口座に第三者がログインしたら、損失は誰が負うのか｜規約の4か所を原文で確かめました

最終更新：2026年10月25日

「MT4が勝手に取引されていた」「VPSに入られた」で来られた方へ。私が確かめたのは、規約に何が書いてあるかだけです。被害があったかどうかは確認していません。
・いますぐやること3つ
・パスワードで動いた取引は誰の責任か（条項番号）

2026年10月21日、FX自動売買向けのVPS「お名前.com デスクトップクラウド」が不正アクセスを受けたと発表されました。サーバー内に保管されていた情報が閲覧された可能性がある、とされています。

EAを動かすために、MT4やMT5のログイン情報をVPSの中に置いている人は少なくありません。そこで気になるのは、もし第三者が自分の口座にログインして取引したら、その損失は誰が負うのか、です。私はこれを規約で確かめました。

この件のその後。お名前.comは10月24日までに第5報まで出し、「お客様の情報が外部に持ち出された事実を確認しております」と書くに至りました。見舞金と不正取引の補償の方針も公表されています。公式発表を時系列で並べたものはお名前.com デスクトップクラウドの不正アクセスにあります。

結論：確かめられたことと、確かめていないこと

確かめたこと。30社を当たり、条項に到達できた26社の規約を読み、パスワードで実行された取引は、それが不正なものであっても顧客が責任を負うと書かれていることを確認しました。条項番号を添えてあります。

もう一つ確かめたこと。会社に通知したあとの不正利用について、顧客の責任が終わると書いている会社と、書いていない会社があります。30社のうち、書いていたのは1社だけでした。

確かめていないこと。今回の件で実際にFX口座のログイン情報が漏れたのか。不正な取引が行われたのか。どちらも公表されていません。私は被害の有無を判定しません。

30社すべてを当たりました。条項に到達できたのは26社、到達できなかったのは4社（理由は下に書いてあります）。読み終えていない会社はありません。

いますぐやること

規約の話より先に、順番だけ書きます。どの会社の規約でも、顧客の側の手当てが先に来る建てつけになっていました。

1. MT4／MT5のパスワードを変える。マスターパスワードと投資家パスワードの両方です
2. ブローカーの会員ページのパスワードを変える。VPSの中からログインしていた場合は特に。使い回していた他のサービスも変えます
3. 取引履歴と出金履歴を自分の目で確認し、見覚えのないものがあれば会社に連絡する。連絡した時点が、規約上の区切りになる場合があります

二要素認証が用意されている会社なら、同時に有効にしておく手もあります。これは私の運用の話ではなく、規約を読んだうえでの順番です。

規約で見る4か所

この型の条項は、どの会社でも同じ4つに分かれていました。自分の契約を読むときも、この4つを探せば足ります。

1. 秘密保持の義務——パスワードを秘密に保つのは誰の義務か
2. 不正な取引の責任——パスワードで動いた取引は誰が負うか
3. 通知の義務——気づいたらいつまでに知らせるのか
4. 通知したあと——通知してからの損失は誰が負うのか

4つめがあるかどうかで、会社の建てつけがはっきり変わります。

30社すべてを確かめました（2026-10-22）

条項に到達できたのは26社です。残り4社は、理由を下に書きます。

◎は全ページを原文で開いて確かめた7社、○は公開されている規約を取得して該当条項を抜き出した19社です。○の分は3か月ごとの読み直しで全ページ確かめ直します。

条項に到達できなかった4社

• EBC——公開されている法的文書は4本（ウェブサイト利用規約・リスク開示書・個人情報保護方針・注文執行方針）で、顧客契約そのものが置かれていません。ウェブサイト利用規約（全9ページ）も読みましたが、認証情報・不正アクセス・通知の条項は見当たりませんでした
• EMCTrading——口座開設フォームに「顧客同意書」のリンクがありますが、リンク先が空で、本文に到達できません。押しても何も開きません
• HYCM・MYFX Markets——規約の置かれている先が robots.txt で取得を断っています。断られているものは回避しません。読めていない、と書いておきます

30社を並べて分かったこと

1. 責任の置き場所は、条項があった25社とも同じでした

パスワードやアクセスコードで動いた取引は顧客の責任。条項に到達できた26社のうち、責任の条項があったのは25社で、その25社は例外なくこの建てつけです（FXCCには責任の条項そのものが見当たりませんでした）。書き方の強さだけが違います。

