私自身、仕事はほぼキーボードと音声入力で済んでしまうため、手で字を書く機会がめっきり減りました。漢字を忘れていることに気づいたのをきっかけに、「手書きには本当に効果があるのか」を研究データで調べてみました。

「手書きは脳にいい」「認知症予防になる」という話はよく耳にします。ただ、調べてみると、しっかり裏付けがある話と、言い過ぎになっている話が混ざっていました。今回は、国内外の研究をもとに、手書きの効果を「どこまで言えるのか」という視点で整理します。

手書きは「万能の健康法」ではありませんが、頭と気持ちを整える道具としては、ちゃんと根拠のある方法です。

1. 手で書く機会は減ったが、8割が「手書きは大切」と考えている

手で字を書く機会は確実に減っていて、多くの人がその影響を実感しています。文化庁の2021年度「国語に関する世論調査」では、情報機器の普及による影響として「漢字を手で正確に書く力が衰える」と答えた人が約9割（89.0％）にのぼりました。

一方で、手書きそのものを手放したいと考える人は多くありません。2026年10月に公表された2025年度の同調査では、文字を手書きする習慣を「大切にすべき」と答えた人が80.4％に達しています。理由として最も多かったのは「漢字などを正確に身につけることにつながる」（70.7％）でした。

つまり、多くの人が「書く機会は減ったけれど、手書きには何か価値がある」と感じているわけです。では、その「何か」は研究でどこまで確かめられているのでしょうか。

2. 手書きはタイピングより脳の広い範囲を同時に使う

手で文字を書くと、キーボードで打つときよりも脳の多くの領域が連携して働くことが、脳波の測定で確かめられています。ノルウェー科学技術大学（NTNU）の研究チームが2024年に発表した研究では、大学生36人の脳波を256個の電極で記録し、手書きのときだけ、記憶や感覚に関わる領域どうしの連携が広く見られたと報告しています。

研究者は、文字の形を一つずつ手で作る動きが、視覚・指先の感覚・運動を同時に使うためだと説明しています。キーボードはどの文字も「指で押す」という同じ動作なので、脳への刺激が単調になりやすいのです。

ただし、この研究には別の研究者から反論も出ています。「脳の連携が広い＝学習効果が高い」とまでは証明されていないこと、タイピングの条件（片手で打たせた、画面に文字が出なかった等）が不自然だったことなどが指摘されています。「手書きは脳をよく使う」までは言えても、「だから頭が良くなる」と言い切るのは早いということです。

手書きは、脳にとって「いつもより多くの部署が同時に動く作業」だと考えるとわかりやすいです。

3. 紙に手で書くと、思い出すときの脳活動が高まる

日本でも、紙に書いた内容は思い出すときの脳の反応が強くなる、という研究結果が出ています。東京大学の酒井邦嘉教授らは2021年、18〜29歳の48人を「紙の手帳」「タブレット＋ペン」「スマホ入力」の3グループに分け、2か月分の予定を書き留めてもらう実験を行いました。

1時間後に予定について質問したところ、正答率はどのグループも6割程度で差はありませんでした。しかし、紙の手帳グループは、記憶や言語を担う脳の部分の活動が他のグループより高く、書き留めるのにかかった時間も短かったのです。

酒井教授は、紙に書いた位置や手の感触といった情報が記憶の手がかりになっていると考えています。また、電子機器は検索や持ち運びに便利なので、紙と使い分けるのがよいとも述べています。

「どこに書いたか」「どんな感触だったか」まで一緒に覚えられるのが、紙の強みです。

4. 「手書きノートで成績が上がる」は言い過ぎだった

「手書きでノートを取ると成績が上がる」という話は、追試ではっきり再現されていません。もとになったのは、2014年にアメリカで発表された「ペンはキーボードより強し」という有名な研究で、パソコンでノートを取った学生は理解を問う問題の成績が低かったと報告されました。

ところが、2019年にケント州立大学のチームが同じ方法で追試したところ、理解を問う問題では手書きとパソコンの間に統計的に意味のある差は出ませんでした。2021年のタフツ大学の追試でも、同様に差は確認されていません。

手書きの効果を紹介する記事では、この2014年の研究だけが引用されていることがよくあります。「手書きにすれば成績が上がる」と断定している情報は、割り引いて受け取るのが安全です。

5. 怒りを紙に書いて捨てると、気持ちが元に戻る

イライラした気持ちを紙に書いて丸めて捨てると、怒りがほぼ元の状態まで下がるという実験結果があります。名古屋大学の川合伸幸教授らが2024年に発表した研究で、参加者にわざと低い評価を伝えて怒らせ、その状況を紙に書いてもらいました。

その後、紙を「丸めてゴミ箱に捨てる」「シュレッダーにかける」「箱にしまっておく」の3つに分けたところ、捨てたグループとシュレッダーのグループは、怒りが実験開始時と同じくらいまで下がりました。一方、紙を手元に残したグループは、あまり下がりませんでした。

ポイントは、書くだけでなく「手放す」動作までセットにすることです。書いた紙を大事に取っておく必要はなく、むしろ捨ててしまったほうが気持ちの切り替えに役立ちます。

腹が立ったら、裏紙に書いてクシャッと丸めて捨てる。それだけで十分な対処法になります。

6. 寝る前5分のToDoリストで、寝付きが約9分早くなった

寝る前に翌日のやることを書き出すと、寝付きが早くなるという研究があります。アメリカ・ベイラー大学の研究（2018年）では、大学生57人を2つに分け、就寝前の5分間に「これからやること」か「今日やったこと」のどちらかを書いてもらい、睡眠を脳波で測定しました。

その結果、ToDoリストを書いたグループは、今日やったことを書いたグループより平均で約9分早く眠りにつきました。リストが具体的なほど寝付きが早く、逆に「今日やったこと」を詳しく書いた人ほど寝付きが遅くなる傾向でした。

ただし、確認されたのは「寝付きの早さ」であって、睡眠の質全般が良くなったわけではありません。対象も若い大学生57人と小規模なので、「書けば必ずぐっすり眠れる」とは言えない点には注意してください。

頭の中で「明日あれもこれも」と考えて眠れない夜は、紙に出してしまうのが効きます。

7. 書く習慣は認知症リスクの低さと「関連」がある

手紙や日記を書く習慣がある高齢者は、認知症になるリスクが低い傾向があることがわかっています。オーストラリア・モナシュ大学の研究（2023年）では、70歳以上の約1万300人を10年間追跡し、手紙や日記を書く・パソコンを使う・講座を受けるといった活動が多い人は、認知症のリスクが11％低かったと報告しています。

ただし、これは「書く人ほどリスクが低い」という相関関係で、研究者自身も因果関係は示せないと述べています。また、パソコンの使用も同じグループに含まれているため、「手書きで認知症を予防できる」とは言えません。

それでも、頭を使って文章を書く習慣が、年齢を重ねてからの脳の健康と結びついている可能性は示されています。手書きは、その習慣を続けるための手軽な入り口のひとつと考えるのがよいでしょう。

ここまで紹介した研究を、確かさの度合いで整理すると次のようになります。

「予防できる」ではなく「良い習慣のひとつ」。その距離感で取り入れるのがおすすめです。

8. 今日からは「手書き・タイピング・音声」を使い分ければいい

研究結果を踏まえると、すべてを手書きに戻す必要はなく、目的に合わせて使い分けるのが一番です。頭の中を外に出す方法は、大きく分けて音声・タイピング・手書きの3つがあり、それぞれ得意なことが違います。

速さは「音声＞タイピング＞手書き」、考えの深まりやすさはその逆というイメージです。手書きを取り入れるなら、次のような小さな習慣から始めると続けやすいです。

• ジャーナリング（5分）：頭に浮かんだことを手を止めずに書き出す。書いたものは捨ててOK
• 書き写し（5分）：好きな小説やコラムの一節を写す。漢字の練習にもなる
• 寝る前のToDoリスト（5分）：翌日やることを具体的に書き出してから寝る

紙は裏紙で十分です。残したいものだけスマホで撮影してパソコンに保存し、紙は捨ててしまえば、場所も取りません。

便利な道具が増えた今だからこそ、1日5分だけ「あえて遅い方法」を残しておく価値があります。

9. よくある質問

タブレットにペンで書いても、紙と同じ効果はありますか？

東京大学の実験では、タブレットにペンで書いたグループも、思い出すときの脳活動は紙の手帳グループほど高くありませんでした。紙に書いた位置や手触りが記憶の手がかりになっていると考えられているため、効果を重視するなら紙がおすすめです。

1日何分くらい書けばいいですか？

最初は3〜5分で十分です。今回紹介した寝る前のToDoリストの研究も5分間でした。長く書くことより、毎日同じタイミングで続けることを優先してください。

字が下手でも、漢字を忘れていても大丈夫ですか？

問題ありません。自分しか読まないので、思い出せない漢字はひらがなで書いて先に進みましょう。気になった漢字は、書き終わってから調べると効率よく覚え直せます。

書いたものは取っておいたほうがいいですか？

気持ちを書き出したものは、捨てたほうが気持ちの切り替えになります。名古屋大学の研究でも、紙を手元に残すより捨てたほうが怒りが下がりました。残したい内容だけ、スマホで撮影して保存すれば十分です。

10. まとめ

手書きの効果は、魔法のようなものではありません。それでも、頭の中を整理したいとき、気持ちを落ち着けたいとき、眠る前に考えごとを手放したいときには、研究に裏付けられた手軽な方法です。まずは手元の裏紙とペンで、今日の夜5分から試してみてください。

キーボードと音声で速く、紙とペンで深く。両方を持っている人が、これからの時代は一番強いと思います。

村上ドットプロでは、AI導入支援に加えて、サイバーセキュリティに関する無料相談も受け付けています。社員のスマホ利用ルールづくりや、従業員向けの注意喚起についてもお気軽にご相談ください。

参考リンク

• 熊本日日新聞（共同通信）：手書き習慣は「大切」80.4％ 文化庁の国語世論調査
• 第一生命経済研究所：情報機器の普及と言葉への影響（文化庁2021年度調査の紹介）
• Frontiers in Psychology：Handwriting but not typewriting leads to widespread brain connectivity（2024年）
• Frontiers in Psychology：上記研究へのコメンタリー（Pinet & Longcamp、2025年）
• 東京大学：紙の手帳の脳科学的効用について（2021年）
• Educational Psychology Review：How Much Mightier Is the Pen than the Keyboard for Note-Taking?（2019年）
• Psychological Science：Don’t Ditch the Laptop Just Yet（2021年）
• 名古屋大学：紙とともに去りぬ ～怒りを「書いて捨てる」と気持ちが鎮まることを実証～（2024年）
• Baylor University：Can Writing Your ‘To-Do’s’ Help You to Doze?（2018年）
• JAMA Network Open：Lifestyle Enrichment in Later Life and Its Association With Dementia Risk（2023年）

※文化庁「国語に関する世論調査」2025年度は全国の16歳以上の日本国籍保有者3,777人、2021年度の「漢字を手で正確に書く力が衰える」（89.0％）は「情報機器の普及で言葉が影響を受けると思う」と答えた人が母数です。
※ノルウェーの研究は大学生36人、東京大学の研究は18〜29歳の48人、ベイラー大学の研究は大学生57人を対象とした実験で、いずれも若年層・小規模のため、中高年にそのまま当てはまるとは限りません。
※モナシュ大学の研究は観察研究（相関関係）で、手書きの効果を単独で示したものではありません。
※各研究の内容は公表資料・報道をもとに私が要約したものです。図はいずれも私による整理・イメージです。

Copyright © 2026 ムラカミドットプロ【公式】 All Rights Reserved.

正直に言うと、今回の事件でセキュリティソフトが役に立ったかどうかは、公表された情報が少なく、まだ分かりません。侵入経路も、仕込まれた不正なプログラムの中身も、2026年11月1日時点でGMOから公表されていないからです。

ただ、事件の詳細が分からなくても、VPSを借りる人が最低限やっておくべきことは、はっきりしています。FXの自動売買、ホームページ、自社用のAIなど、VPSを使う目的は人それぞれですが、守り方の基本は共通です。今回は、VPSを借りる前・借りた直後・運用中の3つの段階に分けて、最低限の対策を整理します。

VPSは「自分専用の家」。鍵をかけ、貴重品を置きっぱなしにしない。基本はそれだけで、効果は大きいんです。

1. GMOの事件では、セキュリティソフトで防げたかは分からない

今回の事件で、VPSの中のセキュリティソフトが被害を防いだという報告も、防げなかったという報告も、まだ出ていません。判断に必要な情報が公表されていないためです。2026年11月1日時点で分かっていることは、次のとおりです。

もし事業者側の管理の仕組みから侵入されていたのであれば、利用者のWindowsの中で動くセキュリティソフトからは、攻撃が見えなかった可能性があります。一方で、利用者のWindowsの中で動く攻撃プログラムだったなら、振る舞いを見張るタイプのソフトが反応できた可能性もあります。どちらなのかは、侵入経路が公表されるまで断定できません（ここは私の推測です）。

確かなのは、どれか1つの対策に頼るのではなく、いくつもの守りを重ねておくことが大切だという点です。1つが破られても、次の守りで被害を止められるからです。

「これさえ入れれば安心」という対策はありません。だからこそ、基本を何重にも重ねておくことが大切です。

2. VPSでは、OSから上はすべて自分で守る

VPSのセキュリティは、サーバー会社と利用者で守る範囲が分かれており、OSから上はすべて利用者の担当です。サーバー会社が守ってくれるのは、データセンターの設備や仮想化の基盤といった土台の部分までです。

今回のGMOの事件は、サーバー会社が守るはずの層に問題があったケースです。利用者にはどうしようもない部分ですが、だからこそ「自分の層」を固め、事業者側が破られても被害が広がりにくい状態にしておくことが大切になります。たとえば、VPSに保存した情報が少なければ、盗まれるものも少なくて済みます。

サーバー会社と利用者の守る範囲については、次の記事でも詳しく解説しています。

土台はサーバー会社任せでも、その上に建てた家の戸締まりは自分の仕事。ここを意識するだけで、やるべきことが見えてきます。

3. 対策は「借りる前・借りた直後・運用中」の3段階で考える

VPSの対策は、借りる前・借りた直後・運用中の3段階に分けると、抜け漏れなく進められます。特に大切なのは、借りた直後の対策を、MT4やAIなどのアプリを入れる前に済ませることです。

次の章から、それぞれの段階でやることを順に説明します。

4. 借りる前に、用途を分けて守りの機能を確かめる

用途ごとにVPSを分ける

1台のVPSに何でも詰め込まず、FXの自動売買用、ホームページ用、AI用など、用途ごとにVPSを分けるのがおすすめです。1台に多くの用途を載せると、どれか1つの弱点から侵入されたときに、ほかの用途の情報までまとめて盗まれてしまいます。特に、お金に直結するFX用のVPSは、ほかの用途と混ぜないようにしましょう。

守りの機能があるかを確かめる

契約する前に、サーバー会社が次のような守りの機能を用意しているかを確認してください。機能の名前はサービスによって異なります。

• 通信を制限する機能：管理画面から、接続を許可するポートや接続元を指定できる（「パケットフィルター」など）
• 管理画面の二段階認証：サーバー会社の管理画面（コントロールパネル）にログインするときの二段階認証
• バックアップ・スナップショット：サーバーの状態を丸ごと保存し、元に戻せる機能

事業者の姿勢も見ておく

障害や事故が起きたときに、どれだけ早く、具体的に情報を公表しているかも、サーバー会社を選ぶ材料になります。過去のお知らせを見れば、トラブルへの向き合い方がある程度分かります。

5. 借りた直後は、アプリを入れる前に入口を閉じる

VPSは、借りた直後からインターネット中の攻撃にさらされます。アプリを入れる前に、まず入口を閉じる作業を済ませてください。

特に狙われやすいのが、リモートデスクトップ（RDP）です。警察庁のまとめでは、2025年上半期に報告されたランサムウェア被害のうち、感染経路が分かった45件の22％（10件）がリモートデスクトップからの侵入でした（VPN機器からが62％）。パスワードを総当たりで試す攻撃は、Windowsのサーバーに絶えずやってきます。

リモートデスクトップやSSHを、誰からでも接続できる状態で放置するのは避けてください。自宅のIPアドレスが変わる場合は、サーバー会社の管理画面で許可するIPアドレスを更新するか、VPNを経由して接続する方法を検討します。

