GMOインターネットのサーバーが不正アクセスを受け、FXの自動売買に使われていた利用者の口座が、知らないうちに動かされました。GMOは、不正な取引で出た損を補償すると約束しています。
ところが、補償の方針を発表した次の取引日、GMOインターネットグループの株は1日で15.65%下がりました。さらに、今回の被害を受けていない同じグループの証券の会社の株まで、7%を超えて下がっています。
今日は、FXの口座の損は戻るのか、そして、なぜ被害を受けていない会社の株まで下がったのかを、順番に見ていきます。最後に、自分の口座を守るためにできることもまとめます。
8月に入られ、気づいたのは10月 ― FXの自動売買のサーバーで何が起きたか
攻撃者は8月5日にGMOのサーバーに入り込み、GMOが不正なプログラムに気づいたのは10月20日でした。2か月半のあいだ、気づかれないままだったことになります。
狙われたのは、GMOインターネットの「お名前.com デスクトップクラウド」というサービスです。これは、VPS（ブイピーエス）と呼ばれるもので、ネットの上に借りる、24時間つけっぱなしのパソコンのようなものです。
1台の大きなサーバーを区切って、それぞれを自分専用のパソコンのように使う仕組みです。
このサービスは、FXの自動売買によく使われていました。FXとは、円とドルのように、ちがう国のお金を交換して、その値段の差でもうけをねらう取引のことです。自動売買は、ルールを決めておくと、パソコンが自動で売り買いしてくれます。
自宅のパソコンは電源を切れば止まりますが、ネットの上のパソコンなら、寝ているあいだも動かし続けられます。
会見での説明を伝えた報道によると、流れは次のとおりです。
- 8月5日：攻撃者が、利用者のパソコン（VPS）に入り込み、管理者のアカウントを盗んだ
- 8月17日：サービス全体を管理するサーバーにも入り込んだ
- 9月20日〜10月14日：管理サーバーから、最大2万6,739件の利用者のパソコンに、不正なプログラムを配った
- 10月20日：利用者からの問い合わせをきっかけに、GMOが不正なプログラムを見つけた
- 10月21日：全部のサーバーを順に止めた
2万6,739件は「影響を受けた可能性がある」数で、被害が確定した件数ではありません。何人の、いくつの口座が被害にあったのか、損の合計がいくらなのかは、GMOはまだ公表していません。
動かされたのは、GMOではない会社のFXの口座
勝手に動かされたのは、利用者が別の会社で持っていたFXの口座でした。
利用者は、借りたパソコンの中で、ほかの会社のFXの口座にログインして自動売買をしていました。そのパソコンに保存されていたIDやパスワードが盗まれたとみられています。
FXの会社のOANDA証券やFXTFは、自社の口座のIDとパスワードが見られた、または不正にログインされて取引された可能性があると公表しました。
被害を受けた人の声も報じられています。ネットのニュースサイトのJ-CASTによると、ある利用者は約300万円がすべてなくなり、別の利用者は口座の残高がゼロになって、180万円の被害にあったと話しています。
どちらも「ハッカーチーム」を名乗る相手からメールを受け取っていました。
攻撃者は、5,000万ドル（日本円で約79億〜80億円）の身代金を、暗号資産で払うよう求めました。GMOは、払っても情報が消される保証がないとして、払わない方針です。
2年前に指摘されていたのに、トップには届いていなかった
グループのセキュリティの会社が、2024年4月に、このサービスの弱いところを指摘していました。
指摘したのは、同じGMOグループの「GMOサイバーセキュリティ byイエラエ」の専門家です。GMOは緊急の点検を4回おこないましたが、11月2日の会見で「対策は不十分だった」と認めました。
指摘は担当者のあいだで止まっていて、グループ代表の熊谷正寿さんには報告されていませんでした。
会見が炎上したのは、新しい話が少なかったから
11月2日の会見は約3時間半に及びましたが、「新しい情報はほとんど出てこなかった」という声が上がりました。
J-CASTによると、熊谷さんは会見のとちゅうで声をつまらせて謝りました。一方で、会見の20分以上が、GMOの成り立ちや会社の考え方の話に使われました。テレビのニュース番組では、キャスターが「何のための会見だったのか」と疑問を口にしています。
利用者がいちばん知りたいのは、何が起きたのか、自分のお金はどうなるのか、です。そこへの答えより、会社の話が長かったことが、反発を集めたと考えられます。
FXの口座の損は戻る？ ― 「補償」と「見舞金」は別のお金
戻るのは、不正な取引で実際に出た損です。全員に配られる5,000円の「見舞金」とは、別のお金として払われます。
GMOが10月24日に発表した内容を2つの報道で確かめると、GMOが払うお金は次の3種類です。
- ① 見舞金（全員に一律5,000円）：被害があってもなくても、今の利用者全員に払うおわびのお金です
- ② 損の補償（実際に出た損）：GMOが「不正アクセスによる取引だ」と認めた取引で、実際に出た損（取引の差と手数料など）を払います。取引の日時や中身、損の額がわかる記録を出す必要があります
