お名前.comデスクトップクラウド不正アクセスで今やること｜GMOの見舞金・補償と何が起きたかを公式発表で整理【2026年10月】

お名前.comデスクトップクラウドの不正アクセスで、使っていた人が今日やることは3つだと僕は読んでいます。FX取引に使っていない端末からのパスワード変更、ログイン中の全セッションの切断、手元のPCのフルスキャンです。どれも、GMOインターネットが第3報・第5報・第6報で求めている手順です。

僕の会社はデスクトップクラウドを使っていませんが、同じお名前.comのレンタルサーバーで会社のサイトを動かしています。そのサーバーのFTPは、2026年10月25日の朝からつながらなくなりました。

この記事は2026年10月27日13時10分時点の公式発表（第9報まで）をもとにしています。新しい発表があれば追記します。検証していない被害の部分は出典を付け、推測は推測と書きました。自分は対象か、何から手を付けるかを立場別に確かめてください。

お名前.comデスクトップクラウド不正アクセスの時系列：第1報から第9報まで

公式の発表は、10月21日の第1報から10月27日11時59分時点の第9報まで9回出ています。予告の時刻を過ぎた10月27日13時10分に公式のお知らせ一覧を確かめた時点で、第10報はまだありません。

日時は、公式の告知にある「〇時点」の表記に合わせています。

僕がいちばん注意してほしいのは、第1報と第4報で中身が変わった点です。第1報の時点では個人情報の漏えいは確認されていませんでしたが、第4報で状況が変わりました。

第4報は「お客様の情報が外部に持ち出された事実を確認しております」と書いています（GMOインターネット 第4報）。古い報の表現を、今の事実として読まないでください。

第7報：10月27日12時の「情報公開とランサムウェア攻撃」の予告

10月26日23時10分時点の第7報で、GMOは攻撃者とみられる者らから予告を受けていると公表しました。10月27日（火）12時に、利用者の情報の公開とランサムウェア攻撃を行うという内容です。

同じ第7報によると、10月25日に端末の調査への協力を呼びかけ、全国の利用者から申し出がありました。社員が利用者のもとへ出向いて端末を預かり、グループのホワイトハッカーが解析しています。

解析では、ランサムウェアを含むマルウェアの有無と、対処法を調べているとしています。要求には応じず、警察などと連携する方針です。要求額は、第7報の経緯の欄に「約80億円」と書かれています。

第7報の時点で、予告の時刻までに手元でできるとされたのは、第6報が改めて求めた4つでした。フルスキャン、ネットワークから切り離したバックアップ、別の端末からのアカウントの保護、任意の調査への協力です（下の立場別の①②④）。12時の前に出た第8報・第9報で、お願いが1つ増えています。

第8報・第9報：12時の前に「電源を落として」と依頼。解析した端末からマルウェアは見つかっていない

10月27日9時58分時点の第8報で、GMOは12時の予告に備えた新しいお願いを出しました。12時になる前にバックアップを取り、ネットワークを切り、電源を落として、PCにつながっているコードを抜くという内容です（10時56分に文章を訂正）。

続く11時59分時点の第9報によると、グループのホワイトハッカーが解析を終えた端末からは、ランサムウェアを含むマルウェアは確認されていません。ただし解析は続いていて、すべての利用者の端末の安全を確かめたものではない、とも書いています。

第9報では、ランサムウェアの被害に遭った人への対応も示されました。お問い合わせ窓口に申し出ると、被害の状況を確かめたうえで、被害に遭ったPCと同等の性能の新しいPCを提供するとしています。

第8報・第9報には、トレンドマイクロなどのセキュリティ企業やAI企業から協力の申し出があり、具体的な内容を調整中だとも書かれています。要求に応じない方針と、警察などと連携する方針は変わっていません。

予告の12時を過ぎて実際に何が起きたかは、13時10分時点の公式の告知には書かれていません。電源を落としたPCをいつ、どう使い始めてよいかも、第9報までには書かれていません。

僕なら、続報を別の端末で確かめてから電源を入れます。入れるときもネットワークにつながない状態で、②のオフライン スキャンから始めます。これは公式の手順ではなく、僕の考えです。

