FX用VPSがサイバー攻撃で止まった。ブログは無傷、EAは記憶から作り直した¶
10月21日、いつものようにFX用のVPSに接続しようとしたら、つながりませんでした。
借りていたのは、GMOインターネットの「お名前.com デスクトップクラウド」です。FX自動売買向けのWindows VPSで、MT5とEAを24時間動かしていました。リアル口座のEAも、ここで動いていました。
調べてみると、原因は私の設定ミスではありませんでした。サービスそのものがサイバー攻撃を受け、全プランのサーバーが止められていたのです。影響の可能性があるサーバーは、2万6739件。取引口座が不正に操作され、数百万円を失ったという利用者の声も報道されています。
私は、その2万6739件のうちの1人です。
先に結論を書きます。
- ブログは無傷でした。 静的サイトなので、そもそもVPSにもPHPにも依存していません
- VPSから自宅のミニPCへ移す途中でした。 移行はまだ終わっていませんが、VPSなしで回る体制は整いつつあります
- リアル口座のEAは、VPSから取り出せていません。 ただ、ロジックは覚えていました。ミニPCで一から作り直し、今は動いていて、利益も出ています
この記事では、公式発表と報道をもとに何が起きたのかを整理し、当事者として何を確かめ、何を作り直したのかを書きます。
この記事の情報について
2026年10月24日の第5報までの公式発表と報道をもとにしています。具体的な侵入経路は、まだ公表されていません。最新の情報は、お名前.comの公式お知らせで確認してください。
このブログとお名前.comの関係について
このブログでも、「お名前.com デスクトップクラウド」を自分の利用経験をもとに、アフィリエイトで紹介していました。事件を受けて、サイト内の紹介とリンクはすべて止めています。紹介していた過去の記事には、お知らせを付けて、当時の記録として残しています。
デスクトップクラウドを使っていた方へ:今すぐ確認したいこと
お名前.comの第2報〜第5報のお願いをまとめました。
- 取引口座と取引ツールのパスワードを変更する。 必ずFX取引に使っていない端末から行い、変更後は全てのセッションを切断する。パスワードを変えても古いセッションが残ることがあるので、取引先の案内に従う
- 取引履歴と残高を確認する。 身に覚えのない取引があれば、すぐ取引先に連絡する
- 2段階認証を設定する。 取引先が用意していれば
- VPSに保存していた他のパスワードやAPIキーも変更する。 同じパスワードを使い回している他のサービスや、ブラウザに保存したパスワードも
- 自分のPCやスマホを、ウイルス対策ソフトでフルスキャンする。 利用者の端末への影響も含めて調査中とされています(第5報)
- 攻撃者を名乗るメールやメッセージは開かない。 URLやファイルを開かず、返信もしない
- 10月30日までに届く案内メールを確認する。 お見舞金と代替サービスの案内が来る予定。それを装った詐欺に注意。お名前.comが聞くのは、MT4/MT5の閲覧専用パスワードなどに限られ、それ以外のパスワードや暗証番号は聞かないとしています
何が起きたのか(公式発表と報道の時系列)¶
まず、公表されている事実を時系列で整理します。
| 日付 | 出来事 |
|---|---|
| 10月19日 | GMOインターネットが、利用者からの問い合わせを受けて調査を開始 |
| 10月20日 | 一部の利用者のサーバー環境に、不正なプログラムが設置されていたことを確認。新規申し込みとコントロールパネルを停止 |
| 10月21日 4:00 | 被害の拡大を防ぐため、全プランのサーバーを順次停止。第1報を公表(私が気づいたのは、この日です) |
| 10月21日〜 | 利用者から「取引口座で不正な操作があった」という報告が寄せられる |
| 10月22日 | 第2報。取引ツールに保存された口座のログイン情報などが取得され、不正に使われた可能性を公表。警察に相談 |
| 10月23日 | 第3報。パスワード変更に加え、ログイン中のセッションの切断を改めて依頼 |
| 10月24日 | 第4報(タイトルが「サイバー攻撃について」に変わる)。システムにセキュリティ上の問題があったこと、利用者の情報が外部に持ち出されたことを確認したと発表 |
| 10月24日 | 第5報「被害拡大の防止のためのお願い」。利用者自身のPCやスマホのウイルススキャン、攻撃者を名乗る連絡を開かないことなどを依頼。利用者の端末への影響も含めて調査中 |
