「「お名前.com デスクトップクラウド」不正プログラム設置で全プラン停止 FX用VPS、2万6739サーバに影響か」

ITmedia NEWS 2026.10.21

ITmedia NEWS

外部リンク：GMOインターネットグループ「【重要】「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第2報）」（2026年10月22日）

目次

• はじめに
• 事案の概要
• 「補償」ということばに惑わされない
• 法律上の請求の道筋
• 「自己責任」で片づけてはならない
• 被害回復・防止のためにいまできること

はじめに

AIを用いたと思われる攻撃や情報漏洩が相次いでいます。

金融商品取引の世界でも、2025年に大規模な証券口座の乗っ取りがありましたが、今回起きた事件は、もうすこし複雑です。

GMOインターネットの「お名前.com デスクトップクラウド」は、FXの自動売買に使われる仮想サーバ（VPS）です。そのサーバに、第三者が不正なプログラムを仕込みました。そして、保存されていたFX口座のログイン情報が盗まれてしまいました。利用者の口座では身に覚えのない取引が行われ、損失が出たとの報告が相次いでいます。

いえいえ、あきらめる必要はありません。

先に結論を言ってしまいましょう。本人が注文していない取引は、原則として本人の取引ではありません。ですから、その取引で出た損失を顧客が負担するいわれはないのです。

FX業者には、「補償してください」とお願いするのではありません。「不正取引がなかった状態に口座を戻してください」と求めることができます。そのうえで、GMOの責任も問題になります。

事案の概要

まず、GMOの公表から経過を見ておきます。

• 2026年10月20日：一部の利用者のサーバ環境に、第三者による不正なプログラムが設置されていることを確認。
• 10月21日午前4時：全プランのサーバを順次停止。影響の可能性があるサーバは26,739件。
• 10月21日以降：利用者から、取引口座で不正な操作があったとの報告を受付。
• 10月22日：警察に相談。

10月21日の第1報では、閲覧された情報が悪用された事実は確認されていない、としていました。ところが、翌22日の第2報で説明が変わります。

「サーバー内に保存されていたお取引口座のログイン情報等が第三者に取得され、不正に利用された可能性があることが分かりました。」

GMOインターネットグループ　第2報、2026年10月22日

取得された情報には、「取引ツールに保存されたお取引口座のログイン情報等を含みます」とされています。取引ツールというのは、MT4・MT5のことですね。侵入経路は調査中で、補償についての言及はまだありません。

うーん、そうでしょうか。

自動売買をするには、取引ツールを24時間動かしておかなければなりません。そのためには、ツールにログイン情報を保存しておくしかありません。このサービスは、まさにそのために作られ、売られていたものです。規約も、このサービスを「FX 自動売買用途を中心に提供するクラウド型の仮想デスクトップサービス」と定めています（お名前.comレンタルサーバーサービス会員規約14条1項）。

つまり、むしろ、利用者はサービスの想定どおりに使っていただけ、ということです。

「補償」ということばに惑わされない

さて、この種の事件では、「補償されるか」ということばがよく使われます。でも、法律上は、問題を分けて考える必要があります。

2025年に多発した証券口座の乗っ取り事件について、坂勇一郎弁護士は次のように整理しています。

「法的には、①不正アクセスによる売買の効果が顧客に帰属するか、②証券会社が損害賠償責任を負わないか、③約款上の補償制度等の利用はできないか、という３つの枠組みがあることを、まず念頭に置く必要があります。」

坂勇一郎「証券口座への不正アクセス・不正取引による被害の補償について」国民生活2025年11月号6頁

大事なのは①です。

売買の効果が顧客に帰属しなければ、顧客の口座は不正取引の前の状態のままです。つまり、顧客にはそもそも損失が生じていないことになります。業者が「補償」として払うのではなく、業者の側で口座を元に戻すべき話なんです。

そうなんです。そして、この整理は、FXにもそのまま当てはまります。

法律上の請求の道筋

1. 本人が注文していない取引は、本人に帰属しない

坂弁護士は、証券取引について次のように述べています。

「自らの委託によらない売買が行われても、その売買による権利義務は、その顧客には帰属しないのが原則です」

坂・前掲6頁

その根拠として挙げられているのが、証券会社の従業員による無断売買の効果は顧客に帰属しないとした、最判平成4年2月28日（判時1417号64頁）です。

店頭FXでは、この理屈はもっと単純です。店頭FXでは、FX業者自身が取引の相手方だからです。

不正取引は、FX業者と、顧客になりすました第三者との間で行われたものにすぎません。顧客はその取引の当事者ではないのです。ですから、その取引による損失を顧客の証拠金から差し引くことはできません。顧客は、不正取引がなかったものとして、証拠金の返還を求めることができます。

