お名前.com デスクトップクラウドの不正アクセスでFX口座に損失が出たら―GMOの補償，FX会社との関係と利用規約の免責条項（AI作成）

第１　本記事の対象と基準日

GMOインターネット株式会社が提供するFX自動売買向けの仮想デスクトップサービス「お名前.com デスクトップクラウド」が第三者による不正アクセスを受け，利用者の取引口座で身に覚えのない取引が行われたとの報告が同社に寄せられている。
本記事は，この事案で取引口座に損失が出た利用者が，同社の補償，FX会社との関係，利用規約の免責条項をどう整理すればよいかを扱う。

初稿は令和８年１０月２５日までの会社公表資料に基づく。
その後の特別見舞金，１０月３０日の見舞金・代替サービスの案内，１１月２日の記者会見及び１１月６日の損失補償に関する公表を補った。

GMOインターネットは１１月６日，不正取引による損失補償について，契約者宛ての個別連絡を始めたと公表した。
申請方法・書類・受付期間・支払時期は個別案内で確認し，案内が見当たらない場合は公式の相談窓口で確認する。
同日付の適時開示では，対象となる顧客数と取引の確認が確定しておらず，補償額は未算定とされた。

本記事は同社の調査・報告の内容を紹介するものであり，被害の全容，侵入経路又は個々の取引と不正アクセスとの因果関係を独立して認定したものではない。
能動的サイバー防御の要請については，能動的サイバー防御は企業の要請で発動するのか―GMOの公表事案と政府の判断を分けて読む（AI作成）で扱っている。

第２　GMOが公表した事実と，公表されていないこと

１　経緯

令和８年１１月２日の記者会見では，同年８月５日に顧客のVPSへ侵入され，同月１７日に奪取した管理者権限を悪用して管理サーバーへ侵入され，９月２０日から１０月１４日までに他の顧客のVPSへファイルが配布されたと説明された。
これは会社側が会見時点で説明した経路・時期であり，以下の１０月の発覚後の経緯とは区別して読む必要がある。
もっとも，熊谷正寿氏は質疑で，侵入経路はまだ最終的に正確には把握できていないとの報告を受けている旨も述べており，会見時点の調査途中の説明である。
出典：会見の侵入時期・経路の説明，侵入経路の把握についての質疑。

同社の第４報によれば，経緯は次のとおりである。

①令和８年１０月１９日，利用者からの問合せを受けて調査を開始した。
②同月２０日，不正なプログラムの設置を確認し，新規申込みとコントロールパネルを停止した。
③同月２１日午前４時，被害拡大防止のため全プランのサーバーを順次停止し，第１報を掲載した。
④同日以降，取引口座での身に覚えのない操作等の報告を受け付けた。
⑤同月２２日，警察に相談した。

２　影響範囲の数字の読み方

同社は，影響の可能性があるサーバーを２６，７３９件としている。
もっとも，第３報はこの数について「上記は対象となり得るサーバー数であり、不正アクセスまたは情報取得が確認された件数ではありません。」と注記している。
この数を，情報が流出した件数や被害者の数と読むことはできない。

同社は，決済情報（クレジットカード情報を含む。）を本サービスのサーバー上で保有していないと説明する一方，「他方、お客様ご自身がサーバー内に保存された情報は、影響範囲に含まれます。」としている。
同社は，影響の可能性がある情報として，取引ツール等に保存された取引口座のログイン情報等を挙げている。

３　第４報で同社が認めたこと

第１報（令和８年１０月２１日午前４時時点）は，同社が預かる個人情報の漏えいや，閲覧された情報が悪用された事実は確認されていないとしていた。
これに対し，第４報（同月２４日午前１１時５０分時点）は，「本サービスのシステムにセキュリティ上の問題が存在し、本サービスの環境に対する不正なアクセスと、お客様の情報が外部に持ち出された事実を確認しております。」と述べている。
同じ第４報は，一部の利用者から取引口座での身に覚えのない取引の報告を受けているとしている。

