2026年10月、国内最大手インターネットインフラ企業であるGMOインターネットグループが提供するWindows仮想専用サーバー（VPS）サービス「お名前.com デスクトップクラウド」において、前代未聞の大規模不正アクセス事案が発生しました。攻撃者により仮想環境内に不正プログラムが設置され、保存されていた認証情報や通信データの窃取が確認されたことから、同社は10月21日未明、被害拡大を食い止めるため全プラン2万6,739件のサーバーを一斉強制停止するという異例の緊急措置に踏み切りました。さらに10月27日、攻撃者グループが要求や情報公開を目的とした不審サイト「CORONAMNG.STORE」を開設したことが確認され、セキュリティ界隈と金融市場に戦慄が走っています。本記事では、インシデントの発生経緯、攻撃手口の分析、CORONAMNG.STOREの正体と二次被害の危険性について徹底解説します。
1. インシデントのタイムラインと被害規模
「お名前.com デスクトップクラウド」は、主に個人投資家やFXトレーダーがMetaTrader（MT4/MT5）を用いた自動売買（EA）を24時間安定稼働させるためのWindows仮想デスクトップ環境として、国内圧倒的シェアを誇っていました。
- 10月19日〜20日: ユーザーからの「不審なファイルが設置されている」「身に覚えのない外部通信が発生している」という通報や社内監視システムの検知により、複数サーバーへの不正侵入が発覚。
- 10月21日 4:00: 調査の結果、侵入範囲が広範に及んでいることが判明し、被害拡大防止のため全契約者（26,739件）のサーバー強制停止、コントロールパネルの遮断、新規受付の無期限停止を断行。
- 10月24日〜26日: 侵入経路や設置された不正プログラム（バックドア、クレデンシャルハーベスター）のフォレンジック調査が本格化。サーバー内に保存されていた各種ログイン情報が持ち出された痕跡が確認される。
- 10月27日: 攻撃者グループが犯行声明および不正取得データの誇示を行うWebサイト「CORONAMNG.STORE」を開設したことが発覚。GMOおよびセキュリティ機関が緊急注意喚起を発令。
2. 攻撃の手口と構造的脆弱性
フォレンジック調査の過程で浮かび上がったのは、クラウド基盤の管理ネットワークまたは共通テンプレートに対する侵入・改ざんの疑いです。
- ハイパーバイザー・管理経路からの横断的侵入: 単一のゲストOSのパスワード漏洩にとどまらず、基盤側から多数の仮想マシン内部へ不正プログラムを一斉配備された兆候が確認されており、オーケストレーションシステムや内部APIの認証突破が疑われています。
- 認証情報のメモリダンプ・ファイル窃取: 設置された不正プログラムは、WindowsのLSASSメモリやブラウザの自動保存パスワード、そしてデスクトップ上にテキストファイル等で無防備に保存されていた「証券会社・FX会社の接続ID・パスワード・APIキー」を集中的に探索・窃取する挙動を示しました。
3. 攻撃者サイト「CORONAMNG.STORE」の正体と重大なリスク
10月27日に確認されたドメイン「CORONAMNG.STORE」は、本インシデントの攻撃者が自身の実績誇示や企業への身代金（ランサム）要求、あるいは盗取データの一部を公開するために立ち上げたとされる外部サイトです。
絶対にアクセスしてはならない3つの理由
- ドライブバイダウンロード（マルウェア二次感染）の罠: 攻撃者のサーバーにはブラウザの脆弱性を突く悪意あるスクリプトが仕掛けられている可能性が極めて高く、アクセスするだけで閲覧者の手元PCが感染するリスクがあります。
- 接続元IPアドレスのログ収集と標的化: アクセス元のIPアドレスやユーザーエージェントが攻撃者に記録され、さらなるサイバー攻撃やフィッシングのターゲットとして選定される危険性があります。
- 便乗詐欺・フィッシングへの誘導: 攻撃者サイトのURLを模倣したフィッシング詐欺サイトが乱立しており、「流出データを確認できる」と偽って個人情報を再入力させる罠が多数報告されています。
4. 業界への教訓と今後のセキュリティ基準
今回の事件は、「クラウド事業者のインフラ基盤が侵害された場合、ゲストOS内で運用される金融資産がいかに無力であるか」というクラウドセキュリティの盲点を残酷な形で露呈させました。多要素認証（MFA）が不完全な金融APIの危険性、暗号化されていない資格情報保管の危うさ、そしてクラウド事業者側の特権アクセス管理の再設計が、業界全体に重い課題として突きつけられています。