序章

2026年10月，GMOインターネットのFX自動売買向けVPS「お名前.com デスクトップクラウド」が不正アクセスを受け，利用者のFX口座が勝手に取引されて資金を失う被害が相次ぎました。その後，攻撃者を名乗る人物が脅迫サイトを公開し，GMOだけでなく被害者本人にもメールを送っています。この記事では，公開情報だけを使ってこの攻撃者を調べてみました（脅迫サイトのインフラ，GMO宛ての脅迫メール25通，Xの被害報告など）。 ※攻撃者の主張やXの被害報告には検証できないものが多いです。一応，メール画像の宛先と被害者の口座ID・パスワード・管理番号は黒塗りにしています。平tセ/家ラエ，母体がやらかす度に毎回「あの世界トップチームを抱えるはずの会社がまさか」って形容されるの可哀そう。ダークパターン網羅サービスの運営と一緒にされたくないよな分かるぞ（分からない）

概要とか

お名前.com デスクトップクラウドは，MT4やMT5といったFXの取引ツールを24時間動かしておくためのWindows仮想サーバー。利用者はサーバー上の取引ツールにFX口座のIDとパスワードを保存して，自動売買を回している。 GMOの発表では，影響の可能性があるサーバーは26,739件で，取引ツールに保存された口座のログイン情報が抜かれた可能性がある（決済情報はこのサーバーには置いていないとのこと）。侵入経路はまだ公表されていない。 | 日付 | GMOとFX業者の発表 | |---|---| | 10月19日 | 顧客の問い合わせを受けてGMOが調査開始 | | 10月20日 | 不正プログラムの設置を確認。新規申込とコントロールパネルを停止 | | 10月21日 4:00 | 全プランのサーバーを順次停止し，第1報を公表（この時点では「悪用は確認されていない」） | | 10月21日 | FX業者の外為ファイネストが，一部の口座で不正ログインと不正取引があったと公表し，該当口座の利用を制限 | | 10月22日 | GMOが第2報で「ログイン情報が取得され，不正に利用された可能性がある」と一転。警察に相談 | 攻撃の全体像（管理基盤への侵入は公表されていないので推定） ![攻撃の全体像](/img-tree/gmo/fig-overview.png) 図1：攻撃の全体像（推定）

脅迫サイト「coronamng[.]store」

攻撃者は `coronamng[.]store` というサイトを公開している。タイトルは「通告 — onamae.com desktop cloud」で，GMOに宛てた交渉用ページという体裁（パスワードなしで誰でも見られる）。 ![脅迫サイトのトップページ](/img-tree/gmo/site-index-top.png) 図2：トップページ（10月23日時点） 23日時点では「顧客アカウントの17%を破壊済み」「24時間で約77億円」「約2万7千台を押さえている」と書かれている（前日は「15%」「約66億円」）。 23日には次の追記もあった。 ![10月23日の追記](/img-tree/gmo/site-index-1023.png) 図3：10月23日の追記部分次は顧客データを公開する，GMOの一部の従業員がSNSのコメントを操作している証拠を握った，解約済みユーザーのサーバーからも認証情報やデータを抜いた，解約済みの顧客の残高もこれから消す，という内容（どれも裏付けはない）。 ![今後の計画ページ](/img-tree/gmo/site-plan.png) 図4：「今後の計画」ページ「今後の計画」では，残りの口座の破壊を続け，VPSから抜いた機密情報を公開したりダークウェブで売ったりすると予告している（見出しは「残り85%」なのに本文は「残る83%」で，同じページの中で数字が合っていない）。 ![タイムラインページ](/img-tree/gmo/site-timeline.png) 図5：攻撃者側の「タイムライン」攻撃者の言い分では「10月21日11:55に初めて通告し，17:00に破壊を始めた。通告から破壊まで5時間あった」。ただ，実際のメールの時刻とはまったく合わない（後述）。ほかに「送付先・連絡」と「破壊済み口座」のページもある。前者にはGMOの公開窓口26件と役職員33名分69アドレス，電話7回，メール25通の記録が並んでいる。顧客向けには「GMOから全額補償を受けられるよう，訴訟を支援する」と呼びかけている。顧客の怒りをGMOに向けさせて，支払いへの圧力をかけることが狙いかも？