金融庁も10月22日付でFX業者に注意を促した（報道）

朝日新聞によると、金融庁は10月22日付で、金融先物取引業協会を通じてFX業者に通知を出しました。顧客へのパスワード変更の呼びかけと、身に覚えのない取引の確認を求める内容です。

この通知は、10月26日朝の時点で金融庁の報道発表の一覧には載っていません。報道で確かめられる範囲の情報として扱ってください。

GMOが政府に求めた「能動的サイバー防御」

GMOの説明では、能動的サイバー防御とは、重大な攻撃で被害が広がる前に、国が主導して攻撃者の基盤を特定し無力化する枠組みのことです。内閣官房の資料では、その実現に向けてサイバー対処能力強化法などが2025年5月に成立しています。

GMOは第4報で、本件をその「発動第1号」事案と位置づけ、政府関係機関に強く具申したと発表しました（GMOインターネット 第4報）。

ただ、政府が今回の要請にどう応じたかは、10月27日11時59分時点の第9報にも書かれていません。今の段階は「GMOが求めた」までです。

熊谷氏は10月25日のブログで、補償やシステムの刷新にかかる費用はすべて自社で負担すると書いています。Xの投稿でも、税金で助けてもらう意図はないと説明しました。

対象はデスクトップクラウド全プラン：公式に書いてあること・書いていないこと

公式の発表の対象は、第1報から一貫して「お名前.com デスクトップクラウド」の全プランです。レンタルサーバーやドメインなどほかのサービスは、影響が「ある」とも「ない」とも書かれていません。

よく見かける26,739件という数にも注意が要ります。第3報はこの数を「対象となり得るサーバー数であり、不正アクセスまたは情報取得が確認された件数ではありません」と注記しています（お名前.com 第3報）。

公式の告知にある内容と、まだ書かれていない内容を分けました。

右の列のことは「まだ分からない」として扱うのが安全だと、僕は考えています。被害の件数や総額を書いた投稿を見ても、公式の告知にない数字は確かな情報ではありません。

同じ時期、お名前.comではPHPの脆弱性への対応や、全サービスの申込み手続きの緊急メンテナンスも告知されています。どれも理由は別に書かれ、本件との関係は書かれていないので、この記事でも結びつけません。

何が危ないのか：取引口座のログイン情報と、接続していた手元のPC

危ないのは2つです。サーバーに保存していた取引口座のログイン情報が使われることと、そのサーバーに接続していた手元のPCまで影響が及ぶおそれです。

取引口座のログイン情報が使われ、不正な取引が起きた

第2報は、取引ツール（MT4/MT5など）と取引口座の認証情報が第三者に閲覧された可能性を示しました。第4報では、一部の利用者から口座での身に覚えのない取引の報告を受けていると書いています。

朝日新聞は10月23日、神奈川県の利用者が10月21日に、2秒ほどの間に400万円を超える損失を出したと報じました。公式の告知には、被害の件数や金額の記載はありません。

第4報には、攻撃者とみられる者から金銭を要求されたことも書かれています。脅しの中に「70を超える証券会社・FX会社等」の口座への不正操作の継続があります（GMOインターネット 第4報）。これは脅しの中身で、被害を確認した社数ではありません。

GMOは「攻撃者からの要求には応じません」としています（GMOインターネット 第4報）。応じても、取られた情報の削除や不正利用の防止が保証されないためです。

パスワードを変えても止まらない「セッション」の問題

第3報が強く求めたのは、パスワードの変更と全セッションの切断の両方です。ここでいうセッションは、ログインした後に保たれる接続の状態を指します。

FX会社のサーバーの仕様によっては、パスワードを変えても今のセッションがしばらく残り、第三者が取引を続けられる場合があると公式は説明しています。パスワードをもう変えた人も、切断はあらためて必要です。

接続していた手元のPC：「Reverse RDP」の指摘はまだ確かめられていない

公式の告知で確かめられるのは3点です。脅しの中に、接続した利用者のPCの情報の公開とランサムウェア攻撃があります。第5報は手元の端末のフルスキャンを先頭に置き、端末への影響も調査中としています。第7報では、利用者から預かった端末の解析を始めています。第9報では、解析を終えた端末からはマルウェアが確認されていないとしつつ、すべての端末の安全を確かめたものではないとしています。

