2026年10月、GMOインターネット株式会社が提供する「お名前.com デスクトップクラウド」で、不正アクセスが発生しました。F
今回の事件で気になったのが、クラウドサービスへの攻撃によって、利用者自身のPCに保存されているブラウザの閲覧履歴まで取得される可能性があるという点です。
通常、企業のサーバーが攻撃されたとしても、自宅PCのChromeやEdgeの閲覧履歴まで読み取れるとは考えにくいでしょう。
では、どのような仕組みで、そのような被害が起こり得るのでしょうか？
本記事では、GMOの公式発表とMicrosoftの技術資料を参考に、考えられる攻撃経路をIT初心者にもわかるよう解説します。
【本記事について】 本記事は、公開情報をもとに筆者が独自に調査・考察したものであり、GMOインターネット株式会社による公式な調査結果や見解を示すものではありません。 特に、攻撃者による主張、第三者の分析、筆者による技術的な推測については、公式に確認された事実と区別して記載しています。 本記事は2026年10月27日時点の情報をもとに執筆しています。 調査が進むことで被害状況や原因が変更される可能性があります。最新かつ正確な情報については、必ずGMOインターネット株式会社の公式発表およびお名前.comのお知らせをご確認ください。公式発表と本記事の内容に相違がある場合は、公式の最新情報を優先してください。
GMOの不正アクセス事件では何が起きたのか？¶
今回、不正アクセスを受けたのは、GMOインターネットが提供する「お名前.com デスクトップクラウド」です。
このサービスは、インターネット上にWindowsのデスクトップ環境を用意し、FXの自動売買ツールなどを稼働させるために使われています。
こうした仮想的なサーバー環境は、一般にVPS（ 仮想専用サーバー: Virtual Private Server ）と呼ばれます。
公式発表で確認されていること¶
GMOの公表資料によると、事件の経緯は次のとおりです。
| 日付 | 公表された内容 |
|---|---|
| 10月19日 | 利用者からの問い合わせを受けて調査を開始 |
| 10月20日 | 一部のサーバー環境で不正プログラムを確認 |
| 10月21日 | 全プランのサーバーを順次停止し、第1報を公表 |
| 10月22日 | 取引口座の不正操作に関する報告を公表 |
| 10月24日 | クラウド環境への不正アクセスと顧客情報の外部持ち出しを確認したと発表 |
| 10月26日 | 利用者から預かったPCの調査・解析を進めていると発表 |
出典：GMOインターネット第4報（10月24日）、お名前.com第7報（10月26日）
GMOによると、影響を受けた可能性があるサーバーは26,739件です。
ただし、これは実際に情報を盗まれたサーバーの数ではありません。 影響を受けた可能性がある範囲を示した数字です。
また、証券会社やFX会社の取引口座に関して、身に覚えのない操作・取引があったとの利用者からの報告も受けています。
自宅PCの閲覧履歴の流出は確定している？¶
ここは特に慎重に確認する必要があります。
GMOは10月24日に顧客情報の外部持ち出しを確認したと公表しましたが、これは自宅PCの閲覧履歴が流出したことまで証明するものではありません。
10月26日の第7報では、利用者の端末を預かり、マルウェアやランサムウェアが仕掛けられていないか解析していると説明しています。
したがって、現時点では次のように整理できます。
- 確認された事実： クラウド環境への不正アクセスと顧客情報の外部持ち出し
- 調査・検証が必要な点： 自宅PC内の閲覧履歴などが実際に取得されたか、自宅PCにマルウェアが仕掛けられたか
この違いを踏まえたうえで、技術的な仕組みを見ていきましょう。
なぜクラウドサーバーから自宅PCの情報を取得できるのか？¶
ポイントは、今回のサービスが一般的なWebサイトではなく、リモートデスクトップで利用するWindows環境だったことです。
リモートデスクトップとは？¶
リモートデスクトップとは、離れた場所にあるPCを、手元のPCから操作する技術です。
例えば、自宅のWindows PCからクラウド上のWindowsサーバーに接続すると、自宅にいながらクラウド上のデスクトップ画面を操作できます。
今回のサービスでは、この仕組みを使ってFXの自動売買ツールなどを利用できます。
Microsoftのリモートデスクトップでは、RDP（Remote Desktop Protocol）という通信方式が使われています。