はい、損失補塡の禁止（金融商品取引法39条）のことですね。坂弁護士は、これについても触れています。

「自ら取引を行ってない顧客がその解決を求める場合は、上記と場面を異にするものであり、損失補てんの禁止は適用されない」

坂・前掲6頁、脚注3

不正取引がなかった状態に口座を戻すのは、損失の穴埋めではありません。本来あるべき状態に戻すだけ、というわけです。

2. 外観法理

では、例外はないのでしょうか。考えられるのが、外観法理です。

坂弁護士は、本人の意思に基づかずに契約が行われた場合でも、次の場合には本人の契約と認めるべきとの考え方がある、と整理しています。

「①本人の意思に基づくような外観があり、②その外観について当該本人に取引の責任を負わせるに値する事情（帰責事由）があり、他方、③契約の相手方に、本人の意思による契約と信頼した正当な理由がある場合」

坂・前掲6〜7頁

つまり、次の３つの要件ですね。

1. 本人の意思に基づくような外観
2. 本人の帰責事由
3. 相手方が本人の取引と信じた正当な理由

たしかに、今回、1はありそうですね。正しいIDとパスワードで、しかも顧客がいつも使っている取引ツールから注文が出ているからです。

しかし、2はどうでしょうか。たとえば坂弁護士は、フィッシングでパスワードを盗まれた場合でさえ、それだけで帰責事由を認めることはできない、としています。

今回の顧客は、だまされてパスワードを入力したわけでもありません。大手事業者のサービスを、その想定どおりに使っていただけです。GMO自身、提携するFX会社のMT4をあらかじめ用意して提供していました（「選べるMT4」）。

そうなりますね。

3も、簡単には認められません。銀行ATMの不正払戻しについて、最判平成15年4月8日（民集57巻4号337頁）は、銀行が無過失といえるための条件を次のように述べています。いわゆる「システム責任」です。いまのDPF責任のトレンドでいうなら「デザインベースド」の考え方です。

「無権限者に払戻しがされたことについて銀行が無過失であるというためには、払戻しの時点において通帳等と暗証番号の確認が機械的に正しく行われたというだけではなく、機械払システムの利用者の過誤を減らし、預金者に暗証番号等の重要性を認識させることを含め、同システムが全体として、可能な限度で、無権限者による払戻しを排除し得るよう組み立てられ、運営されるものであることを要する」

最判平成15年4月8日

FX業者は、パスワードだけでログインできる取引ツールを顧客に提供していました。同じ時間帯に、同じサーバ環境から、多数の口座で不自然な取引が行われていたのであれば、それを検知できたかどうかも問われます。

これらのしくみの全体を見ずに、個別のケースだけみて「パスワードがあっていたから本人の取引だ」とはいえない、ということです。

3. 約款：「本人の取引とみなす」条項

たしかに、FX業者の約款には、IDとパスワードが一致すれば本人の取引とみなす、という条項が置かれていることがあります。

坂弁護士は、銀行実務ではこの種の条項は銀行が注意義務を尽くしたことを前提とする、と指摘しています。そのうえで、売買は預金の払戻しと違って新しい契約を結ぶことである以上、顧客の帰責事由を前提とすべきだ、としています。

もし、条項の内容が外観法理よりも消費者に不利に設定されていれば、消費者契約法10条により無効となり得ます。最判平成23年7月15日（民集65巻5号2269頁）は、10条にいう任意規定には一般的な法理も含まれる、としています。

4. GMOの責任

閑話休題。次はGMOの責任です。

GMOは、利用者からFX口座のログイン情報を預かるサービスを提供しています。そして、その情報を第三者に取られないよう管理することは、契約上の中心的な義務です。侵入により不正なプログラムの設置を許した原因によっては、債務不履行または不法行為に基づく損害賠償責任を負う可能性があります。