これに対し、日本証券ニュース（note・10月25日）が、RDPのドライブ共有の危険を指摘しています。RDPのドライブ共有とは、手元のPCのドライブを、接続先の画面から開けるようにする機能のことです。

接続先が乗っ取られると、この機能を通して手元のファイルを読まれるおそれがあります。

同記事はこれを「Reverse RDP」と呼び、配られた接続設定でドライブ共有が初めから有効だったとも書いています。お名前.comの公式の接続ガイドには、その記載は見当たりませんでした。

セキュリティ対策Lab（10月25日）は、攻撃者の資料にある手元のPCのログについて、本物かどうか確認されていないと明記しています。外部に送られた証拠もないとしています。

なお「Reverse RDP」という言葉は、もとはCheck Point Researchが2019年に発表した別の研究の名前です。言葉だけが一人歩きしないよう、この記事では「接続先から手元のPCへ逆向きに影響が及ぶおそれ」と言い換えます。

僕の見立てでは、一度でも接続した人は「手元のファイルも見られた可能性がある」前提で動くのが安全です。証拠が出ていない段階でも、確かめる手間の方が、後から被害に気づく損より小さいからです。

GMO不正アクセスの対策：立場別に今日やること

まず、自分がどの立場かを決めてください。デスクトップクラウドを使っていた人は①〜④を全部、お名前.comのほかのサービスだけの人は⑤、会社のIT担当は⑥です。

僕が最初に手を付けるなら、①と③の「別の端末から変える・全セッションを切る」です。お金が動く口座から先に止めるのが、被害を広げない順番だからです。

① デスクトップクラウドを使っていた人（解約した人も）

1. FX取引に使っていない端末（スマホや別のPC）から、取引口座と取引ツールのパスワードを変える（公式・第3報、第5報）
2. ログイン中の全セッションを切る。マイページで切れなければ、業者の窓口に頼む。変更済みの人もやる（公式・第3報、第5報、第6報）
3. サーバーに保存していたIDとパスワードを書き出し、全部変える。サーバーは止まっているので、メモや手元のパスワード管理から思い出す（変更は公式。洗い出しの方法は推奨）
4. 攻撃者を名乗るメールやメッセージは、URLもファイルも開かず、返信しない（公式・第3報、第5報）

解約した人が対象に入るかは、公式に書かれていません。当時のパスワードを今も使っているなら、同じ手順をやっておくのが安全だと僕は考えています（推測）。

② そのサーバーに接続していた手元のPC

1. Windows Updateとウイルス対策の定義ファイルを最新にしてから、フルスキャンをする。クイックスキャンでは足りない（公式・第5報、第6報）
2. 「Windows セキュリティ」の「ウイルスと脅威の防止」から、オフライン スキャンもかける。PCが再起動するので、開いているファイルは先に保存する。結果は「保護の履歴」で見られる（マイクロソフト）
3. バックアップは、ネットワークから切り離した状態で外付けのドライブに取り、終わったらPCから外して保管する。公式も、バックアップしたファイルの扱いに注意を求めている（公式・第5報、第6報）
4. このPCのブラウザに保存したIDとパスワードは、別の端末から変える（第5報の「ブラウザに保存」が、どちらのブラウザか書かれていないため）
5. 今後もRDPを使うなら、「リモート デスクトップ接続」の「ローカル リソース」で、ドライブとクリップボードの共有を外す
6. ランサムウェアの被害に遭ったら、お名前.comのお問い合わせ窓口に申し出る。被害の状況を確かめたうえで、同等の性能の新しいPCを提供するとしている（公式・第9報）

手元に残っている接続用の.rdpファイルは、右クリックの「プログラムから開く」でメモ帳を選ぶと中身を確かめられます。ダブルクリックすると接続しに行くので避けてください。

drivestoredirect:s:* があれば、すべてのドライブを共有する設定です。共有しない設定は drivestoredirect:s:（空欄）です。

クリップボードは redirectclipboard:i:0 なら共有しません。どちらもマイクロソフトのRDPプロパティの説明によります。

スキャンで何も出なくても、「安全」とは言い切れません。脅威が見つかった、知らないアプリがある、ファイルが開けないときは、自分で直そうとせずIPAの相談窓口やメーカーのサポートに相談してください。ランサムウェアの被害なら、6のとおりお名前.comの窓口にも申し出てください。