同社は，１０月２７日の第１２報で，自分の情報が公開されたことを同社が確認した利用者に対する特別見舞金を公表し，確認した対象者には個別に連絡すると説明した。
同社による確認・連絡の説明であり，全利用者の情報公開が確認されたことを意味しない。

１０月２９日の第１５報は，犯人の特定につながると同社が考える情報を入手し，同日に警察等へ提出する旨を公表した。
この公表から，犯人の特定や逮捕が完了したと読むことはできない。

４　公表されていないこと

会見で侵入時期・経路の説明が加わっても，具体的な脆弱性や設定の全容，指摘書・対策記録，利用者ごとの持出し対象及び個々の取引損失との因果関係まで，本記事で確認した資料から確定できたわけではない。
会社側の調査説明と，第三者による検証結果も区別する必要がある。

第４報には，攻撃者とみられる者が，国内外の７０を超える証券会社・FX会社等の取引口座に対する不正操作の継続等を告げて金銭を要求しているとの記載がある。
この７０という数は攻撃者が告げた内容として記載されたものであり，同社が被害を確認した事業者の数ではない。
同社は要求に応じない方針を示し，脅迫について警察に捜査を要請したとしている。

会見では，利用者の手元のPCのファイルが窃取されたことは確認しているが，全ての端末を確認したわけではなく，被害範囲は調査中であるとの回答があった。
他方，第１４報は，令和８年１０月２８日時点で，解析している手元のPCからマルウェアやランサムウェアの痕跡は確認されていないと説明していた。
ファイルへのアクセス・持出しと，PC内でプログラムが実行されたことは別の事柄であり，この二つの説明を直ちに矛盾と扱うことはできない。
全てのPCの調査が完了した，あるいは全ての利用者のファイルが流出したという意味でもない。

手元のPCとの共有や確認事項は，RDPのドライブ共有と確認すべき設定で整理する。

出典：第１４報，会見の共有設定とファイル持出しについての質疑。

第３　GMOの見舞金と損失補償の内容

１　見舞金

第４報では，当時の本サービス利用者全員を対象とする一律５，０００円の見舞金が，不正取引による損失の補償とは別に示された。
１０月３０日，同社は見舞金の受取手続と代替サービスの提供についての個別案内を開始したと公表した。

その後，第１２報で，情報が公開されたことを同社が確認した利用者への特別見舞金が公表された。
公表された情報の区分に応じ，基本的な情報は１万円，金融・認証に関する情報は１万５，０００円，プライバシー性の高い情報は２万５，０００円とされ，複数区分では各区分の金額を合計すると説明されている。
同報は「1公開につき上限300万円」と表示しているが，利用者一人一人に一律３００万円を支払うという内容ではない。
この特別見舞金は，前記の一律５，０００円と不正取引による損失補償の双方とは別のものとされている。
公開状況が変わった場合には内容を見直すことがあるとも説明されているため，個別の案内と最新の公式発表を確認する。

情報が漏れたかを自分で確認する目的で，公開情報と称するサイトへアクセスしたり，その情報やリンクを拡散したりしないよう，同社は注意を呼びかけている。
対象者への連絡は同社の確認後に個別に行うとされている。

２　不正取引による損失の補償

１１月６日に始まったのは，不正取引による損失補償についての個別連絡である。
１０月３０日に始まった見舞金・代替サービスの案内とは手続が異なる。

補償の対象について，第４報は「当社が、調査の結果、本件の不正アクセスに起因する不正取引であると認めた取引により生じた、お客様に実現した損失（取引の差損、および手数料等）が対象です。」としている。
他方で，「市場の変動による損失、取引で得られたはずの利益、その他の間接的な損害は、対象に含まれません。」とも定めている。
対象かどうかは，同社が取引の記録，アクセスの記録その他の資料をもとに確認し，結果を利用者に個別に知らせるとされている。

利用者には，対象取引の日時，内容及び損失額が客観的に確認できる情報の提出と，取引所等に対し不正アクセスによる取引である事情を説明して取消しや返金を相談することが求められている。
提出には，本人確認書類や，同社が取引履歴を直接確認するための閲覧専用パスワード（MT4/MT5等）の提示が含まれるとされている。