通常は手元のキーボードやマウスから操作情報を送り、接続先の画面を表示するイメージです。
しかし、RDPには画面の操作以外にも、ローカルのファイルやクリップボードなどを接続先と共有する機能があります。
ドライブのリダイレクトという仕組み¶
リモートデスクトップの機能の一つに「ドライブのリダイレクト」があります。
少し難しい名前ですが、簡単にいうと、自宅PCのCドライブなどを、接続先のサーバーからも利用できるようにする機能です。
本来は利便性を高めるための仕組みです。
例えば、クラウド上のWindowsで作成した資料を自宅PCに保存したり、自宅PCにあるファイルをクラウド上のアプリで開いたりできます。
しかし、セキュリティ上の注意点があります。
ドライブ共有が有効な場合、接続先で動作するプログラムも、アクセス権限の許す範囲で自宅PCの共有ファイルを読み書きできる可能性があるのです。
Microsoftも公式資料で、この機能を悪用するとローカルドライブ上のファイルが盗み取られたり、不正なファイルを書き込まれたりするリスクがあると説明しています。
参考：Microsoft Learn：RDPファイルのセキュリティ警告とリダイレクト
ブラウザの閲覧履歴はどこに保存されている？¶
では、なぜドライブを共有すると閲覧履歴まで取得できる可能性があるのでしょうか。
これは、ChromeやEdgeの閲覧履歴が、PC内のファイルとして保存されているためです。
ChromeやEdgeは閲覧履歴をファイルに記録している¶
例えば、Windows版Chromeでは、標準的な構成の場合、ユーザーごとのフォルダ内に「History」というファイルが作られます。
このファイルにはSQLiteというデータベース形式が使われており、過去にアクセスしたWebサイトのURLや閲覧日時などの情報が保存されています。
Edgeも同様の仕組みを利用しています。
つまり、ブラウザの閲覧履歴は、ブラウザの画面にだけ存在する特別な情報ではありません。
PC内部に保存されたデータベースファイルを読み取ることで、履歴を解析できる場合があるのです。
もちろん、OSのアクセス権限やファイルの使用状態、ブラウザの設定によって、簡単にはコピーできない場合もあります。
しかし、ドライブ共有を通じて該当するファイルにアクセスできるなら、サーバー側から取得を試みることは技術的に可能です。
なお、閲覧履歴と保存パスワードは別の情報です。保存パスワードには暗号化による保護があるため、データベースファイルをコピーできたとしても、そのまますべてのパスワードを読めるとは限りません。
自宅PCにウイルスが入っていなくても流出する？¶
ここが今回の事件を考えるうえで、最も重要な点です。
一般的に、個人のPCから情報を盗む攻撃では、PC自体にマルウェアを感染させる手口が想像されます。
しかし、RDPのドライブ共有を利用した場合は、必ずしもそうとは限りません。
例えば、次のような状況が考えられます。
- 利用者が自宅PCからクラウド上のWindowsにRDPで接続する。
- 接続時に、自宅PCのドライブ共有が有効になっている。
- 攻撃者が何らかの方法でクラウド上のWindowsを侵害する。
- 攻撃者が共有ドライブから自宅PCの閲覧履歴などのファイルを読み取る。
- 読み取ったデータを外部へ送信する。
この場合、情報を盗むプログラムが実行されるのはクラウド側であり、自宅PC側でマルウェアを実行する必要はありません。
つまり、「自宅PCはウイルスに感染していないのに、ファイルが読み取られた」という被害も理論上は起こり得ます。
ただし、ドライブ共有が有効で、RDPの接続が成立しており、対象ファイルへの読み取りが許可されていることなどが前提です。
すべてのリモートデスクトップ接続で、無条件に自宅PCのファイルが見えるわけではありません。
今回のGMO事件でもドライブ共有が悪用されたのか？¶
ここからは、公式発表で確認された事実ではなく、公開された第三者の技術分析を扱います。
2026年10月24日、攻撃者とみられる人物が、自らの行為の証拠としてサンプルデータを公開したと報告されています。
そのサンプルについて、第三者の技術分析では、VPS10台分のファイル操作ログとされるものが含まれていたとしています。
公開サンプルには何が記録されていた？¶
第三者によるサンプル分析では、以下のような記録が報告されています。
- 4,352ファイルをコピーしたとする記録
