第１ 本記事の対象と基準日
GMOインターネット株式会社が提供するFX自動売買向けの仮想デスクトップサービス「お名前.com デスクトップクラウド」が第三者による不正アクセスを受け，利用者の取引口座で身に覚えのない取引が行われたとの報告が同社に寄せられている。
本記事は，この事案で取引口座に損失が出た利用者が，同社の補償，FX会社との関係，利用規約の免責条項をどう整理すればよいかを扱う。
基準日は令和８年１０月２５日である。
事実関係は，同社が令和８年１０月２１日から同月２４日までに公表した第１報から第５報まで，及び同社の同月２３日・２４日の適時開示に限って記載する。
補償の申請方法等は同年１１月６日までに案内される予定であり，その後の公表内容によって扱いが変わることがある。
本記事は同社の調査・報告の内容を紹介するものであり，被害の全容，侵入経路又は個々の取引と不正アクセスとの因果関係を独立して認定したものではない。
能動的サイバー防御の要請については，能動的サイバー防御は企業の要請で発動するのか―GMOの公表事案と政府の判断を分けて読む（AI作成）で扱っている。
第２ GMOが公表した事実と，公表されていないこと
１ 経緯
同社の第４報によれば，経緯は次のとおりである。
①令和８年１０月１９日，利用者からの問合せを受けて調査を開始した。
②同月２０日，不正なプログラムの設置を確認し，新規申込みとコントロールパネルを停止した。
③同月２１日午前４時，被害拡大防止のため全プランのサーバーを順次停止し，第１報を掲載した。
④同日以降，取引口座での身に覚えのない操作等の報告を受け付けた。
⑤同月２２日，警察に相談した。
２ 影響範囲の数字の読み方
同社は，影響の可能性があるサーバーを２６，７３９件としている。
もっとも，第３報はこの数について「上記は対象となり得るサーバー数であり、不正アクセスまたは情報取得が確認された件数ではありません。」と注記している。
この数を，情報が流出した件数や被害者の数と読むことはできない。
同社は，決済情報（クレジットカード情報を含む。）を本サービスのサーバー上で保有していないと説明する一方，「他方、お客様ご自身がサーバー内に保存された情報は、影響範囲に含まれます。」としている。
同社は，影響の可能性がある情報として，取引ツール等に保存された取引口座のログイン情報等を挙げている。
３ 第４報で同社が認めたこと
第１報（令和８年１０月２１日午前４時時点）は，同社が預かる個人情報の漏えいや，閲覧された情報が悪用された事実は確認されていないとしていた。
これに対し，第４報（同月２４日午前１１時５０分時点）は，「本サービスのシステムにセキュリティ上の問題が存在し、本サービスの環境に対する不正なアクセスと、お客様の情報が外部に持ち出された事実を確認しております。」と述べている。
同じ第４報は，一部の利用者から取引口座での身に覚えのない取引の報告を受けているとしている。
４ 公表されていないこと
同社の第１報から第５報まで及び適時開示には，侵入経路，不正なプログラムの種類，被害の件数及び総額の記載がない（令和８年１０月２５日確認）。
第４報には，攻撃者とみられる者が，国内外の７０を超える証券会社・FX会社等の取引口座に対する不正操作の継続等を告げて金銭を要求しているとの記載がある。
この７０という数は攻撃者が告げた内容として記載されたものであり，同社が被害を確認した事業者の数ではない。
同社は要求に応じない方針を示し，脅迫について警察に捜査を要請したとしている。
第３ GMOの見舞金と損失補償の内容
１ 見舞金
同社は，本サービスを現在利用しているすべての利用者に対し，「金銭的被害の有無にかかわらず、お見舞金として一律5,000円をお支払いいたします。」としている。
この見舞金は，不正取引による損失の補償とは別に支払われる。
連絡方法，受取りの手続及び支払時期は，令和８年１０月３０日までに登録のメールアドレスへ案内される予定である。
２ 不正取引による損失の補償
補償の対象について，第４報は「当社が、調査の結果、本件の不正アクセスに起因する不正取引であると認めた取引により生じた、お客様に実現した損失（取引の差損、および手数料等）が対象です。」としている。