【インフラ】

| 項目 | 値・所見 | |---|---| | ドメイン | `coronamng[.]store` | | 登録日 | 2026-08-31（Namecheap）。最終更新は2026-09-16 | | SSL証明書 | 2026-08-31に1枚発行（SSL Corporation） | | Aレコード | `198.54.116.91`（AS22612 Namecheap，米国） | | ホスティング | Namecheapの共有レンタルサーバー（cPanel，LiteSpeed）。同じIPに563件以上の無関係なドメインが同居していて，ここから別のサイトはたどれない | | MX / SPF | Namecheapのホスティングメール（jellyfish.systems）。SPF設定あり，DMARCはp=none | | アーカイブ | Wayback Machineに記録なし | | 悪性判定 | Google Safe Browsingは未検出。VirusTotalは1社のみsuspicious（Forcepoint） | | urlscan | 2026-10-22 16:34 UTC以降にスキャンが急増 | | その他 | 全ページに`track.php`が埋め込まれていて，閲覧者を記録しているっぽい | ドメインの取得，サーバーの契約，証明書の発行が8月31日の同じ日に済んでいる。つまり，事件が表に出る7週間ほど前から準備していたことになる。

GMO宛ての脅迫メール

脅迫サイトには，攻撃者がGMOに送ったメールのスクリーンショットが25枚載っている。 | 項目 | 内容 | |---|---| | 送信元 | `boromngap@gmail.com`（表示名「Dmitry Orlov」）。25通すべて同じアドレス | | 名乗り | 「Hacking Team」「お名前デスクトップに侵入したハッカー」 | | 連絡手段 | SimpleX（ユーザーIDを持たない匿名メッセンジャー）か，メールへの返信 | | 誘導先 | 交渉用のWebサイト（URLは攻撃者自身が画像上で黒塗りにしている） | | 交渉用サイトのパスワード | `ChangeMe!Admin1`（初期値？） | | 件名 | 「[!!!緊急!!!] Onamae Desktopをハッキングしました \| [!!!URGENT!!!] We have hacked Onamae Desktop」，「[!!!緊急警告!!!] \| [!!!URGENT WARNING!!!]」，「[現在の結果!] \| [Current Result!]」 | ![最初の脅迫メール](/img-tree/gmo/mail-05.png) 図6：最初の脅迫メール最初のメールは日本語と英語の併記で，10月21日14:00を期限にSimpleXで連絡するよう求めている。英文側の「Website Password」の行に，上のパスワードが残っていた。 ![緊急警告メール](/img-tree/gmo/mail-14.png) 図7：「緊急警告」メール「緊急警告」では，証拠として1口座の残高を全額消したと通知している（11,655,288円が0円に）。17:00から5分おきに合計50万ドル分を消し，2時間後には全残高（2億8000万ドル相当）を消すとも書いている。顧客に連絡するな，顧客とのメールは監視している，接触すれば顧客のローカルPCを暗号化する，という脅しもある。RDPのドライブリダイレクト（リモート接続時に手元のPCのドライブを共有する機能）を悪用して顧客の手元のPCにも入ったと主張している（裏付けはない）。 ![今，破壊した口座の通知](/img-tree/gmo/mail-15.png) 図8：「今，破壊した口座」の通知英語の短い通知では，残高がマイナスになった口座も報告されている（21,132,460円が-3,549,508円に）。 ![交渉拒否による破壊の通知](/img-tree/gmo/mail-09.png) 図9：「交渉を拒否したので破壊する」通知 ![2800万ドル消滅の宣言](/img-tree/gmo/mail-12.png) 図10：「2800万ドル消滅」の宣言主張する被害額は，累計約162万ドル，約176万ドル，2800万ドル（全残高の10%）と増えていく。最後のメールでは，顧客の機密データの公開とGMOの管理不備の証拠の公表を予告している。身代金の額はどのメールにも書かれていない。狙われた口座は，外為ファイネスト，XMTrading，IronFX，OANDA証券，Purple Trading（AXSE），IS6，アクシー証券などにまたがっている。攻撃者自身が「口座を破壊しても我々の利益にはならない」と書いているので，目的はお金を盗むことではなくGMOへの圧力？

X上の被害報告

【拡散状況】

![X上で特に拡散した投稿](/img-tree/gmo/fig-x-views.png) 図11：本件で特に拡散したXの投稿一番読まれたのは被害者本人の投稿で，ニュースメディアやGMO公式の投稿よりはるかに多い。23日午前には「お名前.comデスクトップクラウドで不正アクセス，FX口座被害相次ぐ」がトレンド入りしていて，テレビ東京報道局（[@taroapril23](https://x.com/taroapril23/status/2113291269623763269)）やTBSテレビ報道局（[@tbs_shakaibu](https://x.com/tbs_shakaibu/status/2113431279962390738)）が被害者に取材を申し込んでいる。