影響の可能性があるサーバーは 2万6739件 です。これは「対象になりうる数」で、全てのサーバーで不正アクセスが確認されたという意味ではありません。
説明は、報を重ねるごとに重くなっていきました。
- 第1報:「閲覧された情報が悪用された事実は確認されておりません」
- 第2報:口座のログイン情報などが取得され、不正に使われた可能性がある
- 第4報:情報が外部に持ち出された事実を確認した
第4報によると、口座への不正な操作は、国内外の70を超える証券会社・FX会社などで続いているとされています。報道では、意図しない取引で数百万円の資金がほぼ失われたという利用者の声も伝えられています。
第4報:原因は「サービス側の問題」、今の基盤では再開しない¶
10月24日の第4報で、状況は大きく変わりました。
分かったこと¶
- 調査の結果、サービスのシステムにセキュリティ上の問題が存在した
- サービスの環境への不正なアクセスと、利用者の情報が外部に持ち出された事実を確認した
- 具体的な侵入経路や、持ち出された情報の種類は、まだ書かれていない
つまり、利用者一人ひとりの設定ミスではなく、サービス側の問題だったということです。
お見舞金と補償¶
- 今サービスを利用している全員に、一律5,000円のお見舞金。金銭的な被害があったかどうかは問わない。受け取り方は10月30日までにメールで案内
- これとは別に、不正アクセスが原因と認められた取引の実現損失(取引の差損と手数料など)を補償する。相場の動きによる損失や、得られたはずの利益は対象外
- 取引所から返金があった場合は、その分を差し引いて支払う。申請方法や受付期間は11月6日までに案内
サービスの今後¶
- 不正アクセスを受けた今のシステム基盤は、そのまま再開しない。セキュリティの基盤を抜本的に作り直す
- 希望する利用者には、独立したクラウド基盤の代替サービスへの移行を案内する。6か月間は無料。利用者の同意なしに移行はしない
- 始まる時期や申し込み方法は、10月30日までにメールで案内
- 停止したサーバーの中のデータを取り出せるかどうかは、書かれていない
攻撃者と、警察・政府への対応¶
- 攻撃者からの金銭の要求には応じない。応じても、情報の削除や悪用の防止が保証されないため
- 攻撃者は、不正な取引を続けることや、利用者のPCなどの情報を公開することを脅しの材料にしているとされる。事実と違う情報を流す可能性もあるので、公式のお知らせで確認するよう呼びかけている
- 警察には通信記録などの証拠を出し、刑事事件としての捜査を要請
- 政府の関係機関に、能動的サイバー防御の措置を含めて要請し、本件を「発動第1号」の事案と位置づけている
- 取引所や証券会社には、このサービスからのアクセスの遮断や、全セッションの強制切断、不正取引の監視を要請
FX用VPSへの攻撃が、国の「能動的サイバー防御」の第1号案件として扱われる。それだけ大きな事件になっています。
同じ週に公表された、PHP本体の脆弱性「PHP2Shell」¶
この騒ぎと同じ週に、もう1つ大きなニュースがありました。PHP本体の重大な脆弱性です。
- 名前: PHP2Shell(CVE-2026-109618 / CVE-2026-109619)
- 公表: 2026年10月21日(PHPの開発元が修正版を公開)
- 深刻度: CVSS 9.2(Critical)
- 内容: 条件がそろうと、ログインなしで外部からプログラムを実行されるおそれがある(認証不要のリモートコード実行)
- 影響: PHP 5.4〜8.5.11。修正版は 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35。サポートが終わった 8.1 以前には修正が出ない
PHPは、WordPressをはじめ、世界中のWebサイトやブログを動かしている言語です。公表の直後から、攻撃の試みが観測されたという報告も出ています。
お名前.comも10月22日に「PHPの脆弱性への弊社対応について」を出しました。レンタルサーバーには、使っているPHPのバージョンのままパッチを当てたので、利用者がバージョンを変える必要は基本的にない、という内容です。ファイルマネージャーやphpMyAdmin、Webメールは、予防のために一時停止されました。
PHPで動くブログやサイトを持っている方は、レンタルサーバー各社の告知を確認しておくと安心です。
ただし、「VPSはPHPの脆弱性で破られた」とは言えない¶
ここは大事なので、はっきり書いておきます。
デスクトップクラウドへの攻撃とPHPの脆弱性を結びつける公式発表は、今のところありません。