家を買ったら、家具を運び込む前に鍵を付け替える。VPSも同じで、アプリより先に入口を閉じましょう。

6. セキュリティソフトは、まず標準のDefenderを確実に動かす

セキュリティソフトは、入口を閉じたうえで重ねる「最後の守り」として入れておくべきものです。怪しいEAや海賊版のソフトを入れてしまった場合や、パスワードを破られて侵入された場合に、ウイルスや情報を盗むプログラムを見つけて止められる可能性があります。
注）EAとはExpert Advisor（エキスパート・アドバイザー）」の略です。FXの取引ソフトMT4・MT5に組み込んで使う自動売買プログラムのこと。

Windowsなら、まず標準のDefenderを確認する

Microsoftによると、Windows Server 2016以降には、Microsoft Defender ウイルス対策が標準で入っていて、初期状態で有効になっています。追加費用はかからないので、まずは次の3点を確認してください。

• リアルタイム保護がオンになっているか
• 定義ファイル（ウイルスの情報）が更新されているか
• 検知したときに、自分が気づける仕組みになっているか（定期的に検知の履歴を見る）

なお、ほかのセキュリティソフトを入れると、Defenderは控えめな動作（パッシブモード）に切り替わることがあります。ほかのソフトを入れる場合は、そちらが確実に動いているかを確認し、外した場合はDefenderが元に戻っているかを確かめてください。

振る舞い検知などを足す場合の注意

プログラムの動きを見張る「振る舞い検知（EDRなど）」を足すと、新しく作られた攻撃プログラムにも反応できる可能性が高まります。ただし、導入する前に次の点を確認してください。

セキュリティソフトは「入れておくのが当たり前」で、「入れたから安心」ではありません。入口と中身の守りとセットで考えましょう。

7. VPSに「盗まれて困るもの」を置かない

今回のGMOの事件で被害が大きくなったのは、VPSの中にFX口座のID・パスワードが保存されていたからです。どれだけ守りを固めても、侵入される可能性はゼロにはなりません。侵入されたときの被害を小さくするには、VPSに置く情報そのものを減らすことが効果的です。

• ブラウザにパスワードを保存しない：VPSのブラウザで銀行やメールにログインしない。保存もしない
• 保存するのは必要最小限に：自動売買に必要な口座情報だけにし、使わなくなった口座の情報は消す
• APIキーは使い道を絞る：AIサービスなどのAPIキーは用途ごとに分け、利用上限を設定しておく
• VPSの中で私用のメールやSNSを使わない：VPSは作業専用と割り切る

あわせて、VPSとつながる口座やメールの側でも守りを固めておくと、情報を盗まれても被害を止めやすくなります。

• FX口座・証券口座・メールで二段階認証を設定する
• 出金先の口座を固定する（変更に追加の確認が必要な設定にする）
• 海外からのログインを制限する設定があれば使う
• 自動売買用の口座には、必要以上のお金を入れておかない

盗まれて困るものは、最初から置かない。これは事業者側が破られたときにも効く、数少ない対策です。

8. 運用中は、毎月の更新と履歴の確認を習慣にする

VPSのセキュリティは、借りた直後に一度設定して終わりではなく、運用中の点検で保たれます。月に1回、次の4つを確認する日を決めておくと続けやすくなります。

サーバー会社からのお知らせメールも見落とさないようにしてください。不正アクセスや障害の通知は、メールで届くことがほとんどです。ただし、お知らせを装った偽メールもあるので、リンクは開かず、公式サイトを自分で開いて確認します。

万が一、被害にあったときの対応は、次の記事でまとめています。

9. 時間がないなら、この順番で手をつける

すべてを一度にやるのが難しい場合は、「接続元の制限」「パスワード」「OSの更新」の3つを最優先で済ませてください。この3つで、よくある侵入の多くを防げます。

セキュリティソフトの優先度を「基本」としているのは、重要でないからではありません。標準のDefenderを有効にしておくのは当然の前提で、そのうえで入口と中身の守りを固めるほうが効果が大きいという意味です。

自社だけで対応するのが難しい場合は、専門家に相談するのも一つの方法です。村上ドットプロでも、中小企業向けにサイバーセキュリティの無料相談を受け付けています（お問い合わせはこちら）。

よくある質問

Q. 大手のサーバー会社のVPSなら、何もしなくても安全ですか？

A. いいえ。VPSでは、OSから上の設定・アプリ・保存した情報は利用者の責任です。また、今回のGMOのように、大手でもサーバー会社側の仕組みに問題が見つかることがあります。大手かどうかに関係なく、自分の担当範囲は自分で守る必要があります。

Q. Windows VPSに、市販のセキュリティソフトを入れたほうがいいですか？

A. まずは標準のMicrosoft Defenderが有効になっているかを確認してください。Windows Server 2016以降なら標準で入っています。振る舞い検知などを強化したい場合に、サーバー用OSに対応した製品を検討するとよいでしょう。どちらの場合も、接続元の制限やパスワードの強化のほうが先です。

Q. リモートデスクトップのポート番号を変えれば安全ですか？

A. ポート番号を変えると、機械的な攻撃は減らせます。ただし、ポートを探し出す攻撃もあるため、それだけでは十分ではありません。接続元のIPアドレスを絞る対策と組み合わせてください。

Q. 自宅のIPアドレスが変わるので、接続元を絞れません。

A. 自宅のIPアドレスが変わるたびに、サーバー会社の管理画面で許可するIPアドレスを更新する方法があります。手間がかかる場合は、VPNを経由して接続する方法や、固定IPアドレスのサービスを使う方法を検討してください。

Q. 今回のGMOの事件で、利用者は何をしておけば防げたのですか？

A. 侵入経路が公表されていないため、断定はできません。ただ、VPSに保存する情報を最小限にする、口座側で二段階認証や出金先の固定をしておく、パスワードを使い回さないといった対策は、事業者側が破られた場合でも被害を小さくするのに役立ったと考えられます。

まとめ

今回の事件は、どれだけ大手のサービスでも破られることがある、という現実を示しました。だからこそ、自分の担当範囲をしっかり守り、破られても被害を広げない備えをしておくことが大切です。VPSをお使いの方は、まず接続元の制限とパスワードの見直しから始めてみてください。

今日できることは、VPSの接続元とパスワードを確認すること。それだけで、守りは大きく変わります。

参考リンク

• GMOインターネットグループ：お名前.com デスクトップクラウドサービスに対するサイバー攻撃について（第4報）
• お名前.com：「お名前.com デスクトップクラウド」への不正アクセスに関する現在の対応について（第8報）
• GMOインターネットグループ：「お名前.com デスクトップクラウド」への不正アクセスに関する現在の対応について（第16報）
• 財務省：大臣閣議後記者会見の概要（2026年10月27日）
• piyolog：お名前.com デスクトップクラウドへの不正アクセスについてまとめてみた
• Microsoft Learn：Microsoft Defender Antivirus on Windows Server
• 宮城県警察：サイバーセキュリティ情報（警察庁「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」を引用）
• さくらインターネット研究所：VPSのセキュリティ（資料）

※本記事の内容は2026年11月1日時点の公式発表・報道にもとづいています。GMOの事件の侵入経路や被害の範囲は、今後の発表で変わる可能性があります。
※ランサムウェアの感染経路（リモートデスクトップ22％・VPN機器62％）は、警察庁「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」で、感染経路が判明した45件を母集団とした数値です（宮城県警察の資料から引用）。企業・団体等の被害が中心で、個人のVPSに限った数値ではありません。
※「事業者側から侵入された場合はセキュリティソフトから見えない可能性がある」などの記述は、一般的な仕組みからの私の推測で、GMOの事件の原因を示すものではありません。
※各社のVPSの機能名や仕様は、サービスごとに異なります。契約前に各社の公式マニュアルでご確認ください。

Copyright © 2026 ムラカミドットプロ【公式】 All Rights Reserved.

先日、私のところにも「TikTok18って何ですか？ダウンロードしても大丈夫ですか？」という質問が届きました。名前にTikTokと付いているので、公式の別バージョンだと思ってしまうのも無理はありません。

結論から言うと、TikTok18は公式のサービスではありません。今回は、その正体と危険な理由、そしてうっかり開いてしまったときの対処までをまとめます。

TikTok18は「見られる動画」ではなく「お金と個人情報を集める仕掛け」です。ダウンロードも入力もしないのが正解です。

1. TikTok18は公式アプリではなく、TikTokの名前を借りた偽物

TikTok18（TikTok 18+）は、運営会社が提供している公式のアプリやサービスではありません。「アダルト版TikTok」「無修正版」などとうたう非公式のアプリやWebサイトを指して、こう呼ばれています。公式のApp StoreやGoogle Playで「TikTok18」という公式アプリを探しても見つかりません。

紛らわしいのは、公式のTikTokにも「18歳以上だけに見せる」機能自体はあるという点です。投稿者がLIVE配信や動画の視聴者を18歳以上に限定できる設定がありますが、これは大人向けの話題やユーモアを未成年に届けないための機能です。18歳以上限定にした配信でも、性的なコンテンツはコミュニティガイドラインで禁止されたままです。

「TikTok18」で検索すると、大学などまったく無関係なドメインに置かれた解説風ページが大量に表示されます。乗っ取られたサイトや、検索順位を狙ったスパムページとみられるもので、「安全」「ダウンロード方法」をうたっていても信用できません。検索結果そのものが、罠への入り口になっている状態です。

名前にTikTokと付いていても、TikTokとは何の関係もありません。「公式の別バージョン」ではないと覚えておいてください。

2. 中身は動画ではなく、クリックと個人情報で稼ぐ「広告の罠」

TikTok18をうたうページの先に、約束された動画はありません。セキュリティ企業のMalwarebytesは2026年8月、「アダルトTikTok」系の検索から誘導されるページを調査した記事を公開しています。それによると、こうしたページはTikTokとは無関係で、名前を使って検索の流入を集めているだけだと指摘しています。

ページの見た目は、ぼかした動画のサムネイルと「18歳以上限定」の表示、「視聴開始」「無料登録」のボタンというのが典型です。ボタンを押しても動画は再生されず、広告ネットワーク経由で別サイトへ飛ばされたり、「年齢確認」と称してメールアドレスやカード情報を求められたり、公式ストア外のアプリを入れるよう促されたりします。

運営者は動画を用意する必要がなく、クリックや登録、インストールが起きるたびに収入を得ています。Malwarebytesは収益源として、出会い系やサブスクへの誘導報酬、広告収入、集めたメールアドレスの売買、カード情報を使った定期購読、マルウェアの配布を挙げています。利用者が動画を見られるかどうかは、運営者にとって関係がないわけです。

①や②で引き返せば実害はほぼありません。カード番号を入れる・アプリを入れる、の一歩手前で必ず止まってください。

3. 危険な理由①：偽の年齢確認でカード情報を取られ、定期購読を請求される

「18歳以上か確認するためにカード番号を入力してください」という画面は、ほぼ確実に詐欺です。正規のサイトが、年齢の確認だけを目的にクレジットカード情報を求めることは通常ありません。Malwarebytesも、偽の年齢確認はカード情報の収集や定期購読への登録に使われることが多いと警告しています。

入力した瞬間は何も起きなくても、後から少額の請求が毎月続く形で被害が表に出ることがあります。小さな金額だと明細を見落としやすく、気づいたときには数か月分を払っていた、ということになりかねません。メールアドレスも一緒に渡すと、迷惑メールやフィッシングメールが届くようになります。

「年齢確認＝カード入力」はセットで覚えておくと安全です。カード番号を求められた時点でタブを閉じましょう。

4. 危険な理由②：非公式アプリには情報を抜くアプリや請求画面アプリが紛れ込む

Androidスマホは、公式ストア以外からアプリのファイル（APK）を直接インストールできてしまいます。途中で「提供元不明のアプリ」を許可するか尋ねる画面が出ますが、ここで許可するとそのまま入ります。「TikTok18」として出回っているものの多くは、このAPK形式です。

公式ストアの審査を通っていないアプリは、中身が何であっても止める仕組みがありません。IPA（情報処理推進機構）は以前から、不正アプリが居場所や連絡先などの個人情報を盗んだり、端末を遠隔操作したりするおそれがあるとして、アプリは公式マーケットから入れ、アクセス権限を確認するよう呼びかけています。動画アプリなのに連絡先やSMSへのアクセスを求めるなら、不正アプリを疑うべきです。

アプリを入れた直後に、高額な料金を請求する画面が出るケースもあります。国民生活センターには、スマートフォンでアダルトサイトを開いたらアプリが自動でインストールされ、表示された番号に連絡すると高額な支払いを求められた、という相談が寄せられています。

Androidで「提供元不明のアプリを許可」と出たら、それが最後の止まりどころです。迷わず「キャンセル」を押してください。

5. 危険な理由③：恥ずかしさで相談できず、被害に気づくのが遅れる

アダルト系の誘い文句を使う手口は、被害者が周りに相談しにくいことを計算に入れています。Malwarebytesも、恥ずかしさから友人に話したり通報したりする人が少なく、そのぶん詐欺に気づく人が減って被害が広がりやすいと分析しています。

アダルト情報サイトをめぐる消費生活相談は、件数こそ減っているものの、いまも毎年数千件寄せられています。国民生活センターが公表している件数は次のとおりです。

出典：国民生活センター「アダルト情報サイト」（2026年7月31日更新）。PIO-NET（全国消費生活情報ネットワーク・システム）に登録された相談件数で、消費生活センター等からの経由相談は含まれていません。TikTok18に限った件数ではありません。

相談事例には、請求画面を見て慌てて電話をかけ、言われるまま電子マネーで支払ってしまったケースも含まれています。ひとりで抱え込んで業者に連絡してしまうことが、被害を大きくする一番の原因です。

6. iPhoneはアプリこそ入らないが、カード入力の被害は防げない

iPhoneは、Webサイトから直接アプリをインストールすることができないため、APK型の被害は基本的に起きません。2025年12月18日に全面施行されたスマホ法（スマートフォンソフトウェア競争促進法）で、日本でもApp Store以外の「代替アプリストア」が使えるようになりました。ただし代替ストアはAppleの承認制で、そこで配られるアプリもAppleの公証を通ります。任意のサイトからアプリを入れられるようになったわけではありません。

一方で、偽の年齢確認にカード番号を入れてしまう被害は、iPhoneでもAndroidでもパソコンでも同じように起きます。この被害は端末の仕組みとは関係なく、利用者が自分で情報を入力してしまうことで起きるからです。「iPhoneだから大丈夫」とは言い切れません。

iPhoneの人も「カード番号は入れない」だけは同じように守ってください。端末に関係なく狙われるのがここです。

7. 開いてしまったら、どこまで進んだかで対処を変える

ページを見ただけで何も入力していないなら、タブを閉じれば実害はまずありません。「登録完了」「料金をお支払いください」といった画面が出ても、それは脅しのための表示です。表示された電話番号やメールアドレスに連絡しないことが何より大切です。

カード番号を入力してしまった場合は、今日中にカード会社へ連絡して利用停止と再発行を相談してください。あわせて、ここ数か月の明細に見覚えのない請求がないか確認します。メールアドレスを入力した場合は迷惑メールに警戒し、同じパスワードを使い回しているサービスがあれば変更しておきます。

アプリを入れてしまった場合は、すぐにアンインストールし、Google Play プロテクトなどで端末をスキャンします。アプリに連絡先やSMSの権限を与えてしまったなら、重要なサービスのパスワードも変更しておくと安心です。どう対処してよいかわからないときは、消費者ホットライン「188」に電話すると、最寄りの消費生活センターにつながります。

慌てて業者に電話するのが一番まずい行動です。請求画面は無視して、困ったら「188」かカード会社へ相談しましょう。

よくある質問

Q. TikTok18の公式アプリはありますか？

ありません。TikTokの名前を使った非公式のアプリやサイトがそう呼ばれているだけです。公式のTikTokには投稿者が視聴者を18歳以上に限定する機能がありますが、性的なコンテンツは禁止されています。

Q. APKをインストールしてしまいましたが、何も起きていません。放っておいて大丈夫ですか？

何も起きていないように見えても、裏で情報を送っている可能性は否定できません。すぐにアンインストールし、端末をスキャンしてください。権限を許可してしまった場合は、重要なサービスのパスワード変更もおすすめします。

Q. 「登録完了」「料金請求」の画面が消えません。払わないといけませんか？

払う必要はありません。画面の電話番号やメールアドレスに連絡すると、相手に連絡先を知られて請求が続く原因になります。タブやブラウザを閉じ、それでも表示される場合はブラウザの履歴やキャッシュを削除してください。不安なときは消費者ホットライン「188」に相談しましょう。

Q. 子どもが「TikTok18」を検索していました。何をすればいいですか？

まず、カード情報の入力やアプリのインストールをしていないか確認してください。そのうえで、スマホのフィルタリングやペアレンタルコントロールを見直し、「年齢確認でカード番号を求めるサイトは詐欺」「請求画面が出たら親に言う」の2点を家族のルールにしておくと安心です。

まとめ：TikTok18はダウンロードも入力もしない

「無料」「限定」「18歳以上」という言葉は、人の好奇心と気まずさを同時に突いてきます。だからこそ、怪しいと思ったら一人で抱えずに、家族や身近な人、相談窓口に話してください。

見たいものがあるときほど、立ち止まって「これは公式か？」と確かめる。それだけで、ほとんどの被害は防げます。

参考リンク

• Malwarebytes：「アダルトTikTok」検索は詐欺につながる（2026年8月3日）
• 国民生活センター：アダルト情報サイト（2026年7月31日更新）
• IPA：「不正アプリ」に要注意！（情報セキュリティ標語・啓発資料）
• TechCrunch：TikTok’s new setting restricts livestreams to viewers who are 18 years and older（2022年7月5日）
• gori.me：スマホ法で日本のiPhoneは何が変わった？Appleの2回目の報告書を読む
• Impress Watch：iPhone、App Store“以外”のアプリストアも利用可能に スマホ新法対応

※相談件数は国民生活センターがPIO-NETに登録された件数として公表しているもので、アダルト情報サイト全般に関する相談です。TikTok18に限った被害件数ではありません。2026年度は5月31日時点の途中集計です。
※誘導ページの手口と収益の仕組みは、Malwarebytesの調査記事をもとに私が整理したものです。個々のサイトによって手口は異なります。
※2026年10月時点の情報です。

Copyright © 2026 ムラカミドットプロ【公式】 All Rights Reserved.