「自己責任」で片づけてはならない

まとめましょう。

まずは、先ほど整理したように、FX業者の対応が問われます。2025年の証券口座の乗っ取り事件では、対面証券系は不正取引の前の状態に戻す方針を示しました。一方で、ネット証券系を主として損害の2分の1を補償するとした会社もありました。FX業者が「パスワード管理は顧客の責任」として損失を顧客に負わせるのであれば、間違っています。

もちろん、業者も被害者だという面は、たしかにあります。しかし、取引のしくみをデザインし、そこから収益を得ているのは業者です。

次に、相対取引（OTC）という構造です。店頭FXは、FX業者が取引の相手方です。もちろん、カバー取引をしていますからそんなに単純ではないですが、顧客の損失がそのまま業者の利益になることもあります。不正取引で生じた損失を顧客に負わせながら、その反対側の利益を業者が保持することになり、公平を欠きます。

そうなんです。だからこそ、業者が「顧客の責任です」というのは、なおさらおかしいわけです。

なお、GMOの規約の免責条項についても触れておきます。GMOのサービスには、「お名前.comレンタルサーバーサービス会員規約」が適用されます。規約は、デスクトップクラウドについて、次のように定めています。

「当社は、ホストへの接続、接続して行った行為及びその結果、又はホストに接続できないこと又は接続が切断されたことその他お名前.com デスクトップクラウドサービスの利用に関して会員に生じる損害等、及び結果については、何ら負わないものとします。ただし、【お名前.com デスクトップクラウド サービス品質保証制度】が適用される場合は、この限りではありません。」

お名前.comレンタルサーバーサービス会員規約14条6項（2025年9月30日改定）

なお、この「サービス品質保証制度」（SLA）もネットで公開されていますが、これはサーバの月間稼働率を保証し、下回った月の利用料金の一部を返金する制度にすぎません。しかも、「サービス提供者、利用者でない第三者の作為による場合」は対象外とされています。よって、この条項は、本件におけるGMOの責任を全部免除するものになります。

しかし、事業者の債務不履行や不法行為による損害賠償責任の全部を免除する条項は、消費者契約法により無効です（消費者契約法8条1項1号・3号）。

なお、利用規約34条2項但書は、GMOの「故意」または「重大な過失」によって消費者である会員に生じた損害については、通常の損害を賠償するとしています。規約の上でも、GMOの責任がまったくないわけではないのです。

さて、最高裁判決を引用しましたが、銀行のATMでの不正払戻しには、預金者保護法が被害救済のしくみを定めています。しかし、インターネットでの不正送金や証券・FXの不正取引には、同じような法律がありません。

坂弁護士も、セキュリティに関する責任は基本的に事業者が負う制度が望ましいとして、預金者保護法と同様の規律に触れています。今後の立法論になってしまうかもしれませんが、金融取引の多くがインターネットで行われる今、事業者に責任を負わせる明確な規律が必要ではないかと思います。

そうです。あきらめずに、まずは「元に戻してください」と求める必要があります。

被害回復・防止のためにいまできること

1. GMOの案内に従い、このサービス以外の端末から、FX口座と取引ツールのパスワードをすぐに変更してください。
2. 取引履歴、残高、ログイン履歴の画面を保存してください。不正取引の時刻と、自分が操作していないことを示す材料になります。
3. FX業者には、「補償」ではなく「不正取引をなかったものとして口座を元に戻すこと」（原状回復）を求めて下さい。
4. 被害の回復をうたって手数料を求める広告・案内がきたら、それは詐欺（二次被害）です。応じないでください。
5. 困ったら、お近くの消費生活センター（消費者ホットライン「188」）に相談してください。

参考資料

• GMOインターネットグループ「【重要】「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第2報）」（2026年10月22日）
• GMOインターネット「「お名前.com デスクトップクラウド」への不正アクセスに関するお知らせ（第1報）」（2026年10月21日）
• 坂勇一郎「証券口座への不正アクセス・不正取引による被害の補償について」国民生活2025年11月号（国民生活センター）
• GMOインターネット「お名前.comレンタルサーバーサービス会員規約」（2025年9月30日改定）
• GMOインターネット「お名前.com デスクトップクラウド サービス品質保証制度（SLA）」

＊本記事は、2026年10月22日に公表された「【重要】「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第2報）」に基づく一般的な解説であり、個別事案についての法的助言ではありません。

---