他方で，「市場の変動による損失、取引で得られたはずの利益、その他の間接的な損害は、対象に含まれません。」とも定めている。
対象かどうかは，同社が取引の記録，アクセスの記録その他の資料をもとに確認し，結果を利用者に個別に知らせるとされている。
利用者には，対象取引の日時，内容及び損失額が客観的に確認できる情報の提出と，取引所等に対し不正アクセスによる取引である事情を説明して取消しや返金を相談することが求められている。
提出には，本人確認書類や，同社が取引履歴を直接確認するための閲覧専用パスワード（MT4/MT5等）の提示が含まれるとされている。
取引所等から返金を受けた場合について，第４報は「取引所等から返金があった場合は、その金額を差し引いた残額を、当社がお支払いいたします。取引所等が返金に応じない場合も、当社が、（1）に基づき対象となる損失をお支払いいたします。」としている。
申請方法，必要書類，受付期間及び支払時期は，令和８年１１月６日までに同社の公式サイトと登録のメールアドレスへ案内される予定である。
３ 補償の範囲と法律上の損害賠償の範囲は同じではない
この補償は，同社が「特別措置」として示した対応方針であり，民法が定める損害賠償の範囲をそのまま示したものではない。
民法４１６条は，債務不履行による損害賠償の範囲として，通常生ずべき損害と，当事者が予見すべきであった特別の事情によって生じた損害を定めている。
同社の補償から外された「取引で得られたはずの利益」等が，法律上の損害賠償でも当然に請求できないとは限らず，逆に当然に請求できるとも限らない。
補償を受けるかどうかを決める際には，案内される申請書類に，他の請求をしないことを約束する条項が含まれていないかも確認する必要がある。
４ 補償を装う連絡に注意する
同社は，「当社が、補償の手続きに関して、お客様のパスワード（※1を除く）や暗証番号をお尋ねすることはありません。」としている。
ここでいう※1は，同社が取引履歴を確認するための閲覧専用パスワード等である。
補償や返金をうたってパスワード等を求める連絡には応じず，同社の公式サイトと登録のメールアドレスへの案内で手続を確認する。
第４ FX会社との関係―不正な取引は誰の取引か
１ 本人の意思によらない取引の効果
第三者が利用者になりすまして取引口座で注文した場合には，まず，その取引の効果が利用者に帰属するかが問題となる（証券口座の不正取引について，坂勇一郎「証券口座への不正アクセス・不正取引による被害の補償について」国民生活２０２５年１１月号６頁）。
民法１１３条１項は，代理権を有しない者が他人の代理人としてした契約は，本人が追認しなければ本人に対して効力を生じないと定めている。
最高裁平成４年２月２８日判決（昭和６３年（オ）第３８６号，集民１６４号１１３頁）は，証券会社の従業員が顧客の注文に基づかずに顧客の信用取引口座を利用して売買をし，その差損等を口座から引き落とす処理がされた事案で，「右無断売買の効果は顧客に帰属せず」と述べ，顧客に損害が生じたとはいえないとした。
この判決は証券会社の従業員による無断売買の事案であり，外部の第三者が認証情報を使って行った取引にそのまま当てはまるものではない。
もっとも，本人の注文に基づかない取引の効果を考える際の出発点にはなる。
２ 本人に責任を負わせる外観法理
本人の意思に基づかない取引でも，本人の取引であるかのような外観があり，その外観について本人に責任を負わせるべき事情があり，相手方がそれを信じたことに正当な理由がある場合には，本人に効果を及ぼす考え方がある（民法９４条２項・１１０条の類推適用等。前記坂解説６頁～７頁は，証券口座の不正取引についてこの外観法理の適用の可否を検討している）。
最高裁平成１８年２月２３日判決（平成１５年（受）第１１０３号，民集６０巻２号５４６頁）は，不実の登記がされたことについて，所有者に，自ら積極的に関与した場合やこれを知りながらあえて放置した場合と同視し得るほど重い帰責性があるとして，民法９４条２項・１１０条の類推適用を認めた事例である。