【被害者宛てのメール】

10月22日の夜，攻撃者は被害者本人にもメールを送り始めた。最初に公表したのは被害者の[@yutoriineet](https://x.com/yutoriineet/status/2113264833307267254)さん（22:42の投稿で590万回以上閲覧）。

お名前ドットコムに不正アクセスしたハッキングチームから今さっきメール来ました
今出回ってる脅迫文マジです
私の破綻させられた口座の番号，被害額一致しました#お名前ドットコム #不正アクセス #不正取引 pic.twitter.com/mG9hBatQG6
— ゆとにー (@yutoriineet) 2026年10月22日

翌朝には[@habenariara_](https://x.com/habenariara_/status/2113364352304820438)さんも同じ文面のメールを受け取ったと投稿していて，こちらの画像では本文中の `coronamng[.]store` のURLが隠されずに写っている。

私も被害うけました
ハッカー名のるメールもきてました pic.twitter.com/QgorVdsMN8
— いしもち (@habenariara_) 2026年10月22日

| 項目 | 内容 | |---|---| | 差出人 | 「Dmitry Orlov」（GMO宛てと同じ表示名） | | 件名 | 「お名前.com デスクトップクラウドアカウント破壊について」 | | 送信時刻 | 10月22日 22:29（被害者のスマートフォンの表示） | | 署名 | 「Hacking Team」と脅迫サイトのURL | | 宛先 | どちらの画面にも「全員に返信」ボタンがあるので，複数の宛先にCCで一斉送信している？ | 本文には，もともと口座を破壊するつもりはなかったがGMOが交渉に応じないのでやむを得ず実行していること GMOはパスワード変更とログアウトを求めているが自分たちはすでにログインしているのでログアウトでは防げないこと解約した人にも被害は及んでいること（被害者が）GMOから全額補償を受けられると確信している，訴訟で勝てるよう支援する，GMOに働きかけてほしいという内容が記載されている。なおGMOが第2報で「パスワード変更とログオフ」を呼びかけたのが22日17:15で，このメールはその約5時間後に届いている。本文もその呼びかけに正面から反論しているので，GMOの発表を読んでから顧客の不安をあおりにきたことも考えられる。ただ「ログアウトでは防げない」はFX業者側でパスワードを変えれば既存の接続は普通は切れるので，脅しのための誇張だと思う。 SNS上でもこのメールを実際に受け取った人がいた。例えば@yutoriineetさんは，メールに書かれた口座番号と被害額が自分のものと一致したと書き，GMO公式とGMOグループ代表にもそれを送っている（[投稿](https://x.com/yutoriineet/status/2113268783829881295)）。別の利用者の[@d9acOaMyTO99532](https://x.com/d9acOaMyTO99532/status/2113385632018087965)さんは，自分は最初期の被害者で，口座番号とパスワードだけを書いたメールに残高の破壊前後が載っていたと言っていて，GMO宛てメールの「証拠の1口座」（図7）と状況が一致する。一方で[@ashida_manami](https://x.com/ashida_manami/status/2113400136806355100)さんは，2018年から投稿のなかったアカウントが突然被害を訴えるのは怪しいと疑問を投げていた。確認したところ，@yutoriineetさんのアカウントは2017年3月に日本で作られていて，メールの件より前の22日15:49に300万円ほどの被害を，19:32には最初の取引でダウ平均を100ロット建てられたことを投稿していた。

朝の時点ではあまり被害報告なかったけど，とんでもない事になってるな
私も300万円ほど被害を受けました
全額補償してくださいね@m_kumagai @onamae_FX #お名前ドットコム pic.twitter.com/JSKQB7sRA6
— ゆとにー (@yutoriineet) 2026年10月22日

初手ダウ平均100ロットやられました#お名前ドットコム #不正取引 https://t.co/eGmtQ2vGFo pic.twitter.com/MDs2CASmwA
— ゆとにー (@yutoriineet) 2026年10月22日

【口座破壊の手口】

被害報告は22日の朝から一気に増えた。 | 投稿者 | 時刻（10/22） | 内容 | |---|---|---| | [@Sasakki0808](https://x.com/Sasakki0808/status/2113039706632126581) | 07:48 | 運用資金を全部勝手に取引されてなくなった | | [@RenmyFX](https://x.com/RenmyFX/status/2113042674194543091) | 08:00 | 外為ファイネストの口座で不正に取引され，55万円を失った（281万回閲覧） | | [@ichikaFX](https://x.com/ichikaFX/status/2113072931886784855) | 10:00 | フィンランドのIPからの不正アクセス。「DEMOFASTLOSS」という，わざと損失を出すEA（自動売買プログラム）で取引された（56万回閲覧。投稿者はEAの開発・販売者で，別の投稿ではFX業者の紹介リンクも貼っている。後述） | | [@yuukadaisuki65](https://x.com/yuukadaisuki65/status/2113128673402573224) | 13:41 | 海外FX口座でエキゾチック通貨を立て続けに売買され約68万円の損失。既存のポジションも強制決済された | | [@yutoriineet](https://x.com/yutoriineet/status/2113216803187114318) | 19:32 | 最初の取引でダウ平均を100ロット建てられた | | [@badtzryo1979](https://x.com/badtzryo1979/status/2113223849928163653) | 20:00 | 外為ファイネストの被害例では，1〜2秒おきに新規注文と即決済を繰り返していた |