私のサイト murakami.pro でも、2026年10月に「murakami.pro.siteindices.com」というサイトが再び検索上位に現れました。以前にも同じURLが出て、Googleに報告してから約2ヶ月で消えたことがあります。今回は改めて中身まで確かめたうえで、Googleへの報告を進めました。

調べてみると、似せたURLのサイトには「警告が出て中身に届かないもの」と「中身が表示され、入力欄まであるもの」の2種類があり、取るべき対策も急ぐ度合いもまったく違いました。今回は、実際のGoogleへの報告画面での選び方も含めて、両方の対策をまとめます。

似せたURLを見つけたら、慌てて報告フォームを開く前に、まず中身がどうなっているかを見てください。そこで対策が分かれます。

1. 似せたURLのサイトは、中身に届くかどうかで対策が分かれる

最初に確かめるべきなのは、そのサイトの中身が実際に表示されるかどうかです。Chromeの警告で止まるサイトと、正規サイトそっくりの画面に入力欄まであるサイトでは、利用者が受ける被害の大きさがまったく違います。

警告で止まるなら、多くの利用者はそこで引き返すので、課題は「検索結果に残っていること」に絞られます。一方、中身が表示されて問い合わせフォームや決済画面がある場合は、入力した情報がそのまま盗まれるおそれがあります。こちらは検索順位どころではなく、被害を止めることが最優先です。

確認するときは、偽サイトの入力欄に本物の情報を入れて試すことは絶対にしないでください。画面を見て、スクリーンショットを撮るところまでにとどめます。

警告画面で止まるなら「時間をかけて消す」、中身が出るなら「今日中に止める」。この違いを最初に押さえておけば、迷わずに済みます。

2. 今回のサイトは、名前を借りた自動生成の査定ページだった

murakami.pro.siteindices.com の正体は、サイトの価値を自動で査定する「SiteIndices」というサービスのページでした。Chromeでは警告が出て中身に届きませんでしたが、ページのデータを直接取得して確認したところ、記事本文や画像のコピーはありませんでした。

中身は、murakami.pro のサイト名とメタディスクリプションの1文を流用し、推定のサイト価値・1日の訪問者数・広告収入、DNSレコード、サーバー情報などを機械的に並べたものです。推定値の根拠は示されておらず、同じ形式のページが多数のサイトについて量産されていました。問い合わせフォームや電話番号のような、個人情報を集める仕組みも見当たりませんでした。

Chromeの警告は、検索結果とは別の仕組みで出ている

Chromeの「もしかして」警告は、ブラウザの中で正規サイトとURLを見比べて出しているもので、Google検索の順位とは連動していません。Chromiumの技術文書によると、Chromeは閲覧したURLを人気サイトや過去に訪れたサイトのURLと比べ、似ていれば警告を出します。他のドメイン名をそのまま自分のホスト名に埋め込んだもの（例：google.com.example.com）も、警告の対象になる典型例として挙げられています。

この判定はChromeの中だけで行われ、Googleのサーバーとは通信しないとされています。また、警告が出たからといってそのサイトが悪質だと決まったわけではない、とも明記されています。つまり「Chromeが止めてくれている」ことと「検索結果から外される」ことは別の話なので、検索結果に残り続けることがあります。

Chromeが止めてくれていても、検索結果からは消えていません。消すためには、こちらから動く必要があります。

3. 警告が出ていても上位に残るなら、削除依頼とスパム報告を出す

警告は出ているのに検索上位に残るサイトには、①運営者への削除依頼と②Googleへのスパム報告を優先して出します。③セーフブラウジングへの報告は補助、④著作権の削除申請は本文や画像を実際にコピーされた場合に限って使います。

①運営者へ削除依頼：相手サイトの窓口に英文で送る

運営者がはっきりしているサイトなら、削除依頼の窓口に直接頼むのが最も確実です。SiteIndicesの場合、プライバシーポリシーの末尾に、掲載削除の依頼は info@siteindices.com へ連絡するよう記載されていました。海外のサービスなので、短い英文で十分です。

②Googleにスパム報告：「ページの品質が低い」を選ぶ

Googleへの報告は、検索の質に関するユーザーレポートから「ページの品質が低い」を選んで出します。他サイトの情報を自動で集めて量産したページは、この選択肢の説明にある「クリックを促すために一括作成されたページ」に最も近いからです。

1. 報告フォーム（https://search.google.com/search-console/report-spam）を開き、Googleアカウントでログインする
2. 報告するURLを入力し、問題点は「ページの品質が低い」を選ぶ
3. 「問題を示す正確なクエリ」に、実際に偽ページが上位に出た検索語句（社名・屋号・ドメイン名など）を入れる
4. 「共有したいその他の情報」（300文字以内）に、自動生成であること・正規ドメインに似せていること・Chromeでも警告が出ることを書く

フォームには、Googleが手動で対策した場合に報告内容が相手サイトの所有者へ伝わることがある、という注意書きがあります。説明欄に自分の氏名や電話番号などの個人情報は書かないでください。

このフォームでは、同じ違反をしているページを最大5ページまでまとめて報告できます。ただし、報告がそのまま削除につながるとは限らず、Googleは主に検出システムの改善に役立てるとしています。

③セーフブラウジングへの報告は補助と考える

セーフブラウジングは、個人情報を盗むフィッシングや不正なソフトウェアを配るサイトを報告する窓口です。今回のようにChromeがすでに警告を出していて、入力欄などの仕組みもないサイトでは、追加の効果は小さいと考えてよいでしょう。出す場合は、コメント欄に正規サイトのURLを添えておくと伝わりやすくなります。

④著作権の削除申請は、本文や画像のコピーがあるときだけ使う

著作権の削除申請は効果が大きい一方で、実際に文章や画像がコピーされていないと使えません。申請では内容が正確であることを表明する必要があるため、名前と説明文を1文借りただけのページに「サイトを丸ごとコピーされた」と申請するのは避けるべきです。私も今回、中身を確かめた結果、この申請は見送りました。

本文のコピーが確認できた場合は、Googleの「法的な理由でコンテンツを報告する」ページから進みます。実際の画面では、次のように選びました。

1. 報告の理由：「コンテンツを報告する法律上の理由」
2. 理由の種類：「知的財産権」
3. 侵害されているコンテンツの種類：記事全体なら「その他」（写真やイラストだけなら「画像・動画」）
4. 対象著作物の説明：自分が書いたサイト名・記事名と、どの部分が無断で掲載されているかを具体的に書く

なお、相手から異議申し立てがあった場合、10日以内に訴訟などの証拠を出さないと、削除されたページが復元されることがあります。

名前を借りただけのページなら、相手への削除依頼とGoogleへのスパム報告の2本立てで十分です。著作権の申請は、本当にコピーされたときの切り札に取っておきましょう。

4. 中身に届くフィッシングサイトは、その日のうちに5つの手順で対応する

中身が表示され、問い合わせフォームや決済画面まで偽装されているサイトは、フィッシングとして当日中に対応します。検索順位の対策は後回しにして、まず利用者の被害を止めることに集中してください。

ステップ1：URL・日時・画面を記録して証拠を残す

報告や相談のすべてで使うので、最初に証拠を残します。URL（アドレスバーの文字列をそのままコピー）、確認した日時、画面全体のスクリーンショット、検索結果に出ていた場合はその検索語句と検索結果の画面を保存します。フィッシングサイトは短期間で消えたり、URLを変えたりすることがあるため、後回しにしないでください。

ステップ2：Googleセーフブラウジングに報告する

セーフブラウジングに登録されると、Chromeなどのブラウザでそのサイトに警告が出るようになります。報告フォーム（https://safebrowsing.google.com/safebrowsing/report_phish/?hl=ja）にURLを入力し、コメント欄に「正規サイト（自社URL）を装い、問い合わせ情報や決済情報を入力させようとしている」と、個人情報が狙われている点をはっきり書きます。

ステップ3：フィッシング対策協議会に報告する

国内では、フィッシング対策協議会の報告窓口に知らせると、サイト閉鎖に向けた調整につながります。この窓口はJPCERTコーディネーションセンター（JPCERT/CC）が受け付けており、報告されたURLをもとに、サーバーを管理する事業者などへ閉鎖の調整を行っています。報告方法は協議会のサイト（https://www.antiphishing.jp/registration.html）で案内されています。

あわせて、偽サイトが置かれているサーバーの事業者やドメインの登録事業者が分かれば、それぞれの不正利用（Abuse）窓口に通報するのも有効です。偽サイトの運営者本人に直接連絡するのは避けてください。証拠を消されたり、別の攻撃のきっかけになったりするおそれがあります。

ステップ4：利用者・取引先に正規のURLを知らせる

報告と同じ日に、自社サイト・SNS・メールなどで「偽サイトが出ている」ことと正規のURLを知らせます。偽サイトが閉鎖されるまでには時間がかかるため、その間に利用者が入力してしまうのを防ぐためです。告知文には、偽サイトのURLを文字で示し（リンクにはしない）、正規のURL、もし入力してしまった場合の連絡先を入れます。

ステップ5：被害が出たら警察のサイバー事案窓口に相談する

利用者が情報を入力した、お金を払ってしまったなど実際の被害が出た場合は、警察に相談します。警察庁のサイトには、都道府県警察へのサイバー事案の通報・相談・情報提供をオンラインで受け付ける統一窓口があります。電話で相談したい場合は警察相談専用電話「#9110」が使えます。被害届を出すときは、最寄りの警察署へ連絡します。

フィッシングサイトは、報告と告知を同じ日に出すのがポイントです。閉鎖を待つ間も、利用者が引っかからないようにしておきましょう。

5. 自社サイトでは、正規のURLを利用者に覚えてもらう

偽サイトそのものを防ぐことはできなくても、利用者が正規サイトを見分けやすくしておくことはできます。普段から正規のURLが目に触れていれば、似せたURLに出会ったときに「何か違う」と気づいてもらいやすくなります。

• 名刺・パンフレット・SNSのプロフィール・Googleビジネスプロフィールで、サイトのURLを同じ表記にそろえる
• 過去に偽サイトが出た場合は、注意喚起のページを作り、偽サイトのURLと正規のURLを並べて示しておく
• 問い合わせフォームの近くに「当社のURLは〇〇のみです」と一言添える
• 社名やドメイン名で定期的に検索し、見慣れないURLが上位に出ていないか確認する

偽サイトは相手の都合で現れます。こちらにできるのは、本物のURLをお客さまに覚えてもらうことです。

6. 報告したら記録を残し、消えるまで定期的に確認する

報告から検索結果に反映されるまでには時間がかかるため、出した日と窓口を記録し、定期的に確認します。私の場合、前回は同じURLをGoogleに報告してから、検索結果から消えるまで約2ヶ月かかりました。どの報告がどれだけ効いたかは外から分からないので、効果を断定はできませんが、目安にはなると思います。

• 記録する項目：報告日、窓口名、報告したURL、受付番号や確認メールの有無、スクリーンショット
• 確認の頻度：週に1回程度、社名・屋号・ドメイン名で検索する
• 再発したとき：前回の記録をもとに、同じ窓口へ改めて報告する（著作権の申請は、申請ごとに正式な通知が必要です）

報告は出して終わりではありません。記録を残しておけば、再発したときに同じ手順をすぐ繰り返せます。

よくある質問

Chromeで警告が出ているなら、何もしなくてよいですか？

利用者の多くは警告で止まりますが、検索結果には残り続けます。Chrome以外のブラウザでは警告が出ないこともあるため、運営者への削除依頼とGoogleへのスパム報告は出しておくことをおすすめします。

著作権の申請とスパム報告は、両方出してもよいですか？

本文や画像が実際にコピーされているなら、両方出して問題ありません。名前や説明文を少し借りただけのページであれば、著作権の申請は通る見込みが低く、内容が事実と合わなくなるおそれもあるため、スパム報告と削除依頼に絞るのが安全です。

スパム報告の「その他の情報」には何を書けばよいですか？

自動生成・量産されたページであること、正規ドメインに似せたURLであること、正規サイトのURL、Chromeでも警告が出ていることを、300文字以内で事実だけ書きます。報告内容は相手に伝わる場合があるため、自分の氏名や連絡先は入れません。

フィッシングサイトの中身を確かめるとき、気をつけることは？

入力欄には何も入れず、ファイルのダウンロードもしないでください。画面を見てスクリーンショットを撮るところまでにします。不安な場合は、無理に開かずURLだけを報告しても受け付けてもらえます。

報告してからどのくらいで消えますか？

決まった期間はありません。私の前回の例では約2ヶ月でした。フィッシングサイトの場合は、フィッシング対策協議会の閉鎖調整によって、もっと早く停止されることもあります。

まとめ

似せたURLのサイトは、ある日突然現れます。慌てずに中身を確かめ、その性質に合った窓口へ報告すれば、検索結果からも利用者の目からも遠ざけることができます。自社のサイトで同じようなことが起きて対応に迷ったときは？
ムラカミドットプロでは、広島の中小企業を中心に、Webサイトの運用やAI導入とあわせてセキュリティ面の見直しもお手伝いしています。「うちのホームページは大丈夫？」という段階からでもお気軽にご相談ください。

見つけたら「中身を確かめる」「合った窓口に報告する」「記録を残す」。この3つを覚えておけば十分です。

参考リンク

• Chromium：“Lookalike” Warnings in Google Chrome
• Google 検索セントラル：スパム、フィッシング、マルウェアを報告する
• Google 検索セントラル ブログ：新しいユーザー フィードバック フォームで検索の質に関する問題を報告する（2023年6月）
• Google：検索の質に関するユーザーレポート（スパム報告フォーム）
• Google：Report Sites to Google Safe Browsing
• Google：法的な理由でコンテンツを報告する
• Google：著作権に関するよくある質問
• フィッシング対策協議会：フィッシングに関する報告
• 警察庁：サイバー事案に関する相談窓口
• SiteIndices：Privacy Policy（Content removal の連絡先）

※ 各フォームの画面表記・選択肢は、2026年10月29日時点で私が確認したものです。Googleや各団体の仕様変更により、表記や手順が変わることがあります。
※ SiteIndicesのページに表示されていたサイト価値・訪問者数・広告収入は、同サービスによる推定値で、根拠は公開されていません。2026年1月5日時点のデータとして表示されていました。
※ 「報告から約2ヶ月で消えた」は私のサイトでの1件の経験で、一般的な所要期間を示すものではありません。

Copyright © 2026 ムラカミドットプロ【公式】 All Rights Reserved.