他方，最高裁平成１５年６月１３日判決（平成１４年（受）第１００８号，集民２１０号１４３頁）は，所有者が外観の作出に何ら積極的な関与をしておらず，不実の登記を放置していたとみることもできない事情がうかがわれるのに，十分に審理しないまま類推適用を肯定した原審の判断を違法として破棄し，差し戻した。
本件の公表資料によれば，影響の可能性がある情報は，サーバー内に保存されていた情報であり，利用者が取引ツール等に保存した取引口座のログイン情報等を含む。
サービスの提供者が不正アクセスを受けて保存情報を持ち出されたという事情の下で，利用者が仮想デスクトップ上の取引ツールにログイン情報を保存していたことだけをもって，外観の作出に積極的に関与したのと同視し得るほど重い帰責性があるとはいいにくい，と本記事では考える。
ただし，個々の利用者の管理状況，FX会社からの注意喚起の内容及び侵入経路によって評価は変わり得る。
３ FX会社の認証の仕組み
相手方であるFX会社に正当な理由があるかは，FX会社がどのような認証の仕組みを設けていたかとも関係する。
金融先物取引業協会の「インターネット取引における不正アクセス等防止に向けたガイドライン」（２０２５年１２月２３日一部改正）は，会員が対応すべき事項として，ログイン時，出金時等の重要な操作時にフィッシングに耐性のある多要素認証を実装し，必須化することを定めている。
同ガイドラインは，複数の取引ツールでインターネット取引を提供している場合について，「各取引ツールで同じ水準の機能・仕様を実装する必要がある。」としている。
また，不正取引により顧客に被害が発生した場合には，被害状況を十分に精査し，顧客の態様やその状況等を加味した上で，「顧客の被害補償を含め、被害回復に向けて誠実かつ迅速に対応する。」ことを求めている。
銀行の機械払いの事案ではあるが，最高裁平成１５年４月８日判決（平成１４年（受）第４１５号，民集５７巻４号３３７頁）は，無権限者への払戻しについて銀行が無過失というためには，「同システムが全体として，可能な限度で無権限者による払戻しを排除し得るよう組み立てられ，運営されるものであることを要する」とした。
この判決は民法４７８条による預金の払戻しの事案であり，FX取引の効果帰属を直接判断したものではない。
もっとも，侵入経路は，同社の公表資料に記載がない。
攻撃者がログイン済みの取引ツールを仮想デスクトップ上で操作したのか，保存されたログイン情報を持ち出して別の端末から使ったのかによって，ログイン時の多要素認証が被害を防ぎ得たかの評価は異なる。
第３報も，パスワードを変更した後について「パスワードを変更した後も、証券会社・FX会社等のサーバーの仕様によっては、一定期間、既存の接続セッションが維持され、第三者が継続的に取引できる場合があります。」と注意している。
４ FX会社の約款の免責条項
証券口座の不正取引について，証券会社の約款には，ID・パスワードの利用による取引は顧客の意思に基づかないときも顧客に効果を帰属させるという条項がある場合があり，その適用や有効性が問題になると指摘されている（前記坂解説７頁～８頁）。
FX会社の約款にも同様の条項や責任を限定する条項が置かれている可能性があり，内容は会社ごとに異なるため，利用していたFX会社の約款の該当条項と，被害当時の版を確認する必要がある。
利用者が消費者である場合には，消費者契約法８条と１０条が問題となる。
同法８条１項１号は，事業者の債務不履行により消費者に生じた損害を賠償する責任の全部を免除する条項等を無効としている。
同法１０条は，法令中の公の秩序に関しない規定の適用による場合に比して消費者の権利を制限し又は義務を加重する条項であって，信義則に反して消費者の利益を一方的に害するものを無効としている。
最高裁平成２３年７月１５日判決（平成２２年（オ）第８６３号，民集６５巻５号２２６９頁）は，同条にいう任意規定には「明文の規定のみならず，一般的な法理等も含まれる」と述べている。
５ 海外のFX業者の口座だった場合
第４報は，攻撃者が告げた内容の中で，国内外の証券会社・FX会社等に開設された取引口座に言及している。
金融商品取引法２９条は，「金融商品取引業は、内閣総理大臣の登録を受けた者でなければ、行うことができない。」と定めている。
