見舞金と損失補償、2本立ての方針を発表

FX自動売買の稼働先として使われてきたクラウドサービス「お名前.com デスクトップクラウド」への不正アクセスをめぐり、運営するGMOインターネットが10月24日、利用者への金銭的な対応方針を公表した。柱は、現在の利用者全員に支払う見舞金と、不正取引で生じた損失の補償の2つ。同社はこの対応を「特別措置」と位置付けている。

10月24日の公式のお知らせで、同社はサービスの環境に対する不正なアクセスと、利用者の情報が外部に持ち出された事実を確認したと説明した。一部の利用者からは、取引口座で身に覚えのない取引があったとの報告も受けている。どの取引が補償の対象になるかは、これから同社が取引やアクセスの記録などで確かめ、結果を個別に知らせる。

あわせて示したのが、現行のサービス基盤をそのまま再開しない方針だ。Windowsのデスクトップ環境を使い続けたい利用者には、別の基盤で動く代替サービスを案内する。

補償の申請方法や見舞金の受け取り方、代替サービスの申し込み方法は、まだ発表されていない。決まったのは「いつまでに案内するか」という期限で、補償や見舞金を支払う期限ではない点に注意が必要だ。

3つの対応と案内の期限は次のとおり。

詳しい内容は、GMOインターネットの公式のお知らせ（第4報）で確認できる。

見舞金5000円、被害がなくても対象に

見舞金の対象は、サービスを現在利用しているすべての利用者だ。不正取引の被害を受けたかどうかは問わず、一律で5000円を支払う。同社はこのお金を、迷惑と不安をかけたことへのおわびと説明しており、損失の補償とは性格が違う。被害を受けた人は、見舞金とは別に補償の対象になり得る。

受け取りの手続きや支払いの時期は、10月30日（金）の23時59分までに登録メールアドレスへ案内が届く。つまり、この日までに5000円が振り込まれるわけではない。

すでに解約した人が対象に入るのかなど、「現在利用している」の細かな範囲も、10月25日時点の発表では示されていない。

補償の対象は「不正取引と認めた実現損失」

対象になる損失と、ならない損失

補償の対象は、不正アクセスが原因となった「利用者の意思によらない取引」で、取引口座に出た実現損失だ。実現損失とは、ポジションを決済して確定した損のことを指す。同社が調査で不正取引と認めた取引について、取引の差損と手数料などを支払う。

一方で、市場の値動きによる損失、取引していれば得られたはずの利益、そのほかの間接的な損害は対象から外れる。不正取引かどうかは、同社が取引の記録やアクセスの記録で確かめ、結果を一人ひとりに通知する。必要に応じて追加の資料を求めることもあるという。

補償の上限額や総額、対象となる人数は、10月25日時点の発表には書かれていない。

取引所やFX会社などから返金を受けた場合は、その分を差し引いた残りを同社が支払う。取引所などが返金に応じない場合でも、対象と認められた損失は同社が支払う方針だ。二重に受け取った分や事実と違う申請には、返還を求めることがあるとしている。

求められる資料とパスワードの扱い

不正な取引の被害がある利用者に求められているのは2つある。1つは、被害の日時や取引の内容、損失額が客観的に分かる資料を出すこと。もう1つは、自分が使う取引所やFX会社に、第三者の不正アクセスによる取引だと説明し、取引の取り消しや返金を相談することだ。

資料の提出にあたっては、本人確認書類のほか、同社が取引履歴を直接確かめるため、MT4やMT5などの閲覧専用パスワードの提示を求められる場合がある。MT4・MT5のパスワードには、売買までできる取引用と、履歴や残高を見るだけの閲覧専用がある。求められる場合があるのは後者で、提出の具体的な手順は別に案内される。案内が届く前に、誰かへパスワードを送る必要はない。

同社は、補償の手続きで閲覧専用を除くパスワードや暗証番号を尋ねることはないと明言した。補償や返金をうたう連絡を受けたときは、公式サイトの案内と照らし合わせたい。

問い合わせは、お名前.comのお問い合わせフォームのほか、電話窓口（03-5456-2560）でも受け付ける。電話の受付は土日・祝日を含め24時間。

調査開始から5日で方針、代替サービスは6か月無償

発端は10月19日、利用者からの問い合わせだった。同社は翌20日、一部の利用者のサーバー環境に不正なプログラムが置かれているのを確認し、新規申し込みとコントロールパネルを止めた。21日の午前4時からは全プランのサーバーを順に停止し、22日には警察に相談している。

同社は10月23日の第3報で、影響の可能性があるサーバーを2万6739件と公表していた。これは対象になり得る数で、不正アクセスが確かめられた件数ではない。第3報の時点では、補償はまだ発表されていなかった。

10月24日の発表で、同社は現行の基盤をそのまま再開せず、安全の仕組みを抜本的に作り直す考えを示した。デスクトップ環境を使い続けたい契約者には、独立したクラウド基盤で動く代替サービスを案内し、乗り換えから6か月は無償になる。

利用者の同意なしに代替サービスへ移すことはない。無償期間が終わった後の料金や契約の条件も、申し込みの前に案内するとしている。サービス開始の時期や申込方法、乗り換えない人の契約と料金の扱いは、10月30日（金）23時59分までにメールで知らせる予定だ。

「発動第1号」として政府に要請、政府の対応は未発表

同社は、攻撃者とみられる者から金銭を要求されたことも明らかにした。応じなければ、取引口座への不正な操作を続けることや、サービスの情報を公開することなどを示唆する内容だったという。同社は、払っても情報の削除や悪用の防止が保証されないとして要求を拒否し、通信記録などの証拠を警察に出して捜査を求めた。

主要な取引所や証券会社には、このサービスからのアクセスを遮断することなどを要請している。

もう一つの焦点が、政府への働きかけだ。同社は本件を能動的サイバー防御の「発動第1号」事案と位置付け、攻撃の基盤を国の主導で追跡・遮断し、無力化する措置を取るよう、政府の関係機関に強く具申した。

能動的サイバー防御は、重大なサイバー攻撃の被害を未然に防ぐための制度で、官民の情報共有などに加え、警察などが攻撃元のサーバーにアクセスして無害化する措置を含む。この無害化の規定は2026年10月1日に施行されたばかりで、警察が措置をとるには、原則として独立した委員会の事前承認が要る。

ただし、「発動第1号」は同社自身による位置付けにとどまる。10月25日時点で、政府が措置の実行を決めたという公式発表は出ていない。報道によると、専門家からは、制度が一企業の要請による発動を想定していないとの見方も出ている。

業績への影響について、親会社のGMOインターネットグループは、現時点では算定できていないとした。利用者にとっての次の節目は、見舞金と代替サービスの案内期限である10月30日（金）23時59分と、補償の申請方法などの案内期限である11月6日（金）になる。

[文/構成 by RYO]