そのダウンロードフォルダーに、見覚えのない「AIへの指示書」が1枚置かれているだけで、AIが自分の設定を書き換え、マルウェアを入れたりログイン情報を外へ渡したりする攻撃が、実際の利用者のパソコンで見つかりました。

セキュリティ企業 Forever Security が2026年10月22日に公表した内容で、研究者の再現試験では OpenAI Codex で9割以上、Claude Code で約5割の確率で攻撃が成功しています。今回は、この攻撃の仕組みと、Chrome・Edge を使っている方が今日からできる対策を、できるだけ専門用語を使わずに整理します。

AIに渡すつもりのないファイルまで、AIは「指示」として読んでしまう。起動する場所を選ぶだけで防げる攻撃です。

1. ダウンロードフォルダーの「AIへの指示書」で、実際にマルウェアが入りかけた

発端は、顧客のパソコンでAIエージェントが不正なプログラムを入れようとしたのを、Forever Security が止めたことでした。AIがインストールしようとしたのは「function-color」というnpmパッケージ（開発用の部品）で、約2年間表に出なかった攻撃活動に関わるものだったと報じられています。

不審な動きの出どころを調べると、原因は利用者のダウンロードフォルダーにあった「AGENTS.md」というテキストファイルでした。ダウンロードフォルダーは、そのままAIエージェントの作業場所としても使われていました。

AGENTS.md や CLAUDE.md は、本来は「このプロジェクトではこのツールを使う」「テストはこう実行する」といった作業ルールをAIに伝えるための指示書です。AIエージェントは起動した場所にある指示書を自動で読み込み、その内容に沿って動くように作られています。今回の攻撃は、この便利な仕組みを逆手に取ったものです。

2. 攻撃は3ステップ。Webを見て、そこでAIを起動するだけで成立する

ダウンロードフォルダーは、Webサイトが利用者のクリックや許可なしにファイルを保存できる、ほぼ唯一の場所です。研究者の再現では、試験用のWebページを開いてページを離れた瞬間に、ダウンロードフォルダーへ指示書が保存されました。

しかも指示書はただのテキストファイルなので、実行ファイル（.exe など）のようにパソコンの保護機能が警告を出すことがありません。ウイルス対策ソフトから見ても「普通の文章」にしか見えないのが厄介な点です。

次に必要なのは、利用者がそのダウンロードフォルダーでAIエージェントを起動することです。研究者によると、ダウンロードフォルダーでAIを起動するのは珍しくない使い方で、同社の顧客のうち数百人が実際にそうしており、Claude Code だけでも1,300回以上のセッションがダウンロードフォルダーから始まっていたそうです。

①と③は利用者には止めにくい部分です。止められるのは②の「どこでAIを起動するか」だけ、と覚えておけば十分です。

3. Codex はマルウェア導入、Claude Code はログイン情報の流出につながった

Forever Security は、見つかった攻撃用ファイルを使って、隔離したパソコン環境で再現試験を行いました。どちらのAIも指示書に従って自分の設定を書き換えた点は共通ですが、その先の被害の形は違いました。

Codex では、頼まれた作業に取りかかる前に、AIが自分の設定へ不審なサーバーを追加し、マルウェアをインストールしました。書き換えられたのはパソコン全体に効く設定ファイル（~/.codex/config.toml）だったため、その後は別のフォルダーで起動したときも攻撃者のサーバーが読み込まれ続けたといいます。試験での成功率は90%以上です。

Claude Code では、マルウェアを入れる代わりに、AIとのやり取りの通信を攻撃者のサーバー経由に切り替え、ログイン用の鍵（OAuthトークン）を盗み出す動きが確認されました。攻撃者のサーバーがAIの返答になりすまして命令を返すことで、パソコン上で任意のプログラムを動かすことも可能だったとされ、この成功率は約50%でした。

なお、この成功率は Forever Security が自社の隔離環境で行った試験の値で、Codex の90%は「電卓アプリを開くだけ」という無害な命令で計測したものです。数字の大小よりも、「半分以上の確率でAIが指示書に従う」という事実のほうが重要です。

どちらのAIでも、一度やられると「設定」に痕跡が残ります。ファイルを消しただけでは終わらない点に注意が必要です。

4. AIの不具合ではないので、アップデートを待っても直らない

研究者は「OpenAI や Anthropic が修正すべきものは何もない。フォルダーの指示書に従うAIは、作られたとおりに動いているだけ」と説明しています。ブラウザの「確認なしでダウンロードフォルダーに保存する」動きも、AIの「作業場所の指示書を読む」動きも、どちらも仕様どおりだからです。

つまりこの攻撃は、ソフトのアップデートを待っていても防げず、使う側の運用で防ぐしかありません。Forever Security も、人の操作や承認を前提にした従来のセキュリティ対策と、自分で指示を読んで動くAIエージェントとの間に生じた課題だと指摘しています。

一方で、どんなパソコンでも勝手に乗っ取られるわけではありません。攻撃が成り立つには「指示書がダウンロードフォルダーに届く」「そこでAIを起動する」の2つの条件がそろう必要があります。Chrome・Edge はダウンロードしたときに通知を出しますし、見覚えのない指示書に気づける人なら防ぐことができます。

「直るまで待つ」は通用しません。逆に言えば、使い方を変えた日から安全になります。

5. Chrome・Edge は「保存場所を毎回確認」に変えておく

Chrome と Edge は、初期設定のままだとWebからのファイルを、保存場所を尋ねずにダウンロードフォルダーへ自動で保存します。これが攻撃の第一歩を許している部分です。

どちらのブラウザにも、ダウンロードのたびに保存場所を確認させる設定があり、オンにすると「勝手に保存された」ファイルに気づきやすくなります。手順は次のとおりです。

ただし、この設定は「気づくための仕組み」であって、ダウンロードそのものを止めるものではありません。確認画面を深く考えずに「保存」してしまうと効果がないので、心当たりのないダウンロードは保存しないでください。

ダウンロードのたびに一手間増えますが、「いつの間にか増えたファイル」がなくなるだけで安心感はまったく違います。

6. 対策は5つ。最優先は「ダウンロードフォルダーで起動しない」

一番効くのは、AIエージェントを専用の作業フォルダーで起動し、ダウンロードフォルダーでは起動しないことです。Forever Security が最初に挙げている対策で、OpenAI と Anthropic も、作業対象のプロジェクトのフォルダーで起動することを推奨しています。

① ダウンロードフォルダーでAIを起動しない

zipを解凍したら、中身を確認してから専用の作業フォルダーへ移し、そこで起動します。「ダウンロードフォルダーを整理して」という使い方も、今回の手口にそのまま当てはまるので避けてください。

② 起動前に AGENTS.md・CLAUDE.md を確認する

作業フォルダーに、自分で作った覚えのない AGENTS.md や CLAUDE.md がないか確認します。見覚えのない指示書は、メモ帳などのテキストエディターで開いて中身を読むのが安全です。「サーバーを追加する」「パッケージを入れる」「通信先を変える」といった内容があれば要注意です。

③ Chrome・Edge で保存場所を毎回確認する

前の章で紹介した設定です。攻撃の第一歩である「勝手な保存」に気づけるようになります。

④ 承認確認とサンドボックスを外さない

AIエージェントには、コマンドを実行する前に確認を求める機能や、AIが触れる範囲を制限する「サンドボックス」があります。Claude Code の –dangerously-skip-permissions や、Codex の –dangerously-bypass-approvals-and-sandbox（–yolo）のような「全自動」モードを普段使いにするのは避けてください。確認画面が出ても、内容を読まずに許可すれば意味がない点も同じです。

⑤ 設定を点検し、異常ならログインし直す

Codex なら ~/.codex/config.toml、Claude Code なら .claude/settings.json などの設定ファイルに、自分で追加した覚えのないサーバーや接続先（base URL）が入っていないかを確認します。不審な設定が見つかった場合は、ファイルを消すだけで済ませず、ログインし直して認証の鍵（トークン）を新しくしてください。

5つすべてが難しければ、まず①だけ。それだけで今回の手口は成立しなくなります。

7. AIが読む「ただの文章ファイル」が、新しい攻撃の入口になっている

今回の件は単発ではありません。AIエージェントが読み込むファイルを悪用する攻撃は、2026年に入って次々と報告されています。

これまで多かったのは、.mcp.json や .claude/settings.json のような設定ファイルを仕込む手口で、Anthropic は過去6か月で、こうした設定ファイル経由の攻撃への修正を3回出していると報じられています。2026年7月には、AI Now Institute の研究者が、どのプロジェクトにもある README.md に命令を隠し、自動承認モードの Claude Code や Codex に悪意あるプログラムを実行させる「Friendly Fire」という手口も公表しました。

共通しているのは、「AIが読む普通の文章ファイル」が、実質的にはプログラムと同じ危険性を持つようになったことです。メールの添付ファイルを安易に開かないのと同じように、AIに読ませるファイルにも気を配る時代になったと言えます。

社内でAIエージェントの導入を進めている場合は、こうした使い方のルールを最初に決めておくことが大切です。

「怪しい実行ファイルを開かない」に、「知らない指示書をAIに読ませない」を加えておきましょう。

よくある質問

Claude Code や Codex を使っていなければ関係ありませんか？

パソコンのフォルダーの中で作業するタイプのAIエージェント（Claude Code、Codex、Cursor CLI など）が主な対象です。ブラウザで質問に答えるだけのチャット型AIは、パソコンのダウンロードフォルダーを自動で読み込まないため、今回の手口の直接の対象ではありません。ただし、フォルダーを読ませて作業させるAIツールは増えているので、同じ考え方で注意しておくと安心です。

ダウンロードフォルダーに AGENTS.md や CLAUDE.md がありました。どうすればいいですか？

まず、そのフォルダーでAIを起動しないでください。テキストエディターで中身を確認し、心当たりがなければ削除します。すでにそのフォルダーでAIを起動したことがある場合は、設定ファイルに見覚えのないサーバーや接続先がないかを確認し、不安があればログインし直して認証の鍵を新しくしてください。

承認確認をオンにしていれば安全ですか？

リスクは下げられますが、それだけで安全とは言い切れません。確認画面の内容を読まずに許可してしまえば防げないからです。承認確認は「最後の砦」と考え、起動する場所を選ぶことを優先してください。

Windows でも Mac でも関係ありますか？

関係あります。Chrome・Edge はどちらのOSでも、初期設定ではダウンロードしたファイルを「ダウンロード」フォルダーに保存します。OSを問わず、ダウンロードフォルダーでAIを起動しないことが基本の対策です。

まとめ

AIエージェントは、指示さえあれば人の代わりに何でも進めてくれる便利な道具です。その「素直さ」が、今回は弱点になりました。起動する場所を決めておくという小さな習慣で防げる攻撃なので、今日のうちに作業フォルダーを1つ用意しておくことをおすすめします。

村上ドットプロでは、AIツールの安全な使い方やサイバーセキュリティについての無料相談も受け付けています。社内でのルールづくりに迷ったときは、お気軽にご相談ください。

便利なAIほど「どこで動かすか」が大切。まずは作業フォルダーを分けるところから始めましょう。

参考リンク

• Forever Security：Markdown Is the New Executable: Attackers Are Dropping Agent Instructions Into Your Downloads Folder From the Web（2026年10月22日）
• マイナビニュース TECH+：CodexとClaude Codeに攻撃の恐れ、悪意ある指示ファイルで不正コード実行（2026年10月28日）
• BleepingComputer：AI coding agents hijacked using AGENTS.md file in Downloads folder（2026年10月25日）
• The Hacker News：Friendly Fire: AI Agents Built to Catch Malware Run It Instead（2026年7月）
• ライフハッカー・ジャパン：Chromeの既定のダウンロード保存先を変更する方法
• コクヨ：Microsoft Edgeで毎回保存場所を指定する設定（PDF）

※攻撃の成功率（Codex 90%以上、Claude Code 約50%）は、Forever Security が隔離した仮想環境で行った再現試験の値です。第三者による検証値ではなく、利用環境やAIのバージョンによって結果は変わる可能性があります。Codex の値は無害な命令（電卓アプリの起動）で計測されたものです。
※「数百の顧客」「Claude Code で1,300回以上のセッション」は、Forever Security の顧客環境に限った同社の社内統計（BleepingComputer への説明）で、AIエージェント利用者全体の傾向を示すものではありません。
※ブラウザの設定項目名は2026年10月時点の表記をもとにしています。バージョンによって名称や場所が変わる場合があります。

Copyright © 2026 ムラカミドットプロ【公式】 All Rights Reserved.

実際、2026年9月から10月にかけて、金融機関や通信事業者など幅広い業種で不正アクセスによる情報漏えいの公表が相次ぎました。大企業の話に見えても、攻撃の入口になっているのはWebサイトやクラウドサービスなど、中小企業も普通に使っているものです。

こうした状況を受けて、国が中小企業向けの無料相談窓口を相次いで開設しました。10月16日にIPA（情報処理推進機構）が「不正アクセス特別相談窓口」を、10月27日に経済産業省・中小企業庁が「サイバーセキュリティ特別相談窓口」を設置しています。

今回は、この2つの窓口の違いと使い分け、相談前に自社で済ませておきたい点検、使える補助金までをまとめました。

「被害の疑いがあればIPA、平時の相談はよろず支援拠点」と覚えておけば、迷わず動けます。

1. 国が2週間で2つの無料窓口を開設、背景は相次ぐ不正アクセス

2026年10月、IPAと中小企業庁が相次いで中小企業向けの特別相談窓口を開設しました。きっかけは、国内の企業へのサイバー攻撃で大規模な情報漏えいが多数発生していることです。

IPAの注意喚起によると、特に狙われているのは、大量の個人情報を扱うオンラインサービスやアカウント管理のシステムです。現時点では特定の製品の脆弱性を狙った攻撃とは断定されていませんが、外部に公開しているアプリやサービス、アカウントの乗っ取りが攻撃の起点になっている可能性が指摘されています。

大企業だけの話ではなく、Webサイトやクラウドを使っている会社はすべて当事者です。

2. 被害の疑いがあるならIPA「不正アクセス特別相談窓口」に電話する

IPAの窓口は、すでに被害を受けている、または被害の可能性がある企業のための「初動対応」の相談先です。全国の企業・組織が対象で、規模や業種の制限はありません。

相談すると、次のような支援を受けられます。

• 起きている事象を聞き取り、被害が発生している可能性について助言
• 被害がある場合、有効な応急処置の案を助言
• インシデント対応を行う専門業者の一覧を紹介
• ほかに必要な相談先・報告先を紹介

急ぎの場合はメールより電話のほうが確実です。メールは返信が翌営業日以降になることがあるため、「管理画面に見覚えのないユーザーがいる」「サイトが改ざんされている」といった状況なら、受付時間内に電話するのが早道です。原因が分からないうちにサーバーのデータを消したり初期化したりすると、調査に必要な記録まで失われるおそれがあります。

なお、不正アクセス以外のインシデントや平時の予防策については、IPAの「企業組織向けサイバーセキュリティ相談窓口」でメール相談を受け付けています。

「おかしいかも」と思った段階で電話していい窓口です。確信が持てるまで待つ必要はありません。

3. 平時の相談はよろず支援拠点とIT経営サポートセンターで何度でも無料

中小企業庁の特別相談窓口は、「何から始めればいいか分からない」段階で使える無料の相談先です。各都道府県のよろず支援拠点と、中小機構のIT経営サポートセンターの2か所に設置されました。

IT経営サポートセンターは、中立的な立場のIT専門家が対応するのが特長です。セキュリティ製品の販売会社に相談すると自社製品の提案になりがちですが、ここなら特定の製品に偏らない助言を受けられます。

よろず支援拠点は全47都道府県にあり、電話で相談を予約できる

よろず支援拠点は全国47都道府県すべてに設置されているので、まずは地元の拠点に電話で予約するのが早道です。相談は予約制の拠点が多く、県内各地にサテライト（出張相談会場）を設けている拠点もあります。都道府県名をクリックすると各拠点の公式サイトが開きます。