TitanFXの日本語規約は第3.7条(f)で「当該使用が無権限または違法なものであった場合も同様とします」、第3.14条(e)で「権限付与の有無を問わず」顧客が補償とします。FXGT 第11.2条は「even if such may be wrongful（不正なものであっても）」。WeTradeは顧客のパソコン上の認証情報の不正使用まで顧客の責任としています。

2. 「会社は権限を確認しない」という同じ一文が、6社にありました

読んでいて手が止まったのはここです。ほとんど同じ文が、6社の規約に入っていました。

• Vantage 第2.2条(b)——「これらのセキュリティ情報が設定された後は、当該情報を使用して口座を操作する者の権限について、当社は確認義務を負いません」（日本語の原文）
• VT Markets 第2.2条——「VT Markets has no obligation to verify the authority of anyone using this Security Details」
• Axi 第2.2条(b)——「we have no obligation to verify the authority of anyone using this information to operate your Account」
• ThreeTrader 第4.3条——「We do not have to establish the authority of anyone using these details」
• HFM 第5.4条——アクセスコードを使う者の指示を、顧客本人のものとして「without further verification of authenticity or validity」扱える
• FXGT 第11.3条——「the Company is unable to identify any instances when a person, is logging-in (…) without the Client’s express consent」

同じ雛形が流通しているのだと思います。どの社も「正しいパスワードで入ってきた接続は本人の接続として扱う」と書いている、ということです。落ち度の話ではなく、仕組みの話です。

3. 通知したあとの線を引いていたのは、30社で1社だけでした

Tickmill 第6.7条。「The Client shall not be liable for unlawful use of the Trading Platform occurring after the Client has informed Tickmill Ltd.」——条件は付いていません。

もう1社、別の形で線を引いている会社がありました。HFM 第5.6条は、不正アクセスによる損失について会社は責任を負わないとしつつ、「unless such loss results from the Company’s gross negligence or wilful default（会社の重過失または故意による場合を除く）」という例外を書いています。

Exness 第13.2 I条は、通知前に認証情報を取得した者の利用について会社の責任を免除する書き方で、通知後については定めていません。区切りを置いてはいますが、顧客の責任が終わるとは書いていません。

4. 通知の義務そのものが見当たらない会社が6社ありました

Milton Markets・TradeQuo・IS6FX・FXDD・Tradeview・FXCC。通知しなくてよいという意味ではありません。いつまでに誰へ知らせるのかが、規約から読み取れないということです。

FXCCについては、公開されている投資サービス一般条件（全文）を読んでも、認証情報と不正アクセスの条項が見当たりませんでした。「無い」と書くほうが、推測で埋めるより正確です。

原文を全ページ開いて確かめた2社の条文

原文（英語）を見る ― 出典：FXGT 利用規約（Terms and Conditions v40、全64ページ）第11.2条・第11.3条／2026年10月22日確認

第11.2条：The Client shall ensure that their Access Codes remain confidential at all times. (…) the Client will be liable for all Transactions and／or Contracts executed by means of his／her Access Codes, even if such may be wrongful.

第11.3条：The Client shall immediately inform the Company if it comes to their attention that the Access Codes have been used, either for trading or other purposes, without their express consent. The Client accepts that the Company is unable to identify any instances when a person, is logging-in to the Company’s Trading Platform without the Client’s express consent.

原文（英語）を見る ― 出典：Tickmill 顧客サービス契約（FSA版、全38ページ）第5.3条・第6.2条・第6.7条／2026年10月22日確認

第5.3条(v)：The Client shall be responsible for all orders, and for the accuracy of all information, sent via the internet using the Client’s name, password or any other personal identification means implemented to identify the Client

第5.3条(vii)：If the Trading Platform is used for Commercial use the Client is liable to Tickmill Ltd for Contracts executed by use of the Client’s password even if such use might be wrongful

第6.7条：The Client shall not be liable for unlawful use of the Trading Platform occurring after the Client has informed Tickmill Ltd.

FXGTには「会社は見分けられない」と書いてあります

第11.3条の後半が、今回の件にそのまま関わります。原文はこうです。

The Client accepts that the Company is unable to identify any instances when a person, is logging-in to the Company’s Trading Platform without the Client’s express consent.