- 不正プログラムの設置が確認されたのは 10月20日
- PHP2Shellが公表されたのは 10月21日
- お名前.comのPHPの告知は、レンタルサーバーなどが対象で、デスクトップクラウドには触れていない
- 第4報は「システムにセキュリティ上の問題が存在した」と認めたが、それが何だったのかは書いておらず、PHPにも触れていない
同じ週に同じ会社の名前が並んだので、私も最初は「PHPから入られたのか」と思いました。ですが、公表されている情報からは、そう言い切れません。具体的な侵入経路は、今後の公式発表を待つ必要があります。
私のブログが無傷だった理由:静的サイトだから¶
このブログ「FXおもしろ研究所」は、静的サイトです。
- 記事はMarkdownで書き、MkDocsでHTMLに変換しています
- 変換したHTMLは、Cloudflare Pagesで配信しています
- 元のファイルは、GitHubのリポジトリで管理しています
WordPressのようなブログと違い、サーバー側でPHPもデータベースも動いていません。 届けているのは、あらかじめ作っておいたHTMLファイルだけです。
なので、
- PHP2Shellの影響を受けるPHPが、そもそもありません
- お名前.comのVPSとは、まったく別の場所で動いています
- VPSが止まっても、サイトの表示には関係ありません
ドメインの登録先はお名前.comですが、DNSはCloudflareで管理しています。VPSが止まっても、サイトにたどり着く経路は変わりませんでした。
それでも、念のために次のことは確かめました。
- サイトが正常に表示され、改ざんされていないこと
- GitHubに置いている自動処理(記事の公開やXへの投稿の仕組み)に、見覚えのない変更や、外部へ情報を送るような記述がないこと
- 最近の変更が全て自分の作業であること
- GitHubに、見覚えのない鍵やアクセス権が追加されていないこと
結果は、どれも異常なしでした。点検はAI(Claude Code)と一緒に進め、AIには読み取りだけを任せました。
静的サイトにしていたのは、もともと安く速く運用するためでした。 今回はそれが、そのまま安全につながりました。
もともと、VPSには限界を感じていた¶
正直に言うと、VPSからはもう離れるつもりでした。
契約していたのは、いちばん安いプランです。メモリは2GBしかありません。
MT5を動かし、EAを動かし、裏でデータの収集や分析の処理も動かす。そうすると、すぐにメモリが足りなくなります。動作が重くなると、再起動するしかありませんでした。 そのたびに、EAが止まっていないか、ターミナルがちゃんと立ち上がったかを確かめる。これが地味に大変でした。
そこで、自宅のミニPCへ移す計画を立てて、少しずつ進めていました。
- 処理を1つずつミニPCに移し、VPSと並べて動かして、結果が同じかを確かめる
- 外から遠隔操作するときは、ルーターのポートを開けず、VPN経由にする
- ブログやXの投稿は、もともとGitHubの自動処理で動かしているので、移す必要がない
そして、リアル口座で動かしているEAは、最後に移す予定でした。 お金が直接かかっている部分なので、いちばん慎重に扱うつもりだったのです。
その途中で、今回の件が直撃しました。
移行はまだ完全には終わっていません。それでも今、ブログ、Xへの投稿、EAの運用は、VPSなしで回っています。体制は整いつつあります。
取り出せないEAを、記憶から作り直した¶
いちばん痛かったのは、リアル口座で動かしていたEAです。
最後に移す予定だったので、VPSの中に置いたままでした。サーバーが止まっているので、今も取り出せていません。
第4報によると、今のシステム基盤はそのままでは再開しません。代替サービスは用意されますが、停止したサーバーの中のデータを取り出せるかどうかは、書かれていません。 元のEAのファイルが戻ってくるかは、分からないままです。
ただ、そのEAは自分で考えたものでした。何を見て、いつ入り、いつ出るのか。そのロジックは頭に入っていました。
そこで、新しい環境のミニPCで、一から作り直しました。
- 覚えているロジックをもとに、MQL5で書き直す
- バックテストとデモで、意図どおりに動くかを確かめる
- 問題がなければ、リアル口座で動かす
結果、EAは無事に完成しました。今はミニPCで動いていて、利益も出ています。
ファイルは失っても、自分で考えたロジックは失われませんでした。
もちろん、リアル口座のパスワードは、VPSではない端末から変更しました。口座自体は無事です。
