不正アクセスが確認されて約2週間。GMOインターネットグループの熊谷正寿代表が、初めて記者会見を行いました。2年前にシステムの脆弱性をグループ内で指摘されながら、対応が不十分だったと認め、謝罪しましたが、そもそも当時、熊谷代表に情報が共有されていなかったことを明らかにしました。熊谷代表は「この業界から撤退し、あとは任せたなんて言えない」と述べ、辞任はせず、事態の解決に取り組む考えを示しました。
【画像】侵入から2カ月気付かず…なぜ？“不正アクセス”から2週間 GMO代表が謝罪
2年前に指摘も「運営に生かせず」
問題発覚以降、初めて公の場に姿を現しました。
GMOインターネットグループ 熊谷正寿代表
「不正アクセスを受け、お客様の情報が流出し、結果、悪意のある者によって、お客様の資産が毀損するという事故が発生しました。被害に遭われたお客様と、関係者の皆様に心よりおわびを申し上げます」
明らかにしたのは“セキュリティー上の問題”です。
GMOインターネットグループ 熊谷正寿代表
「本サービスのシステムにセキュリティー上の問題があったことは事実です。報道されている通り、当グループの専門家からシステム上の課題の指摘を受けていたことも事実です。しかしながら、この指摘をサービスの運営に生かすことができませんでした。この度はお客様をお守りすることができず、誠に申し訳ありませんでした」
自身が手掛けてきた事業へ話が及ぶと。感極まる場面も…。
GMOインターネットグループ 熊谷正寿代表
「私は自分がつくってきたインターネットが、多くの方の笑顔に資する安心で安全なインターネットになってほしい」
利便性を優先も“侵入経路”に？
顧客の資産や情報の安全を揺るがした、今回の不正アクセス問題。いつ攻撃を受けたのか。そして、その具体的な経路も明らかになりました。
攻撃側が侵入したのは8月5日。何らかの方法で顧客の仮想サーバーに入り、管理者のアカウント、いわゆる“マスターキー”を奪いました。そして8月17日。管理者のサーバーを乗っ取り、顧客のパソコンに侵入しました。その後、9月20日～10月14日にかけて、悪意のあるプログラムいわゆる“マルウェア”を送り込み、顧客の口座で不正取引を行い、損失を発生させたということです。
さらに、顧客のパソコンから情報を盗み取られた経路についても…。
GMOインターネット 山下浩史副社長
「犯人はリモートデスクトップのドライブ共有の機能を悪用し、接続元のお客様のパソコンのファイルを窃取した可能性があります。この機能はお客様の利便性を考え、設定をオンにしておりましたが、現在のセキュリティーリスクの中で設定変更に至らなかったことを本当に深く受け止めております」
つまり、利便性を優先してファイル共有機能をオンに。その結果、情報を盗み取られる経路として悪用された可能性があるといいます。
会見を聞いていた被害者は…。
被害額68万円 トレーダー（50代）
「驚きでもありました。何でそんな設定にしていたのか、疑問は当然あります。やはりその設定は顧客が個々にするべきであって、それをサービス業者が前提としてセッティングしているのは腑（ふ）に落ちませんね」
GMOインターネットグループ 熊谷正寿代表
（Q.今回攻撃されたのは2年前に脆弱（ぜいじゃく）性が発覚した箇所でしょうか）
「侵入経路はまだ正確に最終的に把握できていない。中からいかれた場所というのは分かってはいても、侵入の経路はまだ正確にはフォレンジック（解析）できていないと報告を私は受けています」
2年前の指摘 熊谷氏に伝わらず
最大の焦点となったのは、不正アクセスの一因でもある“システムの脆弱性”です。2年前の2024年4月に“ホワイトハッカー”を多く抱えるグループ会社から指摘されていました。緊急メンテナンスが4回行われ、グループ会社の幹部には報告が上がっていたといいますが、当時、熊谷代表は知らなかったそうです。
GMOインターネットグループ 熊谷正寿代表