拡散希望
まだ調査段階で仮説ですがわたしも同様にお名前のハッキングで口座番号情報が盗まれてパスワード総当たりで解読されて数百万の被害を受けたと思われます
わかってること
・フィンランドのIPからの不正アクセス
・DEMOFASTLOSSっていう損失をわざと出すEAで不正に取引… https://t.co/UQejdU9ueZ pic.twitter.com/lPHhw9BQdA
— いちか🌿☀️🦋 (@ichikaFX) 2026年10月22日

注目したいのは「DEMOFASTLOSS」というEAの名前。MT4/MT5の取引履歴にはEAの名前が残るので，複数の被害者が同じ名前を挙げているということは，攻撃者は盗んだ認証情報で自分のMT4/MT5から被害者の口座にログインし，同じ攻撃用EAを走らせていたと思われる（GMOが21日4:00にサーバーを止めた後も破壊が続いたこととも合う）。やり方は，取引量の少ない通貨や指数を高いレバレッジで売買し，新規と決済を短い間隔で繰り返すというもの。スプレッドと値動きで残高を削っていき，ロスカットに追い込む。「フィンランドのIP」は1人の報告で，VPNなどの出口の可能性が高い（攻撃者の居場所を示すものではないと思う）。

【FX業者の動き】

| 業者 | 内容 | 出典 | |---|---|---| | 外為ファイネスト | 10/21に不正ログイン・不正取引を公表し，該当口座を制限。原因を「他社サービス等から漏えいした可能性のあるID・パスワード」と説明 | [公式](https://www.gaitamefinest.com/news/6dBMXb)，[@seigo_xm_trader](https://x.com/seigo_xm_trader/status/2112890593764671564) | | IronFX（日本） | 10/21 22:53に利用者向けの注意喚起 | [@japan_ironfx](https://x.com/japan_ironfx/status/2112905223693812025) | | Fintokei | 10/22にVPS上のEA利用を一時控えるよう案内 | [@DavidFintokei](https://x.com/DavidFintokei/status/2113172113242694089) | | BigBoss | 10/22に公式サイトで注意喚起（補填への言及はない） | [公式](https://www.bigboss-financial.com/news?bigboss-lang=ja) | | Titan FX | 10/22に注意喚起（掲載先は本体ではなく，Titan FXから口座開設キャンペーンを委託されたFXPLUSのサイト） | [FXPLUS運営サイト](https://tfx.fxsignup.com/news-campaign/2026102201.html) | | Vantage，MyFX Markets，Ultima Markets | 注意喚起メールが届いたとの投稿あり（公式の告知は見つからなかった） | [@Myforex_CS](https://x.com/Myforex_CS/status/2113472752849928292) | | Tradeview | 利用者が損失の全額補填を報告（公式の発表はない） | [@ichikaFX](https://x.com/ichikaFX/status/2113270491846979771) | | DecodeFX | 利用者が一部（半分くらい）の補填を報告（公式の発表はない） | [@sontaku_zero_fx](https://x.com/sontaku_zero_fx/status/2113448929610358863) | 外為ファイネストは21日の時点で不正ログインを確認していて，攻撃者がGMO宛てのメールで「破壊」を始めたと言っている21日昼過ぎと時期が合う。なおTradeview/DecodeFXの「損失の全額補填」の話はかなり怪しいと思う。どれも利用者本人の投稿だけで，業者の公式な方針は確認できていない & 投稿者が業者から紹介報酬を受け取る立場にあるケースも混じっている。 Tradeviewでの全額補填を報告した@ichikaFXさんはEAの開発・販売をしている人で，この投稿の末尾には口座開設を勧める一文とともに，Tradeviewの紹介者コード（`ib=5233450`）付きの口座開設リンクが貼られている。

tradeviewは損失補填してくれる方針で今回被害額全て戻ってきました😭本当に神対応😭あと損失補填のスピード速かったです
ABOOKなのにすごいと思います
過去に出金トラブルないみたいだし
スイスフランショックで流動性不足で発生した損失も後日補填してたみたい… https://t.co/R0HMjs5xgz pic.twitter.com/87HGOtI3H1
— いちか🌿☀️🦋 (@ichikaFX) 2026年10月22日