※出典：よろず支援拠点全国本部（中小機構）「全国のよろず支援拠点・生産性向上支援センター一覧」（2026年9月4日更新）。地域区分は同ページの区分に合わせています（新潟・山梨・長野・静岡は「関東」、福井は「近畿」）。所在地や受付時間は各拠点の公式サイトでご確認ください。

セキュリティの相談は「売り込まれそうで不安」という声をよく聞きます。公的窓口なら安心して聞けます。

4. 迷ったら「被害の有無」で窓口を選べばいい

窓口選びの基準はシンプルで、被害の疑いがあるかどうかです。状況別に整理すると次のとおりです。

判断に迷うときは、安全側に倒してIPAに電話しておくと後悔がありません。

5. 相談前に済ませたいのはIPAが示す3つの点検

IPAは10月9日、すべての事業者に向けて「速やかに行うべき点検」を3つ示しました。相談前にこの3点を整理しておくと、窓口での話がスムーズに進みます。

ログの確認について、IPAはまず直近1か月分を調べ、その後3か月分へと範囲を広げる段階的な方法を示しています。エラーの量が急に増えていないか、普段と違う動きがないかが手がかりになります。未適用のセキュリティ更新があれば、あわせて適用しておきましょう。

外部サービスの洗い出しは、社長や担当者が把握していない「部署ごとの契約」が漏れやすいポイントです。営業部門が個別に使っているクラウドストレージや、退職者のアカウントが残ったままのサービスが、侵入口になることがあります。

3つの点検は、専門知識がなくても「一覧を作る」ところまでは自社でできます。まずは表にしてみてください。

6. WordPressサイトは本体のバージョン確認が最優先

WordPressでホームページを運営している会社は、まず本体のバージョンが最新かを確認してください。2026年7月、プラグインを入れていない標準構成でも、ログインなしで乗っ取られる可能性がある脆弱性「wp2shell」が公表され、IPAも注意喚起を出しています。

WordPress.orgは対象バージョンに自動更新による強制アップデートを実施していますが、自動更新を止めている環境には届かないため、実際に動いているバージョンを目で確認することが大切です。管理画面の「ダッシュボード」→「更新」で確認できます。複数のサイトを持っている場合は、すべてのサイトで確認してください。

また、IPAは10月22日にPHPの脆弱性（通称PHP2shell）についても注意喚起を出しています。PHPのバージョンはレンタルサーバーの管理画面で確認・変更できることが多いので、サーバー会社のお知らせもあわせて確認しておきましょう。

ホームページは会社の「玄関」です。鍵が古いままになっていないか、年に一度ではなく今すぐ確かめておきましょう。

7. 対策費用は補助金とSECURITY ACTIONで負担を減らせる

セキュリティ対策の費用は、「デジタル化・AI導入補助金」のセキュリティ対策推進枠で一部を補助してもらえます。対象になるのは、IPAが認定する「サイバーセキュリティお助け隊サービス」の利用料です。

お助け隊サービスは、相談窓口・異常の監視・緊急時の駆けつけ・簡易サイバー保険をセットにした中小企業向けのパッケージです。専任のIT担当者がいない会社でも、外部に見張り役を置ける点がメリットです。

もう一つ取り組んでおきたいのが、IPAの「SECURITY ACTION」です。中小企業が情報セキュリティ対策に取り組むことを自ら宣言する無料の制度で、補助金などの申請要件や加点要件になることがあります。補助金の申請を考えているなら、先に宣言しておくと手続きがスムーズです。

補助金を使えば、見守りサービスを半額以下で始められる可能性があります。相談窓口で使えるか聞いてみるのも一つの手です。

よくある質問

相談するのにお金はかかりますか？

IPAの不正アクセス特別相談窓口、よろず支援拠点、中小機構IT経営サポートセンターのいずれも、相談自体は無料です。よろず支援拠点とIT経営サポートセンターは何度でも利用できます。ただし、紹介された専門業者に調査や復旧を依頼する場合は、別途費用がかかります。

個人事業主でも相談できますか？

中小企業庁の特別相談窓口は小規模事業者も対象です。IPAの不正アクセス特別相談窓口も、全国の企業・組織が対象とされています。個人として情報漏えいの被害に遭った場合は、IPAの「情報セキュリティ安心相談窓口」が相談先になります。

被害が確定していなくても相談していいですか？

はい。IPAの窓口は「被害を受けている、またはその可能性がある」企業が対象で、疑いの段階から相談できます。むしろ早めの相談のほうが、被害の拡大を防げます。

ホームページの制作会社に任せているので、自社では何もしなくていいですか？

保守契約の内容によります。WordPressの更新やバックアップが契約に含まれているか、まず確認してください。含まれていない場合、誰も更新していない状態になっていることがあります。

まとめ

セキュリティ対策は「何から手をつければいいか分からない」ことが一番の壁です。今回開設された窓口は、その最初の一歩を無料で相談できる場所です。まずは自社のWebサイトとクラウドサービスを一覧にして、気になる点があれば窓口に相談してみてください。

完璧な対策を一気に目指すより、「一覧を作る」「バージョンを確かめる」「相談してみる」の3つから始めれば十分です。

ムラカミドットプロでは、広島の中小企業を中心に、Webサイトの運用やAI導入とあわせてセキュリティ面の見直しもお手伝いしています。「うちのホームページは大丈夫？」という段階からでもお気軽にご相談ください。

参考リンク

• ミラサポplus（経済産業省・中小企業庁）：【重要】中小企業・小規模事業者向け「サイバーセキュリティ特別相談窓口」を設置します
• 中小企業庁：中小企業・小規模事業者のサイバーセキュリティ対策（参考資料PDF）
• よろず支援拠点全国本部（中小機構）：全国のよろず支援拠点・生産性向上支援センター一覧
• IPA：不正アクセス対策特設サイト
• IPA：不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について（2026年10月9日）
• @IT：不正アクセス被害激増、今、何をすべきか？ IPAから緊急の点検要請
• IPA：WordPressの脆弱性対策について（CVE-2026-60137、CVE-2026-63030：wp2shell）
• IPA：PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）
• IPA：サイバーセキュリティお助け隊サービス
• 中小機構：デジタル化・AI導入補助金「セキュリティ対策推進枠」
• IPA：SECURITY ACTION セキュリティ対策自己宣言
• IPA：中小企業の情報セキュリティ対策ガイドライン

※窓口の受付時間・連絡先・補助金の内容は2026年10月27日時点で各公式サイトに掲載されている情報です。補助金の要件や公募期間は変更されることがあるため、申請前に必ず公式サイトで最新情報を確認してください。WordPressの影響バージョンはIPAの注意喚起および公開されているセキュリティ情報に基づきます。

Copyright © 2026 ムラカミドットプロ【公式】 All Rights Reserved.

玄関の鍵が固くても、来客のためにドアを開けている間は入られることがあります。リモート接続の「ドライブ共有」は、その開いたドアになっていた可能性があるんです。

1. 外から直接入るのは難しいが、リモート接続中のPCは中を見られた可能性がある

結論から言うと、インターネット側から自宅のパソコンにいきなり侵入するのは、今も簡単ではありません。家庭のパソコンは通常、ルーター（Wi-Fiの親機など）の内側にあり、インターネット側からの接続を勝手に受け付けない状態になっているからです。 ただし、今回は事情が変わってきました。攻撃者は10月24日、自分たちのサイトで「利用者がVPSに接続している間に、共有されていた自宅PCのドライブからデータを抜き取った」と主張しています。外から鍵をこじ開けたのではなく、利用者が自分でつないだリモート接続を逆にたどった、という主張です。真偽はまだ確認されていませんが、仕組みとしては起こりうるため、6章で詳しく説明します。 そのうえ、攻撃者はパソコンを直接ねらう必要すらありません。本人にメールのリンクを開かせる、使い回しのパスワードで別のサービスに入る、といった「別の入口」を使えば、目的のお金にたどり着けるからです。「パソコンに直接は入れない＝安全」ではない、という点は前回から変わりません。

2. 10月27日に情報の公開が始まり、事件は「脅し」から「実行」の段階に入った

GMOは10月24日の第4報で、システムにセキュリティ上の問題があり、顧客の情報が外部に持ち出されたことを確認したと発表しました。その後、攻撃者は予告どおり10月27日に情報の公開を始め、事件は「脅し」の段階から「実行」の段階に移りました。

公開されたものに顧客の情報が実際に含まれているかは、GMOが確認中です。事実と異なる内容が含まれているおそれもあり、顧客の情報が含まれていると確認できた場合は、GMOから対象者に個別に連絡するとしています。 持ち出された可能性のある情報を、10月28日時点で整理すると次のとおりです。

「何が盗まれたか分からない」ときは、「入っていた可能性のあるものは全部盗まれた」と考えて動くのが安全です。今回は、その範囲に自宅のPCも入ってきました。

3. 攻撃者が使う経路は5つ。いま特に注意すべきは①②③⑤

盗んだ情報をもとに、攻撃者が利用者のお金やパソコンを狙う経路は、大きく5つに分けられます。10月27日の情報公開を受けて、「③リモート接続の逆流」の危険度を引き上げ、「⑤犯人サイトへのアクセス」を新しく加えました。

※危険度は、公表情報と一般的な攻撃手口をもとにした私の評価です。

4. 補償・見舞金・懸賞金を装った「なりすまし」が、引き続き一番の入口

攻撃者にとって一番手軽なのは、本人にメールやSMSのリンクを開かせ、偽サイトでパスワードを入力させたり、ウイルスを入れさせたりする方法です。パソコンをこじ開ける必要がなく、本人が自分でドアを開けてくれるからです。 だます口実は、前回よりさらに増えました。GMOは見舞金5,000円の受け取り手続きを10月30日までに、損失補償の申請方法を11月6日までに案内すると発表しています。さらに10月27日には、情報を公開された顧客への「特別お見舞金」と、犯人の情報提供を募る「懸賞金」も発表されました。「特別見舞金の対象です」「あなたの情報が公開されています」「懸賞金の受付はこちら」といった偽の連絡が届く可能性があります。 GMOは、本件に便乗してGMOや関係機関を装うメール・SMS・電話への注意も呼びかけています。「被害金を取り戻せる」として費用を求める連絡にも応じないでください。 こうした手口は実際に大きな被害を出しています。2025年には証券会社を装った偽メールや偽サイトによる口座の乗っ取りが相次ぎ、金融庁の発表では2025年1〜5月だけで不正アクセスが10,422件、不正取引が5,958件、不正な売買額は約5,240億円にのぼりました。ワンタイムパスワードをその場で入力させて、二段階認証を突破する手口も確認されています。

本物の案内かどうか迷ったら、メールは閉じて、公式サイトの「お知らせ」を自分で見に行く。これだけで多くの被害は防げます。

5. パスワードを使い回していると、パソコンに入られなくても銀行やメールが乗っ取られる

2つ目の経路は、VPSから盗んだID・パスワードを、銀行や証券会社、メールなど別のサービスでも試す方法です。同じパスワードを使い回していれば、攻撃者はパソコンに一切触れずに、別のサービスにログインできてしまいます。 特に危ないのはメールアカウントです。メールを乗っ取られると、銀行や証券会社の「パスワードを忘れた場合」の再設定メールを攻撃者に受け取られ、次々に別のサービスを乗っ取られるおそれがあります。メールは「すべての合鍵が届く郵便受け」だと考えてください。 GMOも第5報・第6報で、VPSの中に保存していたID・パスワードに加え、同じパスワードを使っている他のサービスや、ブラウザに保存しているID・パスワードも変更するよう呼びかけています。6章の主張が事実なら、VPSだけでなく、接続に使っていた自宅PCのブラウザに保存していたパスワードも変更の対象になります。

「メールを最初に守る」がポイント。郵便受けを押さえれば、他の鍵を作り直されにくくなります。

6. リモート接続を「逆にたどる」手口は、攻撃者が「実行した」と主張している

3つ目は、今回の事件ならではの経路です。利用者は自宅のパソコンから「リモートデスクトップ」でVPSに接続していました。通常は自宅のパソコンがVPSを操作する一方通行ですが、設定によっては、VPS側から自宅のパソコンの一部に触れられる状態になります。前回は「一般的な仕組みとしては起こりうる」と書きましたが、その後、攻撃者自身がこの手口を使ったと主張しています。

ドライブ共有とクリップボード共有

Windowsのリモートデスクトップには、自宅のパソコンのドライブ（Cドライブなど）をVPS側から見えるようにする「ドライブ共有」や、コピーした内容を両方で使える「クリップボード共有」の機能があります。ファイルのやり取りに便利な機能ですが、VPSが乗っ取られていた場合、接続している間は、共有していた自宅のドライブのファイルを読まれたり、書き込まれたりするおそれがあります。 また、セキュリティ企業のCheck Pointは2019年、乗っ取られたサーバーに接続すると、クリップボード共有を悪用して接続元のパソコンにファイルを置かれる可能性があることを報告しています。クリップボード共有はWindows標準のリモートデスクトップでは初期設定でオンになっています。

攻撃者の主張と、わかっていること・いないこと

攻撃者は10月24日、GMOが配布した接続用の設定ファイル（.rdpファイル）でドライブ共有が最初から有効になっていて、そこから利用者PCのデータを抜き取り、バックドアも設置したと主張しました。攻撃者が「見本」として公開した作業記録を分析した複数の報告によると、10月14日の夜に、VPS側から利用者PCの「ドキュメント」「デスクトップ」「ダウンロード」などのフォルダーを読み、ファイルをコピーしたとする記録が含まれていたとされます。

ここで注意したいのは、ドライブ共有でファイルを読むだけなら、自宅のPCにウイルスを入れる必要がないという点です（私の見方です）。「解析でマルウェアが見つからなかった」ことと、「ファイルを読まれていない」ことは、別の話だと考えてください。

自分の接続設定を確かめる方法

接続に使っていた.rdpファイルが手元に残っていれば、ドライブ共有が有効だったかどうかは自分で確認できます。ファイルは開いて接続せず、中身を見るだけにしてください。

1. .rdpファイルを右クリックし、「プログラムから開く」→「メモ帳」で開く（ダブルクリックすると接続が始まるので注意）
2. 「drivestoredirect:s:」の行を探す。「*」やドライブ名が入っていれば、ドライブ共有が有効だったことになる
3. 「redirectclipboard:i:1」があれば、クリップボード共有が有効だったことになる

Windowsの「リモート デスクトップ接続」から確認する場合は、「オプションの表示」→「ローカル リソース」→「詳細」で、「ドライブ」にチェックが入っていたかを見ます。 ドライブ共有が有効だった場合は、「ドキュメント」「デスクトップ」「ダウンロード」などに置いていたファイルは見られた前提で対応してください。具体的には、次のようなものがないか振り返ります。

• 運転免許証やマイナンバーカードなど、本人確認書類の画像
• 確定申告書や源泉徴収票、取引報告書など、お金や税金に関する書類
• パスワードを書き留めたメモやファイル

該当するものがあれば、パスワードの変更に加え、クレジットカードや銀行の明細、身に覚えのない契約の連絡がないかを、しばらくの間こまめに確認してください。 サーバーは10月21日から停止しているため、いま新たにこの経路でファイルを読まれる心配はありません。ただし、今後別のリモート接続サービスを使うときも、ドライブ共有は必要なときだけオンにするのが安全です。

「ウイルスが見つからなかった＝何も取られていない」ではありません。接続していた人は、PCの中を見られたつもりで、パスワードの変更から始めましょう。

7. ルーターの入口を開けていなければ、外から直接入られる心配は小さい

4つ目は、自宅のインターネットの住所にあたる「IPアドレス」を手がかりに、外から直接パソコンを狙う方法です。VPS側には接続元の記録が残るのが一般的なため、攻撃者が利用者の自宅のIPアドレスを知っている可能性はあります（GMOは公表しておらず、推測です）。 ただし、家庭のルーターは、外からの接続を初期設定で通さないようになっています。IPアドレスを知られても、それだけで自宅のパソコンに入られることは通常ありません。危ないのは、次のように自分で入口を開けている場合です。

• ルーターで「ポート開放」をして、外から自宅のパソコンにリモート接続できるようにしている
• ルーターの「UPnP」が有効で、ゲーム機やソフトが勝手に入口を開けている
• ルーターの管理画面のパスワードが初期設定のまま、またはファームウェアが古い