③ FX・証券の口座

1. 会員ページのパスワードと取引ツールのパスワードを、FX取引に使っていない端末から変える（①の1と同じ）
2. 取引履歴と残高を確かめる。身に覚えのない取引は、まず取引先の業者に連絡する（公式・第3報）
3. 業者が二段階認証を用意していれば設定する（公式・第3報）
4. 出金先の口座、登録したメールアドレスと電話番号が変えられていないかも見る（一般的な対策）
5. 被害があれば、取引履歴の画面やCSVを保存する。補償では、日時・内容・損失額が客観的に分かる情報が求められる（公式・第4報）
6. 業者に、取引の取り消しや返金ができないか相談する（GMOが求めている）

FX各社も告知を出しています。たとえばOANDA証券は10月22日、MT4/MT5のパスワード変更と二段階認証、取引履歴の確認を案内しました。自動売買の再開やポジションの扱いは投資の判断なので、この記事では勧めません。

④ 同じパスワードをほかのサービスでも使っていた人

1. デスクトップクラウドに保存した、または入力したパスワードと同じものを使うサービスを全部書き出す
2. メール → 銀行・証券・決済 → クラウドストレージ → 仕事のアカウント → SNS の順に、サービスごとに違うパスワードへ変える
3. 二段階認証かパスキーをオンにする（公式・第5報、第6報の多要素認証の有効化）
4. メールは、勝手に作られた自動転送や振り分けの設定がないかも確かめる
5. 心当たりのない連携アプリ・ブラウザの拡張機能・登録端末を消す。点検が終わるまで、ブラウザの同期はオンにしない（公式・第6報）

メールを最初にするのは、ほかのサービスのパスワード再設定の連絡がそこに届くからです。メールを取られると、ほかを変えても取り返されるおそれがあります。

⑤ お名前.comのほかのサービス（ドメイン・レンタルサーバー・メール）だけの人

1. お名前.com Naviのパスワードを使い回していないか確かめる。2026年9月28日からパスキーでのログインが使える。登録はNaviの「マイページ > ログインセキュリティ > パスキー認証設定」から（公式）
2. ドメインのネームサーバー、DNSの設定、登録者の情報が変えられていないか見る（一般的な対策）
3. PHPを使うサイトは、PHPの脆弱性への対応を確かめる。お名前.comは、レンタルサーバーの全PHPバージョンにパッチを当てたと告知している（ベーシック・RS・AIホームページパック。10月22日20時45分時点）
4. 10月25日〜26日にFTPがつながらなかったなら、レンタルサーバーの緊急メンテナンス（ベーシック・RS・AIホームページパック。10月25日0時30分〜10月26日20時10分ごろ）によるもの（公式）
5. お名前.comを名乗るメールのリンクは開かず、ブックマークか公式アプリから入る

3のパッチは、PHPのバージョン番号を上げずに修正だけを入れたものです。そのため、WordPressの「サイトヘルス」などに古い番号が出ても、自分で変える必要はないと告知されています。

⑥ 会社のIT担当

1. 社員や部署が、個人のカードでデスクトップクラウドやほかのVPSを契約していないか確かめる。IPAは10月9日の注意喚起で、外部サービスを部署単位まで洗い出すよう求めている
2. 使っていた人がいれば、接続に使った業務PCを特定してスキャンする。ログなどの記録は消さずに残す
3. 社内のRDPでドライブ共有を止める。接続先はグループポリシーの「ドライブ リダイレクトを許可しない」を有効にする。接続元はレジストリの DisableDriveRedirection を1にする（マイクロソフト）
4. そのPCや接続先に顧客の個人データがあったなら、漏えいの「おそれ」でも個人情報保護委員会への報告が要る場合がある。法務・総務と早めに相談する
5. 「補償・見舞金・乗り換え」をうたうメールのリンクを踏まないよう、今日のうちに社員へ伝える

