GMOあおぞらネット銀行の預金は大丈夫？PHP脆弱性と不正アクセス時の補償

2026年10月26日時点で、GMOあおぞらネット銀行の預金に、不正アクセスの被害やPHPの脆弱性による影響は公表されていません。

話題のGMOの不正アクセスはFX自動売買用のサーバーで起きたもので、狙われたのは証券会社・FX会社の取引口座です。

この記事では、預金が大丈夫か不安な人に向けて、PHPの脆弱性「php2shell」とGMOの不正アクセスの現状、補償と預金保険の条件、今できる守り方と現金の引き出し方を整理します。

※2026年10月26日時点の情報です。

最新の情報は公式サイトでご確認ください。

GMOあおぞらネット銀行の預金は大丈夫？PHPと不正アクセスの現状

預金がサイバー攻撃で消えるおそれは、補てんの条件と預金保険の範囲を知っておけば、自分で小さくできます。

GMOあおぞらネット銀行のお知らせ一覧（9月1日〜10月26日）には、PHPに関する停止や不正アクセスの告知はありませんでした。

GMOインターネットグループの発表も、対象を「お名前.com デスクトップクラウド」に限っており、銀行の預金への影響には触れていません。

この先については、パスワードを盗まれて預金を引き出されても、補てん規定の条件を満たせば補てんされる見込みです。

ただし、どんな場合でも全額が戻ると保証されたわけではなく、知らせるのが遅れると対象外になります。

銀行そのものが破綻した場合は、預金保険で元本1,000万円までと利息が守られます。

自分の状況に近い行を見て、次の行動を決めてください。

PHPの脆弱性とGMOの不正アクセスで何が起きたのか

「PHPの問題」と「GMOの不正アクセス」は別の出来事で、どちらも銀行の預金が消えたという話ではありません。

同じ週に重なったため、ひとつの話のように広まりました。

ここでは、それぞれで何が起きたのかを分けて見ていきます。

PHPの脆弱性「php2shell」で銀行のサービスが止まった理由

PHPは、多くのウェブサイトで使われているプログラミング言語です。

GMO Flatt Securityの解説によると、PHPの開発チームは2026年10月21日22時40分ごろ（日本時間）に、重大な脆弱性2件を直した版を公開しました。

通称はphp2shellで、番号はCVE-2026-109618とCVE-2026-109619、深刻さを表すCVSSはどちらも9.2です。

外部から勝手にプログラムを動かされるおそれがあり、乗っ取られたサーバーからは保存されたデータが盗まれるおそれもあります。

この発表を受けて、銀行も安全を確かめるためにサービスを止めました。

ニッキンによると、三菱UFJ銀行がインターネットバンキングの一部取引を止め、静岡銀行・京都銀行・七十七銀行などもネットサービスを一時停止しています。

日本経済新聞は、七十七銀行の停止は予防的な措置で、インターネットバンキングなど決済関連のサービスは止めておらず、報道の時点で情報漏えいは確認されていないと伝えました。

auじぶん銀行も10月23日に修正作業を終え、関連する不正アクセスや情報漏えいは確認されていないと発表しています。

止まったのは銀行だけではなく、レジットのまとめでは国税庁・気象庁・文部科学省・大阪市なども一部のサービスを予防的に止めました。

「銀行も危ない」と言われたのは、こうした一時停止が相次いだためです。

同じまとめでは、対応が必要なのはサービスを運営する側で、利用者が端末の設定を変える必要はないとされています。

GMOあおぞらネット銀行のシステムがPHPを使っているかどうかは、公表されていません。

GMOの不正アクセスで狙われたのはFX・証券の取引口座

GMOインターネットグループの第2報によると、10月19日に問い合わせを受けて調べ、10月20日に「お名前.com デスクトップクラウド」の一部のサーバーで不正なプログラムが見つかりました。

10月21日4時に全プランのサーバーを順次止め、10月22日に警察へ相談しています。

このサービスは、FXの自動売買ソフト（MT4・MT5など）を動かすための仮想のパソコンです。

サーバー内に保存されていた取引口座のログイン情報が取られ、不正に使われた可能性があり、影響の可能性があるサーバーは26,739件とされています。

クレジットカードなどの決済情報は、サーバー上に持っていないと説明しています。

NHKも、口座で不正な操作が行われたという相談が寄せられていると伝えました。

第4報では、利用者全員に一律5,000円の見舞金を払い、不正アクセスが原因と認めた不正取引の実現損失（取引の差損と手数料など）を補償する方針が示されています。

申請方法は11月6日までに案内される予定です。

攻撃者とみられる者から金銭の要求があったものの、GMOは応じず、警察に捜査を求めました。

侵入の経路は調査中で、PHPの脆弱性が原因かどうかは発表に書かれていません。

SNSなどでは「残高がゼロになった」という声もありますが、報道されている不正操作は証券会社・FX会社の取引口座でのものです。

預金が不正に引き出されたときの補償と預金保険

盗まれた預金は銀行の補てん規定、銀行の破綻は預金保険と、守ってくれる仕組みが分かれています。

どちらにも条件や上限があるので、自分の預け方が当てはまるかを確かめておきましょう。

口座不正使用補てん規定：気づいたらすぐ知らせるのが条件

GMOあおぞらネット銀行は「口座不正使用補てん規定（個人のお客さま）」を公開しています（2026年7月22日現在）。

対象は、第三者がログインIDやパスキーの認証情報、各種パスワードを盗んだり、キャッシュカードを偽造したりして、本人になりすまして預金を引き出した場合です。

盗まれたと気づいてすみやかにカスタマーセンターへ知らせ、調査に十分な説明をし、警察署に被害を説明していることなどを示すと、補てんを受けられます。

補てんされるのは、銀行に知らせた日の30日前の日以降に引き出された額と、その手数料・利息です。

銀行に過失がなく、本人に過失（重大な過失を除く）があると銀行が証明した場合は4分の3になります。

規定の中に、補てん額の上限は書かれていません。

一方で、次のような場合は補てんされないと決められています。

• 本人に故意や重大な過失がある
• 配偶者や二親等以内の親族、同居の家族などが引き出した、または手を貸した
• 引き出された日の翌日から31日以降に知らせた
• パスワードなどを記録した端末を他人に渡したり、使わせたりした
• 第三者に強要されて引き出した