- 10台中7台でChromeやEdgeの閲覧履歴などを取得したとする記録
\\tsclient\Cという経路を通じたファイルへのアクセス記録
ただし、公開サンプルに含まれていたのは、主に攻撃プログラムの作業ログとされるテキストです。
コピーされた文書や閲覧履歴の実物が、そのサンプル内で確認できたわけではありません。
また、ログ自体が攻撃者の作成した資料であり、内容が正しいかどうかも独立して確証されたものではありません。
したがって「4,352ファイルの流出が確定した」「7人の閲覧履歴が流出した」と断定することはできません。
ただし、そのログに記載されたファイルアクセスの方法には、技術的に注目すべき点があります。
\\tsclient\C とは？¶
Windowsのリモートデスクトップでは、ドライブのリダイレクトを有効にすると、接続元PCのドライブが接続先から見えるようになります。
そのときに使われる経路の一例が、\\tsclient\C です。
これは接続元PCのCドライブを示すことがあります。
つまり、攻撃者が公表したログにこの経路が登場していることは、RDPのドライブ共有機能を利用してローカルPCのファイルにアクセスした、という説明と整合します。
ただし、この記録だけで実際にファイルが流出したことや、すべての利用者で同じ設定が有効だったことまでは証明できません。
RDP接続ファイルの設定にも注目¶
リモートデスクトップの接続には、.rdp という設定ファイルが使われることがあります。
このファイルには、接続先の情報だけでなく、ドライブやクリップボードを共有するかどうかの設定も含まれます。
例えば、次の設定です。
drivestoredirect:s:*
この指定は、Microsoftの仕様上、利用可能なすべてのローカルドライブをリダイレクトする要求を意味します。
ただし、実際に共有されるかどうかは、RDPクライアントの動作やセキュリティ設定、利用者の確認操作などにも左右されます。
2026年4月のWindowsセキュリティ更新以降、MicrosoftはRDPファイルから要求されるローカルリソースの共有について、利用者による明示的な許可を求める仕組みを強化しています。
なお、攻撃者が示したとされるRDP設定ファイルの画像には、ドライブ共有を無効にする指定と有効にする指定が両方記載されていたとの分析もあります。
同じ設定が重複した場合の実際の動作や、その画像がGMOの配布したファイルと同一かどうかは確認されていません。
そのため、GMOが配布したRDPファイルによって全利用者のドライブ共有が自動的に有効になっていた、と結論づけることはできません。
GMOのVPNやネットワークが侵害されたのか？¶
「クラウドサーバーから自宅PCのデータを読めたのなら、GMOのVPNなどが侵害されたのでは？」と考える方もいるでしょう。
しかし、今回説明したドライブ共有は、VPNとは異なる仕組みです。
VPNは、離れたネットワーク間を安全につなぐための技術です。
一方、RDPは、離れたWindows環境を操作するための技術です。
RDPのドライブ共有が有効なら、VPN装置そのものを乗っ取らなくても、接続先のWindowsから共有ファイルへアクセスできる場合があります。
また、RDP接続にはRDゲートウェイという中継機能が使われることもありますが、ゲートウェイを利用していることと、そのゲートウェイが侵害されたことは別の話です。
GMOは今回、サービスのシステムにセキュリティ上の問題が存在したと説明しています。
しかし、具体的にどこが最初に侵害されたのか、どの脆弱性や認証情報が悪用されたのかについては、確認した公式発表の範囲では明らかになっていません。
したがって、「VPNの脆弱性が原因だった」「RDPの設定が最初の侵入原因だった」と断定することはできません。
RDPのドライブ共有は、あくまでサーバーが侵害された後に、自宅PCの情報へアクセスする経路になり得るという話です。
閲覧履歴の流出とPCへのマルウェア感染は別の問題¶
ここまでの内容を読むと、自宅PCが遠隔操作されていたのではないかと心配になるかもしれません。
ただし、ドライブ共有によってファイルを読み取ることと、自宅PCにマルウェアを感染させることは別の問題です。
ファイルを読み取る場合¶
RDP経由でドライブ共有が有効になっており、必要なアクセス権限があれば、接続先からファイルの読み取りが可能です。
これはOSやRDPが提供する正規の機能を利用するため、必ずしもウイルス対策ソフトが異常として検出するわけではありません。
