2026年10月、GMOインターネットグループが提供する『お名前.com デスクトップクラウド』で不正アクセスが発覚した。顧客の取引口座で身に覚えのない操作が行われたとの報告もあり、サイバー攻撃による被害はサービスを提供する企業だけでなく利用者個人にも及ぶ可能性があり、多くの利用者に不安を与えた。こうしたなかリブランディング株式会社は、海外で報告されている4種類の新たなサイバー攻撃について、公的機関やセキュリティ企業などの公開資料をもとに調査。同社は「日本でも同様の手口が使われることを想定し、早い段階から対策を講じる必要がある」と提言した。
GMOへの不正アクセス
GMOインターネットグループが10月28日に公表した情報によると、10月20日、一部顧客のサーバー環境で第三者による不正なプログラムの設置が確認された。取引ツールに保存されていた口座のログイン情報が取得され、不正利用された可能性があるほか、顧客からは取引口座で身に覚えのない操作が行われたとの報告もあった。影響を受けた可能性があるサーバーは26,739件に上る。ただし、これは実際の被害件数ではなく、侵入経路や影響範囲、被害件数については調査が続いている。
調査元のリブランディングはこの事件について、サービスを提供する側の環境が侵害された場合、利用者本人が注意していても影響を受ける可能性があり、金銭的な損失にもつながり得ると分析している。
海外で報告された4つの攻撃
リブランディングが今回取り上げたのは、海外で報告されている次の4種類のサイバー攻撃だ。
◾️デバイスコードフィッシング
偽の案内によって、利用者を正規のログイン画面へ誘導し、指定されたコードを入力させる手口。パスワードそのものを盗まなくても、攻撃者がアカウントにアクセスできるようになる。マイクロソフトが2026年9月に公表した情報によると、攻撃基盤『EvilTokens』によって1万を超える組織、1万2000件を超えるメールの受信箱が侵害されたという。ただし、対象期間は示されていない。
◾️ClickFix（クリックフィックス）
偽の確認画面などを表示し、利用者自身に不正なコマンド（パソコンへの操作命令）を実行させる手口。指示に従うことで情報を盗むウイルスに感染する危険がある。警察庁は2025年10月に注意喚起している。
◾️ボイスフィッシング
銀行や企業の担当者などを装って電話をかけ、パスワードの変更や認証操作、情報の入力などを求める手口。警察庁は2025年12月と2026年6月に、銀行を名乗る電話で法人口座を狙う手口について注意喚起している。
◾️AIエージェント乗っ取り
Claude CodeやCodexなど、人間の指示に従って作業を進めるAIエージェントを狙った手口。Webサイトから保存された悪意のある指示ファイルをAIが作業上の指示として読み込み、不正な操作を実行してしまう危険がある。2026年10月22日には、セキュリティ企業Forever Securityが、実際の顧客のパソコン内で悪意のある指示ファイル『AGENTS.md』を発見したと報告した。研究者による再現実験も行われているが、こちらは検証環境で実施されたものだ。
4つの手口と、利用者がしてはいけない操作の比較図
