GMO不正アクセスと熊谷代表の「能動的サイバー防御」——基本の欠陥を国家級の攻撃に見せる発信は、なぜ技術者の信頼を削るのか

名古屋でAIシステムの開発をしている小嶋です。GMOインターネットの「お名前.com デスクトップクラウド」への不正アクセスについて、10月24日に能動的サイバー防御の要請への違和感を書きました。その後1週間で、熊谷正寿代表の発信はさらに「国家級の事件」の方向に進み、総務省が通信各社にブロッキングを要請するところまで来ました。

この記事では、熊谷代表とGMOの発信の時系列と、外から確かめられた実態を並べて、発信が何をしているのか、なぜそうするのか、それが誰の信頼を削っているのかを整理します。

1. 熊谷代表とGMOの発信の時系列

この間、侵入の入口がどこだったかは、第12報まで公表されていません。原因は第4報の「セキュリティ上の問題が存在し」のままです。

2. 外から確かめられた実態

攻撃者の声明、利用者が自分のファイルで確かめた内容、熊谷代表自身の謝罪を合わせると、穴はこの4つです。

• 1つのActive Directoryで全VPSを管理し、1つの高い権限のアカウントで全台に入れた。26,739台に同時に不正プログラムが置かれたという公表事実と整合します。1台ずつ破った規模ではありません
• 利用者に配るRDP接続ファイルが、2019年ごろから手元PCのドライブ共有を既定で有効にしていた。利用者が公式FAQの接続ファイルを開いて確認しています
• 解約済みの環境がネットワークに残り、保守用の共通アカウントがあった
• 脆弱性の通報と社内の指摘を放置していた。攻撃者は「情報提供者が数か月前から通報窓口に数十回連絡したが無応答だった」と主張し、熊谷代表は「社内のホワイトハッカーが指摘していた」と認めています。両方が同じことを言っています

攻撃者の側も高度ではありません。セキュリティ研究者のActiveTK氏の調査では、交渉用サイトのパスワードが初期値「ChangeMe!Admin1」のまま、役職員のメールアドレスは社内の形式を知らずに総当たりで作成、犯人側の自作自演と見られる「被害者フォーラム」は設置用ページを放置して設定ファイルに平文のパスワード、という水準です。

つまりこの事件は、基本的な設計と運用の欠陥を、それほど高度でない攻撃者に突かれたものです。

3. 「国家レベルで対応すべき事件」の要件に当てはめる

能動的サイバー防御（2025年5月成立のサイバー対処能力強化法）の対象は、2025年4月18日の参議院本会議で石破総理が「国、基幹インフラ事業者等に対する一連の重大なサイバー攻撃」と答弁しています。当てはめると、

• 対象：FXの自動売買用の民間VPS。基幹インフラ事業者ではない。金融への波及は、利用者が取引口座のログイン情報をVPSに保存していた結果で、FX業者自身が破られたわけではない
• 攻撃者：国家級の技量ではない（上記）
• 原因：外から高度な手口で破られたのではなく、内側の基本が欠けていた

「国家レベル」と言える材料は、26,739台という数と、利用者の手元PCまで人質にされたことの2つです。その2つも、分離のない設計と既定で有効なドライブ共有の結果です。

国会での能動的サイバー防御の質疑と答弁は、当社の国会議員 発言ログで日付と発言者つきで追えます。 https://xb4g.com/giin/search?q=%E8%83%BD%E5%8B%95%E7%9A%84%E3%82%B5%E3%82%A4%E3%83%90%E3%83%BC%E9%98%B2%E5%BE%A1#ref=vibeblog-gmo-ensyutsu

4. 国家級に見せる5つの仕掛け

時系列の発信を、本来の位置と並べます。

「発動第1号」と自ら名乗る。法の対象は政府の基本方針で決まります。事業者が宣言するものではありません。

「80億円の要求」を公開する。要求額は攻撃者が勝手に書く数字で、事件の重さの指標ではありません。攻撃者は27日に100万ドルまで下げています。

懸賞金を「100万ドル」とドル建てにする。国際事件に見せる記号です。

総務省のブロッキング要請。ブロッキングは利用者全員の接続先を見る仕組みで、憲法21条2項と電気通信事業法4条の「通信の秘密」に当たります。2018年の海賊版サイトで政府が要請し、法制化が見送られた手法と同じ形です。通信大手の幹部の「実施するかどうかの判断は難しい」は、やる気ではなく法の根拠の問題です。そして実際に攻撃者サイトを止めたのは、有志が登録業者に通報してドメインごと止めさせた経路で、ブロッキングは要りませんでした。

