クラウド上のWindowsが攻撃されたのに、なぜ手元のPCのファイルまで盗まれるのでしょうか。GMOの「お名前.com デスクトップクラウド」への不正アクセスで、見直したい設定が明らかになりました。
ポイントは、リモートデスクトップの「ドライブ共有」です。接続先で手元のドライブを使えるようにすると、その接続先が侵害された際、共有したファイルが情報窃取の経路になり得ます。GMOは11月2日の会見で、この機能が接続元PCのファイル窃取に悪用された可能性を説明しました。［2］
IT管理者が確認したいのは、共有設定だけではありません。管理者アカウントの使い方、管理サーバーへの接続範囲、セキュリティ上の指摘を対応完了まで追う仕組みも、今回の事例から点検できます。
まず確認すること：職員に配布したRDP接続の設定で、手元のドライブを共有していないか調べてください。不要な共有は解除し、実際に接続して見えなくなったか確認します。
2026年11月3日公表分までの情報をもとに作成。最初の侵入手口や設計不備の詳細は未公表です。
GMOとは何の会社？ 今回の不正アクセスが起きたサービス
GMOは、ドメインやサーバー、インターネット接続などを手がける企業グループです。今回の「お名前.com デスクトップクラウド」を提供するGMOインターネット株式会社は、インターネットインフラ事業や広告・メディア事業を展開しています。同社の企業情報で事業内容を確認できます。
「お名前.com デスクトップクラウド」は、FXの自動売買などに利用されるクラウド上のWindows環境です。今回の記事では、このサービスへの不正アクセスと、RDPのドライブ共有を通じて接続元PCのファイルが盗まれた可能性を扱います。
RDPとは？ 手元のPCから、別のWindowsを操作する仕組み
リモートデスクトップは、離れた場所にあるWindowsの画面を手元に表示し、キーボードやマウスで操作する仕組みです。その通信に使われる方式がRDP（Remote Desktop Protocol）です。
たとえば、自宅のノートPCから会社のWindowsを操作する場合、手元のPCは「接続元」、会社のWindowsは「接続先」です。クラウド上のWindowsを使う場合も同じです。画面は手元に表示されますが、接続先で起動したアプリは接続先で動きます。［5］
今回のサービスは、FXの自動売買などに使われるWindowsの仮想サーバー（VPS）です。一般的なクラウドストレージとは異なり、利用者はクラウド上のWindowsに接続して操作します。
なぜ手元のファイルまで？ ドライブ共有で接続先から見えるようになる
RDPには、RDPで接続している間、共有対象にした手元のPCのドライブを接続先で使えるようにする機能があります。「ドライブ共有」「ドライブリダイレクト」と呼ばれる機能です。接続先で作ったファイルを手元へ保存する、といった用途に便利です。
ただし、共有を有効にすると、接続先から手元のドライブにあるファイルへアクセスできるようになります。対象は設定によって異なり、ローカルディスクのほか、USBなどのドライブや、割り当てたネットワークドライブが含まれる場合もあります。［6］
GMOの山下浩史副社長は会見で、ドライブ共有を利用者の利便性のために有効にしていたと説明し、ファイル窃取に悪用された可能性を認めました。リスクの変化に応じた設定の見直しに至らなかった点にも言及しています。［2］
ファイルが読まれることと、手元のPCがマルウェアに感染することは別です。共有機能を通じてファイルにアクセスされた可能性があり、「手元のPCへの感染が確認されなければ安全」とは言えません。一方、全利用者の全ファイルが盗まれたと確認されたわけでもありません。
また、この共有はRDPの機能です。通常のWindowsファイル共有（SMB）と同じものとして扱わず、RDP側の共有設定も個別に確認する必要があります。
GMO不正アクセスの経緯｜記者会見で説明された被害と侵入経路
会社の会見説明では、最初に顧客のVPSへ侵入され、その後、管理者アカウントが悪用されました。管理サーバーから顧客のVPSへマルウェアが配布されたという流れです。［1］
| 時期 | 会見で説明された内容 |
|---|---|
| 8月5日 | 顧客のリモートデスクトップ用VPSに侵入。 |
| 8月17日 | 窃取した管理者アカウントの権限を悪用し、GMOの管理サーバーに侵入。 |
| 9月20日〜10月14日 | 管理サーバー経由で顧客VPSへマルウェアを配布。 |
| 10月20日 | 顧客からの問い合わせを受けた調査で確認。 |
