2026年10月、GMOインターネット株式会社の「お名前.com デスクトップクラウド」でサイバー攻撃が確認され、サービスが停止しました。影響の可能性があるサーバー数は26,739件と公表されています。

この件で先に言っておきたいことがあります。「GMOが攻撃された」と一括りにすると、対応を間違えます。後半で切り分けます。

何が起きたのか（公式発表の時系列）

  • 10月19日：顧客からの問い合わせを受けて調査を開始
  • 10月20日：一部顧客のサーバー環境に不正なプログラムが設置されたことを確認
  • 10月21日 4:00〜：お名前.com デスクトップクラウド全プランのサーバーを順次停止
  • 10月24日（第4報）：お客様の情報が外部に持ち出された事実を確認

第2報（10月21日時点）では「現時点において、お預かりしているお客様の個人情報の漏えいや、情報が悪用された事実は確認されていない」とされていました。それが第4報で「持ち出された事実を確認」に変わっています。

こういう事案では、最初の発表が最終的な結論ではありません。続報で深刻になることがあるので、古い記事だけ読んで判断しないことです。

第4報では、さらに次のことも書かれています。

  • 一部の顧客から、取引口座における身に覚えのない取引の報告が寄せられている
  • 攻撃者とみられる者から金銭の要求と脅迫を受けている（脅迫内容にはランサムウェア攻撃の実行が含まれる）

使っている人がやること

公式が依頼しているのはこれです。

  • サーバー内に認証情報（ID・パスワード等）を保管・利用している場合は、速やかに変更する
  • 同一のパスワードを他のサービスでも使っている場合は、あわせて変更する
  • 本件に便乗したフィッシングメールや不審な連絡に注意する

2つ目が重要です。サーバーに置いていたパスワードを他でも使い回していたら、そのサービス側も変える必要があります。漏れた場所だけ直しても、同じ鍵で別のドアが開くままになります。

詐欺対策としてもう1つ。公式は補償手続きで会社がパスワードや暗証番号を尋ねることはないと明言しています（閲覧専用パスワードを除く）。聞かれたら偽です。

独学で勉強している人が、ここから持ち帰れること

「自分はデスクトップクラウドを使っていないから関係ない」で終わらせず、1つだけ確認してみてください。

借りているサーバーの中に、他のサービスの認証情報を置いていませんか。

勉強でスクレイピングや自動投稿を作ると、APIキーやパスワードをサーバーに置くことになります。置き方には差があります。

# ソースに直接書く（最も危ない）
API_KEY = "abcdef123456"

# .env に書く（よくあるやり方）
API_KEY=abcdef123456

# ファイルを分けて権限を絞る
# 読めるのは自分だけにする
chmod 600 ~/.my_api_key

どの置き方でも、サーバーに侵入されれば読まれます。今回の事案で公式が「サーバー内に認証情報を保管している場合は速やかに変更」と書いているのは、そういう意味です。

だから効くのは、置き方を工夫することより使い回さないことです。サーバーに置く鍵は、そのサーバー専用にしておく。そうすれば、そこが破られても被害がそこで止まります。

私も自動処理をサーバーで動かしているので、認証情報はサーバー上に置いています。完全に避けることはできません。できるのは、1か所破られたときに連鎖しない形にしておくことだけです。

「GMOが攻撃された」ではありません

ここを混同している情報を見かけるので分けます。

お名前.com デスクトップクラウドを運営しているのはGMOインターネット株式会社です。一方、ロリポップ！レンタルサーバーを運営しているのはGMOペパボ株式会社で、別の会社・別のサービスです。

そしてロリポップが10月22日に出したお知らせは、攻撃の話ではありません。Node.jsに複数の脆弱性を修正したセキュリティアップデートが公開されたため、実行環境を修正済みバージョンに更新した、という内容です。

こちらで利用者がやることは、認証情報の変更ではなく再デプロイです。

  • 対象は「2026年10月22日 午前1時35分より前にデプロイされ、現在公開中のアプリケーション」
  • 静的サイト（HTMLやCSSをそのまま公開しているサイト）は対象外
  • 更新前にデプロイしたアプリは、次のデプロイのタイミングで修正済み環境に切り替わる。つまり自分で再デプロイするまで旧環境のまま

同じ「GMO」で同じ時期でも、一方は不正アクセス、もう一方は脆弱性対応です。やることも全く違います。ニュースの見出しだけで判断せず、自分が使っているサービスの公式お知らせを見るのが確実です。

出典

  • GMOインターネットグループ「【重要】お名前.com デスクトップクラウドサービスに対するサイバー攻撃について（第4報）」2026年10月24日11:50時点
    https://group.gmo/info/alert/20261024/
  • お名前.com「お名前.com デスクトップクラウドへの不正アクセスに関するお知らせ（第2報）」2026年10月21日4:00時点
    https://www.onamae.com/news/article/11584
  • ロリポップ！「Node.jsのセキュリティアップデートに伴う実行環境の更新について」2026年10月22日
    https://lolipop.jp/info/news/8240/

本記事の数値・日付・引用は、上記の各公式ページを2026年10月25日に参照して確認したものです。本記事は特定のサービスの利用・解約を勧めるものではありません。