「何ら負わないものとします」。

お名前.com デスクトップクラウドの規約には、サーバーへの接続などで生じた損害について、GMOがこう書いた一文があります。

FX口座のIDとパスワードが抜き取られ、寝ているあいだに数百万円が消えたという声まで出ているのに、GMOの発表には、補償という言葉がまだ一度も出てきません。

FX会社の側にも「VPSへの不正アクセス対策はお客様ご自身で」と書いているところがあり、ネットでは「それは自己責任では」という声まで聞こえてきます。

自分のお金だったらと思うと、悪いのは盗んだ側なのに、なぜ損をした人が責任を問われるのかと言いたくなりますよね。


身代金説と2秒で消えた400万円

「お名前.com」と聞くと、ホームページのドメインを取るサービスを思い浮かべる人が多いかもしれません。

今回狙われたデスクトップクラウドは同じブランドの中にある別のサービスで、ネットの向こう側にあるWindowsパソコンを1台まるごと借りられる、VPS（仮想専用サーバー）と呼ばれる仕組みです。

月2,640円から借りられて、自分のパソコンの電源を切っても動き続けるので、FXの自動売買ソフト（EA）を24時間回したい人たちに使われてきました。

GMOの発表によると、ここまでの流れはこうです。

  • 10月19日　利用者からの問い合わせで調査を始める
  • 10月20日　一部のサーバーに不正なプログラムが置かれていたのを確認
  • 10月21日　午前4時から全プランのサーバーを順に停止。この時点では「悪用は確認されていない」
  • 10月22日　警察に相談。取引口座のログイン情報が取られ、不正に使われた可能性を認める

影響を受けたかもしれないサーバーは2万6,739件で、そのうち実際に情報が取られたのが何件なのかは、23日の第3報の時点でもまだ調べている途中とのこと。

 

朝日新聞の報道では、神奈川県の44歳の男性会社員は、わずか2秒ほどで400万円を超える損失が出て、その後の取引も合わせると600万円を超えたそうです。

愛知県の29歳の女性会社員は、10月22日の午前5時前から身に覚えのない取引が繰り返され、430万円あまりの資金がほぼ底をついたと訴えています。

朝起きて画面を開いたら口座が空になっていた、というのは想像するだけで血の気が引く話です。

盗んだ側がなぜ損の出る取引を繰り返したのかは、まだ分かっていません。

 

ネットでいちばん広がっているのは、「犯人から身代金を求められたのにGMOが無視して、その仕返しに口座を壊された」という話です。

犯人を名乗る側がそう主張するページを出していて、朝日新聞によると、被害にあった男性のもとにも「Hacking Team」を名乗る人物から「アカウントの残高をすべて破壊しました」というメールが届いたとのこと。

ただ、GMOの発表には身代金も交渉も一言も出てこず、材料が犯人側の言い分しかないいまは、本当かどうか誰にも確かめられません。

はっきりしているのは、GMOが第3報で、不正アクセスをした者を名乗る連絡が来てもリンクやファイルを開かず、返信もしないよう利用者に呼びかけていること。

そうした連絡が利用者に届くことを前提に注意を呼びかけながら、交渉があったのかどうかには触れていないところが、引っかかる点です。

 

サーバーを止めても安心できない理由は、盗まれたものの中身にあります。

GMOの第2報によると、取られた可能性があるのは、借りたサーバーの中に保存されていた取引口座のログイン情報です。

サーバーを止めても、取られたIDとパスワードは別のパソコンから使えてしまうので、GMOはサーバー以外の端末からパスワードを変えるよう呼びかけています。

OANDA証券も10月22日のお知らせで、このサービスの上で自社のMT4やMT5を使っていた人は、口座のIDとパスワードを第三者に見られた可能性があると案内しました。

このサービスで自動売買を回すということは、口座のIDとパスワードをサーバーの中に預けておくことでもあったわけです。


FX会社から見れば本人の注文

自己責任という声は、外からだけでなく、FXをやっている人の側からも出ています。

被害にあった人を「同志」と呼んで悔しがりながら、それでもFX会社に非はなさそうだ、と。

FX会社の側から見ると、問題の注文は正しいIDとパスワードでログインした画面から出されています。

ふだんの取引と見分けがつかないので、会社の帳簿の上では「お客さんが自分で出した注文」になってしまう、というわけです。

 

VPSの中については、FX会社がはっきり線を引いていて。

OANDA証券は自社サイトの解説ページで、VPSは他社が提供するサービスなので自社のセキュリティ対策が及ばない領域だとしたうえで、「VPSへの不正アクセス対策はお客様ご自身で実施いただく必要があります」と書いています。

