名古屋でAIシステムの開発をしている小嶋です。
GMOインターネットグループの熊谷正寿代表が、11月2日の15時半から、「お名前.com デスクトップクラウド」への不正アクセスについて記者会見を開きました。10月21日に問題を公表してから、熊谷代表が会見の場に出たのは初めてです。
この問題は、当社のブログでもこれまで何度か取り上げてきました。今回は、会見の中身を、報道各社の記事と、会見を伝えた報道機関の投稿から整理します。書いているのは11月2日の夕方までに報じられた内容です。会見はその後も質疑が続いていたので、あとから分かることもあると思います。
会見で認めたこと
- システムに問題があった：熊谷代表は「本サービスのシステムにセキュリティ上の問題があったことは事実」と認め、「お客様をお守りすることができず、誠に申し訳ございませんでした」と謝罪しました。
- 事前の指摘を生かせなかった：グループのセキュリティ会社（GMOサイバーセキュリティ byイエラエ）の専門家から、システムの課題を事前に指摘されていたことを認め、「サービスの運営に生かすことができなかった」と述べました。日本テレビの速報では、指摘は2024年4月で、対応は「深さと速さの両面で不足」していたと説明されています。
被害と身代金
報道によると、会見では次のことが説明されました。
- 攻撃者は8月20日に顧客名義の仮想サーバーに侵入し、管理者の権限を奪っていました。10月20日に不正アクセスが分かるまで、侵入に気づいていませんでした
- 影響の対象となった仮想マシンは2万6,739台です
- 10月21日には、顧客の FX 口座が不正に操作され、わざと損失を出す取引が行われました
- 同じ日に、攻撃者から80億円の身代金を要求され、支払いを拒否しました。ABEMA の速報では、熊谷代表は「私たちは一歩たりとも犯罪者にお金を払うことはしない」と述べています
補償と経営責任
- 補償：FX 取引で生じた損失は全額補償し、情報の流出が確かめられた顧客には、流出した情報の内容に応じて最大300万円の見舞金を支払う方針です
- 経営責任：熊谷代表は月額報酬の30%を3か月減額します。役員4人の報酬を、3か月、最大30%減額すると発表されました
SNS 投稿への謝罪
事件のあとの自身の X の投稿についても、改めて謝罪しました。被害者に関わる事柄に投稿でふれたこと、笑顔の写真を載せたこと、陸上部に関する投稿に不適切なコメントをしたことを挙げ、「いずれも被害に遭われた方のお気持ちへの配慮が欠けておりました」と述べています。この件では、10月29日にも X で謝罪していました。
会見の受け止め
会見は1時間を超える説明のあとに質疑応答に入ったと、朝日新聞が伝えています。X では、トップが会見の場に出て説明したこと自体を評価する声がある一方で、説明の多くがAIによる攻撃の高度化や社会全体の危機の話にあてられ、「謝罪会見というより講演のようだ」という受け止めも多く見られました。産経新聞は、熊谷代表がハッカー側の「陽動作戦」を強調したと報じています。
まだ答えていないこと
11月2日の夕方までの報道で、はっきりしなかったことを挙げておきます。
- 2024年4月の指摘に、なぜ2年以上手が打たれなかったのか。「深さと速さの両面で不足」は結果の説明で、理由の説明ではありません
- 再発防止の具体策。何をいつまでに直すのか、外部の検証を入れるのか
- 情報が流出した人の数と、本人への連絡の進み具合
- 8月20日から10月20日まで、2か月気づけなかった理由
中小企業にとっての教訓
この件でいちばん重いのは、「弱点を知っていたのに、直せなかった」という告白だと思います。GMO は、グループの中にセキュリティの専門会社を持つ会社です。それでも、指摘を受けてから直すまでのあいだに、侵入を許しました。
中小企業は、そもそも弱点を見つけてくれる人が社内にいないことがほとんどです。見つけるところと、直すところ。その両方を、誰が、いつまでに、責任を持ってやるのかを決めておくことが、規模にかかわらず大事だと考えています。
当社では、ホームページの外から見える範囲だけを点検する「Kurage Security Check」を作っています。見つけるのはシステムでもできますが、直すところまで決めて動かすのは人の仕事です。
https://kappstore.exbridge.jp/app.php?id=a96e95e176b48800#ref=vibeblog-gmo-kaiken
国会でも、11月5日の参議院総務委員会で、国による脆弱性調査（NOTICE）の対象拡大や、不正アクセス禁止法の見直しが取り上げられる予定です。これまでの国会の議論を、会議録から集めています。
https://xb4g.com/giin/tracker/zeijakusei-chosa#ref=vibeblog-gmo-kaiken
これまでに書いた GMO の不正アクセスの記事
- お名前.com デスクトップクラウドの不正アクセスと、能動的サイバー防御の要請への違和感 https://exbridge.jp/vibeblog/2026-10-24-onamae-desktop-cloud-fusei-access-nodoteki-cyber-bougyo.html#ref=vibeblog-gmo-kaiken
- GMO の不正アクセスは中小企業にも他人事ではない（自社のホームページが踏み台になる前に） https://exbridge.jp/vibeblog/2026-10-27-gmo-fusei-access-chusho-homepage-fumidai.html#ref=vibeblog-gmo-kaiken
- GMOインターネットの評判。好んで選んだ覚えがないのに、気づけば「GMOのユーザー」になっていた理由 https://exbridge.jp/vibeblog/2026-11-02-gmo-internet-hyouban-baishu-user.html#ref=vibeblog-gmo-kaiken
よくある質問
GMOの熊谷代表は、会見で何を認めましたか？
「お名前.com デスクトップクラウド」のシステムにセキュリティ上の問題があったことと、グループのセキュリティ会社から事前に課題を指摘されていたのに、サービスの運営に生かせなかったことを認め、謝罪しました。
被害を受けた人への補償はありますか？
報道によると、FX 取引で生じた損失は全額補償し、情報の流出が確かめられた顧客には、流出した情報の内容に応じて最大300万円の見舞金を支払う方針です。
身代金は支払ったのですか？
支払っていません。報道によると、10月21日に80億円の身代金を要求され、拒否しました。
経営陣の責任はどう示されましたか？
熊谷代表の月額報酬を30%、3か月減額するなど、役員4人の報酬を3か月、最大30%減額すると発表されました。