これらの補填報告をまとめて拡散した[@Myforex_CS](https://x.com/Myforex_CS/status/2113472752849928292)は，海外FX業者の比較・情報サイト「Myforex」の公式アカウント。投稿自体に紹介リンクはなく，投稿を確認しただけで業者からの正式な連絡は確認していないと断ってもいる。ただ，Myforexの業者紹介ページの「新規口座開設」ボタンは紹介者コード付きで各業者の口座開設ページに転送される（MYFX Marketsなら`ibCode=629970`）。つまりMyforex自身も，紹介した業者で口座が開かれれば報酬を得る立場にあるので，業者の好意的な対応を広める投稿には利害が絡む（Titan FXの告知が載っているFXPLUSのサイトも，Titan FXの口座開設キャンペーンを委託されて運営されているもの）。

【話題】お名前.com VPSの損失「全て戻ってきた」との投稿も

不正アクセスによる高額被害が相次ぐ中，ブローカー側から補填を受けられたとの報告が出ています。

◆ 現在確認されている報告
Tradeview（相談手順の記載もあり）：https://t.co/BgbaMSRIRn

DecodeFX：https://t.co/YOJsgoB0XZ… pic.twitter.com/n2iuBuLAE9
— Myforex | 最新のマーケット情報を配信 (@Myforex_CS) 2026年10月23日

DecodeFXの一部補填を投稿した[@sontaku_zero_fx](https://x.com/sontaku_zero_fx/status/2113448929610358863)さんは，2025年7月に作られた投稿60件ほどの小さなアカウントで，プロフィールには紹介者ではなくユーザー目線で書くとある（直近の投稿に紹介リンクは見当たらなかった）。22日15:30に400万円あまりの被害を投稿していて（84万回閲覧），その後に補填されたと書いているので流れに不自然さはないものの，本人の申告以上の裏付けはない。返信の中には，XMから補填しないと連絡が来た人がいるという話もあった（これも又聞き）。

お名前.comまじでやってくれたな，，，海外fxのMT4ログインされて400万ちょいやられた，，，悲しすぎて立ち直れん，，，
聞く筋間違えてるとは思いつつも使ってる海外証券にも一応補填できないか確認中，，，，，はあ，，，，詰んだわ#お名前ドットコム #全損 #詰み #MT4 #海外FX
— ハエ🪰 (@sontaku_zero_fx) 2026年10月22日

自分が使ってる海外FXのDecodeFXさんがお名前.comのハッキングの件に対して一部補填してくれました😭
正直ブローカー側に非は無いと思っていたので，今回の対応に感謝しかないです！
この恩は一生忘れません😭
トラブル時の対応で会社の信頼度って問われますね🥹#DecodeFX #お名前ドットコム pic.twitter.com/6WYXi1HlIH
— ハエ🪰 (@sontaku_zero_fx) 2026年10月23日

【メール文面の日本語】

被害者宛てメールの日本語については，Xでも意見が割れていた。[@edgetation](https://x.com/edgetation/status/2113394479927644204)さんは日本人か日本語のできる人の文面でAI文ではないと言い，[@sugokazesan](https://x.com/sugokazesan/status/2113465252281205124)さんは敬語が中途半端で，AIか日本語が中途半端な外国人が関わっていそうだと言う。

文面が完全に日本人もしくは日本語を使える人だね
AI文じゃない。
— 空｜Kuu (@edgetation) 2026年10月22日

実際に並べて読むと，被害者宛てのメールは自然なビジネス日本語で，GMO宛てのメール（「である」調と丁寧語が混ざり，直訳っぽい言い回しが多い）よりかなり丁寧。送り先によって日本語の質がここまで違うのは不自然 → GMO宛てメールは攻撃者自らが現地語で書いて翻訳アプリで訳したか，それぞれで性能の異なる複数のLLMに草稿を書かせたのかも？