IPアドレスは「家の住所」のようなもので、住所を知られても、鍵がかかっていれば入れません。鍵を開けっぱなしにしていないかを確認しておきましょう。

8. 犯人サイトは見に行くだけで情報を取られる。停止後も近づかない

5つ目は、10月27日から新たに生まれた経路です。攻撃者は情報を公開するサイトを用意しましたが、GMOはそのサイトを開いた人の情報が攻撃者に取得されていることを確認したと発表しています。「自分の情報が載っていないか確かめたい」という気持ちは自然ですが、見に行くこと自体が新しい被害につながります。 このサイトは、ミラーサイトも含めて10月28日の午前4時ごろにドメインが停止されました。ただし、GMOは新たに同様のサイトが立ち上がる可能性があるとして、引き続きアクセスしないよう呼びかけています。SNSなどでリンクやスクリーンショットが流れてきても、開かず、広めないでください。

気になっても「見ない・広めない」。それが自分を守り、ほかの利用者を守ることにもつながります。

9. いますぐやるべき対策は「別端末でのパスワード変更・点検・フルスキャン・公式確認」

デスクトップクラウドを使っていた方は、次の順番で対策を進めてください。上から優先度の高い順に並べています。GMOが10月26日の第6報で改めて求めた内容も反映しています。

10. 感染が心配なときは、ネットから切り離して専門窓口に相談する

GMOは10月27日、攻撃者が予告した正午の攻撃に備えて、接続に使ったPCのバックアップを取り、ネットを切断して電源を落とし、コードを抜くよう要請しました。電源を再び入れてよいかについては、10月28日夕方時点で私が確認した範囲では、明確な案内が見当たりません。電源を入れる前に、別の端末でGMOの公式サイトの最新のお知らせを確認し、その指示に従ってください。 スキャンで不審なものが見つかった、ウイルス対策の設定が勝手にオフになっていた、見覚えのないソフトが入っている、といった場合は、あわてずに次の手順で対応してください。

1. ネットから切り離す：Wi-FiをオフにするかLANケーブルを抜き、被害の広がりを止める
2. 別の端末でパスワードを変える：感染が疑われるパソコンでは、パスワードを入力しない
3. 大事なデータだけを退避する：写真や書類だけを外付けの記録装置に移す。VPSから持ってきたプログラムやEAの設定ファイルはコピーしない
4. 相談する：GMOの相談窓口（03-5456-2560、24時間・土日祝も対応）や、IPAの「情報セキュリティ安心相談窓口」に相談する。お金の被害が出ている場合は、警察のサイバー犯罪相談窓口にも連絡する
5. 最終手段は初期化：不安が残る場合は、データを退避したうえでパソコンを初期化する

なお、GMOの電源オフ要請は「予告された攻撃に備えた予防」です。すでに感染が疑われる端末を調べてもらう場合、警察庁はネットから切り離したうえで、調査に必要な記録が消えないよう電源は落とさないよう案内しています。どちらにすべきか迷ったら、相談窓口の指示に従ってください。GMOは、ランサムウェアの被害に遭った利用者には、同等の性能の新しいPCを提供するとしています。 スキャンで何も見つからなくても、絶対に安全とは言い切れません。ウイルス対策ソフトは知られているウイルスしか見つけられず、ドライブ共有でファイルを読まれただけなら、PCに痕跡が残らないこともあるためです。不安が強い場合は、専門家に相談したうえで判断してください。

まずは「切り離す・別の端末で変える・相談する」。慌てて自分だけで直そうとしないことが大切です。

よくある質問

Q. FXにしか使っていなかったのですが、銀行も危ないのですか？

A. 銀行と同じパスワードを使い回していた場合や、VPSや自宅PCのブラウザに銀行のパスワードを保存していた場合は危険です。また、FX利用者は資産を持っている可能性が高いと見られるため、銀行を装ったなりすましメールが届く可能性もあります。パスワードの変更と、明細の確認をおすすめします。

Q. 犯人サイトをうっかり見てしまいました。どうすればいいですか？

A. GMOは、サイトを開いた人の情報が攻撃者に取得されていると発表しています。見てしまったパソコンやスマホをウイルス対策ソフトでフルスキャンし、別の端末から主要なパスワードを変更してください。見た内容やリンクは、SNSなどで広めないでください。

Q. 自分の情報が公開されたかどうかは、どうやって分かりますか？

A. 自分で犯人サイトを探さないでください。GMOは、公開された情報に顧客の情報が含まれていると確認できた場合、対象者に個別に連絡するとしています。「あなたの情報が公開されています」という連絡が来た場合も、リンクは開かず、GMOの公式サイトで確認してください。

Q. 電源を切ったPCは、いつ使っていいですか？

A. 10月28日夕方時点で、私が確認した範囲では、電源を入れてよいかの明確な案内は見当たりません。別の端末でGMOの公式サイトの最新のお知らせを確認するか、相談窓口（03-5456-2560）に問い合わせてください。

Q. スマホも対策が必要ですか？

A. はい。なりすましメールやSMSはスマホにも届きます。GMOもパソコンだけでなくスマホのフルスキャンを呼びかけています。SMSのリンクは開かず、公式アプリやブックマークから確認してください。

Q. Macから接続していたので安全ですか？

A. Mac用のリモートデスクトップにもフォルダーやクリップボードを共有する機能があるため、設定しだいで同じ注意が必要です。なりすましメールやパスワードの使い回しは、パソコンの種類に関係なく起こります。

Q. デスクトップクラウドを使っていなかった人は関係ありませんか？

A. 今回の流出による直接の影響はありません。ただし、事件に便乗して「お名前.com」や「GMO」を名乗る偽メールが、利用者以外にも無差別に送られる可能性があります。身に覚えのない補償や見舞金の案内は開かないでください。

Q. 攻撃者を名乗る人から連絡がきたら、どうすればいいですか？

A. URLやファイルを開かず、返信もしないでください。GMOも同じ対応を呼びかけています。お金を要求されても応じず、GMOの相談窓口や警察に相談してください。

まとめ

一番の守りは「だまされないこと」「合鍵を使い回さないこと」、そして「必要のない扉は開けないこと」。今日できることから始めましょう。

ムラカミドットプロでは、広島の中小企業を中心に、Webサイトの運用やAI導入とあわせてセキュリティ面の見直しもお手伝いしています。「うちのホームページは大丈夫？」という段階からでもお気軽にご相談ください。

参考リンク

• GMOインターネットグループ：「お名前.com デスクトップクラウド」への不正アクセスに関する現在の対応について（第13報）
• GMOインターネットグループ：「お名前.com デスクトップクラウド」ご利用のお客様へ改めてのお願い（第6報）
• GMOインターネットグループ：「お名前.com デスクトップクラウド」ご利用のお客様へ改めてのお願い（第5報）
• GMOインターネットグループ：お名前.com デスクトップクラウドサービスに対するサイバー攻撃について（第4報）
• GMOインターネットグループ：「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第3報）
• ITmedia NEWS：GMO、PCのバックアップと電源オフ呼びかけ　VPS利用者に　きょう正午の攻撃予告受け（2026年10月27日）
• innovatopia：【解説】お名前.com デスクトップクラウド、攻撃者が情報公開　GMOは要求を拒み懸賞金100万ドル
• innovatopia：【解説】お名前.com デスクトップクラウド、顧客情報の持ち出しを確認　不正取引の損失を補償へ
• セキュリティ対策Lab：GMO「お名前.com デスクトップクラウド」へのサイバー攻撃でハッカーが犯行声明　顧客PCへの情報窃取も主張
• satoru.net：GMO不正アクセス：RDPファイルの仕様の検証
• note（zephel01）：お名前.com デスクトップクラウドを使っていた人へ　今日やることと、PCを確かめる順番
• トレンドマイクロ：証券口座の乗っ取りと多要素認証を突破する手口（2025年）
• Check Point Research：Reverse RDP Attack: Code Execution on RDP Clients（2019年）
• ＠IT：Windowsのリモートデスクトップからローカルコンピューターのドライブを利用する

※本記事の内容は2026年10月28日時点の公式発表・報道にもとづいており、今後の調査で変わる可能性があります。 ※公開された情報に顧客の情報が含まれているか、持ち出された情報の種類や件数は、10月28日時点でGMOから公表されていません。 ※「ドライブ共有で利用者PCからファイルを抜いた」「バックドアを設置した」は攻撃者の主張で、GMOは事実として公表しておらず、第三者による検証もされていません。攻撃者が公開した作業記録の内容は、セキュリティ対策Labなどの分析によるもので、記録の真正性は未確認です。 ※経路ごとの危険度は、公表情報と一般的な攻撃手口をもとにした私の評価で、公式な評価ではありません。 ※「攻撃者が自宅のIPアドレスを知っている可能性」「FX利用者の一覧が詐欺に使われる可能性」「ドライブ共有でファイルを読むだけならPCにウイルスを入れる必要がない」は私の推測・見方です。 ※電源の再投入に関する案内の有無は、10月28日夕方時点で私が確認した範囲のものです。 ※2025年の証券口座の不正アクセス件数・金額（2025年1〜5月）は、金融庁の発表をトレンドマイクロが紹介したものです。

Copyright © 2026 ムラカミドットプロ【公式】 All Rights Reserved.

ところが2026年10月、GMOインターネットのFX用VPS「お名前.com デスクトップクラウド」が不正アクセスを受け、利用者のFX口座で勝手に取引される被害が出ました。8月にはさくらインターネットのレンタルサーバーでも不正アクセスが公表されています。大手だから絶対に安全、とは言えないのが現実です。

さらに見落とされがちなのが、サーバー会社が守ってくれるのは「土台」までで、その上に載せたホームページやAIの安全は利用者自身が守る必要があるという点です。今回は、レンタルサーバーとVPSのそれぞれについて、サーバー会社が守ってくれる範囲と、自分で追加すべき対策を整理します。

サーバー会社は「建物の管理人」。部屋の鍵をかけるのは、住んでいる私たち自身なんです。

1. VPSとは、インターネット上に借りる「自分専用のパソコン」のこと

VPSは「Virtual Private Server（バーチャル・プライベート・サーバー）」の略で、日本語では「仮想専用サーバー」と呼ばれます。ひとことで言えば、サーバー会社のデータセンターにある「自分専用のパソコン（サーバー）」を、インターネット経由で借りるサービスです。

サーバー会社は、1台の大きくて高性能なコンピューターを「仮想化」という技術でいくつもの区画に分けています。その区画の1つひとつが、利用者それぞれの専用VPSです。見た目は1台の機械でも、中身は独立した別々のパソコンとして動くので、自分の好きなOSやソフトを入れて使えます。

自宅のパソコンは、VPSを操作するための「リモコン」のような役割です。自宅のパソコンからVPSの画面を呼び出して操作しますが、自宅のパソコンの電源を切っても、VPSはデータセンターで24時間動き続けます。FXの自動売買や、AIを常に動かしておきたいときにVPSが使われるのは、このためです。

VPSは「遠くの安全な場所に置いた、自分だけのパソコン」。自宅から画面を呼び出して使うイメージです。

2. サーバー会社が守るのは「土台」まで、中身は利用者の責任

クラウドやサーバーのセキュリティは、サービスを提供する会社と利用者が、守る範囲を分担する「責任共有モデル」という考え方が前提になっています。総務省も2022年に公表したガイドラインで、事業者と利用者が協力して責任を分け合うことが必要だと示しています。

守る範囲は、サービスの種類によって変わります。利用者が自由にできる範囲が広いサービスほど、利用者が守るべき範囲も広くなるのが基本です。

たとえるなら、レンタルサーバーは「管理人付きのマンションの一室」、VPSは「土地と道路だけ用意された一戸建て」です。マンションなら共用部分は管理会社が守ってくれますが、一戸建てでは窓の鍵から防犯カメラまで、すべて自分で用意する必要があります。

VPSは自由度が高い分、「何もしなければ何も守られていない」と考えておくと安全です。

3. 不正アクセスの多くは、利用者側の設定ミスや放置から起きている

不正アクセスは、高度なハッキングよりも設定ミスや更新の放置といった、利用者側のすきから起きることが少なくありません。総務省のガイドラインによると、IPAの2021年の届出状況では、不正アクセスの原因のうち「設定不備」が約17.7％で第3位でした。

最近では、本来隠しておくべき「APIキー」がWebサイト上で丸見えになっている問題も明らかになりました。スタンフォード大学などの研究チームが約1,000万件のWebページを調べたところ、約1万件のページで、実際に使える1,748件のAPIキーなどの認証情報が見つかりました。その84％はブラウザから誰でも見られるJavaScriptファイルの中にあり、平均で約12か月も放置されていたと報告されています。

APIキーは、AIサービスやクラウドを使うための「プログラム用の合鍵」です。漏れると、他人に勝手に使われて高額な利用料を請求されたり、データを抜き取られたりする恐れがあります。

4. レンタルサーバーでは、WordPressの更新とログイン対策を自分で行う

サーバー会社が用意してくれるのは「使える道具」

大手のレンタルサーバーには、無料で使えるセキュリティ機能が用意されています。たとえばエックスサーバーは、Webサイトへの攻撃を防ぐ「WAF」を全プランで無料提供しています（2018年から）。WordPressの「REST API」への国外からのアクセス制限も、2017年から行っています。

ただし、これらは「使える道具が置いてある」状態です。機能によっては自分で有効にする必要があり、WordPress本体やプラグインの弱点まではカバーできません。サーバーパネルで、どの機能がオンになっているかを一度確認しておきましょう。

利用者が自分でやるべきこと

2026年10月には、PHPに2件の重大な脆弱性（深刻度はいずれもCVSS 9.2）が見つかり、IPAが事前に注意を呼びかけました。エックスサーバーなどはサーバー側で修正を当てましたが、古いPHPのバージョンを選んだままだと、修正の対象外になったり対応が後回しになったりする場合があります。

レンタルサーバーでも、「更新・ログイン対策・バックアップ」の3つは自分の仕事だと覚えておきましょう。

5. VPSではOSから上がすべて自分の責任になる

VPSは、サーバー1台を丸ごと借りるような自由度の高いサービスです。その代わり、OSの更新、通信の制限、ログインの守り方まで、サーバー会社ではなく利用者が管理します。借りた直後の状態のまま放置すると、インターネット中から攻撃を受けることになります。

サーバー会社が用意してくれる道具もあります。たとえば、さくらのVPSには特定の通信だけを通す「パケットフィルター」があり、WAF製品「SiteGuard Server Edition」も無料で使えます。ただし、これらを設定して使いこなすのは利用者自身です。

ログインを試みる攻撃は、VPSを借りた直後から絶え間なくやってきます。初期パスワードのまま使い続けたり、管理用のポートを誰にでも開いたままにしたりするのは避けてください。

VPSを借りたら、アプリを入れる前に「更新・通信の制限・ログインの守り」を先に済ませるのが鉄則です。

6. AIをVPSに入れるなら、認証なしで公開しないことが最優先

最近は、Ollamaなどのソフトを使って、自社専用のAI（ローカルLLM）をVPSで動かす例が増えています。ここで特に注意したいのが、Ollamaはもともと自分のパソコンの中で使う前提で作られており、標準ではログインの仕組み（認証）がないという点です。

設定を変えてインターネットから接続できるようにすると、誰でもAIを勝手に使えてしまいます。実際に、2026年1月に公表された調査では、130か国で約17.5万台のOllamaがインターネットに露出していたと報じられました。2026年5月の別の調査でも、公開されているOllamaの約31％が認証なしで応答したとされています。

露出したAIは、計算資源をただで使われるだけでなく、モデルの改ざんや、設定・会話の内容の抜き取りにつながる恐れもあります。Ollamaに限らず、Difyやn8nなど管理画面を持つAIツールも、同じように「公開の仕方」で安全性が大きく変わります。

「社内用のAIだから外から見えないはず」は思い込みになりがちです。公開する前に、外から本当に見えないかを確認しましょう。

7. サーバー会社自体が破られる前提で、バックアップと分散をしておく

利用者がしっかり対策をしていても、サーバー会社側のシステムが破られれば、利用者の情報が漏れることがあります。2026年は、国内の大手でもこうした事案が続きました。