FX会社の書面の上では、VPSの中の守りは、最初から利用者の持ち場になっていました。


GMOの規約は「何ら負わない」

では、サーバーを貸していたGMOはどうなのか。

デスクトップクラウドに適用される「お名前.comレンタルサーバーサービス会員規約」の第14条には、サーバーへの接続や接続中の行為などで生じた損害について、当社は「何ら負わないものとします」という一文があります。

損害賠償を定めた第34条も、払う場面を細かく絞った作り。

  • 賠償するのは、連続24時間以上まったく使えなかったときだけ
  • 上限は、その月の利用料金の1か月分
  • 事業者として契約している会員には、一切責任を負わない

月額数千円のサービスで、数百万円の損失を受け止める形には、最初からなっていない。

 

出口が1つだけあるとすれば、同じ第34条の後ろのほうにある一文。

GMOに故意か重過失があった場合は、事業者以外の会員には、通常の損害を賠償すると規約自身が書いているのです。

消費者契約法にも、事業者の責任を全部なくしてしまう条項は消費者との契約では無効、という決まりがあり、第14条の「何ら負わない」もそのまま通るとは限らない。

ただ、今回の損失が「通常の損害」にどこまで入るのか、自動売買をしている個人が事業者にあたるのか、そもそもGMOに重い落ち度があったのかは、規約の文面だけでは決まりません。

侵入の経路はGMOがまだ調べている途中で、個人として契約していた人にとっては、GMOの側にどれだけの落ち度があったかが補償の分かれ目になってくる。


VPSの設定手順はFX会社のサイトにも

2つの書面を重ねてみます。

FX会社はVPSを自社のセキュリティの外に置き、GMOはサーバーへの接続などで起きた損害は負わないとしている。

どちらの書面も、それぞれの会社の立場では筋が通っています。

ただ2つを重ねると、パスワードが置かれていたサーバーの中だけが、どちらの会社の担当にもなっていないんです。

 

しかも、そのサーバーの使い方は、利用者が勝手に思いついたものではありません。

GMOはデスクトップクラウドを「FX自動売買専用VPS」とうたって売っていて、規約にも、FX自動売買の用途を中心に提供するサービスだと書いています。

OANDA証券のサイトにも、お名前.comのVPSを契約してEAを動かすまでの手順を解説したページがあり、特定のVPSを勧めるものではないと断ったうえで、設定のしかたを一つずつ説明していました。

VPSを借りて口座にログインしたツールを置いておくのは、GMOがうたっていた使い方そのもので、FX会社のサイトにも手順が載っていた使い方だったわけです。

利用者は不用心だったから責任を問われているのではなく、2社が引いた線のすき間に立たされていた、と言ったほうが近いと思います。


約款を越えて補償した2025年の前例

では補償はもうあきらめるしかないのかというと、ひとつ前例があるんです。

2025年に証券口座の乗っ取りで不正な売買が相次いだとき、各社の約款では、IDやパスワードの漏れによる損失は免責とされていて、補償には慎重だったと報じられています。

それでも2025年5月2日、日本証券業協会は、野村證券やSBI証券、楽天証券など大手10社が、約款の定めにかかわらず一定の補償をする方針を申し合わせたと発表しました。

補償の額は、被害の中身や、利用者がIDとパスワードをどう管理していたかを見て、各社が個別に決めるという形。

これは証券会社の話で、FX会社が同じ扱いをすると決まったわけではありませんが、約款の免責を会社の側から越えた前例があるのは確かです。

 

今回の件でも、FX会社の側はまだ答えを出していません。

OANDA証券は10月22日のお知らせで、今後の運用などの方針は「現在協議を進めております」としています。

外為ファイネストも10月21日、他社のサービスなどから漏れた可能性のあるIDとパスワードで不正なログインと取引があったと発表していて、今後の対応は協議中、該当する人には個別に報告するとのこと。

その答えが出るまでに、手元でやっておけることもあります。

  • FX取引に使っていない端末から、口座と取引ツールのパスワードを変える
  • FX会社の案内に沿って、つながったままのセッションを全部切る
  • 取引履歴と残高の画面を保存しておく
  • 身に覚えのない取引は、FX会社とGMOに文字で残る形で伝える
  • 警察のサイバー犯罪の相談窓口に相談しておく

いまの時点で、補償すると言った会社はまだありません。

それでも、盗まれた側に「自己責任」の一言で済ませていい話ではないと感じてしまいます。

補償するのは誰なのか、その答えを持っているのは、書面の線を引いたGMOとFX会社なんですよね。