GMO Incident WatchGMO関連の不正アクセス・補償情報
JA

GMO Incident Watch 解説

GMO各社に被害は？ 証券・暗号資産・決済会社の公式声明を照合

GMOクリック証券・GMO外貨・GMOコイン・GMOペイメントゲートウェイ・GMOメディア・GMO TECHの声明と10月28日適時開示を比較。『自社への侵入なし』とVPS経由の口座リスクは別。

公開： ／ 更新： ／ 出典確認日：

10月28日の適時開示は「他サービスで影響を確認せず」

GMOインターネット株式会社（東証プライム・4784）は2026年10月28日、「お名前.com デスクトップクラウド」の不正アクセスへの対応方針を適時開示した。親会社のGMOインターネットグループ株式会社（9449）がグループ各社のサービスを確認しているとしたうえで、同日時点では対象のデスクトップクラウド以外に、本件による不正アクセスや情報漏えいなどの影響を確認していない、と説明している。

これは会社が調査中の状況を公表したものだ。グループの全製品・全アカウントを第三者が検証し、安全性を保証したという資料ではない。対象と同じ「GMO」の名を持つ事業だからといって、別サービスにも侵入が及んだと決めつける根拠もない。

GMO TECHは2日前に、自社サービスについて別途説明

10月26日にはGMO TECHホールディングスが利用者向けの声明を出していた。同社と連結グループ企業のサービスで今回の不正アクセスが発生したものではなく、発表時点で自社サービスの不正ログインや情報漏えいは確認していないという内容だ。

両資料の主語は違う。GMO TECHの声明が扱うのは同社とその連結グループ企業。10月28日のGMOインターネットの開示は、親会社が確認を進めるグループ各社のサービス全体について述べている。GMO TECHの「自社」とGMOインターネットの「当社」を取り違えると、影響範囲も問い合わせ先もずれてしまう。

証券・FX・暗号資産の3社は、口座の不正操作を確認していないと説明

10月26日、GMOクリック証券、GMO外貨、GMOコインは、それぞれ顧客向けに告知を出した。3社はいずれも、今回侵入されたのはGMOインターネットが運営するデスクトップクラウドであり、自社の取引サービスで起きた侵入ではないと説明。本件に関連する自社口座の不正操作も、発表時点では確認していないとしている。

ただし、この表現が指すのは各社のサービスと調査時点だ。別会社のアヴァトレード・ジャパンは10月23日、同クラウドを利用した一部顧客口座で不正ログイン・不正取引を確認したと発表している。取引会社ごとの確認結果を混ぜたり、『GMOの名前が付く口座なら安全』と拡大解釈したりすることはできない。

決済・メディア事業の発表は、取引口座とは異なる対象を調べている

GMOペイメントゲートウェイは10月26日、GMOメディアは27日に、自社のサービスについて今回の不正アクセスや情報漏えいなどの影響は確認されていないと公表した。26日のGMO TECHの声明も、同社と連結グループ企業のサービスで今回の侵入が発生したものではないという説明だ。

金融口座への不正操作を確認していないという証券・暗号資産各社の発表と、決済・メディア各社が自社システムへの影響を確認していないという発表では、点検している対象が異なる。10月28日のグループ全体に関する適時開示は、その後の時点を示すが、各社の回答を一つの被害ゼロ認定にまとめたものではない。

対象サーバー数26,739件をグループ全体の被害数にしない

10月23日の第3報が示した26,739件は、デスクトップクラウドで影響を受けた可能性があるサーバーの数だ。実際に侵入や情報取得を確認したサーバー数でも、顧客数でもない。この数値を根拠に、GMOグループのほかのサービスまで同数の被害が出たと説明することはできない。

一方で、デスクトップクラウド内に保存した取引口座の認証情報には不正取得・不正利用の懸念がある。別のGMOサービスの利用者かどうかではなく、今回の対象クラウドを使っていたか、そこに認証情報を置いていたかが確認の起点になる。

見舞金・損失補償と100万ドルの懸賞金は負担会社も違う

同じ10月28日の適時開示は、対応費用を6つの区分で示した。一律5,000円の見舞金、確認された不正取引の実現損失補償、条件を満たす利用者へのPC提供、特別見舞金、情報公開に伴う被害支援は、運営会社のGMOインターネットが負担する。一方、事件解明のための懸賞金（総額上限100万米ドル）は親会社GMOインターネットグループが負担する。

会社はこれらの総費用について、対象者数や取引の確認が確定していないため算定できないと記した。懸賞金の上限額を被害者への支払予定額と足し合わせたり、グループの損失総額と呼んだりすることはできない。

どの口座を確認するかは、VPSに保存した認証情報から考える

10月23日の注意喚起で、GMOクリック証券とGMOコインは取引履歴・残高の確認、パスキー、ログイン通知などの設定を勧めた。GMOコインは不要なAPIキーや心当たりのないAPIキーを削除するよう案内している。グループ企業が発表時点で自社の不正操作を確認していないことと、利用者自身の点検が不要なことは同義ではない。

デスクトップクラウドで取引ツールを使っていた人は、口座の提供元がGMOグループかどうかより、クラウド上に置いた認証情報を基準に確認する。安全な別端末からパスワードを変更し、取引会社の正規窓口で接続セッションの切断、注文・約定・残高の確認を行う。各社の発表は10月23日〜28日時点の状況であり、新たな判明事項は各社の公式告知で追う必要がある。

出典・確認した一次資料

本記事は公開資料を整理した一般情報です。GMO各社、行政機関、法律事務所の公式サイトではなく、個別の法律助言や補償申請・訴訟参加の受付を行うものではありません。発表後の変更は、リンク先の公式情報でご確認ください。

編集：GMO Incident Watch（編集方針・訂正窓口）