顧客の金融資産を扱うサービスを、基本的なセキュリティ設計が不十分なまま提供してよいのか

2026年10月、GMOインターネットの「お名前.com デスクトップクラウド」で不正アクセスが発生しました。利用者のWindows環境に不正プログラムが設置され、顧客情報が外部に持ち出されました。取引口座で身に覚えのない取引も報告され、GMOは10月21日に全プランのサーバーを順次停止しました。影響の可能性があるサーバーは26,739件です。[1][2]

このサービスは「FX自動売買専用VPS」として、安定稼働や取引ツールの稼働異常通知を訴求し、「安心のセキュリティ」「安全にリモート接続」とも掲げていました。利用者は、自分の取引口座に接続する環境を、その事業者に任せていました。[3]

同サービスは、業務用のWindowsデスクトップとしても提供されてきました。公式ヘルプでは、クラウド側から手元PCのドライブを開き、ファイルを双方向にコピーする方法を案内しています。配布する接続用のRDPファイルには、この共有があらかじめ設定されていました。[4][5][6]

ファイルの受け渡しに便利でも、FXの自動売買を動かすたびに、手元PCのドライブへアクセスできるようにする必要はありません。必要なときだけ、対象を限定して受け渡す方法にできます。

接続先を侵害された場合に、利用者のPC内の情報まで危険にさらす設定です。 FX向けの利便性を売る一方で、その用途に不要なアクセスを初期設定で許していた点に、基本的な安全設計の問題があります。

「FX専用」として勧めるなら、性能や接続の手軽さだけでなく、取引口座の認証情報を扱う用途に合わせた安全設計が必要です。不要な共有を無効にし、ファイルの受け渡しが必要な場合も対象を限定して、接続先の侵害を手元PCへ広げない構成を、提供する側が考えるべきです。

GMO代表は、改善すべき課題を社内から事前に指摘されていたものの、対応が不十分だったと説明しています。[7]

しかし、不要な共有を無効にし、接続先から手元PCへアクセスできる範囲を限定することは、特殊な攻撃技術に通じた人でなければ気づけない話ではありません。初歩的なシステム設計を踏まえていれば、侵入された場合にも被害を小さくする手段はありました。 顧客の金融資産に関わるサービスを提供する以上、こうした基本を設計に織り込むことが、事業者としての前提です。