.rdp ファイルの読み方と、利用者がやること ― お名前.com デスクトップクラウド事件

お名前.com デスクトップクラウドは、FX の自動売買に使われていた、クラウド上の Windows です。利用者は、自分の PC からリモートデスクトップ（RDP）で接続します。そのとき使うのが .rdp ファイルです。

攻撃者とみられる者は 2026 年 10 月 24 日、自分のサイトに .rdp をメモ帳で開いた画像を載せ、「GMO が配布したファイルでドライブの共有が最初から有効だった。だから利用者の PC に入れた」と主張しました。GMO の発表は、この点に触れていません（第 6 報まで）。画像が配布物そのものかどうかも確かめられていません。

それでも、.rdp の読み方を知っておく意味はあります。ドライブを共有したまま接続すると、接続先から自分の PC のファイルを読まれ、書き込まれることは、ラボで確かめました（②の記事）。

##.rdp はテキストの設定ファイル

.rdp は、接続先と接続のしかたを書いたテキストファイルです。1 行に 1 つ、名前:型:値 の形で書きます。型は、s が文字列、i が数値です。

この事件にかかわる行は、次の 4 種類です。値の意味と既定値は、Microsoft の一覧によります。

drivestoredirect が共有するのは、PC に固定されたドライブ、USB などの取り外せるドライブ、そしてネットワークドライブです。会社の共有フォルダーをドライブとして割り当てていれば、それも接続先から見えます。

##攻撃者が見せたファイルの中身

攻撃者サイトの画像を保存し、写っている行を 1 行ずつ数えました。画像は winposstr の行から始まり、drivestoredirect:s:* の行で終わる 35 行です。接続先とユーザー名は黒く塗られています。上の 4 種類が出てくる位置を書き出すと、次のようになります。

つまり、1 つのファイルの中で、ドライブについての指定が食い違っています。20 行目は「渡さない」、最後の 35 行目は「全部渡す」です。

##同じ行が 2 つあると、どちらが効くか

Microsoft の資料には、同じ名前の行が 2 回あるときの扱いが書かれていません。ソフトによって違う可能性があります。

FreeRDP には、もう 1 つ癖があります。drivestoredirect:s: のように値が空だと、FreeRDP は「指定なし」として読み飛ばします。Windows の「共有しない」とは扱いが違います。どちらにしても、1 つのファイルに逆の意味の行を 2 つ置かないのが確実です。

##自分の .rdp を、接続せずに点検する

手元の .rdp は、ダブルクリックしないでください。開くと接続が始まります。次の 2 つの方法なら、接続せずに中身を見られます。

メモ帳で見る

1. エクスプローラーで .rdp の右クリックメニューを開き、「プログラムから開く」でメモ帳を指定する
2. メモ帳の検索（Ctrl + F）に drivestoredirect と入れ、「次を検索」を最後まで繰り返す。見つかった行が 2 つ以上ないか、コロンの後ろが空か * かを確かめる
3. redirectclipboard・redirectprinters・authentication level も、同じやり方で値を確かめる

Windows がどう読んだかを見る

2 行あるときに Windows がどちらを使うかは、自分の PC で確かめられます。mstsc /edit は、接続せずに設定画面を開くコマンドです。

1. Win + R を押し、mstsc /edit "ファイルの場所\ファイル名.rdp" と入れて Enter
2. 「オプションの表示」→「ローカル リソース」→「詳細」を開く
3. 一覧の「ドライブ」にチェックがあるかを見る。チェックがあれば、その PC は共有する設定として読んでいる
4. 「接続」は押さずに、右上の × で閉じる

##書き換えるなら

今後も RDP を使うなら、メモ帳で次のように書き換えて保存します。

1. drivestoredirect の行をすべて消し、drivestoredirect:s:（値は空）を 1 行だけ書く。1 行だけ直すと、残ったもう 1 行が効くことがある
2. redirectclipboard:i:0 にする。パスワードをコピーして貼る人は、特に
3. redirectprinters:i:0 にする
4. authentication level:i:2 にする。認証に失敗したら警告が出て、接続するかを選べる

書き換えたあとも、上の「Windows がどう読んだかを見る」で、「ドライブ」のチェックが外れていることを確かめてください。

Windows を最新にしておくことも効きます。Microsoft によると、2026 年 4 月のセキュリティ更新から、.rdp を開くと接続前に確認画面が出て、ファイルが求める共有（ドライブなど）は既定ですべてオフになりました。確認画面で「ドライブ」にチェックを入れなければ、共有されません。

