GMOの5,000円支給では顧客の取引損失は補えない

GMOは、取引口座を不正に操作された顧客にいくら返金するのか、そしてそのお金はいつ届くのか。同社が約束した5,000円（約32米ドル）では、どちらの問いにも答えていない。これは、金銭的な損失がなかった人も含め、Onamae.com Desktop Cloudの利用者に対する見舞金だ。不正取引による補償対象の損失への補償は別の約束であり、重要な査定ルールや支払日はまだ定まっていない。¹⁸

この違いが、サービスへの不正アクセスに対するGMOの対応の核心だ。一律の支払いは混乱や不安を認めるものだが、返金は個々の顧客の資金に何が起きたのかに対処しなければならない。両者を混同すると、提示された条件では裏付けられていないにもかかわらず、損失補償の上限が5,000円であるかのように見えてしまう。また、公約を顧客が実際に利用できる救済措置に変えるという、これからの難題も見えにくくなる。^{4 18}

補償に関する通知は2026年10月24日に出された。GMOインターネットグループの熊谷正寿最高経営責任者は翌日、ブログで対応を公表した。これは方針の最初の発表ではない。ロイター通信はSouth China Morning Postへの記事で、同氏が支払いを「最初の誠意の表れ」と表現したと伝えた。ITmediaによると、同氏はブログで、これをもって幕引きとする考えを否定した。^{22 2 1 4}

影響を受けたサービスは、仮想専用サーバーのOnamae.com Desktop Cloudだ。仮想専用サーバーとは、顧客が自動化された外国為替取引ツールを動かすために利用する、遠隔地でホストされたコンピューターを指す。運営するのは、証券コード4784の上場子会社GMOインターネットだ。グループ内のすべての証券会社や外国為替事業と同一視することはできない。^{18 12}

日本の報道によると、5,000円の支給は、金銭的被害の有無にかかわらず、Desktop Cloudの現利用者が対象となる。この条件によって、他のGMO取引事業の顧客が自動的に対象となるわけではない。対象者の基準日もまだ定まっておらず、このより単純な支払いについても、誰が対象となるのかを正確に定義する必要がある。^{18 25}

2つ目の約束は、侵入に関連する不正取引による実際の補償対象損失に関するものだ。ITmediaによると、補償額の算定では、取引所がすでに行った返金分を差し引く。これは、5,000円の見舞金も差し引かれるという意味ではない。見舞金が相殺分として扱われるかどうかは定まっていない。¹⁸

入手可能な公式規定では、必要な証拠の全容、取引がこの侵入によるものだとGMOがどう判断するのか、補償上限、除外事項の全容、確定した請求手続きや期限も明らかにされていない。不正取引を補償するという約束を、あらゆる取引損失への無条件の返金と解釈することはできない。市場での損失、不正取引、機会損失はそれぞれ異なる。適用される規則で、どの損失が対象となるのかを説明する必要がある。^{28 22}

具体的な期限が1つある。見舞金の受け取り方法と支払時期を説明するメールを、10月30日までに利用者へ送ると約束されている。これは案内の期限であり、その日に口座へ現金が振り込まれるという約束ではない。見舞金にも取引損失の補償にも、実際の支払日は定められていない。¹⁸

この事案の時系列は、補償の発表より前に始まる。10月23日の公表によると、10月20日に一部顧客のサーバー環境で不正なプログラムが見つかった。これは発見日を示すものであり、侵入がいつ始まったのか、どれほど続いたのか、どの範囲に及んだのかを示すものではない。²⁴

顧客の取引口座に関わる不正操作が報告されたが、Desktop Cloudに関連するすべての口座が侵害されたことや、グループの証券システム自体が侵害されたことを示すものではない。GMO外貨は10月23日、Desktop Cloud上で稼働するツールに関する報告を受けたと述べる一方、自社顧客の口座で関連する不正操作を確認していないとしていた。10月26日の通知でも、この限定的な立場を維持した。^{34 5}

当面の保護策についての指示は、未確定の返金手続きより具体的だった。GMOの10月23日の警告は、取引口座と取引ツールのパスワードを速やかに変更し、ログイン中のセッションを終了するよう顧客に求めた。また、スマートフォンを例に挙げ、別の端末から変更するよう指示した。³³

GMO外貨はさらに、パスキーの設定を確認し、取引履歴や注文履歴、保有ポジション、口座残高を見直すよう顧客に呼びかけた。同社は、自社サービスで外部の自動取引ツールやプログラムを使うことは禁止されていると述べた。これらは時点を明示した安全対策とプラットフォームの規則であり、侵入が封じ込められた証拠ではない。入手可能な通知からは、Desktop Cloudへのアクセスが停止されたのか復旧したのか、取引が無効化されたのか、出金が制限されたのかは確認できない。^{34 33}

侵入経路の詳細、攻撃者の正体、侵入の全容は依然として明らかになっていない。財務規模を測るために必要な数字も不明だ。侵害された口座数、補償対象となる損失を被った顧客数、損害総額、補償額について、確認済みの総数はない。見舞金の対象者全員を数えても被害者数にはならない。対象には損失のなかった利用者も明示的に含まれるからだ。^{24 22 18}

投資家はすでに懸念を示している。上場親会社のGMOインターネットグループ（証券コード9449。Desktop Cloudの運営会社である4784ではない）の株価は、10月26日に3,179円で取引を終え、590円、約16%下落した。日経の先行報道では、東京時間午前9時50分時点で、取引時間中の安値は3,351円、418円安、下落率11.09%だった。終値は取引日の最終結果として朝の時点の数字に取って代わるもので、これと矛盾するものではない。^{12 13}

ロイター通信は、見舞金と不正取引への補償が業績に与える影響の不透明さを、売りの理由として挙げた。日経の終値報道も、損失拡大への投資家の懸念を伝えた。これは市場の不安について記録された説明であり、すべての売買が補償だけを原因としていた証拠ではない。潜在的な損失額は依然として定量化されていない。^{15 13}

顧客にとって次に有益なのは、幅広い安心感を示す説明をもう一度聞くことではない。対象条件、証拠、算定方法、支払い時期を明確に示すことだ。次に日付が明示されている節目は10月30日だが、これは約束された見舞金の案内についてのみだ。別途の返金ルールと日程が明らかになるまでは、GMOは重要な約束をしたものの、被害を受けたトレーダーに資金を取り戻す方法について完全な答えをまだ示していない。^{18 28}