取引所等から返金を受けた場合について，第４報は「取引所等から返金があった場合は、その金額を差し引いた残額を、当社がお支払いいたします。取引所等が返金に応じない場合も、当社が、（1）に基づき対象となる損失をお支払いいたします。」としている。
個別の申請方法，提出書類，受付期間及び支払時期は，自分に届いた案内を確認する。
１１月６日の公表は個別連絡を始めた旨の告知であり，受取時期を一律に示すものではない。

３　補償の範囲と法律上の損害賠償の範囲は同じではない

この補償は，同社が「特別措置」として示した対応方針であり，民法が定める損害賠償の範囲をそのまま示したものではない。
民法４１６条は，債務不履行による損害賠償の範囲として，通常生ずべき損害と，当事者が予見すべきであった特別の事情によって生じた損害を定めている。
同社の補償から外された「取引で得られたはずの利益」等が，法律上の損害賠償でも当然に請求できないとは限らず，逆に当然に請求できるとも限らない。
補償を受けるかどうかを決める際には，案内される申請書類に，他の請求をしないことを約束する条項が含まれていないかも確認する必要がある。

４　補償を装う連絡に注意する

同社は，「当社が、補償の手続きに関して、お客様のパスワード（※1を除く）や暗証番号をお尋ねすることはありません。」としている。
ここでいう※1は，同社が取引履歴を確認するための閲覧専用パスワード等である。
補償や返金をうたってパスワード等を求める連絡には応じず，同社の公式サイトと登録のメールアドレスへの案内で手続を確認する。

第４　FX会社との関係―不正な取引は誰の取引か

１　本人の意思によらない取引の効果

第三者が利用者になりすまして取引口座で注文した場合には，まず，その取引の効果が利用者に帰属するかが問題となる（証券口座の不正取引について，坂勇一郎「証券口座への不正アクセス・不正取引による被害の補償について」国民生活２０２５年１１月号６頁）。
民法１１３条１項は，代理権を有しない者が他人の代理人としてした契約は，本人が追認しなければ本人に対して効力を生じないと定めている。

最高裁平成４年２月２８日判決（昭和６３年（オ）第３８６号，集民１６４号１１３頁）は，証券会社の従業員が顧客の注文に基づかずに顧客の信用取引口座を利用して売買をし，その差損等を口座から引き落とす処理がされた事案で，「右無断売買の効果は顧客に帰属せず」と述べ，顧客に損害が生じたとはいえないとした。
この判決は証券会社の従業員による無断売買の事案であり，外部の第三者が認証情報を使って行った取引にそのまま当てはまるものではない。
もっとも，本人の注文に基づかない取引の効果を考える際の出発点にはなる。

２　本人に責任を負わせる外観法理

本人の意思に基づかない取引でも，本人の取引であるかのような外観があり，その外観について本人に責任を負わせるべき事情があり，相手方がそれを信じたことに正当な理由がある場合には，本人に効果を及ぼす考え方がある（民法９４条２項・１１０条の類推適用等。前記坂解説６頁～７頁は，証券口座の不正取引についてこの外観法理の適用の可否を検討している）。

最高裁平成１８年２月２３日判決（平成１５年（受）第１１０３号，民集６０巻２号５４６頁）は，不実の登記がされたことについて，所有者に，自ら積極的に関与した場合やこれを知りながらあえて放置した場合と同視し得るほど重い帰責性があるとして，民法９４条２項・１１０条の類推適用を認めた事例である。
他方，最高裁平成１５年６月１３日判決（平成１４年（受）第１００８号，集民２１０号１４３頁）は，所有者が外観の作出に何ら積極的な関与をしておらず，不実の登記を放置していたとみることもできない事情がうかがわれるのに，十分に審理しないまま類推適用を肯定した原審の判断を違法として破棄し，差し戻した。

本件の公表資料によれば，影響の可能性がある情報は，サーバー内に保存されていた情報であり，利用者が取引ツール等に保存した取引口座のログイン情報等を含む。
サービスの提供者が不正アクセスを受けて保存情報を持ち出されたという事情の下で，利用者が仮想デスクトップ上の取引ツールにログイン情報を保存していたことだけをもって，外観の作出に積極的に関与したのと同視し得るほど重い帰責性があるとはいいにくい，と本記事では考える。
ただし，個々の利用者の管理状況，FX会社からの注意喚起の内容及び侵入経路によって評価は変わり得る。