こうした事態に備えるには、「1つのサービスに頼りきらない」「漏れても被害が広がらない」工夫が有効です。具体的には、次のような備えをしておきましょう。

• バックアップは、サーバー会社の中だけでなく、別のサービスや手元にも保存する
• サーバーに保存するパスワードやAPIキーは、他のサービスと使い回さない
• サーバーにお金に関わる情報（決済や口座のログイン情報）を必要以上に置かない
• サーバー会社から届く不正アクセスや障害の通知メールを見落とさない

どれだけ大手でも破られることはある、という前提で「被害を小さくする準備」をしておくことが大切です。

8. 自分で対応しきれない部分は、専門家や保守サービスに任せる

ここまでの対策をすべて自社だけで行うのは、IT担当者がいない中小企業にとって簡単ではありません。「どこまでを自分でやり、どこからを任せるか」を先に決めておくと、対策の抜け漏れを防げます。

• 自分でやる：パスワード管理、二段階認証、WordPressの更新、通知メールの確認
• 任せる：VPSのOS管理、AIの公開設定、侵入されたときの調査や復旧

WordPressの保守サービスや、サーバー会社の管理代行（マネージド）プランを使うのも一つの方法です。VPSでAIを動かしたい場合は、まずはクラウドのAIサービスで試し、本当に自社サーバーが必要かを見極めてから導入すると、無理のない形で始められます。

よくある質問

Q. 大手のレンタルサーバーなら、何もしなくても安全ですか？

A. いいえ。大手のサーバー会社は設備やネットワーク、基本ソフトの安全を守ってくれますが、WordPressやプラグインの更新、パスワードの管理は利用者の責任です。2026年にはさくらインターネットやGMOインターネットでも不正アクセスがあり、大手でも絶対に安全とは言えません。

Q. WAFを有効にしておけば十分ですか？

A. WAFはよくある攻撃を防ぐのに役立ちますが、それだけでは十分ではありません。古いプラグインの弱点や、盗まれたパスワードによるログインまでは防げないため、更新やログイン対策と組み合わせて使います。

Q. セキュリティプラグインは複数入れたほうが安心ですか？

A. 機能が重なるプラグインを複数入れると、競合して不具合が起きやすくなります。信頼できるものを1つに絞り、サーバー側のWAFなどと組み合わせるのがおすすめです。

Q. 社内データを扱うなら、クラウドのAIよりVPSで自社AIを動かすほうが安全ですか？

A. 一概には言えません。自社のVPSならデータを外部のAI会社に渡さずに済みますが、OSやAIソフトの管理、公開設定のすべてが自社の責任になります。管理の手間とリスクを考えると、まずは法人向けプランなど、データを学習に使わない設定ができるクラウドAIから始めるほうが現実的な場合も多いです。

Q. VPSを借りたら、最初に何をすればいいですか？

A. アプリやAIを入れる前に、OSを最新に更新し、不要なポートを閉じ、ログイン方法を強化（Linuxなら公開鍵認証、Windowsならリモートデスクトップの接続元制限）することから始めてください。

まとめ

サーバー会社のセキュリティは「最低限の土台」です。その上に何を載せ、どう守るかは利用者次第です。まずは、お使いのサーバーのパネルで、WAFなどの機能が有効になっているか、WordPressやPHPが古いままになっていないかを確認するところから始めてみてください。

今日できることは、サーバーパネルを開いて「更新」と「セキュリティ設定」を確認すること。それだけでも守りは大きく変わります。

参考リンク

• 総務省：クラウドサービス利用・提供における適切な設定のためのガイドラインの概要（2022年10月）
• 総務省：クラウドサービス利用・提供における適切な設定のためのガイドライン（2022年10月）
• IPA：【事前準備のお願い】PHPのセキュリティリリース公開予定について（2026年10月21日）
• セキュリティ対策Lab：PHPに2件の重大な脆弱性、10月21日23時に緊急修正予定
• エックスサーバー：予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ（2026年10月22日）
• Web担当者Forum：エックスサーバーが「WAF設定」機能を全プラン無料で提供開始（2018年）
• エックスサーバー：「REST API アクセス制限」機能追加のお知らせ
• さくらインターネット：SiteGuard Server Edition Ver4.10 提供開始のお知らせ（2020年）
• さくらインターネット：当社システムへの不正アクセスに関する調査結果および再発防止策について（第三報）
• GMOインターネットグループ：お名前.com デスクトップクラウドサービスに対するサイバー攻撃について（第4報）
• The Register：Security boffins scoured the web and found hundreds of valid API keys（2026年3月）
• Let’s Data Science：Researchers Find Exposed API Credentials Online
• mytech-blog：Ollama でローカル LLM を動かす手順｜公開露出のリスクと対処
• bhrtaym-blog：Ollama認証セキュリティ「31%問題」完全ガイド

※本記事の内容は2026年10月24日時点の情報にもとづいています。
※「設定不備が約17.7％で第3位」は、総務省のガイドラインが引用しているIPA「コンピュータウイルス・不正アクセスの届出状況 2021年」の数値で、IPAに届け出のあった事例が母集団です。
※APIキーの調査（約1,000万ページ・1,748件）は、スタンフォード大学などの研究チームによるプレプリント論文（査読前）の内容を海外報道から引用しています。
※Ollamaの露出台数（約17.5万台・31％）は、SentinelLABS・Censys、Intruderの調査結果を紹介した国内記事からの引用で、一次資料は英語の調査報告です。
※エックスサーバー・さくらインターネットの機能は公表時点の情報です。現在の提供内容や初期設定は、各社の公式マニュアルでご確認ください。

Copyright © 2026 ムラカミドットプロ【公式】 All Rights Reserved.

「お名前.comってドメインやレンタルサーバーの会社では？」「GMOがFXをやっていたの？」「エックスサーバーやさくらインターネットは大丈夫？」。私も最初にニュースを見たとき、こうした疑問が次々に浮かびました。

今回は、FXの知識がまったくない方にもわかるように、仕組み、被害の流れ、責任の所在、他社サービスとの違い、身を守るための対策を順番に整理します。内容は2026年10月24日時点の公式発表と報道にもとづいています。

GMOがFXをしていたわけではなく、「FX用の作業場所」を貸していたら、そこに泥棒が入った事件なんです。

1. GMOのFX用サーバーが乗っ取られ、利用者の口座で勝手に取引された

今回の事件をひとことで言うと、GMOインターネットが貸していたFX用のサーバーに攻撃者が侵入し、利用者のFX口座で勝手に注文を出した事件です。対象のサービスは「お名前.com デスクトップクラウド」で、影響の可能性があるサーバーは26,739件にのぼります。

サービスを提供していたのは、GMOインターネットグループの子会社であるGMOインターネット株式会社です。発表は親会社のGMOインターネットグループ株式会社との連名で行われているため、報道では「GMOインターネットグループ」と書かれることも多くなっています。

被害は小さくありません。利用者からは「600万円の損失」「55万円がなくなった」といった声が相次いで報告されています。10月23日には上場している親会社の株価が一時8.99％下落し、金融庁はFX各社に不審な取引の監視を強めるよう求めました。

2. FXはお金の交換で差益を狙う取引で、ソフトに任せれば24時間売買できる

FXは「円とドルを交換して、その値動きで利益を狙う」取引

FX（外国為替証拠金取引）は、円・ドル・ユーロなどの通貨を売り買いし、その値動きの差で利益を狙う取引です。たとえば1ドル＝150円のときにドルを買い、151円になったときに売れば、1円分が利益になります。FX取引ができるのは、国に登録した証券会社やFX会社だけです。

為替相場は平日ほぼ24時間動いているため、寝ている間や仕事中の値動きも逃したくない人は、ソフトに自動で売買させるようになりました。これが「自動売買」です。

自動売買ソフト「MetaTrader（MT4／MT5）」とEA

自動売買でよく使われるのが、MetaQuotes社の取引ソフト「MetaTrader 4（MT4）」と、その後継の「MetaTrader 5（MT5）」です。MT4自体は勝手に売買せず、「EA」と呼ばれる自動売買プログラムを組み込むことで24時間の売買が可能になります。MT4はFX会社が自社用に設定したものを顧客に無料で配っているため、「〇〇証券のMT4」のように会社ごとに別々のソフトになっています。

3. お名前.comが貸していたのは「ネット上のもう1台のパソコン」だった

自動売買を24時間続けるには、パソコンをつけっぱなしにする必要があります。そこで多くの投資家が使っていたのが、ネット上に自分専用のWindowsパソコンを借りられる「VPS（仮想専用サーバー）」です。自宅のパソコンを消していても、VPSの中で自動売買ソフトが動き続けます。

お名前.comはドメインやレンタルサーバーで知られるブランドですが、その商品の一つとして、FX専用のVPS「お名前.com デスクトップクラウド」を提供していました。つまりGMOインターネットはFXをしていたのではなく、FXをするための「場所」を貸していただけです。

たとえるなら、GMOは「貸金庫」、FX会社は「銀行」。貸金庫に預けていた暗証番号が盗まれた、という構図です。

4. 侵入から不正取引まで、被害はわずか数日で広がった

攻撃者はVPSに不正なプログラムを仕込み、MT4に保存されていたFX口座のID・パスワードを盗み出しました。そのログイン情報を使って本人になりすまし、国内外の70を超える証券会社・FX会社の口座で勝手に注文を出したとみられています。

図のように、投資家はそれぞれ自分のVPSから、自分が口座を持つ証券会社・FX会社に接続して取引していました。攻撃者はVPSの中に保存されたID・パスワードを盗み、本人になりすまして各社の口座に勝手に注文を出しました。利用者ごとに口座のある会社が違うため、被害が70社超に広がったのです。

GMOは最初の発表で「悪用された事実は確認していない」としていましたが、翌日には口座で不正な操作が行われたという報告を受けていると説明を改めました。被害の全容は、まだ調査中です。

5. 損をしたのは主に個人投資家で、GMOが損失を補償する

お金の損害を直接受けたのは、FX会社ではなく口座を乗っ取られて勝手に取引された個人投資家です。FX会社はお金を盗まれたのではなく、不正にログインされた「取引の場所」という立場になります。

GMOは自社のシステムに問題があったことを認め、全利用者に一律5,000円の見舞金を支払い、不正取引で生じた損失を補償すると発表しました。補償の対象は、取引の差損や手数料などの実際の損失です。FX会社から返金があった場合は、その分を差し引いた残りをGMOが支払います。

見舞金の受け取り手続きは10月30日までに、損失補償の申請方法や必要書類は11月6日までに、登録メールアドレスへ案内される予定です。GMOを名乗る偽メールにも注意し、公式サイトの情報と照らし合わせてから手続きしてください。

被害にあった方は、取引履歴など「いつ・何が・いくら」がわかる記録を今のうちに残しておきましょう。

6. 価格ではなく「FX専用の手軽さ」で利用者が集中していた

FX会社がGMOを選んだのではなく、個人投資家がそれぞれ「簡単に始められて、大手だから安心」と考えてお名前.comを選んでいたのが実態です。料金が他社より特別に安かったわけではありません（次の章で比較します）。

• FX専用に作られていた：2019年にFX向けに作り直され、それまでの利用は延べ15万件を超えていました
• 初心者でも始めやすい：各FX会社のMT4のインストーラーがVPS内に用意され、すぐに自動売買を始められました
• 知名度：比較サイトでも、FX自動売買用VPSの定番として紹介されていました

多くの人が同じサービスに集まった結果、1か所の弱点が、つながっていた70社超の口座に一斉に影響する構図になっていました。便利な定番サービスほど、破られたときの被害も大きくなります。

「みんなが使っている手軽なサービス」ほど、狙われたときの影響範囲は広くなるんです。

7. エックスサーバーやさくらのVPSでもFXソフトは動かせ、現時点で同様の被害は報告されていない

Windowsが使えるVPSなら、どの会社でもMT4は動く

MT4はWindowsのソフトなので、Windowsが使えるVPSであれば、エックスサーバーやさくらインターネットでもFXの自動売買はできます。比較サイトでも、シン・VPS（エックスサーバー運営）、Xserver VPS、さくらのVPSなどが、お名前.comと並んでFX用VPSの候補に挙げられています。

このように、お名前.comの料金は他社と同じくらいの水準でした。利用者が集まった理由は価格ではなく、FX専用の手軽さだったことがわかります。

エックスサーバー・さくらのVPSでは、FX口座の被害は報告されていない

2026年10月24日時点で、エックスサーバーやさくらインターネットのVPSで、FX口座が乗っ取られたという報告や発表は見当たりません。利用者がFX目的で1か所に集中していない分、今回のように投資家がまとめて狙われる状態にはなりにくいといえます。

ただし、同じ時期に両社で別の動きがあったため、混同しないよう注意が必要です。

どの会社を使っても破られる可能性はゼロではありません。違いは「手軽さ」と「自分で管理する範囲」だと考えましょう。

8. 二段階認証をしていても、今回の手口は防げなかった可能性が高い

利用者が二段階認証を設定していたかどうかは公表されていませんが、GMOや一部のFX会社が事後に設定を呼びかけていることから、設定していない人が多かったと考えられます。MT4は長年、口座番号とパスワードだけで使われてきました。

ただし、今回は設定していても防げなかった可能性があります。二段階認証は新しくログインするときに働く仕組みですが、攻撃者が入り込んだのは、すでにログイン済みのMT4が動き続けているVPSの中でした。GMOも、パスワードを変えた後でも既存の接続がしばらく残り、第三者が取引を続けられる場合があると注意しています。

玄関の鍵を二重にしても、すでに家の中に入られていたら意味がない、というのが今回の怖さです。

9. 攻撃者は金銭を要求、GMOは拒否して国に対応を求めた

GMOは、攻撃者とみられる者から金銭を要求されているが、要求には応じないと明言しました。要求に応じなければ、口座への不正注文の継続、利用者の情報の公開、ランサムウェア攻撃などを行うと脅されているといいます。お金を払っても盗まれた情報が消される保証はない、というのが拒否の理由です。

さらにGMOは、2026年10月1日に始まった国の新しい制度「能動的サイバー防御」の「発動第1号」事案として、国主導で攻撃の拠点を追跡・遮断するよう政府に要請しました。この制度が実際に初めて使われるかどうかが注目されています。

なお、攻撃を受けた現在の仕組みはそのまま再開せず、希望者には別のクラウド基盤で動く代替サービスを6か月間無料で提供するとしています。

10. 口座の乗っ取りは海外でも繰り返し起きている

盗んだID・パスワードで他人の口座に入り込み、勝手に売買させる手口は、アメリカなどで以前から繰り返し起きています。多くは、先に買っておいた株を乗っ取った口座で高値で買わせ、自分だけが利益を得る手口です。

• 2014〜2017年：アメリカで50以上の口座が乗っ取られ、被害は200万ドル超（米司法省）
• 2025年：アメリカとカナダの10社以上の証券会社で口座を乗っ取り、380を超える銘柄を買わせた事件をSECが提訴
• 2025年3〜5月：日本でも乗っ取られた証券口座での不正取引が約6,000件、5,000億円超にのぼった（金融庁のまとめ、海外報道による）

一方で、今回のようにVPSの会社そのものが破られ、数万台規模で一度に情報が盗まれた例は珍しいといえます（私が調べた範囲では、海外でも同じ規模の事例は見つかりませんでした）。

11. 被害を小さくするには「破られる前提」で備える

今回の原因はGMO側のシステムにありますが、どんな大手のサービスでも破られる可能性がある前提で、被害を小さくする備えをしておくことが大切です。これはFXに限らず、クラウドに業務データを預ける中小企業にもそのまま当てはまります。

よくある質問

Q. お名前.comのドメインやレンタルサーバーも被害を受けたのですか？

A. 今回公表されている対象は「お名前.com デスクトップクラウド」（全プラン）だけです。2026年10月24日時点では、ドメインやレンタルサーバーなど、お名前.comの他のサービスが被害を受けたという発表はありません。

Q. エックスサーバーやさくらインターネットのVPSでも被害は出ていますか？

A. 2026年10月24日時点で、両社のVPSでFX口座が乗っ取られたという報告や発表は見当たりません。エックスサーバーが10月21日に管理画面を一時停止したのはPHPの脆弱性に備えた予防措置で、さくらインターネットの不正アクセスは2026年8月のレンタルサーバーの件です。いずれも今回の事件とは別件です。

Q. GMOはFX会社なのですか？

A. 違います。サービスを提供していたGMOインターネットは、サーバーやドメインを扱うインフラ会社です。FX取引を扱うには国への登録が必要で、グループ内ではGMOクリック証券などの金融系の会社が担っています。今回の報道で、これらの会社が侵入されたという話は出ていません。

