請
利用者が至急やるべきこと（第3報）
問い合わせ先
公表内容から読み取れること（考察）
関連記事
まとめ
出典

第3報・第4報で分かったこと

サービスのシステムにセキュリティ上の問題があり、不正アクセスと利用者情報の外部への持ち出しを確認（第4報）
一部の利用者から、取引口座での身に覚えのない取引の報告を受けている
攻撃者とみられる者から金銭の要求と脅迫を受けているが、GMOは応じない
現在の利用者全員に一律5,000円のお見舞金を支払う
不正取引で実際に生じた損失を補償する
現行のシステム基盤は再開せず、代替サービスを6か月無償で提供する

お見舞金・補償・代替サービス

お見舞金：現在の利用者全員に一律5,000円

本サービスを現在利用しているすべての人に、金銭的な被害の有無にかかわらず、一律5,000円が支払われます。下記の不正取引の補償とは別枠です。連絡方法、受け取りの手続き、支払い時期は、10月30日（金）23:59までに登録メールアドレスへ案内されます。

不正取引による損失の補償

不正アクセスが原因で、本人の意思によらない取引（不正取引）が行われ、取引口座に生じた実現した損失が補償の対象です。

項目	内容
対象	GMOが調査の結果、不正アクセスに起因すると認めた取引で実現した損失（取引の差損、手数料など）
対象外	市場の変動による損失、得られたはずの利益、その他の間接的な損害
確認方法	GMOが取引記録やアクセス記録などで確認。追加資料の提出を求める場合がある
取引所等からの返金	返金があればその額を差し引いた残額をGMOが支払う。返金されない場合もGMOが支払う
申請方法の案内	11月6日（金）までに公式サイトと登録メールアドレスで案内

被害がある人は、対象取引の日時・内容・損失額が分かる情報を準備し、取引先の証券会社・FX会社などに、第三者の不正アクセスによる取引であることを説明して、取引の取り消しや返金を相談するよう求められています。提出手順の詳細は別途案内されます。

申請では、本人確認書類の提出や、GMOが取引履歴を直接確認するための閲覧専用パスワード（MT4/MT5の閲覧専用パスワードなど）の提示を求める場合があるとしています。一方で、それ以外のパスワードや暗証番号をGMOが尋ねることはないと明記しています。

代替サービスと6か月の無償化

GMOは、不正アクセスを受けた現行のシステム基盤をそのまま再開せず、セキュリティの仕組みを根本から作り直すと判断しました。Windowsデスクトップ環境を引き続き使いたい人には、独立したクラウド基盤で運用されている代替サービスへの乗り換えを案内し、乗り換え後6か月間は無償になります。

利用者の同意なく移行されることはありません。提供開始時期、申し込み方法、移行を希望しない人の契約と料金の扱いは、10月30日（金）23:59までにメールで知らせるとしています。

攻撃者からの脅迫とGMOの方針

第4報によると、GMOは攻撃者とみられる者から金銭を要求され、応じなければ次の行為に及ぶと連絡を受けています。

国内外の70を超える証券会社・FX会社などにある利用者の取引口座への不正操作（不正な注文で口座残高を減らす）を続ける
本サービスや、本サービスに接続した利用者のPCに関する情報を公開し、ランサムウェア攻撃を行う
GMOのシステムや運用体制に関する情報を公開する

GMOは要求には応じないとしています。応じても、取得された情報の削除や不正利用の防止が保証されないためです。通信記録などの証拠は警察のサイバー犯罪対策部門に提出し、刑事事件として捜査を要請しています。

攻撃者が、GMOや利用者に関する情報と称するものを公開する可能性もあり、事実と異なる内容が含まれるおそれがあるとしています。GMOからの正式なお知らせは同社のページなどで行うとして、不確かな情報への注意を呼びかけています。

緊急の防衛措置と政府への要請

GMOは、主要な取引所・証券各社に対して、本サービス経由のアクセスの遮断、すべてのログイン中セッションの強制切断、不正取引の緊急監視と抑止を要請・連携しています。影響を受けたシステムのネットワーク接続も止めています。

さらに、取引口座を狙った不正操作は民間事業者だけでは防ぎきれないとして、本件を「能動的サイバー防御の『発動第1号』事案」と位置づけ、国が主導して攻撃基盤を追跡・遮断・無力化するよう、政府関係機関に緊急要請したとしています。

利用者が至急やるべきこと（第3報）

第3報では、利用者への依頼がさらに具体的になりました。

取引口座と取引ツール（MT4/MT5など）のパスワードを変更する。変更はFX取引に使っていない端末（スマートフォンや別のPCなど）から行う
ログイン中の全セッションを切断する。パスワードを変えても、事業者のサーバーの仕様によっては既存の接続が一定期間残り、第三者が取引を続けられる場合があるため、証券会社・FX会社のマイページで切断するか、窓口に依頼する。パスワード変更済みの人も必ず行う
取引履歴と残高を確認し、身に覚えのない取引があれば取引先にまず連絡する
二段階認証が使えれば設定する
サーバー内やブラウザに保存していたID・パスワードもすべて変更する
攻撃者を名乗る者からメールなどが届いても、URLやファイルを開かず、返信しない
予防として、自分のPCやスマートフォンをウイルス対策ソフトでフルスキャンし、データのバックアップを取る

最後の項目は、攻撃者が「本サービスに接続した利用者のPC」にも言及していることと関係するとみられます（筆者の推測です）。GMOは、利用者の端末への影響も含めて調査中としています。

問い合わせ先

お問い合わせフォーム：https://help.onamae.com/contact/
電話：03-5456-2560（土日・祝日を含め24時間）

公表内容から読み取れること（考察）

ここからは、公式発表をもとにした筆者の考察で、推測を含みます。

第4報で状況は大きく変わりました。第3報までは「影響の可能性」と「調査中」が中心でしたが、第4報ではGMO自身がシステムのセキュリティ上の問題と情報の持ち出しを認め、利用者への補償に踏み込んでいます。被害の有無を問わない一律のお見舞金と、実損の補償を分けた設計は、迅速さと公平さを両立させようとしたものと考えます。

一方で、攻撃者が「70を超える証券会社・FX会社」の口座操作を続けると脅している点は深刻です。パスワードを変えてもセッションが残れば取引を止められないという第3報の注意は、この攻撃が情報の窃取ではなく、ログイン済みの取引環境そのものを狙っていることを示しています。利用者側でのセッション切断と、事業者側での強制切断の両方が欠かせない状況です。

「能動的サイバー防御」は、国が主導して攻撃者のインフラを無力化することまで想定した仕組みです。民間企業が個別の事案で発動を公に求めるのは異例で、政府がどう応じるかも今後の焦点になりそうです。

お名前.comデスクトップクラウドに不正アクセス｜約2.7万件に影響の可能性、全サーバー停止（第1報）
【第2報】お名前.comデスクトップクラウド、取引口座で不正操作の報告｜MT4/MT5のパスワード変更を至急