3のポリシーを有効にすると、クリップボードを使ったファイルのやり取りも止まると、マイクロソフトは説明しています。業務で必要な部署だけ例外にする形が現実的です。

困ったときの相談先

• デスクトップクラウド・見舞金・補償・ランサムウェアの被害：お名前.com のお問い合わせ窓口、電話 03-5456-2560（土日祝を含め24時間）
• 不正取引・口座：取引している証券会社・FX会社の窓口（まずここ）
• 被害の届け出・脅迫：都道府県警察のサイバー犯罪の相談窓口（警察庁の相談窓口の一覧）
• PCの感染が心配：IPAの情報セキュリティ安心相談窓口

見舞金5,000円と損失補償の受け方：10月30日と11月6日の案内を待つ

見舞金も損失補償も、今は自分から申請する段階ではありません。見舞金の手続きは10月30日（金）23:59まで、損失補償の申請方法は11月6日（金）までに、登録メールと公式サイトで知らされる予定です。

2つは別のもので、対象も中身も違います。第4報と適時開示（10月24日）で並べるとこうなります。

取引所などが返金に応じなくても、対象の損失はGMOが支払うとしています。熊谷氏もブログで、その場合も対象となる損失の全額を支払うと書いています。

僕なら今のうちに、取引履歴の画面とCSV、業者とのやり取りを保存しておきます。案内が届いてから集め始めるより、慌てずに済むからです。

いちばん気を付けたいのは、補償をかたる連絡です。GMOは、補償の手続きでパスワード（閲覧専用パスワードを除く）や暗証番号を聞かないと明言しています。それ以外のパスワードを聞いてくる連絡は、偽物を疑ってください。

10月26日の第6報・第7報と、10月27日の第8報・第9報には、見舞金と補償の新しい日付や金額はありません。第7報は、10月24日に決めた見舞金・補償・代替サービスの詳細を第4報に任せています。

別枠として、第9報ではランサムウェアの被害に遭った人に、被害に遭ったPCと同等の性能の新しいPCを提供するとしています。申し出先は、見舞金・補償と同じお問い合わせ窓口です。

見舞金の対象に、停止の後に解約した人が入るかは書かれていません。サービスサイトでは、返金規定（SLA）での扱いも決まり次第知らせるとしたままです。気になる人は、公式の窓口で確かめてください。

お名前.comのレンタルサーバーを使う僕の会社で起きたこと：FTPが10月25日から2日近く止まった

僕の会社のサイトを動かすお名前.comのレンタルサーバーで、10月25日の朝からFTPがつながらなくなりました。お名前.comはレンタルサーバーのFTPを同じ日の0時30分から止めていて、時刻と症状が合います。

最後にFTPで公開できたのは、10月24日22時17分です（公開の記録）。翌25日の7時45分ごろ、朝の定期公開でFTPの接続が拒否され、やり直しても同じでした。

10月25日は、コラムの公開枠5つ、SNS記事の公開4回、既存記事の改善1回が、すべてFTPの接続拒否で止まりました。サイトの表示と、サーバーからのメール送信は、その間も普通に動いています。

止めていたのは、ベーシック・RS・AIホームページパックのファイルマネージャーとFTPです。理由は予防保守の観点とされています（お名前.com レンタルサーバーのメンテナンス告知）。

告知は10月26日20時13分に更新され、メンテナンスは20時10分ごろに終わりました。僕の会社でも、10月26日20時55分にFTPへ再びつながることを確かめ、同じ日の22時5分の定期公開は成功しています。

公式はこのメンテナンスと不正アクセスの関係を書いていないので、僕は結びつけずに受け止めています。まだFTPがつながらない人は、メンテナンスの終了を告知で確かめたうえで、お名前.comの窓口に問い合わせてください。

FTPにつながらないときの確かめ方と、10月28〜30日のホスト名変更で直す設定は、お名前.comのFTPに接続できない原因と戻った時刻に分けて書きました。

FTPが使えない中で、外から読み取りだけでサイトを点検した

それでも、同じ会社のサービスで不正アクセスがあった以上、自社のサイトが書き換えられていないかは確かめたいところです。そこで10月26日の朝、僕の会社ではAIのエージェント（Claude Code）に、外から読み取るだけの点検をさせました。

