ハッカーが「お名前.comデスクトップクラウド」に不正アクセスし、顧客のサーバー環境に悪意のあるプログラムを設置しました。これを受け、日本のサービス提供事業者は全プランのサービスを停止しました。
Ethicalhacking tools
同社は影響を受けた可能性のあるサーバーを2万6,739台と特定しました。これらのシステムに保存されていた情報が閲覧された可能性があると警告しています。
「お名前.com」を運営するGMOインターネットは、2026年10月20日に悪意のあるプログラムの設置を確認しました。10月21日の発表では、被害の拡大を防ぎ、顧客環境を調査するため、午前4時から順次サーバーを停止すると明らかにしました。
時刻は日本時間です。ただし、通知には復旧時期の確定した日程は示されていません。
この数字は「影響を受けた可能性のあるサーバー」の数です。マルウェア感染が確認されたサーバーの数でも、顧客の数でもありません。
同社の通知では、マルウェアの種類、最初の侵入経路、悪用された脆弱性、永続化の手法、攻撃者のインフラはいずれも明らかにされていません。
また、顧客が独自に脅威ハンティングを行うためのハッシュ値、悪意のあるドメインなどの侵害指標（IoC）も公表されていません。
このため、攻撃者が集中管理コンポーネントを侵害したのか、個々の仮想サーバーを侵害したのか、それともサービスの別の部分を侵害したのかは、今回の発表からは判断できません。
お名前.comが確認したのは、一部の顧客環境における悪意のあるプログラムのみです。実際の感染数や、不正に閲覧されたデータの範囲は、まだ判明していません。
同様に、今回の侵入を特定の攻撃グループによるものと断定する根拠も示されていません。悪意のあるプログラムがランサムウェア、認証情報窃取型マルウェア、暗号資産マイナーのいずれに当たるのかも不明です。
お名前.comによると、同社が預かる顧客の個人情報の漏えいや、侵入の際に閲覧された可能性のある情報の不正利用は確認されていません。
同社はこれとは別に、クレジットカード情報などの決済情報は保持していないとも説明しています。ただし、この説明は、影響を受けた顧客サーバー内のデータにアクセスされなかったことを裏付けるものではありません。
デスクトップクラウドは、遠隔操作で利用できる仮想サーバーを提供するサービスで、外国為替の自動売買ソフトの運用にも使われています。
そのため、今回のインフラ障害は、常時稼働するワークロードへのサービス障害にとどまらず、取引用の認証情報が漏えいした可能性にも直結します。
関連する動きとして、OANDA証券（OANDA Japan）は10月22日、デスクトップクラウド上で使用するMetaTrader 4およびMetaTrader 5のログインIDとパスワードが、第三者に閲覧された可能性があると顧客に注意を呼びかけました。
ブローカーによるこの警告は、今回の問題がサーバーの可用性だけでなく、口座のセキュリティにも及ぶことを示しています。
Securityflaw patching
OANDAは顧客に対し、マイページおよびMT4/MT5のパスワードを変更し、利用可能な二要素認証を有効にするよう求めました。あわせて、取引履歴の確認や、不審な取引があった場合のサポートへの連絡も促しています。
同社の注意喚起は、不正な取引が実際に発生したと確認したものではありません。認証情報が漏えいした可能性に備えた予防策を示したものです。
お名前.comは顧客に対し、サーバー内に保存している、またはサーバーで使用している認証情報をただちに変更するよう求めました。同じパスワードを他のサービスでも使い回している場合は、そちらも変更するよう呼びかけています。
侵害の全容を調査している段階でも、まず認証情報への対処を最優先するよう求めた形です。
同社はまた、今回の事案に便乗したフィッシングメールへの注意や、不審な連絡への警戒も呼びかけています。社員がメールや電話でパスワードやクレジットカード情報を求めることは決してないと強調しました。
停止の対象はデスクトップクラウドの全プランですが、お名前.comの他のサービスについて同様の停止を行うとは発表していません。
調査担当者はサーバーの調査を続けています。同社は、新たな事実が確認でき次第公表し、サービスの再開も案内するとしています。
MTTRを21分短縮し、影響が出る前にサイバー脅威を阻止。ANYRUNのサンドボックスをSOCに導入。
翻訳元: https://gbhackers.com/onamae-com-cloud-servers/