- ③ 特別見舞金（上限300万円）：攻撃者がネットに出した情報の中に、自分の情報が入っていた人に払います。出た情報の種類ごとに、1万円・1万5,000円・2万5,000円を足し合わせ、上限は1回の公開につき300万円です
つまり、FXで損をした人にとって大事なのは②です。「最大300万円」は③の上限で、情報が外に出てしまったことへのおわびにあたります。
②にも、払われない損があります。相場が動いたことによる損や、「本当なら得られたはずのもうけ」は、補償の外です。どこからどこまでが不正な取引かは、記録で決まります。
補償を約束した次の取引日、株は1日で15.65%下げた
GMOが補償の方針を発表したのは10月24日（土）。次に株の取引ができた10月26日（月）、GMOインターネットグループの株は1日で15.65%下がりました。
- GMOインターネットグループ（グループ全体の親会社）：3,769円から3,179円へ、1日で590円、15.65%の下げ
- GMOインターネット（サービスを運営している会社）：1日で14.87%の下げ
- 同じ日の日経平均（日本を代表する会社の株価の平均）は0.80%の下げでした
共同通信の記事を載せた熊本日日新聞は、この日の下げを「補償の費用や業績への影響を心配した売り」と伝えています。業績とは、会社のもうけの成績のことです。つまり、利用者に払うお金が増えれば、会社のもうけが減ると心配されたということです。
補償で株が下がるのは、お店の弁償にたとえると分かりやすい
上の説明（補償の費用と業績への心配で、株が売られた）を、ある町の写真屋さんにたとえます。
写真屋さんが、お客さんから預かった写真をなくしてしまいました。お店は「全部弁償します」と約束します。お客さんにとっては、ありがたい話です。でも、そのお店のもうけはどうでしょう。弁償のお金は、お店の財布から出ていきます。
しかも、いくらになるのかは、まだ分かりません。おまけに「あのお店に預けて大丈夫かな」と思われれば、次のお客さんも減るかもしれません。
- 写真をなくした写真屋さんが、GMOインターネットにあたります
- 弁償のお金が、補償の費用にあたります。会社のもうけから出ていきます
- 「いくらになるか分からない」が、GMOが損の合計をまだ公表していないことにあたります
- 次のお客さんが減る心配が、売上が減るかもしれないという心配にあたります
つまり、補償は利用者にとってはよい知らせでも、株を持つ人にとっては「会社のもうけが減る知らせ」でもあるということです。株の値段は、会社がこの先どれだけもうけられるかの見込みで動くので、額が分からないうちは、心配が大きくふくらみやすいのです。
気づいた日・会見の日は、大きくは下げていない
不正アクセスが分かった10月20日の下げは2.31%で、同じ日に日経平均も1.30%下がっていました。
会見のあとの2日間（10月30日から11月4日まで）でも、GMOインターネットグループの株は2.74%の下げでした。この期間は日経平均も下がっていて、会見が理由で下がったと書いた報道は見つかりませんでした。
株が大きく動いたのは、「お金がいくら出ていくか」に関わる補償の発表のあとでした。株を持つ人が気にしているのは、事件そのものより、会社のもうけにどれだけ響くかだと考えられます。
被害のない同じグループの会社の株まで下げた
10月26日には、GMOフィナンシャルホールディングスの株も7.36%下がりました。この会社の取引のしくみは、今回の事件とは関係がありません。
GMOフィナンシャルホールディングスは、GMOクリック証券などを持つ、グループの証券の会社です。10月30日の決算説明（3か月ごとの成績の説明）で、会社は次のように話しています。
- 取引のシステムは、今回のサービスとは別に作っていて、お客さんの口座が不正に動かされたことは確認されていない
- それでも、ふだんより口座の解約や出金が増え、新しい口座の申し込みは減った
- 預かっているお金は減ったが、取引の量には今のところ大きな影響はない
この会社の1月から9月までの業績は、過去最高でした。それでも、「GMO」という同じ名前を見て、お客さんも株を持つ人も心配したことが、解約や株の数字に表れたわけです。
私は、こういう事故はこれからも増えると考えています ― 口座を守る4つのこと
私は、お金に直接つながる場所をねらった不正アクセスは、これからも増えると考えています。
今回、攻撃者がねらったのは、FXの自動売買のパソコンでした。そこにはFXの口座のIDとパスワードがあり、入り込めばすぐにお金を動かせます。GMOによると、攻撃者は、国内外70社を超える証券やFXの会社の口座への不正な操作を続けると予告してきました。
お金に近い場所ほど、ねらわれやすいのです。
では、口座を持っている人は何から手をつければよいのでしょうか。私は次の4つにしぼっています。
- 証券やFXの口座は、二段階認証をオンにする：パスワードのほかに、スマホに届く番号などでもう一度確かめる仕組みです。パスワードが盗まれても、それだけでは入られにくくなります
- ログインや取引の通知をオンにする：知らない取引があれば、すぐに気づけます。今回は、気づくまでに2か月半かかりました