金融庁は，インターネットを通じて店頭デリバティブ取引の勧誘を行っていた海外所在の無登録業者等に警告書を発出し，「警告書の発出を行った無登録の海外所在業者」として名称等を公表している（令和８年１０月２３日更新）。
前記の金融先物取引業協会のガイドラインは，同協会の会員を対象とするものであり，会員でない業者には及ばない。
口座のある業者が登録業者か，同協会の会員かによって，被害の申出先と期待できる対応は異なると考えられる。
他方，同社の第４報の補償の記載には，取引口座が国内の業者にあるか海外の業者にあるかによる区別は書かれていない。
個別の取引が補償の対象となるかは，同社による確認と，令和８年１１月６日までに案内される申請手続による。
第５ GMOに対する法的責任と利用規約
１ 利用規約の免責条項と責任の上限
お名前.comレンタルサーバーサービス会員規約（２０２５年９月３０日改定実施）の１４条は，お名前.com デスクトップクラウドサービスを，会員に対してFX自動売買用途を中心に提供するクラウド型の仮想デスクトップサービスと定めている。
同条には，同サービスの品質保証制度が適用される場合を除き，同社が「お名前.com デスクトップクラウドサービスの利用に関して会員に生じる損害等、及び結果については、何ら負わないものとします。」とする定めがある。
同規約３４条１項は，同社の責めに帰すべき事由により連続して２４時間以上サービスを全く利用できなかった場合に限って損害を賠償するとした上で，「ただし、当社は、事業者会員に対しては、一切責任を負わないものとします。」としている。
同条２項は，賠償額の上限を，障害等発生日を含む月の利用料金１か月相当額とし，「但し、当社の故意又は重過失により、事業者会員以外の会員に生じた損害等を当社が賠償する場合においては、当該会員に現実に生じた損害等のうち通常の損害等を賠償するものとします。」としている。
同規約は令和８年１０月２５日に公表されていた版であり，個々の利用者の契約時点の版は確認していない。
２ 消費者である利用者の場合
利用者が消費者であれば，消費者契約法８条が適用される。
同法２条１項は，「消費者」を，事業として又は事業のために契約の当事者となる場合を除く個人と定めている。
同法８条１項１号は債務不履行による損害賠償責任の全部を免除する条項を，同項３号は債務の履行に際してされた不法行為による損害賠償責任の全部を免除する条項を，それぞれ無効としている。
規約１４条については，品質保証制度の例外や３４条の賠償規定も併せて読み，消費者の損害賠償請求権をどの範囲で免除しているかに応じて，消費者契約法８条による無効を検討する必要がある。
同法８条１項２号・４号は，事業者の故意又は重大な過失による損害賠償責任の一部を免除する条項を無効としている。
規約３４条２項ただし書は，故意又は重過失の場合の賠償を「通常の損害等」に限っているため，民法４１６条２項の特別の事情による損害を除く限度で，故意又は重大な過失による責任の一部を免除する条項に当たるかが問題となる，と本記事では考える。
３ 事業者会員の場合
法人や，事業として又は事業のために契約した個人には，消費者契約法は適用されない。
規約３４条１項ただし書は，事業者会員に対しては一切責任を負わないとしている。
もっとも，利用規約が定型約款に当たる場合には，民法５４８条の２第２項が問題となる。
同項は，定型約款の条項のうち，相手方の権利を制限し，又は相手方の義務を加重する条項であって，取引の態様等に照らして信義則に反して相手方の利益を一方的に害すると認められるものについては，合意をしなかったものとみなすと定めている。
裁判例では，前橋地裁令和５年２月１７日判決（令和２年（ワ）第１４５号）が，システムの構築を受託した会社の責任を契約金額までに限る条項について，故意又は重過失がある場合には適用されないと解し，受託者に重過失を認めた。
この判決は地方公共団体（前橋市）と受託会社との間の個別の業務委託契約の事案であり，不特定多数の会員を相手とする利用規約にそのまま当てはまるものではない。