３　FX会社の認証の仕組み

相手方であるFX会社に正当な理由があるかは，FX会社がどのような認証の仕組みを設けていたかとも関係する。
金融先物取引業協会の「インターネット取引における不正アクセス等防止に向けたガイドライン」（２０２５年１２月２３日一部改正）は，会員が対応すべき事項として，ログイン時，出金時等の重要な操作時にフィッシングに耐性のある多要素認証を実装し，必須化することを定めている。
同ガイドラインは，複数の取引ツールでインターネット取引を提供している場合について，「各取引ツールで同じ水準の機能・仕様を実装する必要がある。」としている。
また，不正取引により顧客に被害が発生した場合には，被害状況を十分に精査し，顧客の態様やその状況等を加味した上で，「顧客の被害補償を含め、被害回復に向けて誠実かつ迅速に対応する。」ことを求めている。

銀行の機械払いの事案ではあるが，最高裁平成１５年４月８日判決（平成１４年（受）第４１５号，民集５７巻４号３３７頁）は，無権限者への払戻しについて銀行が無過失というためには，「同システムが全体として，可能な限度で無権限者による払戻しを排除し得るよう組み立てられ，運営されるものであることを要する」とした。
この判決は民法４７８条による預金の払戻しの事案であり，FX取引の効果帰属を直接判断したものではない。

もっとも，会見では侵入の時期と経路の概要が説明され，取引口座のアカウント情報を不正に取得した上で操作したとの説明もあったが，取引口座をどのように操作したかの詳細は，会見と公表資料からは確認できない。
攻撃者がログイン済みの取引ツールを仮想デスクトップ上で操作したのか，保存されたログイン情報を持ち出して別の端末から使ったのかによって，ログイン時の多要素認証が被害を防ぎ得たかの評価は異なる。
第３報も，パスワードを変更した後について「パスワードを変更した後も、証券会社・FX会社等のサーバーの仕様によっては、一定期間、既存の接続セッションが維持され、第三者が継続的に取引できる場合があります。」と注意している。

外部のVPS等が利用されていた事案では，サービス提供者が金融事業者に当たるかという問題と，FX会社による第三者の管理の問題とを分けて検討する必要がある。
金融庁「金融分野におけるサイバーセキュリティに関するガイドライン」は，適用対象を第１．４で定め，第２．６でサードパーティリスク管理を扱っている。
また，印刷９頁の注１８は，サードパーティを，自組織がサービスを提供するために業務上の関係や契約等を有する他の組織とし，外部委託先，クラウド等のサービス提供事業者，業務提携先，API連携先等を例示している。
外部委託先についても，形式上は外部委託契約がなくても，実態において外部委託と同視しうる場合を含むとしている。

もっとも，顧客が自ら契約したVPSが，直ちにFX会社の業務委託先になるわけではない。
個別の検討では，VPS・FXの各契約の当事者，FX会社による紹介・提携の有無と内容，システムの接続関係，管理権限及び認証情報の取扱いを確認する。
そのため，顧客側の申込書・利用規約だけでなく，紹介ページ，提携表示，設定手順，問い合わせへの回答等も保存しておくことが考えられる。

これらの資料は関係者の役割を見定めるためのものであり，ガイドラインの記載だけから本件の法的責任を断定することはできない。
また，金融規制の直接の適用対象に当たらないという評価だけで，契約上又は不法行為上の責任の有無まで決まるものでもない。
具体的な義務の内容，侵害の経路，損失との因果関係等を個別に検討する必要がある。

４　FX会社の約款の免責条項

証券口座の不正取引について，証券会社の約款には，ID・パスワードの利用による取引は顧客の意思に基づかないときも顧客に効果を帰属させるという条項がある場合があり，その適用や有効性が問題になると指摘されている（前記坂解説７頁～８頁）。
FX会社の約款にも同様の条項や責任を限定する条項が置かれている可能性があり，内容は会社ごとに異なるため，利用していたFX会社の約款の該当条項と，被害当時の版を確認する必要がある。