「海外のハッカーから日本を守る」。攻撃者の所在は、GMOの発表にも警察にも官房長官の会見にもありません。ActiveTK氏の調査では、ロシア系の名前、インド系の名前、中国語UIの表計算ソフト、米国のタイムゾーンと痕跡がばらばらで、「どれも偽装か調達品で説明がつく」「どの言語の話者かまでは絞れない」が結論です。一方で被害者宛てのメールは自然なビジネス日本語で、攻撃者自身が「通報窓口に数十回連絡した情報提供者」の存在を主張しています。日本語で通報窓口に連絡する人物は、日本語で書ける人です。

5つとも、「これは一企業の事故ではなく、国家への攻撃だ」という方向にそろっています。

5. なぜそうするのか——「預かる会社」にとって基本の欠陥は高くつく

ここからは私の見方です。

GMOの本業は「預かる」ことです。お名前.com（ドメイン）、ConoHaやお名前.comのサーバー、GMOクリック証券、GMOコイン、GMOあおぞらネット銀行、そしてセキュリティ会社のGMOサイバーセキュリティ byイエラエ。全部、「ここに預ければ安全」で成り立っています。

「VPSの基盤が、1つの管理アカウントで全台に入れる設計で、危険な既定値の接続ファイルを7年配り、通報を無視していた」が事実として定着すると、問われるのはデスクトップクラウド1事業ではなく、同じ会社が運営するドメイン・サーバー・証券・取引所も同じ水準で作られているのではないか、です。セキュリティ会社を持つグループで、です。

だから「基本の欠陥」が広まるのを抑える動機は、個人の面子ではなく、グループ全体の信用の問題として構造的に存在します。「国家級の攻撃だった」なら、「基本が欠けていた」は目立たなくなります。

6. やわらげる手口は、文書に残っている

• 原因を抽象語で止める。「セキュリティ上の問題が存在し」。管理アカウントの共有、分離の欠如、ドライブ共有の既定値、どれも自社の言葉では書いていない。攻撃者の声明と利用者の確認で外に出ている内容すら、認めていない
• 「指摘はあった」と言うことで、技術はあったことにする。10月25日の開示は誠実に見えますが、同時に「グループに技術はあった。問題は判断の遅れ」という形に話を変える効果があります。設計した運営側の技術水準の話が、「判断」の話に移ります
• 格上げする。国家級・海外・80億円・懸賞金100万ドル
• 償いの数字を前に出す。見舞金5,000円、特別見舞金上限300万円、実損の補償、代替PCの提供。どう償うかの話は、何が欠けていたかの話を押し出します
• 入口は「捜査中」で先送りする。捜査に支障が出る情報と、設計がどうなっていたかは別です。設計の説明は捜査と関係なくできます

7. この発信は、技術者には効いていない

やわらげる発信が効くのは、エンジニアでない世間・メディア・株主・政府です。技術者の側では、攻撃者の声明、利用者が確かめたRDPファイル、ActiveTK氏の3本の記事で、設計の欠陥はすでに再構成されて共有されています。

技術者はもう知っていて、会社だけが認めていない。この差が開くほど、会社の発信は「隠している」と読まれます。ITmediaがすでに「熊谷代表の発信は"火に油"か」という記事を出しているのは、その表れです。

そしてGMOのインフラ事業の客は、技術者です。ドメインとサーバーを選ぶのは、ホームページ制作会社と情報システム担当者です。やわらげる発信でエンジニアでない人の印象を守る代わりに、本当の客である技術者の信頼を削っています。インフラを預かる会社にとって、これは一番高くつく取引です。

8. 前例：小出しにした会社と、先に認めた会社

2022年のLastPass（パスワード管理サービス）は、侵害を数回に分けて小出しにし、最初は「影響は限定的」とやわらげ、最後に「利用者の保管庫のデータが持ち出されていた」と認めました。侵害そのものより、この出し方で利用者が離れました。

逆に、Cloudflareは障害や侵害のたびに、何が欠けていたかを当日中に詳細に書きます。KADOKAWAは2024年の事件で、第三者委員会の報告書を公開しました。「基本が欠けていました」と自分で先に言った会社のほうが、長い目では信用されています。