責任制限条項と重過失の関係は，Web制作・保守会社にPHPを更新する責任はあるか―保守契約の範囲，サポート終了版，責任制限条項と重過失（AI作成）でも扱っている。
４ 同社の責任を判断するために必要な事実
同社は，第４報で，システムにセキュリティ上の問題が存在したことを認めている。
もっとも，その問題の内容，対策を講じることがどの程度容易であったか及び侵入経路は，同社の公表資料に記載がない。
同社に債務不履行又は不法行為の責任があるか，故意又は重過失に当たるかは，これらの事実が明らかにならなければ判断できない。
第６ 被害を受けた利用者が今すること
同社の第３報・第５報の案内と，補償の申請に必要とされる資料を基に整理すると，次のとおりである。
①取引口座と取引ツール等のパスワードを，FX取引に使用していない端末から変更する。
②ログイン中の全セッションを切断し，又はFX会社等の窓口に全セッションの切断を依頼する。
③取引口座の取引履歴と残高を確認し，身に覚えのない取引があれば，まず取引先の事業者へ連絡する。
④FX会社等が二要素認証等を提供している場合は，設定する。
⑤サーバー内に保存していた認証情報や，同じパスワードを使っている他のサービス，ブラウザに保存している各種サービスのパスワードも変更する。
⑥不正アクセスを行った者を名乗る者からメールやメッセージが届いても，URLやファイルを開かず，返信もしない。
補償の申請では，対象取引の日時，内容及び損失額を客観的に確認できる情報が求められている。
FX会社の取引履歴・約定記録，FX会社や同社とのやり取り，同社から届いたメールを，届いた日時が分かる形で保存しておく。
FX会社に取消しや返金を相談した日時，相手方の回答及び返金の有無も記録しておくと，同社の補償額から返金額を差し引く処理に対応しやすい。
第７ よくある質問
１ 被害がなくても見舞金は受け取れるか
同社は，本サービスを現在利用しているすべての利用者に，金銭的被害の有無にかかわらず一律５，０００円を支払うとしている。
受取りの手続は，令和８年１０月３０日までに案内される予定である。
２ 含み損や，取引で得られたはずの利益も補償されるか
同社の補償は，不正取引であると同社が認めた取引により生じた実現損失（取引の差損及び手数料等）を対象としている。
市場の変動による損失，取引で得られたはずの利益その他の間接的な損害は，対象に含まれないとされている。
未実現の含み損は「実現した損失」に当たらないため，この補償の対象外と読める。
３ 海外のFX業者の口座でも補償の対象になるか
第４報の補償の記載には，取引口座が国内の業者にあるか海外の業者にあるかによる区別は書かれていない。
対象となるかは，同社が取引の記録やアクセスの記録をもとに確認するとされている。
４ 利用規約に「責任を負わない」とあれば請求できないか
条項があるというだけで請求できないとは決まらない。
利用者が消費者であれば，事業者の損害賠償責任の全部を免除する条項は，消費者契約法８条１項１号・３号により無効とされている。
事業者会員の場合も，民法５４８条の２第２項等による検討の余地がある。
第８ 出典
GMOインターネット株式会社「【重要】[お名前.com デスクトップクラウド]第三者による不正アクセスに関するお詫びとお知らせ（2026年10月21日 4:00時点）」（第１報）
https://www.onamae.com/news/article/11584
GMOインターネットグループ株式会社・GMOインターネット株式会社「【重要】「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第2報）」（令和８年１０月２２日）
https://group.gmo/info/alert/20261022/
同「【重要】「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第3報）」（令和８年１０月２３日）
https://group.gmo/info/alert/20261023/
同「【重要】お名前.com デスクトップクラウドサービスに対するサイバー攻撃について（第4報）」（令和８年１０月２４日）
https://group.gmo/info/alert/20261024/
