不正取引に続く情報公開、被害対応が二つの局面に

GMOインターネットは10月27日、「お名前.com デスクトップクラウド」への不正アクセスを巡り、攻撃者とみられる者が同社と顧客に関する情報と称するものを公開したと発表した。一連の問題ではFX業者5社から関連すると考えられる顧客被害が金融庁に報告されており、取引口座への不正操作を防ぐ対応に加え、公開情報の拡散や詐欺への悪用を抑える対応が必要となった。

GMOが公開を確認したのは同日12時30分。FNNプライムオンラインによると、サイトには氏名や生年月日、電話番号、職業、法人口座に関する情報などが掲載され、攻撃者側は毎日正午に追加公開すると主張している。GMOは掲載内容の照合を進め、事実と異なる情報が含まれる恐れがあると説明したうえで、本人の情報が含まれることを確認した顧客には個別に連絡する方針を示した。

自動売買を支える外部環境から金融口座へ

調査の端緒は10月19日の顧客からの問い合わせで、GMOは翌20日に一部のサーバーで不正プログラムを確認し、21日午前4時から全プランのサーバーを順次停止した。24日にはシステムのセキュリティ上の問題と顧客情報の外部持ち出しを公表している。影響の可能性があるサーバーとして挙げた2万6739件は、被害対象となり得る範囲を示す数値だ。

同サービスは、クラウド上の仮想デスクトップでMT4・MT5などの取引ツールを動かし、利用者のパソコンの電源を切った後も自動売買を続けられる環境を提供する。OANDA証券は27日、同サービスから漏えいした可能性があるID・パスワードを使い、一部顧客の口座で不正ログインと不正取引が行われたと発表した。金融口座に接続する認証情報を外部環境に保存する運用が、攻撃の影響を取引先へ広げる接点となった可能性がある。

時事通信によると、片山さつき金融相は27日、OANDA証券、ゴールデンウェイ・ジャパン、アヴァトレード・ジャパン、外為ファイネスト、デューカスコピー・ジャパンの5社から関連する顧客被害の報告を受けたと説明した。各社は対象顧客の取引の一時停止や不正注文の遮断などを実施している。一方、ブルームバーグの取材に対し、SBI FXトレードの上田真理人社長はFX業界全体のイメージ悪化を懸念しており、業界内から信頼への影響を警戒する声も出ている。

接続の遮断と情報悪用への警戒を並行

利用者の口座を保護するうえでは、パスワードを変更した後の接続状態も重要になる。GMOは、取引先のシステムによって既存のセッションが維持される場合があるとして、全セッションの切断を求めた。OANDA証券は自社について、パスワード変更で過去の接続が即時に切断されると案内しており、利用者には取引先ごとの仕様に沿った対応が求められる。

認証情報の点検は暗号資産の自動売買にも関わる。GMOコインは23日、外部ツールへ登録するAPIキーの管理を呼びかけ、不要・不審なキーの削除や取引履歴の確認を要請した。また、GMOは公開サイトの閲覧者の情報が攻撃者側に取得されていると説明し、アクセスや拡散を控えるよう求めている。口座への接続を点検しながら、漏えいの確認や補償を装った不審な連絡にも警戒する必要がある。

コインベースの先例が示す情報流出後の課題

顧客情報を恐喝に使う手口では、米暗号資産取引所コインベースにも先例がある。同社は2025年5月、海外のサポート担当者が買収され、顧客情報を持ち出されたと発表した。攻撃者は同社を装って顧客に接触し、暗号資産を送金させることを狙っていたという。同社は2000万ドルの金銭要求を拒否し、関与者の逮捕・有罪判決につながる情報に同額の報奨基金を設けた。

GMOも要求を拒否する方針を維持し、27日夜には事件解明につながる情報を募る総額上限100万米ドルの懸賞制度を公表した。両事件は情報の取得経路が異なるものの、顧客情報を企業への圧力に使う点で共通する。コインベースの事例は、恐喝への対応後も、流出情報を使って顧客から資産を奪おうとする行為への対策が続くことを示している。

被害認定とサービス移行、実務の進展が焦点に

GMOは、公開情報に本人の情報が含まれると確認した顧客に特別見舞金を支払う方針を示した。基本情報は1万円、金融・認証情報は1万5000円、機微情報などは2万5000円で、複数区分は合算し、1回の公開につき上限300万円とする。サービス利用者への一律5000円の見舞金や、不正取引による損失補償とは別枠で対応する。

取引損失の補償は、GMOが本件に起因すると認めた不正取引の実現損失が対象となり、取引記録やアクセス記録などで関連性を確認する。OANDA証券はGMOの補償窓口を案内するとともに、申告に必要な取引履歴の確認・取得を支援すると表明した。被害認定を円滑に進めるには、金融事業者が持つ記録とGMOの調査結果を結び付ける作業が欠かせない。

GMOは基盤を刷新し、希望者に独立したクラウド基盤で運用する代替サービスを6カ月間無償提供する方針も示している。今後、利用者が確認すべきなのは、補償の申請・認定・支払いがどう進むかに加え、移行先で認証情報の保存や金融口座への接続をどう管理するかだ。被害回復と安全な取引環境の再構築を具体的に進められるかが、信頼回復の焦点となる。

公式発表：GMO