- ネットの上のパソコンにつなぐときは、手元のドライブの共有を切る：GMOは、手元のパソコンのファイルまで見られた理由として、リモートデスクトップ（遠くのパソコンを手元から動かす仕組み）の「ドライブ共有」が初めからオンになっていたと説明しています。使わないなら切っておくと安心です
- 「ハッカー」を名乗るメールのリンクやファイルは開かない：GMOは、そうしたメールが来ても、リンクやファイルを開かず、返事もしないよう呼びかけています
1つ目の二段階認証は、前の記事で、なぜ今オンにすべきかをくわしく書きました。
投資の目線で見ると ― 11月13日の決算で「補償の額」が分かる
GMOの株の分かれ道は、補償にかかるお金がいくらになるかと、同じグループの会社からお客さんが離れ続けるかだと考えられます。
株価の情報サイトによると、GMOインターネットグループとGMOインターネットは、11月13日に決算（3か月ごとの成績表）を発表する予定です。
ここで、補償にかかるお金が特別損失（ふだんの商売とは別に、たまたま起きた損）などの形で、数字として出てくるかが注目されます。
10月26日の下げは、熊本日日新聞が伝えたとおり、補償の費用と業績への心配によるものでした。額が分からないうちは、心配が大きめに出やすいと考えられます。
決算で額がはっきりすれば、思ったより小さければ心配は落ち着き、大きければもう一度売られる、という形になりやすいでしょう。
もう1つは、同じグループの会社です。GMOフィナンシャルホールディングスは、口座の解約や出金の数字を毎月出していくと説明しています。お客さんが離れる動きが止まるか続くかは、そこで確かめられます。
同じニュースでも、事件を起こした会社と、名前が同じだけの会社とでは、株を下げた理由がちがいます。前者は「お金が出ていく心配」、後者は「お客さんが離れる心配」です。
ニュースで株が動いたときは、その会社のもうけのどこに響く話なのかを分けて見ると、動きの理由が見えてきます。
今日の言葉 ― 「特別損失」
特別損失とは、会社のふだんの商売とは別に、たまたま起きた損のことです。略して「特損（とくそん）」とも呼ばれます。
大和証券の用語解説によると、災害で受けた損や、持っている株や土地を安く売ったときの損などが、特別損失に入ります。会社の決算では、ふだんの商売のもうけを出したあとに、この特別損失を差し引いて、最後のもうけを出す決まりです。
つまり、ふだんの商売がうまくいっていても、特別損失が大きければ、最後に残るもうけは小さくなるということです。GMOの補償の費用が、11月13日の決算でどんな形で、いくらとして出てくるかが、投資の目線では大事なところです。
よくある質問
FXの口座で損をしたら、全部戻ってきますか
GMOが不正アクセスによる取引だと認めた取引で、実際に出た損は補償されます。取引の日時や中身がわかる記録を出す必要があります。相場が動いたことによる損や、得られたはずのもうけは、補償されません。
「最大300万円」は、FXの損の補償の上限ですか
ちがいます。300万円は、攻撃者がネットに出した情報の中に自分の情報が入っていた人への「特別見舞金」の上限です。FXの損の補償とは別に払われます。
被害がなくても、お金はもらえますか
今の利用者全員に、一律5,000円の見舞金が払われます。被害があってもなくても払われる、おわびのお金です。
GMOクリック証券に口座があります。大丈夫ですか
GMOフィナンシャルホールディングスは、取引のシステムは今回のサービスとは別に作っていて、お客さんの口座が不正に動かされたことは確認されていないと説明しています。
なぜ、補償を約束したのに株が下がったのですか
補償のお金は、会社のもうけから出ていくからです。報道は、10月26日の下げを、補償の費用や業績への影響を心配した売りと伝えています。いくらになるかがまだ分からないことも、心配を大きくしたと考えられます。
会見のせいで株が下がったのですか
そうとは言えません。会見のあとの2日間の下げは2.74%で、同じ時期に日経平均も下がっていました。会見を理由に挙げた報道も見つかっていません。大きく下がったのは、補償の方針を発表した次の取引日でした。
自分の口座を守るために、まず何をすればいいですか
証券やFXの口座の二段階認証をオンにすることです。パスワードが盗まれても、それだけでは入られにくくなります。あわせて、ログインや取引の通知もオンにしておくと、知らない取引にすぐ気づけます。
おわりに ― 補償の約束は、会社のもうけが減る知らせでもあった
GMOのサーバーへの不正アクセスで、FXの口座が勝手に動かされました。不正な取引で出た損は、記録があれば補償されます。
ただ、補償を約束した次の取引日、GMOの株は1日で15.65%下がりました。補償は利用者にはよい知らせでも、会社にとってはもうけが減る知らせだったからです。そして、被害のない同じグループの会社の株まで、「同じ名前だから」という心配で下がりました。
11月13日の決算で、補償の額が見えてきます。その前に、自分の口座の二段階認証と通知がオンになっているか、一度確かめてみてください。
