FXの自動売買をしている人にとって、VPSはほとんど必需品です。VPSは、インターネット上に借りる、24時間動き続ける自分専用のパソコン(サーバー)のことで、自宅のパソコンを24時間つけっぱなしにしなくても、MT4やMT5(FXの取引ソフト)とEA(自動売買のプログラム)を動かし続けられます。
10月に起きた「お名前.com デスクトップクラウド」への不正アクセスでは、まさにこのVPSが狙われました。利用者からは、身に覚えのない取引があったという報告が寄せられています。この記事では、FXのVPSのセキュリティを、事故から逆算して7つの決めごとに整理します。投資の判断ではなく、口座とお金を守るための話です。
なぜVPSが乗っ取られると口座が動くのか
VPSの中では、取引ソフトが取引口座にログインしたまま動いています。だから自動売買ができるわけですが、VPSに入り込んだ人から見ると、ログイン済みの取引画面が目の前にある状態です。パスワードを知らなくても、注文を出せてしまいます。
GMOの第2報も、取引ソフトや取引口座のログイン情報が第三者に見られた可能性を指摘し、パスワードの変更とログイン中の接続の切断を求めていました。
VPSの中で決めること
決めごと1 VPSには取引ソフト以外を置かない
VPSの中でメールを読んだり、ブラウザで別のサービスにログインしたりしない。パスワードのメモをVPSの中に置かず、ログインのたびに手で打ち込む。VPSが破られたときに失うものを、取引ソフト1つに絞るためです。
取引口座の側で決めること
決めごと2 取引口座のパスワードは使い回さない
FX会社ごとに別のパスワードにします。1つのVPSで複数のFX会社の口座を動かしている人は特に、1社のパスワードが漏れたときに、ほかの口座に連鎖しないようにしておきます。
決めごと3 口座の管理画面には多要素認証をかける
MT4やMT5にも、FX会社が対応していれば、スマートフォンのアプリのワンタイムパスワード(30秒ほどで変わる使い捨ての確認コード)を使える場合があります。対応していない会社も多いので、少なくともFX会社のマイページ(入出金や設定の画面)には多要素認証(パスワードに加えて、スマートフォンの確認コードなどを求める仕組み)をかけます。出金先の変更や出金を止める最後の守りになるので、かけられるところはすべてかけます。
決めごと4 確認用のパスワードを使い分ける
MT4やMT5には、取引ができる通常のパスワードとは別に、取引履歴を見るだけの読み取り専用のパスワード(投資家パスワード)があります。成績を誰かに見せるときや、確認だけに使う端末では、こちらを使います。GMOも補償の確認のために、読み取り専用のパスワードの提出を案内するとしています。
決めごと5 生活資金は自動売買用の口座と分ける
生活資金や長期の資産は、自動売買用の口座とは別に置いておきます。乗っ取られたときに動かされうるお金を、その口座の分に絞りやすくなるからです。ただし、相場が急に動いたときは、口座の残高を超える損失が出ることもあります。
決めごと6 約定の通知を受け取る
FX会社の多くは、注文が成立したときにメールやアプリで知らせる機能を持っています。報道では、短時間で大きな損失が出たという声も伝えられています。夜中でも気づけるように、通知は必ずオンにしておきます。
VPSを選ぶときに決めること
決めごと7 事業者が何を公表しているかを見る
VPSを選ぶとき、料金や速さに加えて、セキュリティの方針や、事故のときの連絡の仕方を見ておきます。たとえば、管理画面のログインに多要素認証を使えるか、障害や事故のお知らせのページがあるか、です。今回のGMOは、補償や見舞金の方針を第4報で出し、毎日のように報を重ねています。事業者の対応の速さと中身は、事故が起きてから初めてわかる部分ですが、過去の告知の出し方はひとつの手がかりになります。
自分のVPSを見直した話
私もEAではありませんが、検証のためにVPSを借りて、リモートデスクトップでつないでいたことがあります。今回の件を受けて中を見直したら、VPSのブラウザに別のサービスのログインが残っていました。決めごと1は、言われれば当たり前ですが、使っているうちに崩れていくものだと思います。
手元のパソコンとVPSをつなぐリモートデスクトップの設定にも、見直す点があります。
デスクトップクラウドを使っていた人がいま進める手順は、こちらです。