盗まれた日から2年を過ぎて知らせた場合も、規定は使えません。

知らせるのが31日以降になると対象外なので、入出金明細はこまめに見ておきましょう。

被害に気づいたら、カスタマーセンター（平日9時〜16時）に連絡し、警察にも相談します。

同行は、警察などからの照会に応じて捜査に協力するとしています。

この規定は個人のお客さま向けで、事業として使う口座は対象から外れます。

全国銀行協会は2008年に、個人が自分の責任によらずに遭った被害は、銀行に過失がなくても銀行が補償するという申し合わせをしました。

法人の被害の補償は、各銀行が個別に判断するとしています。

銀行が破綻したら預金保険で1,000万円と利息まで

金融庁によると、利息のつく普通預金や定期預金は、1金融機関ごとに預金者1人当たり元本1,000万円までと、破綻日までの利息が守られます。

1,000万円を超える部分は、破綻した銀行の財産の状況に応じて支払われ、一部カットされることがあります。

利息がつかないなどの条件を満たす決済用預金なら、全額が保護の対象です。

GMOあおぞらネット銀行の提携先のHabittoも、同行の普通預金口座は普通の銀行と同じように預金保険で守られると説明しています。

数百万円の円預金なら、この範囲に収まる額です。

保護の枠は1金融機関ごとなので、1,000万円を超えるなら複数の銀行に分ければ、それぞれの枠を使えます。

外貨普通預金は、同行の書面で預金保険の対象外とされています。

GMOあおぞらネット銀行の預金を守る方法と現金の引き出し方

預金を守るには、ログインの方法と限度額を見直し、パスワードを盗まれる入口をふさぐことが先です。

全額を引き出す場合の手順と注意点もあわせてまとめます。

パスキー認証と限度額でパスワードの盗難に備える

同行には、パスキー認証やワンタイムパスワードのほか、振込内容を別の端末で確かめるトランザクション認証があります。

パスキー認証はスマートフォンの生体認証でログインする方法で、同行はフィッシング対策に有効だと説明しています。

不審なログインや取引を見つける仕組みも入れているそうです。

個人の振込限度額は初期設定で1日50万円、最大1,200万円まで上げられるので、ふだん使う額まで下げておくと被害を小さくできます。

キャッシュカードとデビットの機能は、管理画面からそれぞれロックが可能です。

パスワードを盗む手口にも注意が必要です。

同行は10月8日、偽サイト・偽メール・偽アプリへの注意を呼びかけ、国税庁やe-Taxを名乗って還付金の手続きを口実に偽アプリを入れさせる例も挙げました。

偽アプリを入れてしまったら、すぐにアンインストールし、ログインパスワードと取引パスワードを変えて、取引履歴を確かめます。

銀行はSMSを送らず、9月14日にはメール本文のURL掲載を順次やめると発表しました。

ログインは、ブックマークした公式サイトか、App Store・Google Playの公式アプリから行いましょう。

「お名前.com デスクトップクラウド」を使っていた人は、GMOインターネットグループの第5報どおり、端末のウイルスチェックとパスワードの変更も済ませてください。

現金で引き出すときのATMと限度額

アプリでしか取引したことがなくても、キャッシュカードがあればセブン銀行・イオン銀行・ゆうちょ銀行のATMで引き出せます。

セブン銀行は24時間使え、イオン銀行は毎月第2月曜の1時30分〜4時30分がメンテナンスで使えません。

毎日23時55分〜翌0時05分は使えない場合があり、硬貨は扱えません。

ATMの引出限度額は初期設定で1日50万円なので、数百万円を一度に下ろすことはできません。

限度額は、ログイン後の「お客さま情報（申込・設定）」→「カード・ATM」→「限度額」で変えられます。

提携ATMの手数料は、カスタマーステージごとの無料回数を超えると1回110円です。

手元に置いた現金は、預金保険や補てん規定では守られません。

移すなら、ほかの銀行に預け替えるか、生活に使う分だけを残すかを、自分の使い方に合わせて決めましょう。

まとめ：GMOあおぞらネット銀行の預金は補償の条件を知って守る

10月26日時点で、GMOあおぞらネット銀行の預金にPHPや不正アクセスの影響は公表されていないので、全額を下ろすかどうかは補償の条件を確かめてから決めても遅くありません。

話題のGMOの不正アクセスは、FX用サーバーを通じて証券・FX口座が狙われたものです。

• 不正に引き出されたら、すぐにカスタマーセンターと警察へ（翌日から31日以降の通知は補てんされない）
• 銀行の破綻には預金保険があり、円預金は元本1,000万円と利息まで守られる
• パスキー認証と振込限度額を見直し、メールやSMSのURLからはログインしない

まずは公式アプリで入出金明細を確かめ、限度額とパスワードを見直すところから始めてください。