やったのは、防御側の確認の手順だけです。

1. 自社で把握している公開ファイルの一覧を作る（サイトマップ・手元のビルド・社内の記録から680件）
2. 1件ずつHTTPSで問い合わせ、サーバーが返す最終更新日時を記録する。フォームの送信先やプログラムは叩かない
3. 10月19日以降に更新されたファイルを、自社の公開の記録と突き合わせる
4. 手元に同じファイルがあるものは、中身の指紋（ハッシュ）を比べる
5. 全ページで、外から読み込んでいるスクリプトの読み込み先を数える

結果は次の表です。自社の作業で説明できない変更は、表に出ている範囲では見つかりませんでした。

この点検で分かるのは、自社が名前を知っているファイルだけです。知らないファイルが新しく置かれていても見つけられず、サーバーの設定やアクセスログも見ていません。

不正がないことの証明ではなく、「説明できない変更が表に出ていないか」の一次確認です。僕の会社の点検メモでは、FTPが戻った後の作業として、ファイル一覧の確認とFTPのパスワードの変更を挙げています。

FTPが戻ってまとめて上げるときは、置いた後のサイズの照合も入れています。手順はcurlのFTPSアップロードが0バイトになる時の直し方に書きました。

なお、RSプランの一部の利用者には、10月28日〜30日にIPアドレスとホスト名が変わるメンテナンスも予定されています。10月14日に掲載された、事件の前からの予定です。

対象者には別途メールが届くとされています。FTPの接続先を設定している人は、見落とさないでください。

乗り換えを考えるときの注意：代替サービスは本人の同意なしに移されない

GMOの代替サービスは乗り換え後6か月無償で、本人の同意なしに移されることはありません。開始時期と申込方法は10月30日23:59までにメールで届く予定なので、それを待ってから比べるのが順番だと僕は考えています。

GMOは、今の基盤をそのまま再開せず、セキュリティの仕組みを根本から作り直すとしています。代替サービスは独立したクラウドの基盤で動くもので、名前はまだ公表されていません。

どこに移るにしても、次の点は共通です。特定の会社を勧めるものではありません。

• 新しい環境には、新しいパスワードを使う。古いものを使い回さない
• 接続アプリのドライブ共有とクリップボード共有をオフにする（②の手順）
• サーバーには自動売買に必要な最小限のログイン情報だけを置く。サーバー上のブラウザで銀行やメールにログインしない
• 自動売買のプログラムや設定ファイルは、作者や配布元から入れ直す。止まったサーバーや事件前に移したファイルをそのまま使わない
• 「乗り換えキャンペーン」をうたうメールやSNS広告のリンクから申し込まない。各社の公式サイトを自分で開く
• 無料期間が終わった後の料金と契約条件を、申し込む前に確かめる

日本証券ニュースも、止まったサーバーから救い出した自動売買のプログラム（EA）のファイルは改ざんされているおそれがあるとして、安易に再実行しないよう勧めています。作者や配布元から入れ直すのは、そこから一歩進めた僕の考えです。改ざんされていないと言い切れないファイルを、新しい環境に持ち込まないためです。

あわてて別の会社に移ると、DNSやメールの設定ミスで別のトラブルを招くこともあります。お名前.comのほかのサービスだけの人は、引っ越しより先に点検とパスワードの強化で十分だと僕は見ています。

まとめ

• お名前.comデスクトップクラウドでは、10月20日に不正なプログラムが見つかり、10月24日の第4報で、利用者の情報が外部に持ち出された事実を確認したと発表された
• 10月26日の第7報で、10月27日12時に情報の公開とランサムウェア攻撃を行うとの予告を受けたと公表された。11時59分時点の第9報では、解析を終えた端末からマルウェアは確認されていない。ランサムウェアの被害に遭ったら窓口へ申し出ると、被害の状況を確かめたうえで同等の性能の新しいPCが提供される
• 26,739件は「影響の可能性があるサーバー」の数で、「70社超」は脅しの中身。どちらも確かめられた被害の数ではない
• 使っていた人は、別の端末からのパスワード変更・全セッションの切断・手元のPCのスキャンが先
• 見舞金5,000円の案内は10月30日、損失補償の案内は11月6日までに登録メールへ届く予定。パスワードを聞く連絡は疑う
• 僕なら、まず「お金が動く口座」から止めます。次に手元のPC、最後にほかのサービスの順で、今日のうちに片付けます