利用者が消費者である場合には，消費者契約法８条と１０条が問題となる。
同法８条１項１号は，事業者の債務不履行により消費者に生じた損害を賠償する責任の全部を免除する条項等を無効としている。
同法１０条は，法令中の公の秩序に関しない規定の適用による場合に比して消費者の権利を制限し又は義務を加重する条項であって，信義則に反して消費者の利益を一方的に害するものを無効としている。
最高裁平成２３年７月１５日判決（平成２２年（オ）第８６３号，民集６５巻５号２２６９頁）は，同条にいう任意規定には「明文の規定のみならず，一般的な法理等も含まれる」と述べている。

５　海外のFX業者の口座だった場合

第４報は，攻撃者が告げた内容の中で，国内外の証券会社・FX会社等に開設された取引口座に言及している。
金融商品取引法２９条は，「金融商品取引業は、内閣総理大臣の登録を受けた者でなければ、行うことができない。」と定めている。
金融庁は，インターネットを通じて店頭デリバティブ取引の勧誘を行っていた海外所在の無登録業者等に警告書を発出し，「警告書の発出を行った無登録の海外所在業者」として名称等を公表している（令和８年１０月２３日更新）。

前記の金融先物取引業協会のガイドラインは，同協会の会員を対象とするものであり，会員でない業者には及ばない。
口座のある業者が登録業者か，同協会の会員かによって，被害の申出先と期待できる対応は異なると考えられる。
他方，同社の第４報の補償の記載には，取引口座が国内の業者にあるか海外の業者にあるかによる区別は書かれていない。
個別の取引が補償の対象となるかは，同社による確認と，令和８年１１月６日までに案内される申請手続による。

第５　GMOに対する法的責任と利用規約

１　利用規約の免責条項と責任の上限

お名前.comレンタルサーバーサービス会員規約（２０２５年９月３０日改定実施）の１４条は，お名前.com デスクトップクラウドサービスを，会員に対してFX自動売買用途を中心に提供するクラウド型の仮想デスクトップサービスと定めている。
同条には，同サービスの品質保証制度が適用される場合を除き，同社が「お名前.com デスクトップクラウドサービスの利用に関して会員に生じる損害等、及び結果については、何ら負わないものとします。」とする定めがある。

同規約３４条１項は，同社の責めに帰すべき事由により連続して２４時間以上サービスを全く利用できなかった場合に限って損害を賠償するとした上で，「ただし、当社は、事業者会員に対しては、一切責任を負わないものとします。」としている。
同条２項は，賠償額の上限を，障害等発生日を含む月の利用料金１か月相当額とし，「但し、当社の故意又は重過失により、事業者会員以外の会員に生じた損害等を当社が賠償する場合においては、当該会員に現実に生じた損害等のうち通常の損害等を賠償するものとします。」としている。
同規約は令和８年１０月２５日に公表されていた版であり，個々の利用者の契約時点の版は確認していない。

２　消費者である利用者の場合

利用者が消費者であれば，消費者契約法８条が適用される。
同法２条１項は，「消費者」を，事業として又は事業のために契約の当事者となる場合を除く個人と定めている。

同法８条１項１号は債務不履行による損害賠償責任の全部を免除する条項を，同項３号は債務の履行に際してされた不法行為による損害賠償責任の全部を免除する条項を，それぞれ無効としている。
規約１４条については，品質保証制度の例外や３４条の賠償規定も併せて読み，消費者の損害賠償請求権をどの範囲で免除しているかに応じて，消費者契約法８条による無効を検討する必要がある。

同法８条１項２号・４号は，事業者の故意又は重大な過失による損害賠償責任の一部を免除する条項を無効としている。
規約３４条２項ただし書は，故意又は重過失の場合の賠償を「通常の損害等」に限っているため，民法４１６条２項の特別の事情による損害を除く限度で，故意又は重大な過失による責任の一部を免除する条項に当たるかが問題となる，と本記事では考える。

