GMOインターネット、Onamaeへの不正アクセスで顧客データが公開された可能性

何が起きたのか

GMOインターネットは2026年10月27日、同社のブログで、Onamae Desktop Cloudへの不正アクセスに関連して、攻撃者とみられる人物が顧客や同社事業に関連するとみられる情報を公開したと発表しました。同社は公開された内容を確認中としており、漏えいした情報の範囲や件数は明らかにしていません。TechCrunchの取材に対し、同社広報は回答していません。

経緯は同社の公表でたどれます。10月21日に不正アクセスを確認してサービスを停止し、このとき攻撃者から約80億円(約5,000万ドル)を要求するメールが届いたとされています。10月22日には警察へ報告し、10月24日には顧客への補償と代替サービスの提供を表明、10月25〜26日にはマルウェアの検知のために顧客から端末を回収し始めたとされています。

同社は影響を受けた可能性のあるサーバーを27,000台としています。また顧客の取引アカウントで「不正な操作」が行われたとの報告を受け、パスワードの再設定を呼びかけています。ただし、これらの操作がどの程度の規模だったのかは示されていません。

金融トレーダー向けVDIの意味

Onamae Desktop Cloudは、金融トレーダー向けに仮想デスクトップを提供するサービスです。仮想デスクトップ(VDI)は、手元の端末ではなくデータセンター側の環境で業務画面を動かす仕組みで、端末にデータを残しにくく管理しやすい半面、認証情報が漏れると取引環境そのものに侵入されうるという性質があります。

今回は取引アカウントでの不正操作の報告があり、パスワード再設定と端末回収という対応が取られています。端末を回収してマルウェアを検査するのは、侵害経路や影響範囲を特定するための調査とみられます。金融取引に関わるサービスだけに、影響は情報漏えいにとどまらない可能性があります。

Artexとの関係は未確認

この事案の約1週間前、GMOインターネットのサイバーセキュリティ部門は、中国製のAIを活用したペネトレーションテスト(侵入テスト)ツール「Artex」が日本国内の企業を狙った攻撃に使われた証拠を確認したと、別途報告していました。ただし同社は、ArtexとOnamaeの侵害との関連を公には示していないとしています。

CrowdStrikeが今月公表した報告書によれば、Artexは9月に韓国の金融機関への攻撃にも使われました。これらの攻撃は多要素認証(MFA)の欠如など、弱いセキュリティ統制を突くものが中心だったとされています。Reutersによれば、Artexの中国の開発元は銀行を狙った攻撃と関連づけられた後、公開アップデートを停止し、ツールをクローズドソース化したということです。

日本の金融庁(FSA)の広報はTechCrunchに対し、5月に金融機関向けのガイダンスを出し、サイバーセキュリティ上の脆弱性が増えることに備えるよう求めていたと述べています。「脆弱性管理、多層防御、インシデントへの備え」といった基本防御の強化を求め、AIなどのセキュリティツールの活用も推奨したとされています。今回の事案への直接の言及かどうかは明らかではありません。

まだ分かっていないこと

現時点で不明な点は多くあります。公開された情報が本物かどうか、漏えいした顧客情報の種類や件数、27,000台という数字の内訳、そしてArtexとの関連の有無はいずれも公表されていません。GMOインターネットの広報がTechCrunchの取材に回答していないことも、情報が限られる理由の一つです。

同社は顧客にパスワード再設定を呼びかけていますが、取引アカウントの不正操作がどの程度あったのかは明らかにしていません。今後、調査の進展に応じて続報が出るかどうかが焦点になります。