当事者としてやったこと¶
お名前.comのお願いに加えて、私がやったことをまとめておきます。VPSの中の情報は「漏れた」とみなして動きました。
- 取引口座のパスワードを変更。VPSではない端末から行い、取引履歴も確認しました
- Googleアカウント、GitHubなど、入口になるアカウントのパスワードを変更。2段階認証やログイン中の端末も見直しています
- APIキーを全て作り直し。VPSに置いていたキーは、全て新しいものに替えました
- キーは「使う場所ごとに1つ」に分けた。ミニPC用と、GitHubの自動処理用を別のキーにしました。片方が漏れても、そちらだけを止められます
- 作り直しの時期と利用上限を決めた。キーは半年ごとに作り直し、利用上限を設定できるサービスでは低めに設定しました
古いキーは、新しいキーで全てが問題なく動くのを確かめてから削除します。
これからやることもあります。第5報のお願いに沿って、VPSに接続していたPCやスマホをウイルス対策ソフトでフルスキャンすること。10月30日までに届く予定の、お見舞金と代替サービスの案内メールを確認すること。そして、そのメールを装った詐欺に気をつけることです。
VPSとは、いったん距離を置く¶
状況が落ち着くまでは、VPSからは引き上げるつもりです。代替サービスへの移行も、今は見送ります。
ただ、VPSを嫌いになったわけではありません。VPSだからこその便利さは、よく知っています。
- 自宅の停電や回線のトラブルに左右されない
- ブローカーのサーバーに近い場所で動かせる
- 自宅のPCを24時間つけっぱなしにしなくていい
自宅のミニPCにも弱点はあります。停電への備えや、約定の速さの確認など、これから向き合う課題もあります。
なので、いつかはまたVPSを使いたいと思っています。そのときは、今回の教訓を持って、サービスを選び直します。
今回の教訓¶
- サーバーに置いたものは、いつか取り出せなくなるかもしれない。 EAのソースや設定は、サーバーの外にも置いておく
- 公開する部分は、動くものを減らす。 静的サイトは、PHPやデータベースがない分だけ、攻撃される場所が少ない
- ロジックは自分の頭にも置いておく。 ファイルを失っても、自分で考えたものは作り直せる
- キーは使う場所ごとに分ける。 漏れたときに、止める範囲を小さくできる
- 「同じ時期のニュース」を「原因」と決めつけない。 侵入経路は公式発表を待つ
VPSが止まったのは、正直かなりの痛手でした。それでも、ブログは止まらず、EAも作り直せました。
移行の続きと、この事件のその後は、また記事にします。
参考資料¶
お名前.com(GMOインターネット)の公式発表
- 【緊急】[デスクトップクラウド] システムメンテナンス
- 「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ(第1報)
- 同(第2報)
- 同(第3報)
- お名前.com デスクトップクラウドサービスに対するサイバー攻撃について(第4報)(GMOインターネットグループ掲載版)
- 「お名前.com デスクトップクラウド」被害拡大の防止のためのお客様へのお願い(第5報)
- 【重要】PHPの脆弱性への弊社対応について
- 【重要】[お名前.com レンタルサーバー] PHPの脆弱性への弊社対応のお知らせ
報道・まとめ
- 「お名前.com デスクトップクラウド」不正プログラム設置で全プラン停止 FX用VPS、2万6739サーバに影響か(ITmedia NEWS)
- FX自動売買専用VPS「お名前.com デスクトップクラウド」、不正アクセス受けサーバー停止(INTERNET Watch)
- お名前.comデスクトップクラウドで不正アクセス FXで不正利用も発生(Impress Watch)
- GMO「悪用確認されず」から一転 FX口座ログイン情報、流出の可能性(J-CAST ニュース)
- お名前 .com デスクトップクラウドへの不正アクセスについてまとめてみた(piyolog)
PHP2Shell(PHPの脆弱性)
- Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619(Google Cloud)
- PHP2Shell FAQ: CVE-2026-109618 & CVE-2026-109619(watchTowr)
- Joint statement on critical PHP vulnerabilities(ENISA)