３　事業者会員の場合

法人や，事業として又は事業のために契約した個人には，消費者契約法は適用されない。
規約３４条１項ただし書は，事業者会員に対しては一切責任を負わないとしている。
もっとも，利用規約が定型約款に当たる場合には，民法５４８条の２第２項が問題となる。
同項は，定型約款の条項のうち，相手方の権利を制限し，又は相手方の義務を加重する条項であって，取引の態様等に照らして信義則に反して相手方の利益を一方的に害すると認められるものについては，合意をしなかったものとみなすと定めている。

裁判例では，前橋地裁令和５年２月１７日判決（令和２年（ワ）第１４５号）が，システムの構築を受託した会社の責任を契約金額までに限る条項について，故意又は重過失がある場合には適用されないと解し，受託者に重過失を認めた。
この判決は地方公共団体（前橋市）と受託会社との間の個別の業務委託契約の事案であり，不特定多数の会員を相手とする利用規約にそのまま当てはまるものではない。
責任制限条項と重過失の関係は，Web制作・保守会社にPHPを更新する責任はあるか―保守契約の範囲，サポート終了版，責任制限条項と重過失（AI作成）でも扱っている。

４　同社の責任を判断するために必要な事実

同社は，第４報でシステムにセキュリティ上の問題があったことを認めた。
さらに令和８年１１月２日の記者会見では，令和６年４月２４日に専門家から改善点の指摘を受け，同月２６日から５月２０日までに４回の緊急メンテナンスを行ったものの，対策の深さと速さが十分でなかったと説明した。

会見では，指摘を受けた同じ対象について再診断は行っていなかったとの回答があり，別に実施した診断は申込み画面やコントロールパネル等に関するものだったとの説明もあった。
診断を何回実施したかと，指摘された問題が解消されたかは，確認する事柄が異なる。

これらは会社側の説明であり，指摘書・対策記録・権限設定・ログ等を本記事が独立に検証した結果ではない。
過失や重過失，免責条項の適用，個々の取引損失との因果関係が，会見の説明だけで確定したという意味でもない。

法的責任を検討する際には，指摘の具体的内容，誰がいつ把握したか，実施可能だった対策，対策の実施・確認状況及び今回の侵入との関係を確認する必要がある。
現場，事業会社の役員，グループ経営者の認識を一括りにせず，それぞれの時点と権限を分けて整理したい。

ファイル共有との関係では，事故当時のRDPファイル，サーバー側と接続元側の有効な設定，共有対象のドライブ，接続日時，実際の閲覧・取得の記録を確認する。
設定上アクセスできる状態と，実際に情報が取得されたことも区別する必要がある。

診断後の管理と再診断については，脆弱性診断後の対策・再診断・経営報告，手元のPCとの共有については，RDPのドライブ共有と確認すべき設定で詳しく扱う。

出典：１１月２日会見・侵入経路と対策の説明，同じ対象の再診断についての質疑，別の診断対象についての質疑。

第６　被害を受けた利用者が今すること

同社の第３報・第５報の案内と，補償の申請に必要とされる資料を基に整理すると，次のとおりである。

GMOは，第５報で，利用者自身の端末（PC・スマートフォン等）のフルスキャンとデータのバックアップを，予防的な対応として案内している。
バックアップしたファイルの取扱いには十分注意するよう，同社は求めている。

これは各端末への影響の調査が続く中での案内であり，すべての端末で感染が確認されたことを意味しない。

①取引口座と取引ツール等のパスワードを，FX取引に使用していない端末から変更する。
②ログイン中の全セッションを切断し，又はFX会社等の窓口に全セッションの切断を依頼する。
③取引口座の取引履歴と残高を確認し，身に覚えのない取引があれば，まず取引先の事業者へ連絡する。
④FX会社等が二要素認証等を提供している場合は，設定する。
⑤サーバー内に保存していた認証情報や，同じパスワードを使っている他のサービス，ブラウザに保存している各種サービスのパスワードも変更する。
⑥不正アクセスを行った者を名乗る者からメールやメッセージが届いても，URLやファイルを開かず，返信もしない。

