GMOの規約は「賠償は月額1か月分まで」。それでも補償へ
GMOの不正アクセスで、規約を読んで「ほぼ補填されない」と思った僕の読みは外れ、GMOは規約の上限を超えて損失を補償すると決めたので、被害がある人は諦めずに取引の証拠を残してください。
10月23日の朝、Xを見ていたら、FXの資金がなくなったという投稿がたくさん流れてきました。原因は、GMOの「お名前.com デスクトップクラウド」への不正アクセスです。
最初に思ったのは「やっちまったな、GMO」でした。
ちょっと落ち着いてから、気づきました。僕も仕事で、GMOのグループのサービスを使っています。「おい、僕にも関係するじゃないか」と思いました。
パスキーは登録してありました。でも、ログインのパスワードと取引用のパスワードは、ずっと変えていなかった。急に怖くなって、その場で両方とも変えました。ログインの履歴も見ましたが、怪しいものは見つかっていません。とりあえずは大丈夫そうです。
そのあと、もう一つ気になったのが補填の話です。規約を読んでみたら、賠償の上限は「利用料金の1か月分」と書いてありました。おいおい、と思いました。
ところが翌日、GMOは規約の上限とは関係なく、不正な取引で出た損失を補償すると発表しました。
何が起きたのか、ざっくり
お名前.com デスクトップクラウドは、FXの自動売買を24時間動かしておくための、ネット上の貸しパソコンのようなサービスです。自動で取引するために、証券会社やFX会社のログインIDとパスワードを、そのパソコンの中に入れておく人が多い。
そこに不正なプログラムが置かれました。GMOは10月20日に一部のサーバーでそれを見つけて、21日の朝4時から全プランを止めています。影響の可能性があるのは2万6739台のサーバーです。
そのあと、利用者の取引口座で、身に覚えのない取引が起きたという報告が出てきました。報道では、約2秒で400万円を超える損失が出た人もいます。GMOは利用者の情報が外に持ち出されたことも確認していて、攻撃者とみられる人物から金銭の要求も受けていると公表しています。
要するに、自動売買のために置いておいた「鍵」が、まとめて抜かれた可能性がある、ということです。
GMOは、AIセキュリティにもかなり力を入れていて、世界最高、日本最高峰みたいにうたっている印象がありました。それでハッキングされてどうするんだよ、とは思いました。
僕がその朝にやったこと
僕はデスクトップクラウドを使っていません。だから、直接の対象ではないはずです。
それでも変えたのは、同じGMOのグループで、どこまで影響が広がるのか、その時点では分からなかったからです。別のサービスでも、もし同じような仕組みで動いていたら、そっちが抜かれていてもおかしくない。そこまで考えて、不安になりました。
僕が普段からやっているのは、パスキーと二段階認証です。かなりバチバチに設定しているので、取引用のパスワードを抜かれても、メールの認証まで突破されないと取引はできないはずです。できることは、自分の中では全部やっていました。
それでも、変えていないパスワードが残っていた。ここは素直に穴でした。
GMOが10月24日に出した利用者へのお願いを読むと、やることは大体次のとおりです。
- 取引に使っていない端末から、取引口座と取引ツールのパスワードを変える
- ログイン中のセッションを全部切る
- 取引の履歴と残高を確かめる
- 二要素認証があるなら設定する
- 同じパスワードを使い回している他のサービスと、ブラウザに保存したパスワードも変える
1つ目の「取引に使っていない端末から」が大事です。乗っ取られたパソコンの上でパスワードを変えても、変えた後のパスワードをまた見られるだけだからです。
規約を読んで「ほぼ補填されない」と思った理由
ニュースを見ながら、僕はお名前.comのサーバーサービスの規約を読んでみました。第34条の2項に、こう書いてあります。
当社が損害賠償義務を負う場合、当社の賠償責任は、当該損害が発生した月に現に受領した本サービス利用料金の額を上限とします。
サーバーの月額料金なんて、せいぜい数千円です。それ以上は会社として賠償する責任を負いませんよ、という意味です。故意や重い過失があったときの例外はありますが、基本はそこまでです。