【世間の反応】

返信でいちばん支持を集めたのは，攻撃者が被害者の味方のような顔をしていることへの反発だった（[@SIG196362641](https://x.com/SIG196362641/status/2113401191325634942)，[@okigarugaming](https://x.com/okigarugaming/status/2113387187966443829)はどちらもいいね数千件）。[@elonpan2](https://x.com/elonpan2/status/2113432016196923777)さんは，被害者の怒りが自然と犯人よりGMOに向かうよう工夫されていると書いていて，脅迫サイトの作りを見るとたしかにそう見える。 GMOに向けた批判もある。[@rinrin_dgp](https://x.com/rinrin_dgp/status/2113404548316582338)さんや[@3Wxmw7Kvpo76505](https://x.com/3Wxmw7Kvpo76505/status/2113405181169951052)さんは，脅迫を受けていたなら顧客に知らせて注意を促すべきだったと指摘している。[@noritaka_okabe](https://x.com/noritaka_okabe/status/2113467863134859486)さんは，攻撃者は訴訟支援を掲げて上場企業から身代金を引き出そうとしていて，払っても攻撃が止む保証はないと書いている。脅迫サイトにGMO社員の社内アドレスが晒されていることを心配する声もあった（[@sissomoyashi](https://x.com/sissomoyashi/status/2113411814595997923)）。

【X上の誤情報】

お名前.comは銀行ではないので「口座破壊」はガセだ，という反応がわりと多かった。実際に被害が出ているのはFX業者の取引口座で，VPSに保存された認証情報が悪用されている。GMOあおぞらネット銀行やGMOクリック証券も被害を受けたのではという声もあったが，別会社の運営で今回の件とは関係ない（[@tkzwgrs](https://x.com/tkzwgrs/status/2113419420869771357)さんが整理している）。中国のハッキングチームだと判明したという投稿もあったが，根拠は見当たらない（家ラエがお気持ち表明したARTEXの件と混ざったのかも）。

中国のハッキングチームだとバラされたから，中国でしょうね
— ユウ｜現物ナンピン勢 (@Xkmygba) 2026年10月23日

5ちゃんねるのまとめには，ハッカーが顧客へのメールでPHPの脆弱性のせいにしたとあるが，確認した被害者宛てのメールにPHPの話は出てこない（同じ時期に騒ぎになっていたPHPの重大な脆弱性と混同されているのかも）。

2秒で失った400万円 GMO系サービスで「意図しないFX取引」 #お名前.com… pic.twitter.com/pSfwI2HWfq
— ２ちゃんねるニュース超速まとめ＋ (@2chnews3) 2026年10月23日

脅迫サイトが本当に攻撃者の作ったものかはまだ分からない，という慎重な声もあった（[@spring0168](https://x.com/spring0168/status/2113458649201090805)）。ただ，被害者に届いたメールの署名にこのサイトのURLがあり，口座番号と被害額も一致しているので，本物の攻撃者のサイトである可能性は高いと思う。

時系列

【Gmailの表示時刻（UTC）】

GMO宛てメールのスクリーンショットに出ているGmailの時刻は，日本時間ではなくUTC（日本時間にするには9時間足す）。 ![時刻表示がUTCである根拠](/img-tree/gmo/evidence-utc.png) 図12：最初の脅迫メールの時刻表示と本文の期限最初のメールの表示は「10月20日 21:54」だが，本文には「本日10月21日午後2時」とある。UTCとして読むと日本時間で10月21日6:54になり，「本日10月21日」と合う。「交渉に応じなかったので破壊する」というメールもUTCで5:07，日本時間で14:07で，期限14:00の直後にあたる。 ![メール送信時刻とGMOの対応](/img-tree/gmo/fig-timeline.png) 図13：GMO宛てメール25通の送信時刻とGMOの対応 ![X上の動きを含めた時系列](/img-tree/gmo/fig-x-timeline.png) 図14：攻撃者，被害者（Xへの投稿），FX業者，GMOの動き | 日時（JST） | 出来事 | 出典 | |---|---|---| | 8/31 | 脅迫用ドメインの取得，サーバー契約，証明書の発行 | WHOIS，証明書ログ | | 10/19 | 顧客の問い合わせでGMOが調査開始 | GMO | | 10/20 | GMOが不正プログラムを確認。新規申込とコントロールパネルを停止 | GMO | | 10/21 04:00 | GMOが全サーバーの停止を開始，第1報 | GMO | | 10/21 06:54〜07:12 | GMOへの最初の脅迫メール（グループ代表，広報，サーバー窓口宛て）。期限は14:00 | メール | | 11:37〜11:55 | 「緊急警告」。証拠の1口座を消したと通知し，17:00からの破壊を予告 | メール | | 12:33〜13:10 | 「今，破壊した口座」の通知が始まる（期限前に破壊を始めている） | メール | | 13:34〜13:40 | 追加の破壊口座を通知（累計約162万ドルと主張） | メール | | 14:05〜14:23 | 「交渉を拒否したので破壊する」と役職員の個人アドレスにも一斉送信 | メール | | 16:13 | 「すべて破壊した」と通知 | メール | | 10/21（21:55までに） | 外為ファイネストが不正ログイン・不正取引を公表 | 外為ファイネスト，X | | 10/21 22:53 | IronFX（日本）が注意喚起 | X | | 10/22 06:00〜06:06 | GMO宛てに「2800万ドル（全残高の10%）消滅」と宣言 | メール | | 10/22 07:48〜 | Xで被害報告が相次ぐ（55万円，68万円，300万円など） | X | | 10/22 10:00 | フィンランドのIP，攻撃用EA「DEMOFASTLOSS」の報告 | X | | 10/22 17:15 | GMOが第2報，警察に相談 | GMO | | 10/22 22:29 | 攻撃者が被害者にもメールを一斉送信 | 被害者のX投稿 | | 10/22 22:42 | 被害者がメール受信をXで公表（590万回閲覧） | X | | 10/22 23:05 | Tradeviewの利用者が損失の全額補填を報告（投稿にTradeviewの紹介リンクあり） | X | | 10/23 05:18 | 2人目の被害者が同じメールの受信を報告 | X | | 10/23 | 脅迫サイト更新（17%，約77億円，解約済み顧客への攻撃とデータ公開を予告）。Xのトレンド入り | 脅迫サイト，X | 脅迫サイトの「11:55に初めて通告し，17:00に破壊を始めた。通告から破壊まで5時間あった」という記述は事実と合わない。最初の通告は早朝6時台で，破壊は自分で決めた期限より前の昼には始まっている（GMOの責任が重く見えるように話を盛っているのかも）。