補償の申請では，対象取引の日時，内容及び損失額を客観的に確認できる情報が求められている。
FX会社の取引履歴・約定記録，FX会社や同社とのやり取り，同社から届いたメールを，届いた日時が分かる形で保存しておく。
FX会社に取消しや返金を相談した日時，相手方の回答及び返金の有無も記録しておくと，同社の補償額から返金額を差し引く処理に対応しやすい。

補償の案内が見当たらないときは，不審なメールに記載された連絡先を使わず，GMOの公式発表に記載された窓口で確認する。
取引履歴等の提出方法は，公式窓口から確認した案内に従う。

侵入，金銭要求及びFX口座の不正取引について成立し得る犯罪は，GMOサイバー攻撃は何罪か―恐喝未遂・不正アクセス・FX不正取引を分けるで整理している。

証券口座一般の初動，証拠保存と補償条件の確認については，証券口座を乗っ取られたら―補償の確認，証拠保存と相談の進め方も参照されたい。

第７　よくある質問

１　被害がなくても見舞金は受け取れるか

第４報の一律５，０００円の見舞金は，当時の本サービス利用者全員について，金銭的被害の有無にかかわらず支払う方針として説明されていた。
第１２報の特別見舞金は，自分の情報の公開を同社が確認した利用者を対象とする別の制度であり，対象と金額の決まり方が異なる。
実際の手続は，同社からの個別の案内と公式サイトで確認する必要がある。

２　含み損や，取引で得られたはずの利益も補償されるか

同社の補償は，不正取引であると同社が認めた取引により生じた実現損失（取引の差損及び手数料等）を対象としている。
市場の変動による損失，取引で得られたはずの利益その他の間接的な損害は，対象に含まれないとされている。
未実現の含み損は「実現した損失」に当たらないため，この補償の対象外と読める。

３　海外のFX業者の口座でも補償の対象になるか

第４報の補償の記載には，取引口座が国内の業者にあるか海外の業者にあるかによる区別は書かれていない。
対象となるかは，同社が取引の記録やアクセスの記録をもとに確認するとされている。

４　利用規約に「責任を負わない」とあれば請求できないか

条項があるというだけで請求できないとは決まらない。
利用者が消費者であれば，事業者の損害賠償責任の全部を免除する条項は，消費者契約法８条１項１号・３号により無効とされている。
事業者会員の場合も，民法５４８条の２第２項等による検討の余地がある。

第８　出典

GMOインターネット株式会社「『お名前.com デスクトップクラウド』への不正アクセスに関するお客様へのご案内」（令和８年１１月６日。不正取引による損失補償の個別連絡）
https://internet.gmo/news/article/264/

GMOインターネット株式会社「当社が提供するサービスにおける不正アクセスに関する補償の対応状況に関するお知らせ」（令和８年１１月６日，適時開示）
https://internet.gmo/ir/pdf/irlibrary/gmointernet_j_disclose_20261106.pdf

GMOインターネット株式会社「【重要】[お名前.com デスクトップクラウド]第三者による不正アクセスに関するお詫びとお知らせ（2026年10月21日 4:00時点）」（第１報）
https://www.onamae.com/news/article/11584

GMOインターネットグループ株式会社・GMOインターネット株式会社「【重要】「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第2報）」（令和８年１０月２２日）
https://group.gmo/info/alert/20261022/

同「【重要】「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第3報）」（令和８年１０月２３日）
https://group.gmo/info/alert/20261023/

同「【重要】お名前.com デスクトップクラウドサービスに対するサイバー攻撃について（第4報）」（令和８年１０月２４日）
https://group.gmo/info/alert/20261024/

同「「お名前.com デスクトップクラウド」ご利用のお客様へ改めてのお願い（第5報）」（令和８年１０月２４日）
https://group.gmo/info/alert/2026102402/

GMOインターネット株式会社「当社の提供サービスへの不正アクセスに関するお知らせ」（令和８年１０月２３日，適時開示）
https://internet.gmo/ir/pdf/irlibrary/gmointernet_j_disclose_20261023.pdf