9. 政府がこの枠に乗ったことが、一番の問題

印象づけは、相手が乗らなければ効きません。GMOの事案では、入口も公表されていない民間の事案で、一企業が「発動第1号」と自称した3日後に、総務省が法の根拠のない遮断要請を通信各社に出しました。

これが前例になると、

• 自社の設計の欠陥で事故を起こした企業が「国家級の攻撃」と言えば、政府が動く
• 通信の秘密を破る要請が、法ではなく「社会的影響の大きさに鑑み」という文書1枚で出る
• 能動的サイバー防御の対象が、基幹インフラから「民間の過失事案」へ、なし崩しに広がる
• 本来は企業が自分で負うべき再発防止のコストが、制度と税金で肩代わりされる

そして、国が動いた事実そのものが「国家級の事件」の証明になり、何が原因でどう直したかを誰も聞かなくなります。これがこの発信の一番の効果です。熊谷代表を批判するだけでは足りず、「政府がなぜ原因の確認もなしに動いたのか」は国会で問われるべきことです。

10. 公平に見ておく点

• 10月25日に、社内の指摘を放置した事実を自分から開示して謝罪したのは、隠す企業より誠実です
• 支払い拒否、全サーバー停止、実損の補償、見舞金、端末の回収解析、基盤刷新の決定。被害企業としての対応は筋が通っています
• 攻撃者が利用者個人の手元PCを人質にした以上、「攻撃者の基盤を止めてほしい」と国に頼むこと自体は、この法律が想定した状況です

批判の焦点は「国に頼んだこと」ではなく、基本の欠陥と通報の放置という自社の問題を、入口を公表しないまま「高度な国際的攻撃」の話に置き換えていることに絞るのが正確です。

11. 本来示すべき5つのプロセス

• 設計がどうなっていたか（AD構成、管理アカウント、分離の有無、接続ファイルの既定値）を自社の言葉で
• いつから、誰の判断で、その設計だったか
• 通報と社内の指摘を受けて、なぜ直さなかったか。判断した責任者
• グループの他サービス（ConoHa、お名前.comのサーバー、証券、取引所）に同じ構成がないかの横展開点検の結果
• 第三者による調査の予定と、報告書の公開

5つのうち、今出ているのは「指摘があった」の1つだけです。これを示せば、「高度な攻撃だった」と言わなくても信頼は戻ります。示さずに国の話をするから、演出に見えます。

12. 中小企業の経営者が、教訓を取り違えないために

この発信を見た経営者が「国家級の攻撃には勝てない。国に守ってもらうしかない」と受け取ると、教訓が消えます。本当の教訓は、中小企業でも今日できることです。

• 1つのアカウントで全部に入れる構成になっていないか。管理の便利さのために作った共通の管理アカウントは、乗っ取られたときに全部が落ちる入口です
• 既定の設定が危なくないか。社員や取引先に配る接続の設定ファイルは、作ったときのまま何年も使われます。「既定で有効」は「全員が有効」です
• 通報や指摘を受けたとき、誰が判断して直すか決まっているか。GMOには指摘する人がいました。直す判断をする人がいなかった

自社のホームページが乗っ取られて取引先に害を与える経路については、GMOの不正アクセスは中小企業にも他人事ではないに書きました。サーバーの中の設計や権限の分け方まで含めた点検は、AI-IT顧問で引き受けています。

AI-IT顧問 https://exbridge.jp/ai-it-komon.html#ref=vibeblog-gmo-ensyutsu

GMOの不正アクセスについて、当社で書いた記事

お名前.com デスクトップクラウド不正アクセスで、GMOが「能動的サイバー防御の発動第1号」を政府に要請した違和感 https://exbridge.jp/vibeblog/2026-10-24-onamae-desktop-cloud-fusei-access-nodoteki-cyber-bougyo.html#ref=vibeblog-gmo-ensyutsu

GMOの不正アクセスは中小企業にも他人事ではない——自社のホームページが「踏み台」になる前に確かめること https://exbridge.jp/vibeblog/2026-10-27-gmo-fusei-access-chusho-homepage-fumidai.html#ref=vibeblog-gmo-ensyutsu

PHPの脆弱性でWebサイトに不正アクセスされても、社内の情報漏えいは起きないのか https://exbridge.jp/vibeblog/2026-10-26-php2shell-fusei-access-shanai-joho-roei.html#ref=vibeblog-gmo-ensyutsu