マルウェア配布の対象となり得た台数は最大2万6,739VMです。これは感染が確認された台数や、情報が漏えいした人数ではありません。会社は監視で検知できなかったことを認め、原因や不足していた点を検証すると説明しています。［1］
GMO不正アクセスの原因・手口は判明している？
現時点では断定できません。GMOはシステムにセキュリティ上の問題があったことを公式に認めていますが、Windowsの特定の脆弱性やCVE番号が原因だとは公表していません。［3］
11月3日のTBS独自報道は、関係者取材として、サーバーの仕様に設計上の不備があり、攻撃者が管理者権限を取得できたと伝えています。具体的な不備の内容は不明です。［4］
「サーバーに侵入された原因」と「ドライブ共有を通じて手元のファイルが盗まれた可能性」は、分けて考える必要があります。ドライブ共有を無効にしても、管理サーバー自体への侵入対策が済むわけではありません。
最初に点検するのは、配布済みRDP接続の共有設定
自分の組織で何を使っているか、接続アプリと配布済みの「.rdp」ファイルを洗い出します。管理者が普段使う接続だけでなく、職員や保守業者へ配った接続設定も対象です。
まず普段使っている「.rdp」ファイルを右クリックして「編集」を選び、そのファイルの設定を確認します。アプリから接続している場合は、保存済みの接続設定を開きます。Windows標準の「リモート デスクトップ接続」では、次の順に確認します。画面名は環境によって異なる場合があります。
- 接続元のPCで「リモート デスクトップ接続」を開く。
- 「オプションの表示」から「ローカル リソース」を開く。
- 「ローカル デバイスとリソース」の「詳細」で、ドライブの選択状態を確認する。
- 不要なドライブのチェックを外し、必要に応じて接続設定を保存する。
- 接続し直し、接続先のエクスプローラーで手元のドライブが表示されないことを確認する。
これは標準の接続アプリでの確認例です。Windows Appなど別のアプリを使う場合は、そのアプリの共有・リダイレクト設定を確認してください。Microsoftも、必要なリダイレクトだけを許可するよう案内しています。［5］
職員に「ファイルを移すのに必要」と言われた場合は、どの業務で何を移しているか確認します。共有を減らすときは、承認されたファイル転送方法など、業務を続けるための手段も一緒に用意すると進めやすくなります。
GPOで制限するときは、接続元と接続先を確認する
社内でリモートデスクトップの接続先を管理している場合は、接続を受けるサーバー側で共有を制限できます。コンピューターの構成にある、次のポリシーを確認します。
管理用テンプレート → Windows コンポーネント → リモート デスクトップ サービス → リモート デスクトップ セッション ホスト → デバイスとリソースのリダイレクト →「ドライブのリダイレクトを許可しない」
禁止する場合は、このポリシーを「有効」にします。Microsoftの説明では、接続を受けるコンピューターが適用対象です。職員PCにこのポリシーを適用しても、そのPCから外部サーバーへ接続する際の共有を禁止する設定にはなりません。［7］
接続元Windows側の制御として、Microsoftは HKEY_LOCAL_MACHINE\Software\Microsoft\Terminal Server Client の DisableDriveRedirection（REG_DWORD）を 1 にする方法も案内しています。利用する接続アプリとバージョンで効果を確認し、検証端末から展開してください。［6］
設定を配った後は、適用状態と再接続後の動作を確かめます。レジストリ値やGPOを置いたことだけで完了にせず、不要なドライブが見えなくなったことまで確認してください。
なお、ドライブリダイレクトをGPOなどで禁止すると、クリップボード経由のファイル転送も制限されます。テキストや画像のコピーは別に扱われるため、クリップボード全体を止めたい場合は、その設定も確認します。［6］
管理者アカウントを盗まれても、被害を全体へ広げない
IT管理者として見逃せないのは、顧客VPSへの侵入から管理サーバーの侵害へ進んだことです。自分の組織でも、「職員PCが1台侵害された場合、そこから何を管理できてしまうか」を確認したいところです。
以下は、自分の組織で点検したい一般的な対策です。GMOでのパスワード管理の詳細は公表されていません。
- 通常業務と管理作業のアカウントを分ける：メールやWeb閲覧に使うアカウントに、強い管理権限を持たせない。