同「当社における不正アクセスに伴うお客様へのお見舞金のお支払いおよび不正取引による損失の補償に関するお知らせ」（令和８年１０月２４日，適時開示）
https://internet.gmo/ir/pdf/irlibrary/gmointernet_j_disclose_20261024.pdf

お名前.comレンタルサーバーサービス会員規約（２０２５年９月３０日改定実施）１４条・３４条
https://www.onamae.com/agreement/a_ag/server.html

一般社団法人金融先物取引業協会「インターネット取引における不正アクセス等防止に向けたガイドライン」（２０２５年１２月２３日一部改正）
https://www.ffaj.or.jp/wp-content/uploads/2021/04/ffaj-husei_accessboushi_guideline_20251223.pdf

金融庁「無登録で金融商品取引業を行う者の名称等について（警告書の発出を行った無登録の海外所在業者）」（令和８年１０月２３日更新）
https://www.fsa.go.jp/ordinary/chuui/mutouroku/03.pdf

民法９４条２項・１１０条・１１３条・４１６条・４７８条・５４８条の２，消費者契約法２条・８条・１０条，金融商品取引法２９条
https://laws.e-gov.go.jp/law/129AC0000000089
https://laws.e-gov.go.jp/law/412AC0000000061
https://laws.e-gov.go.jp/law/323AC0000000025

最高裁平成４年２月２８日判決（昭和６３年（オ）第３８６号，集民１６４号１１３頁）
https://www.courts.go.jp/hanrei/62998/detail2/index.html

最高裁平成１５年４月８日判決（平成１４年（受）第４１５号，民集５７巻４号３３７頁）
https://www.courts.go.jp/hanrei/52362/detail2/index.html

最高裁平成１５年６月１３日判決（平成１４年（受）第１００８号，集民２１０号１４３頁）
https://www.courts.go.jp/hanrei/62528/detail2/index.html

最高裁平成１８年２月２３日判決（平成１５年（受）第１１０３号，民集６０巻２号５４６頁）
https://www.courts.go.jp/hanrei/52380/detail2/index.html

最高裁平成２３年７月１５日判決（平成２２年（オ）第８６３号，民集６５巻５号２２６９頁）
https://www.courts.go.jp/hanrei/81506/detail2/index.html

前橋地裁令和５年２月１７日判決（令和２年（ワ）第１４５号）
https://www.courts.go.jp/hanrei/92137/detail4/index.html

坂勇一郎「証券口座への不正アクセス・不正取引による被害の補償について」国民生活２０２５年１１月号（独立行政法人国民生活センター）５頁～９頁
https://www.kokusen.go.jp/wko/pdf/wko-202511_02.pdf

GMOインターネット株式会社「【重要】「お名前.com デスクトップクラウド」への不正アクセスに関する現在の対応について（第12報）」（令和８年１０月２７日）
https://internet.gmo/news/article/258/

同「【重要】「お名前.com デスクトップクラウド」への不正アクセスに関する現在の対応について（第15報）」（令和８年１０月２９日）
https://internet.gmo/news/article/261/

関連記事：インターネットバンキングの不正払戻し―補償要件，過失及び被害発生時の対応（AI作成），証券会社の約款とは―種類・読み方・契約締結前交付書面との違い（AI作成），「間接損害は賠償しない」とは何か―逸失利益・特別損害と責任制限条項（AI作成）

お名前.com デスクトップクラウド「活用ガイド」のファイル共有に関する説明（令和８年１０月３０日確認）。
https://www.onamae-desktop.com/guide/top/

Microsoft「Peripheral and resource redirection over the Remote Desktop Protocol」及び「Configure fixed, removable, and network drive redirection over the Remote Desktop Protocol」（令和８年１０月３１日確認）。
https://learn.microsoft.com/en-us/azure/virtual-desktop/redirection-remote-desktop-protocol
https://learn.microsoft.com/en-us/azure/virtual-desktop/redirection-configure-drives-storage

金融庁「金融分野におけるサイバーセキュリティに関するガイドライン」（令和６年１０月４日）
https://www.fsa.go.jp/common/law/cybersecurity_guideline.pdf