たとえば月に数千円のプランで、被害が100万円とか1,000万円だったら、ほぼ補填されないじゃないですか。
人のお金を扱うサービスで、その規約はどうなのか。それが今、表に出てきているように感じました。
もちろん、利用者のほうに原因があるなら、そのぐらいでも妥当だと思います。パスワードを使い回していたとか、怪しいメールを開いたとか。でも、サービスを提供している会社の側が破られたのなら、筋が通っていない。
だから僕は、実際に出た損害にGMOがどう対応するのかは、使っている身として見ておこうと思っていました。あまりにひどい対応なら、別のところに変える判断も必要です。
翌日、GMOは規約の外で補償すると言った
10月24日、GMOは補償の方針を出しました。
対象になるのは、不正アクセスが原因の不正な取引で、実際に確定した損失です。取引の差損と手数料などが入ります。相場が動いたことによる損失や、本当なら得られたはずの利益は入りません。
目を引くのは、FX会社との関係です。FX会社が取引を取り消したり返金したりしたら、その分を引いた残りをGMOが払う。FX会社が返金に応じなくても、対象と認めた損失は払う、と書いてあります。
それとは別に、いまサービスを使っている人全員に、被害があってもなくても、お見舞金として一律5,000円を払うそうです。
規約の上限の「1か月分」から考えると、かなり踏み込んだ対応です。僕が「ほぼ補填されない」と思った読みは、少なくとも発表の上では外れました。
もう一つ、この発表で検索が伸びている言葉があります。「能動的サイバー防御」です。被害が大きくなる前に、国が攻撃者のサーバーや侵入の経路を突き止めて止める、という考え方です。GMOは今回の件を、その「発動第1号」として扱うよう政府に強く求めたとしています。
ただ、これはGMOが要請したという話です。政府が実際に何かを始めた、という発表ではありません。
被害がある人が、今やっておくこと
申請の方法や必要な書類、受付の期間は、11月6日までに案内すると書いてあります。お見舞金の受け取り方は、10月30日の夜までに登録メールアドレスへ届くそうです。
それまでに、被害がある人はこれをやっておくと楽だと思います。
- 身に覚えのない取引の日時、内容、損失額を、画面の保存や取引報告書で残す
- 取引しているFX会社や証券会社に、取消しや返金ができないか相談する
- 相談した日と、返ってきた答えもメモしておく
GMOは、補償の手続きで普段のパスワードや暗証番号を聞くことはないと言っています。MT4やMT5の閲覧専用のパスワードを頼むことはあるそうです。逆に言うと、補償を名乗って取引用のパスワードを聞いてくる連絡は、まず疑っていい。GMO自身も、第三者を名乗る怪しいメールは開かないよう呼びかけています。
規約の上限は、払える額の上限ではなかった
今回分かったのは、規約に書いてある「1か月分」は、会社が払う義務を負う上限の話で、会社が自分から払うと決める額の上限ではない、ということでした。実際にいくら戻るかは、事件が起きたあとの会社の判断で大きく変わります。
だから、被害があっても「規約で1か月分って書いてあるし」と諦める必要はありません。証拠を残して、申請してください。
僕のほうは、今のところ損害はありません。口座には、毎月の固定費に少し余裕を持たせたぐらいしか残していないので、大きな金額を抜かれる心配もしていません。それでも、怖いものは怖いです。
会社まわりのサービスは、ほとんどGMOでそろえています。日本で会社をやっている以上、税金や会計のことを考えると、日本のサービスが一番使いやすいんですよね。だからこそ、今回の補償が発表どおりに払われるのかは、支払いまでシビアに見ていくつもりです。
気をつけておいたほうがいいですね。日本のサービスを使うときは、特に。
制作プロセス
このコンテンツは、僕自身の一次情報をもとに制作しています。
出典：GMOの不正アクセスを見て、不安になった。補填の対応を見ていく
AI活用
制作には、以下のAIモデルを使用しています。
ニュースレター
今週の大事な変化と、それをどう判断し、どう動いたかを毎週まとめています。