Q. 被害を受けたFX会社はどこですか？

A. GMOは「国内外の70を超える証券会社・FX会社」としていますが、社名は公表していません。FXTF（ゴールデンウェイ・ジャパン）と外為ファイネストが、他社サービスから漏れた可能性のあるID・パスワードによる不正ログインを発表していますが、お名前.comとの関連は確認されていません。

Q. 投資家にも落ち度があったのでは？

A. GMO自身がシステムの問題を認めており、利用者が大手サービスの内部の安全性を事前に見抜くのは困難です。ただ、二段階認証やパスワードの使い回し禁止、口座に入れる金額を絞るといった備えで、被害を小さくできた余地はありました。

Q. MT4（MetaTrader）自体に欠陥があったのですか？

A. MetaTrader自体に欠陥があったという発表はありません。破られたのはGMOのVPSの仕組みで、MT4の中に保存されていたログイン情報が盗まれたという構図です。

まとめ

FXをしていない人にとっても、今回の事件は「便利なクラウドサービスに大事な情報を預けるリスク」を考えるきっかけになります。お使いのサービスの二段階認証やパスワードを、この機会に一度見直してみてください。

まずは今日、いちばん大事なサービスのパスワードと二段階認証を確認するところから始めましょう。

ムラカミドットプロでは、広島の中小企業を中心に、Webサイトの運用やAI導入とあわせてセキュリティ面の見直しもお手伝いしています。「うちのホームページは大丈夫？」という段階からでもお気軽にご相談ください。

参考リンク

• GMOインターネットグループ：お名前.com デスクトップクラウドサービスに対するサイバー攻撃について（第4報）
• GMOインターネットグループ：「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第3報）
• GMOインターネットグループ：「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第2報）
• ITmedia NEWS：GMO、不正取引の被害額を補償へ　見舞金5000円も（2026年10月24日）
• 日本経済新聞：GMOの株価続落　FX売買サーバー貸し出しサービスに不正アクセス（2026年10月23日）
• J-CASTニュース：GMO「悪用確認されず」から一転　FX口座ログイン情報、流出の可能性（2026年10月22日）
• piyolog：お名前.com デスクトップクラウドへの不正アクセスについてまとめてみた
• お名前.com：FX専用VPS「お名前.com デスクトップクラウド」料金改定のお知らせ（2020年）
• CREX：FX自動売買向けVPSの比較
• エックスサーバー：予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ（2026年10月22日）
• markenote：エックスサーバー、脆弱性の公表を前に管理画面などを一時停止　不正アクセスではないと説明
• さくらインターネット：当社システムへの不正アクセスに関する調査結果および再発防止策について（第三報）
• PC Watch：さくらのレンタルサーバーの一部環境で不正アクセスが発生（2026年8月19日）
• U.S. Department of Justice：Day Trader Indicted in Computer Hacking and Securities Fraud Scheme
• U.S. SEC：口座乗っ取りによる株価操作事件の訴状（2025年）
• Finance Magnates：OANDA Japan Holds Withdrawals After Hack at Server Host Used by FX Traders

※本記事の内容は2026年10月24日時点の公式発表・報道にもとづいており、今後の調査で変わる可能性があります。
※サーバー数26,739件は「影響の可能性がある」サーバー数で、実際に情報が盗まれた件数や不正操作された口座数ではありません。
※株価の下落率（8.99％）は日本経済新聞が報じた10月23日午前時点の値です。
※VPSの月額料金は比較サイト（CREX）掲載のWindowsプランの最低料金で、税込・税抜の別や最新の料金は各社の公式サイトでご確認ください。
※「エックスサーバー・さくらのVPSで被害が報告されていない」は、2026年10月24日時点で私がWeb上で確認できた範囲での記述です。
※2025年の国内の不正取引件数・金額は、金融庁の集計を引用した海外報道（Finance Magnates）によるものです。
※利用者の損失額（600万円・55万円など）は報道で紹介された利用者の声で、GMOが確認した金額ではありません。
※EAの売買ルールの分類は一般的な説明で、個別の商品を評価・推奨するものではありません。投資判断はご自身の責任で行ってください。

Copyright © 2026 ムラカミドットプロ【公式】 All Rights Reserved.

一方で、「PHPはプログラミング言語なのに、言語そのものに脆弱性があるのはおかしいのでは？」と感じた方も多いのではないでしょうか。私も最初はそこが引っかかりました。

今回は、その疑問を出発点に、PHP2Shell（CVE-2026-109618／CVE-2026-109619）が何なのか、攻撃者はどうやってシステムに入るのか、そしてWordPressを運用している中小企業が何をすればよいのかを、公表情報をもとに順に整理します。

WordPressではなく、その下で動くPHPそのものを更新しないと防げない脆弱性です。

1. 「PHPの脆弱性」の多くは言語仕様ではなく、PHP本体のバグ

「PHPの脆弱性」と言うときの「PHP」は、多くの場合、言語仕様ではなくPHPを動かすインタプリタと付属ライブラリを指しています。PHPの本体（Zend Engine）や標準関数・拡張モジュールはC言語で書かれたプログラムなので、ほかのソフトウェアと同じようにバグがあり、それが脆弱性になります。

PHPに関係する脆弱性は、おおむね次のように分類できます。

今回のPHP2Shellは、表の1行目「インタプリタ本体のバグ」に当たります。言語の文法や仕様に欠陥があったわけではありません。

「PHPの脆弱性」と聞いたら、まず「PHP本体のプログラムのバグ」だと捉えると整理しやすくなります。

2. PHP2Shellは本体のメモリ管理バグ2件で、深刻度は最上位の「緊急」

PHP2Shellは、PHPのコアインタプリタにあるCVE-2026-109618とCVE-2026-109619の2件の総称で、どちらもCVSS v4.0で9.2と評価されています。認証なしの攻撃者が、影響を受けるWebサーバー上で遠隔からコードを実行できる可能性があります。

どちらもC言語で書かれたプログラムによくある、典型的なメモリ管理のバグです。PHP開発チームは日本時間10月21日23時ごろに修正版を公開しましたが、その前日には脆弱性の詳細が予定より早く外部に漏れていました。

今回の脆弱性は、OpenAIのAI（GPT-5.6 Sol）が発見したと発表されています。報道によれば、バグ自体は何年もPHPのコードに存在しており、OpenAIが資金を出した8月の監査でAIが実際に悪用可能であることを示したとのことです。攻撃にも防御にもAIが使われる時代になったことを示す事例と言えます。

3. 悪用されるとシステム停止では済まず、データを盗まれる恐れがある

PHP2Shellは「リモートコード実行（RCE）」と呼ばれる種類の脆弱性で、システムが止まるだけでなく、サーバーを操作されること自体が問題です。名前の「Shell」も、外部からサーバーを操作できる状態（シェル）を奪われることを意味しています。

コードを実行された場合、一般的に次のような被害が考えられます。

攻撃者が操作できる範囲は、基本的にPHPを動かしているユーザーの権限内です。共用レンタルサーバーであれば、そのアカウントのファイルやデータベースが主な被害範囲になります。

止まるだけなら復旧すれば済みますが、今回は顧客情報が抜かれる可能性があるので、放置できない種類の脆弱性です。

4. 「コード実行」はPHPのコードだけでなく、OSコマンドにも及ぶ

「コードを実行される」とは、攻撃者が用意した任意の処理を、サーバー上のPHPプロセスとして動かされることを指します。ただし、その範囲はPHPのコードだけにとどまりません。

ネイティブコードとは、CPUが直接理解して実行できる命令（機械語）のことです。PHPのコードは人間が読める文字で書かれ、インタプリタが解釈しながら実行します。一方、C言語で書かれたPHP本体はコンパイルされてネイティブコードとして動いています。

メモリ破壊系の脆弱性が危険なのは、PHP側の制限（disable_functionsによる関数の無効化など）が効かなくなる可能性があるためです。攻撃者がメモリの中身をうまく書き換えると、インタプリタの解釈を通さずに処理を実行させられる場合があります。

なお、今回の2件で攻撃者が具体的にどの形でコードを実行するのか、詳しい手口は私が確認した公開情報では明らかにされていません。上の表は、メモリ破壊系RCEの一般的な整理です。

5. 侵入はログイン画面を通らず、細工したHTTPリクエストから始まる

PHP2Shellによる攻撃は、予約システムやWordPressのログイン画面をまったく経由しません。ログインを突破するのではなく、その下で動いているPHP本体のバグを突くためです。

攻撃の流れは、次のとおりです。

1〜4は公表された脆弱性の内容に基づく流れで、報告されている攻撃の多くはPHPのセッションのアップロード進捗機能を経由しています。5〜7はコード実行に成功した後の典型的な流れで、今回もWebシェルの設置を狙った試み（失敗）が確認されています。

リクエストはプログラミング言語ではなく、HTTPで送られる

攻撃のリクエストは特別な言語で書かれたものではなく、ブラウザが普段使っているHTTPという通信の決まりに沿った文字の並びです。たとえば、通常のファイルアップロードは次のような形をしています（一般的な例で、攻撃コードではありません）。

POST /contact.php HTTP/1.1
Host: example.com
Content-Type: multipart/form-data; boundary=----abc
Content-Length: 1234

------abc
Content-Disposition: form-data; name="file"; filename="photo.jpg"
（ファイルの中身）
------abc--

攻撃者はこの形式のまま、中身のデータの組み立て方や大きさを細工して送ります。見た目は普通のリクエストなので、送信元のツールがPythonでもcurlコマンドでも、サーバーに届くものは同じです。だからこそ、ボットで世界中のサーバーに一斉に送りつけることができます。

ログイン画面を通らない攻撃なので、パスワードを強くしても2要素認証を入れても、今回の脆弱性は防げません。

6. 攻撃の試みは数百万件、ただし成功した被害の全容はまだ不明

公表直後から攻撃の試みは急増し、Cloudflareのネットワーク全体で数百万件に達しました。同社によると、公表前の10時間は数千件でしたが、公表後45分で数万件、2時間以内に数十万件に跳ね上がりました。攻撃者はWAF（Webアプリケーションファイアウォール）の防御をすり抜けようと、送るデータを書き換えながら試していると報告されています。

攻撃は修正版の公開前から始まっていました。Amazonは、公表の4日前にあたる10月17日に、自社のハニーポット（攻撃観測用のおとりサーバー）で悪用の試みを観測したと発表しています。

一方で、攻撃が実際に成功した被害の規模は、10月23日時点ではまだはっきりしていません。セキュリティ企業watchTowrは、成功した攻撃はまだ観測していないとしており、観測された活動はスキャンや動作しない攻撃コードの利用にとどまっていたとする分析もあります。オランダのサイバーセキュリティ機関NCSC-NLは、悪用成功の初期兆候を調査中と発表しています。

国内では、株式会社バルテックが「PHPの脆弱性を標的としたサイバー攻撃」による顧客情報流出の可能性を公表しましたが、PHP2Shellによるものかは特定されていません。

大量に狙われているのは確かなので、「まだ被害報告が少ない」は対策を後回しにする理由になりません。

7. 対策はPHPの更新が最優先、WordPressの更新では防げない

欠陥はWordPressやプラグイン、テーマより下のPHP本体にあるため、WordPressを更新しても今回の脆弱性は防げません。WordPress.orgも、今回の件でWordPress側の更新は不要で、PHPの更新だけが修正になると説明しています。

特に注意が必要なのは、PHP 7系と8.1を使い続けているサイトです。修正版が出たのは8.2〜8.5だけで、7系と8.1には通常の修正版が提供されず、8.2も2026年12月末でサポートが終了します。古いバージョンのまま運用しているクライアントサイトがあれば、早めに移行計画を立てる必要があります。

すぐに更新できない場合の緩和策はありますが、完全な対策にはなりません。PHPの設定で session.upload_progress.enabled を 0 にすると、CVE-2026-109619の攻撃経路の1つを塞げると確認されています。ただしPHP開発チームは、完全な緩和策はなく、更新が唯一の安全な選択だとしています。

レンタルサーバーでは、事業者側ですでに対応済みのケースもあります。たとえばさくらインターネットは、10月23日の追記で、さくらのレンタルサーバで提供しているPHPに必要な修正を適用済みと発表しています。利用中の事業者のお知らせを確認し、自分で対応が必要かどうかを判断してください。

まずは自分のサイトのPHPバージョンと、サーバー会社のお知らせを確認するところから始めてください。

8. よくある質問

Q. WordPress本体やプラグインを最新にしていれば大丈夫ですか？

A. 大丈夫ではありません。今回の欠陥はWordPressより下のPHP本体にあるため、PHPそのものを修正版へ更新する必要があります。

Q. WAFを入れていれば防げますか？

A. WAFは攻撃の一部を止められますが、それだけでは不十分です。攻撃者はWAFをすり抜けるためにデータを書き換えながら攻撃を試していると報告されており、PHPの更新は必須です。

Q. AIのジェイルブレイク（脱獄プロンプト）と同じ種類の攻撃ですか？

A. 細工した入力でシステムに想定外の動作をさせる点は共通していますが、仕組みは異なります。ジェイルブレイクはAIの判断を言葉でだます攻撃で、プログラムのバグを突くものではありません。PHP2Shellはプログラムのメモリ管理バグを突く攻撃で、条件が揃えば確実に動作し、サーバーの操作権そのものを奪われる恐れがあります。

Q. レンタルサーバーを使っていれば、自分では何もしなくてよいですか？

A. 事業者によって異なります。サーバー側でPHPの修正を適用済みのケースもあれば、利用者がPHPバージョンを切り替える必要があるケースもあります。利用中の事業者のお知らせを必ず確認してください。

9. まとめ

今回の件は、WordPressやプラグインを最新にしていても、その下で動くPHPが古ければ守れないことをはっきり示しました。サイトの安全はアプリだけでなく、サーバー環境まで含めて管理する必要があります。

この機会に、管理しているすべてのサイトのPHPバージョンを一覧にして、サポート期限まで確認しておくと安心です。

ムラカミドットプロでは、広島の中小企業を中心に、Webサイトの運用やAI導入とあわせてセキュリティ面の見直しもお手伝いしています。「うちのホームページは大丈夫？」という段階からでもお気軽にご相談ください。

参考リンク

• CISA：Critical Vulnerabilities in PHP Require Immediate Patching
• PHP（GitHub）：PHP 8.4.27 リリース
• 日経クロステック：PHPの重大な脆弱性で緊急メンテナンス相次ぐ　さくらやCygames、pixivなど
• INTERNET Watch：多くのサイトが予防的に公開停止、高市総理が対応呼びかけ―「PHPの深刻な脆弱性」対応で何が起きた？
• ITmedia NEWS：PHP「緊急」脆弱性悪用の試み、数百万件に　CloudflareのCEOが報告
• C3index：PHPの重大な脆弱性（2026年10月）への対応
• Huntress：Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities
• AWS Security Blog：Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot
• SecurityWeek：PHP2Shell Exploitation Started Days Before Patches
• The Register：Hackers pile on PHP2Shell as AWS reveals attacks began before disclosure
• SiliconANGLE：PHP2Shell attacks began four days before patches
• Brandefense：PHP2Shell: Fixed PHP Versions and Free Check
• Codeable：PHP Security Release on 21 October 2026: What WordPress Site Owners Need to Do
• さくらインターネット：【重要】PHPの脆弱性に関する当社の対応状況について
• note（zephel01）：PHPの緊急脆弱性2件、分かっていることと分かっていないこと

※記事内の情報は2026年10月23日時点の公開情報に基づいています。攻撃の試みの件数（数千件・数万件・数十万件・数百万件）は、Cloudflareが自社ネットワーク全体で観測した数値であり、インターネット全体の件数ではありません。また、試行件数は成功した被害件数とは異なります。
※「コード実行」の3つの形（PHPコード・OSコマンド・ネイティブコード）と「RCEで起こりうる主な被害」は、メモリ破壊系RCE全般についての一般的な説明です。今回の2件における具体的な攻撃手口は、確認した公開情報では詳しく示されていません。
※侵入の流れのうち、Webシェル設置以降はコード実行に成功した後の典型的な流れを示したもので、今回の攻撃で実際に確認された被害の流れではありません。

Copyright © 2026 ムラカミドットプロ【公式】 All Rights Reserved.