出典：FXGT 利用規約（Terms and Conditions v40）第11.3条／2026年10月22日確認

訳すと、第三者が顧客の明示的な同意なくログインした場合に、会社はそれを識別できない——そのことを顧客が承諾する、という条項です。

これは落ち度の話ではありません。プラットフォームの側から見れば、正しいパスワードで入ってきた接続は本人の接続です。見分けられない前提で契約が組まれている、ということが書かれています。

分かれたのは「通知のあと」でした

責任の条項があった25社とも、パスワードで動いた取引は顧客の責任だとしています。違ったのは、そのあとです。

Tickmill 第6.7条は、顧客が会社に知らせたあとに起きた不正利用について、顧客は責任を負わないと書いています。条件は付いていません。

残りの会社には、これに当たる条項が見当たりませんでした。FXGTの第11.3条は通知の義務を定めるだけで、通知したあとの責任がどちらに移るのかには触れていません。

だから「パスワードを変える」と同じくらい、「気づいたらすぐ知らせる」に意味があります。少なくとも1社では、そこが規約上の区切りになっています。

Tickmillの条項には条件が付いています

表に書いたとおりですが、見落とさないように繰り返します。Tickmill 第5.3条(vii)は「商用利用の場合（If the Trading Platform is used for Commercial use）」という条件つきの条項です。個人利用のときにどうなるかは、この条項からは読み取れません。

一方 第5.3条(v) には条件が付いていません。顧客の名前やパスワードを使ってインターネット経由で送られた注文は、すべて顧客の責任と書かれています。

こういう条件の有無は、要約を読んでいると落ちます。条項番号を添えているのは、原文で確かめてもらうためです。

今回の件で確認できた事実

• 2026年10月20日、一部の利用者のサーバー環境で、第三者による不正なプログラムの設置が確認されました
• 2026年10月21日に発表。被害拡大を防ぐため、同日4時から順次サーバーが停止され、サービス提供も停止しました。再開時期は未定とされています
• 影響を受けた可能性があるのは2万6739件のサーバーです
• サーバー内に保管されていた情報が閲覧された可能性があるとされています。発表時点で、情報の悪用は確認されていません
• 利用者への案内は、認証情報を保存していた場合は直ちに変更すること、パスワードを使い回していた場合もあわせて変更すること、便乗したフィッシングに注意することです

FX口座のログイン情報が漏れたという確認や、不正な取引が行われたという記載は、見当たりません。閲覧された可能性がある情報の範囲は「サーバー内に保管されていた情報」とだけ書かれています。

これは不正アクセスを受けた側の発表です。私は事業者の責任を判定しません。書いているのは、公表された日付と数字、そして規約に何が書いてあるかだけです。

なぜ今日のうちに、条項番号で書けたか

こういう事故のとき、「いますぐパスワードを変えてください」までは誰でも同じ速さで書けます。そこから先が書けるかどうかが、分かれ目でした。

なぜ急ぐのか。どこで責任の線が引かれるのか。これは契約を読まないと書けません。事故が起きてから30社の規約を探し始めると、間に合いません。

私は普段から、30社の利用規約・入出金ポリシー・ボーナス規約を原文で読み、関係するページを307本、毎日1回取得して差分を記録しています。だから今日やったのは、該当する条項を開き直して並べることだけでした。

このサイトは、何も起きていないときに規約を読んでおくための場所です。事故の当日に条項番号を出せたのは、その副産物です。毎日の記録は規約の変更記録に、そのまま置いてあります。

読めなかった4社について

30社すべてを当たりました。そのうえで言えるのは、条項に到達できた26社でそうだった、というところまでです。到達できなかった4社については、何も言いません。

EBCは公開文書に顧客契約がなく、EMCTradingはリンクが空。HYCMとMYFX Marketsは robots.txt で断られています。この4社について「こうなっているはずだ」とは書きません。状況が変われば読み直して足します。

このページについて

ここで確認しているのは記載の整合性です。不正アクセスによる被害が実際にあったかどうかは確認していません。この区別は、このサイトのすべてのページで同じです。

規約は3か月に一度読み直し、変更があればこのページを直します。条項番号を添えてあるので、原文で確かめられます。

同じ考え方で、噂や投稿の読み方を整理したページが噂を確かめる方法に、口座を開く前の手順が自分で規約を確かめる方法にあります。30社を横に並べた表は全社比較です。