- 重要基盤の管理元を絞る：AD、仮想基盤、バックアップなどの管理は、用途を分けた管理端末から行う。
- 管理者の接続先を絞る：強い権限のアカウントを、一般の職員PCの保守へ安易に使わない。
Microsoftは、信頼できる端末・アカウント・中継システムを使って特権アクセスを保護する方針を示しています。名前を分けるだけでなく、その権限をどの端末で使えるかまで考える対策です。［9］
複数端末のローカル管理者パスワードを共通にしている場合は、Windows LAPSも選択肢です。端末ごとのパスワードを管理・更新し、盗まれた資格情報で別の端末へ被害が広がる危険を減らします。LAPSは、管理基盤全体の権限分離を代わりに行うものではありません。［8］
GMO・熊谷社長の記者会見で分かった、過去の指摘への対応
11月2日の記者会見では、2024年にグループ内から指摘があり、4回の緊急メンテナンスを実施したものの、抜本的な対策には至らなかったことも明らかになりました。GMOインターネットグループの熊谷正寿氏（会長兼社長）には、当時報告されていなかったとされています。［10］
これは「指摘を一度も受けていなかった」ケースとは異なります。担当者としては、対策を実施した記録に加えて、問題が解消したか、残るリスクを誰が承認したかまで追える状態にしたいところです。
| 残す項目 | 記入例 |
|---|---|
| 対象と影響 | リモート接続先から職員PCのドライブが利用できる。 |
| 責任者・期限 | 担当者と判断者を決め、検証と展開の日付を入れる。 |
| すぐ直せない場合 | 必要な利用者だけに限定し、例外の期限を決める。 |
| 完了の確認 | 接続テスト結果、適用対象、残った例外を記録する。 |
| 報告の条件 | 期限超過や重要基盤への影響があれば、責任者へ報告する。 |
監視も同様です。管理者のログオンや管理サーバーからの配布処理について、記録を取るだけでなく、異常に誰が気付き、誰へ連絡するかを決めます。今回なぜ検知できなかったかの詳細は、会社の今後の検証を待つ必要があります。
よくある疑問
RDPを使うこと自体が危険なのでしょうか？
利用目的、公開範囲、認証、更新、共有設定を合わせて管理する必要があります。今回の情報だけでRDP全体に特定の欠陥があるとは判断できません。不要な利用を減らし、必要な接続を安全に運用することが大切です。
VPNを使っていれば、ドライブ共有は問題ありませんか？
VPNを使っても、接続先で共有ドライブを利用できる設定は別です。通信経路の保護と、接続先へ何を共有するかを個別に確認してください。
ドライブ共有を切れば、今回のような事故をすべて防げますか？
ドライブ共有を通じたファイルアクセスは制限できますが、接続先の侵害や管理者権限の悪用への対策は別に必要です。クリップボードなど他の共有機能も点検します。
すでに利用していた場合、共有を解除すれば対応完了ですか？
設定変更は今後の対策です。すでに情報が取得されていたかどうかは分かりません。被害の可能性があるサービスについては、事業者の案内に従い、利用履歴や取引履歴を確認してください。
明日の業務では、まず接続設定を1つ開いて確認する
今回の事例から、リモート接続では「接続先から手元の何が見えるか」も確認する必要があると分かります。普段使うRDP接続の設定を開き、不要なドライブを共有していないか確認するところから始められます。
そのうえで、職員PCから使える管理権限、重要基盤への接続、未完了の指摘事項を点検します。利用者の便利さを保つためにも、共有する範囲と管理できる範囲を具体的に決めておきましょう。
出典・参考資料
- TBS NEWS DIG：11月2日の会見発言・侵入時期と経路（2026年11月2日）
- ABEMA TIMES：ドライブ共有、事前指摘への対応に関する会見報道（2026年11月3日）
- GMOインターネット：不正アクセスについて（第4報）（2026年10月24日）
- TBS：サーバーの仕様に設計上の不備との独自報道（2026年11月3日17:54）
- Microsoft Learn：RDPファイルとリソース共有のセキュリティ上の注意
- Microsoft Learn：ドライブリダイレクトの構成・接続元側の制御
- Microsoft Learn：ドライブリダイレクト禁止ポリシー
- Microsoft Learn：Windows LAPSの概要
- Microsoft Learn：特権アクセスの保護戦略
- ITmedia NEWS：事前指摘への対応と報告体制に関する会見報道（2026年11月3日）