サーバーを管理する側は、サーバーのポリシー fDisableCdm でドライブの共有そのものを止められます（②の記事でラボ実測）。

##デスクトップクラウドにつないでいた人がやること

攻撃者とみられる者は 10 月 24 日付けの声明で、GMO が 27 日正午（日本時間）までに 100 万ドルを払わなければ、利用者の自宅の PC を暗号化し、持ち出したデータを公開すると書きました（攻撃者サイトの保存版で確認）。期限の前か後かで、やることは変わりません。予告どおりに動く保証も、期限を守る保証もないからです。期限が過ぎて何も起きていなくても、PC の中に何かが置かれていないとは言えません。

1. パスワードを変える。FX の取引に使っていない端末（スマホなど）から、メール、FX 口座と MT4/MT5、ブラウザに保存していたものの順に変える。GMO も第 5 報で「FX取引に使用していない端末（スマートフォンや別のPC等）から」と案内しています
2. ログイン中のセッションを切り、2 段階認証を入れる。パスワードを変えても、ログイン済みのセッションが残ることがある
3. ウイルス対策ソフトでフルスキャンし、データをバックアップする。GMO が第 5 報・第 6 報で利用者に求めていることです。ただし、RDP の共有で読まれただけなら、スキャンで見つかる物は残りません
4. PC のスタートアップとタスク スケジューラを見る。共有されたドライブには書き込みができる。Win + R → shell:startup で開くフォルダと、タスク スケジューラに、見覚えのない物がないかを確かめる
5. GMO の調査に協力するかを決める（任意）。GMO は第 6 報で、不正な操作があった可能性のある利用者に、接続に使っていた PC を調査のために貸してほしいと呼びかけています。調べる範囲や返却の方法は、事前に確認書で示されます。協力するなら、初期化は PC が戻ってからにしてください。GMO がパスワードや認証コードを尋ねることはありません
6. できれば、PC を初期化する。自分で作った文書や写真だけを USB メモリなどに逃がし、.exe・.bat・.lnk・圧縮ファイルは移さない。初期化は「すべて削除する」を選ぶ。これはこちらの推奨で、公式の案内ではありません
7. 手元の .rdp は、接続に使わない。残しておくなら、上の手順で点検だけする

##攻撃者を名乗る連絡が来たら

• 開かない。リンクと添付を押さない
• 返信しない。払わない
• ファイルを送らない。攻撃者は利用者に「.rdp を保管して訴訟の証拠に」と呼びかけましたが、そうした呼びかけに応じてファイルを渡す必要はありません
• メールや画面は消さずに残し、警察のサイバー事案の相談窓口に相談する。PC を調べてもらうなら、初期化の前に
• 家族や職場に「自分の名前で変なメールが来ても開かないで」と伝えておく。攻撃者の声明には、払われなければ閲覧履歴などを、利用者のメールの連絡先にいる知人や家族、仕事の相手に送る、とありました

##分からないこと

• 攻撃者の画像が、GMO の配布したファイルそのものか。GMO の発表は触れていません
• drivestoredirect が 2 行あるとき、Windows 標準の接続ソフトがどちらを使うか
• VPS にどこから入られたか。攻撃者は自分のサイトで「VPS 群が Active Directory の 1 つの環境でつながっていて、ある VPS から別の VPS へ移れた」と主張しています。さらに、全 VPS に共通の管理者権限のアカウントがあり、サポート担当者が利用者の PC に接続したとき、利用者側がその認証情報を取り出せる状態だった、とも主張しています（10/24 の投稿）。どちらも攻撃者の主張で、GMO は触れておらず、こちらでも確認できていません。GMO は侵入経路を調査中とし、原因を公表していません（第 6 報まで）

##まとめ

1. .rdp はテキスト。drivestoredirect が空なら共有しない、* なら全ドライブを共有する
2. 攻撃者の画像には、逆の意味の drivestoredirect が 2 行あった。FreeRDP は後の行を使う。Windows は未確認
3. 点検はメモ帳か mstsc /edit で。ダブルクリックはしない
4. 直すなら、drivestoredirect の行をすべて消して空の行を 1 つだけ書く
5. 期限の前でも後でも、パスワードの変更と PC の点検をする