同「「お名前.com デスクトップクラウド」ご利用のお客様へ改めてのお願い（第5報）」（令和８年１０月２４日）
https://group.gmo/info/alert/2026102402/
GMOインターネット株式会社「当社の提供サービスへの不正アクセスに関するお知らせ」（令和８年１０月２３日，適時開示）
https://internet.gmo/ir/pdf/irlibrary/gmointernet_j_disclose_20261023.pdf
同「当社における不正アクセスに伴うお客様へのお見舞金のお支払いおよび不正取引による損失の補償に関するお知らせ」（令和８年１０月２４日，適時開示）
https://internet.gmo/ir/pdf/irlibrary/gmointernet_j_disclose_20261024.pdf
お名前.comレンタルサーバーサービス会員規約（２０２５年９月３０日改定実施）１４条・３４条
https://www.onamae.com/agreement/a_ag/server.html
一般社団法人金融先物取引業協会「インターネット取引における不正アクセス等防止に向けたガイドライン」（２０２５年１２月２３日一部改正）
https://www.ffaj.or.jp/wp-content/uploads/2021/04/ffaj-husei_accessboushi_guideline_20251223.pdf
金融庁「無登録で金融商品取引業を行う者の名称等について（警告書の発出を行った無登録の海外所在業者）」（令和８年１０月２３日更新）
https://www.fsa.go.jp/ordinary/chuui/mutouroku/03.pdf
民法９４条２項・１１０条・１１３条・４１６条・４７８条・５４８条の２，消費者契約法２条・８条・１０条，金融商品取引法２９条
https://laws.e-gov.go.jp/law/129AC0000000089
https://laws.e-gov.go.jp/law/412AC0000000061
https://laws.e-gov.go.jp/law/323AC0000000025
最高裁平成４年２月２８日判決（昭和６３年（オ）第３８６号，集民１６４号１１３頁）
https://www.courts.go.jp/hanrei/62998/detail2/index.html
最高裁平成１５年４月８日判決（平成１４年（受）第４１５号，民集５７巻４号３３７頁）
https://www.courts.go.jp/hanrei/52362/detail2/index.html
最高裁平成１５年６月１３日判決（平成１４年（受）第１００８号，集民２１０号１４３頁）
https://www.courts.go.jp/hanrei/62528/detail2/index.html
最高裁平成１８年２月２３日判決（平成１５年（受）第１１０３号，民集６０巻２号５４６頁）
https://www.courts.go.jp/hanrei/52380/detail2/index.html
最高裁平成２３年７月１５日判決（平成２２年（オ）第８６３号，民集６５巻５号２２６９頁）
https://www.courts.go.jp/hanrei/81506/detail2/index.html
前橋地裁令和５年２月１７日判決（令和２年（ワ）第１４５号）
https://www.courts.go.jp/hanrei/92137/detail4/index.html
坂勇一郎「証券口座への不正アクセス・不正取引による被害の補償について」国民生活２０２５年１１月号（独立行政法人国民生活センター）５頁～９頁
https://www.kokusen.go.jp/wko/pdf/wko-202511_02.pdf
関連記事：インターネットバンキングの不正払戻し―補償要件，過失及び被害発生時の対応（AI作成），証券会社の約款とは―種類・読み方・契約締結前交付書面との違い（AI作成），「間接損害は賠償しない」とは何か―逸失利益・特別損害と責任制限条項（AI作成）