マルウェアを仕掛ける場合¶
一方、ドライブ共有はファイルの読み取りだけでなく、書き込みも許可する場合があります。
そのため、接続先が侵害されると、自宅PCの共有ドライブに悪意あるファイルを書き込まれる可能性があります。
ただし、ファイルを書き込んだだけで、そのプログラムが必ず実行されるわけではありません。
自動実行される場所に置かれる、利用者が実行する、別の脆弱性を利用するなど、追加の条件が必要になります。
Microsoftの公式資料でも、ローカルドライブへの不正なファイル配置はRDPリダイレクトのリスクとして挙げられています。
今回のGMO事件で実際にどこまでの行為が行われたかは、端末の調査結果などを待って判断する必要があります。
利用者はどのような対策を取るべきか？¶
今回の「お名前.com デスクトップクラウド」を利用していた方は、一般的な対策だけでなく、GMOの公式案内に従ってください。
GMOは10月26日の第6報などで、以下の対応を呼びかけています。
- 自分のPCのフルスキャンを実施する。 クイックスキャンではなく、ウイルス対策ソフトによる完全スキャンを行います。
- 重要なファイルをバックアップする。 外付けストレージなどに保存し、普段はネットワークから切り離して保管します。
- 安全な別の端末からパスワードを変更する。 FX・証券口座だけでなく、メールやその他の重要アカウントも確認します。
- すべてのログインセッションを切断する。 パスワード変更後も既存の接続が残る場合があるため、取引先の案内を確認します。
- 多要素認証を有効にする。 不正ログインのリスクを軽減します。
なお、ウイルススキャンで何も検出されなかったとしても、情報が読み取られていなかったことの証明にはなりません。
また、今回の攻撃者は利用者PCへのランサムウェア攻撃を予告したとGMOが公表していますが、予告があったことと、実際に攻撃が行われたことは区別する必要があります。
今後リモートデスクトップを使う際に注意したいこと¶
RDPを使う場合は、必要のないドライブ共有を無効にすることが重要です。
Windowsのリモートデスクトップ接続では、「ローカル リソース」からドライブ共有の設定を確認できます。
また、接続用の .rdp ファイルを使う場合は、そのファイルが要求している共有設定にも注意が必要です。
ただし、今回のサービスへの接続については、設定を変更しただけで安全性が保証されるものではありません。GMOの安全確認や公式の案内があるまでは、安易に接続しないことが重要です。
まとめ：サーバーへの攻撃でも個人PCの情報は流出する可能性がある¶
今回のGMO不正アクセス事件で特に注目したいのは、クラウドサービスと個人PCとの間に存在する接続機能です。
通常のWebサイトが攻撃されただけで、利用者のPCの閲覧履歴が直接取得できるわけではありません。
しかし、リモートデスクトップでローカルドライブを共有していた場合、サーバー側から自宅PCのファイルにアクセスできることがあります。
筆者は、今回の事件を考えるうえで、この「利便性のための共有機能が、サーバー侵害時には情報漏洩の経路になり得る」という点が重要だと考えています。
一方、実際にGMOの環境でどの設定が有効だったのか、どの利用者の閲覧履歴が取得されたのか、個人PCにマルウェアが仕掛けられたのかについては、未確認の情報も残されています。
現時点で技術的に可能なことを、実際に起きたことと混同しないことが大切です。
今回の事例は、FX向けVPSに限らず、リモートワーク、仮想デスクトップ（VDI）、Windowsサーバーの管理など、RDPを利用するさまざまな環境に共通するセキュリティ上の注意点を示しています。
参考資料¶
- GMOインターネット：サイバー攻撃について（第4報・2026年10月24日）
- お名前.com：被害拡大防止のお願い（第5報・2026年10月24日）
- お名前.com：利用者へのお願い（第6報・2026年10月26日）
- お名前.com：現在の対応について（第7報・2026年10月26日）
- Microsoft Learn：RDPファイルのセキュリティ警告とローカルリソース共有
- 第三者分析：攻撃者が公表したサンプルログの分析
- 第三者分析：RDP設定ファイルの仕様と検証
※第三者分析はGMOの公式見解ではありません。攻撃者が公開した資料の真正性が確認されたことを意味するものでもありません。