攻撃者について

【作業環境】

![Activate Windowsの透かし](/img-tree/gmo/evidence-watermark.png) 図15：スクリーンショット右下の「Activate Windows」メールのスクリーンショットの右下に「Activate Windows」の透かしが出ているので，ライセンス認証していない英語版Windowsで作業しているっぽい（GmailのUIも"Reply"，"1 day ago"などの英語表示）。時刻がUTC+0で表示されている点も手がかりになる。10月21日の時点でイギリスやポルトガルは夏時間でUTC+1なので当てはまらず，クラウド上のWindows仮想マシンが既定のUTC設定のままになっていると考えるのが自然。つまり使い捨ての仮想マシンから操作している可能性が高く，居場所は分からない（被害者が見た「フィンランドのIP」も，こういう中継環境の出口だと思う）。被害者の取引履歴に攻撃用EAの名前が残っていることからすると，この手の仮想マシンでMT4/MT5を動かして，盗んだ認証情報で被害者の口座に入っていたのかも。

【言語】

![英文の比較](/img-tree/gmo/evidence-english.png) 図16：長文の英語（上）と短い通知（下） GMO宛てのメールは英語が原文だと思う。「緊急警告」の英語版は自然でこなれた文で，日本語版はその直訳になっている（ダッシュ「——」の位置まで同じ）。一方で，手早く打ったらしい短い通知には「This is the another account」「These are another account」「before Below Deadline」のような冠詞や単数・複数の誤りが繰り返し出てくる。本人は英語も母語ではなさそうだが，どの言語の話者かまでは絞れない。長文は翻訳ツールかAIで整え，短文は本人がそのまま打っている運用なのかも？ GMO宛ての日本語版は「である」調と丁寧語が混ざり，「口座を破壊」「残高を抹消」のような直訳調の表現が目立つ。ところが被害者宛ての日本語は自然。被害額はどのメールでも一貫して米ドル建てで書かれている。

【サービスへの知識】

GMO宛てのメールでは「Onamae Desktop」「Onamae Cloud VPS」「お名前.com デスクトップVPS」と呼び方がばらばらで，正式名称を一度も使っていない。被害者宛てのメールでは「お名前.com デスクトップクラウド」と正しく書いているので，ここでも顧客向けの文面だけ別に整えたように見える。中心にいるのはサービスに詳しくない外部の人間で，内部犯行の線は薄いと思う。

【侵入範囲】

破壊した口座の一覧には，それぞれ「FDC」で始まる番号が振られている（図9・図10では黒塗り）。GMO側でサーバーや契約を管理する番号だとすると，攻撃者はGMOの管理番号と各サーバーに保存された認証情報を対応づけて持っていることになる。 GMOが最初に止めたのがコントロールパネルだったこと，攻撃者が解約済みサーバーのデータまで持っていると繰り返し主張していることを合わせると，サーバーを一台ずつ破ったというより，管理基盤のレベルで入られた可能性が高いと思う（外為ファイネストが原因を「他社サービス等から漏えいした可能性のあるID・パスワード」と説明しているのとも矛盾しない）。

【動機の変化】

攻撃者は「ネットワークを暗号化するつもりはなかった。顧客に気づかれないよう静かに進めたかった」と書いている（図7・図16）。もともとは気づかれないままアクセスを持ち続けるつもりだったのかもしれない。ところが10月19日に顧客の問い合わせで発覚し，21日4:00にGMOが基盤ごと止めた。計画はそこで崩れ，手元に残った認証情報を使った脅迫に切り替えたように見える（最初の脅迫メールは停止の約3時間後の6:54）。GMOが応じないと見ると，22日17:15の第2報から数時間後には被害者本人にメールを送り，顧客を通じた圧力へと段階を上げている。

【圧力のかけ方】

GMO宛てのメールは，グループ代表，広報，各サービス窓口，セキュリティ子会社，GMOグローバルサインのCEO，役職員の個人アドレスと，数時間のうちに宛先を広げている。役職員のアドレスは同じ人について名前の組み合わせ違いがいくつも並んでいて，パターンから機械的に作ったものに，流出データなどから拾った個人のフリーメールを足したように見える。電話は最初にシンガポールとタイの番号にかけ，その後で日本の番号にかけていた。被害者には一斉メールで脅迫サイトへ誘導し，GMOへの働きかけと訴訟をけしかけている。ただ，Xの反応を見るかぎり怒りの大半は攻撃者に向いていて，狙いどおりにはいっていない。

【OSINTの結果】

| 対象 | 結果 | |---|---| | `boromngap@gmail.com` | 流出データベースにもWebにも痕跡なし（この件のために作った捨てアカウントっぽい）。TikTokに同名アカウントが1件あるが，関係を示すものはない | | 表示名「Dmitry Orlov」 | NHL選手や作家と同じ，ありふれたロシア系の名前。偽装用に借りた名前の可能性が高い（むしろ偽の手がかりを疑ったほうがいい） | | X・Web（日英） | 攻撃者本人のアカウント，犯行声明，地下フォーラムでの販売，既知グループの名乗りは見つからなかった | | 攻撃用EA「DEMOFASTLOSS」 | 複数の被害者の取引履歴に出てくる名前（市販のEAかどうかは確認できなかった） |

利用者ができる対策

少なくとも，まずは取引口座とMT4/MT5のパスワードを，デスクトップクラウド以外の端末から変えて，ログオフ（セッションの切断）までしておくといいと思います。取引履歴と残高も確認し，DEMOFASTLOSSのような見覚えのないEA名や，自分では取引しない通貨・指数の売買があればFX業者に相談してみてください。あとはサーバー内に保存していたほかのIDやパスワード，同じパスワードを使い回している別のサービスも変えるのと，攻撃者は解約済みサーバーからも抜いたと言っているので，もう解約した人も当時保存していた認証情報は変えたほうがいいです。一応，TradeviewやDecodeFXでは補填されたという投稿が出ているので，FX業者に補填の相談をしてみるのも手ではありますが，公式の方針ではないし紹介報酬が絡む投稿もあるので，それを理由に口座を乗り換えるのはおすすめしません。

参考

- [GMOインターネットグループ公式発表（第2報）](https://group.gmo/info/alert/20261022/) - [お名前.com 第1報](https://www.onamae.com/news/article/11584) / [第2報](https://www.onamae.com/news/article/11593/) - [外為ファイネスト：不正ログインおよび不正取引に関するお知らせ](https://www.gaitamefinest.com/news/6dBMXb) - [piyolog：お名前.com デスクトップクラウドへの不正アクセスについてまとめてみた](https://piyolog.hatenadiary.jp/entry/2026/10/23/014520) - [なぜ漏れた：お名前.com デスクトップクラウド事案](https://nazemore.com/incidents/2026-1021-gmo-internet-onamae-desktop-cloud/) - [BleepingComputer：Japan's Onamae Desktop Cloud hacked](https://www.bleepingcomputer.com/news/security/japans-onamae-desktop-cloud-hacked-up-to-27-000-servers-affected/) - [Bloomberg：AI Tool That Hacked Korean Banks Was Used in Japan, GMO Says](https://www.bloomberg.com/news/articles/2026-10-20/ai-tool-that-hacked-korea-banks-were-used-in-japan-gmo-says) - [VirusTotal](https://www.virustotal.com/gui/url/8300de1cff6579ea5938e6c25f0bdbc886455cc6890aa6e0a6ffa99e610c1c60) / [urlscan.io](https://urlscan.io/result/01a1666b-ff7c-754e-a7b3-4f595e37cf54/)

「お名前.comデスクトップクラウド」不正アクセスについて攻撃者をOSINTしてみた