「私にエスカレーション（報告）されていなかったのが事実。この件はこの事件で知ったのが経緯ですが、責任逃れのために申し上げているわけではありません。事実だけ申し上げるとそういうことです。エスカレーション（報告）の仕組み、そのものも含めて現在、改善をすべく議論をしているところです」
「社会的な混乱はプロローグ」
そして、事件とは別に、サイバー犯罪全体についても持論を展開しました。
GMOインターネットグループ 熊谷正寿代表
「どこかの会社が毎日情報漏洩（ろうえい）です。この社会的な混乱は、まだプロローグでしかない。大変な危機感を強めています。テロに例えるなら、今は“無差別殺人”です。社会はこれに対応しなければならない。自分の失敗を、お客さんに迷惑をかけて、その話をすり替えるつもりは1ミリもありません。63歳の年で31年間、人生の半分をインターネットにささげ（インターネットを）人々、日本、世界の宝物として、きれいにしてから死んでいきたい」
ネット界を牽引した31年間
熊谷氏がインターネットと関わり始めたのは、ウィンドウズ95の発売によって個人にもパソコンが普及し始めた1995年のことです。この時、熊谷氏は32才。プロバイダとの契約なしにインターネットに接続できることを売りにしたサービスは瞬く間に普及し、2004年には当時の東証2部に上場します。『グローバル・メディア・オンライン』という社名はこの翌年、頭文字をとって『GMOインターネット』に変更されました。
会社はその後、証券事業に参入したり、有力な新興企業を相次いで買収したりして、さらに拡大。2010年代には政府の成長戦略に関わるようになります。現在のグループ会社は150以上。従業員は8000人に上っています。また、ここ数年はサイバーセキュリティーを成長領域と位置付け、グループ内に“ホワイトハッカー”と呼ばれるサイバー分野の専門家を200人以上抱えていました。
GMOインターネットグループ 熊谷正寿代表
「ホワイトハッカーの仲間たちは、この目の前にいる仲間たちは、日本一どころか世界一のテクノロジーを駆使して、今日現在も世界中をお守りしています」
去年開催したサイバーセキュリティーに関するイベントでは、こんな発言もしています。
GMOインターネットグループ 熊谷正寿代表
「いつからインターネットは悪意を持つ者の道具になったのか。この現状に、わたくしもGMOインターネットグループも深く胸を痛めております」
サイバーセキュリティーを手掛けてきた企業が、皮肉にも自ら不正アクセスの被害に遭いました。
サービス利用者「根底に不信感」
一方、代表はこれまでのSNS上での自らの言動や投稿についても謝罪しました。
GMOインターネットグループ 熊谷正寿代表
「まず被害に遭われた方に関わる事柄に、私自身の投稿で触れてしまったこと。このような状況下で、私自身が笑顔で写る写真を投稿したこと。いずれも被害に遭われた方のお気持ちへの配慮がかけていた」
GMOは、熊谷代表ら役員4人の報酬を3カ月間、最大30％減額するとしています。
被害額68万円 トレーダー（50代）
「社長の思い描く世界というのは確かに共感はできるが、今回の場では必要だったのかなという疑問はある」
（Q.また使えるようになったら、サービスを利用したいか）
「当然、今ある不備は改善していただけると思うが、根底にある不信感というのはなかなか拭えない。すぐにサービスを利用できるかというと、私としては疑問」
侵入から2カ月気付かず…なぜ
会見で新たに分かったことを整理します。
今回の不正アクセスの経緯について、システムに最初に侵入されたのは8月5日。管理者権限を奪われ、8月17日にサーバーに侵入された。9月20日～10月14日にかけて、マルウェアと呼ばれる不正なプログラムが配布された。これに気付いたのが10月20日になってからでした。
GMOは「監視によって、不正侵入やマルウェアがまかれたことに気付けなかった。なぜ気付けなかったのか、どうすれば気付けたのか、回答は今持っていない。申し訳ないとしか言えない」と説明し、今後検証していくとしています。
この点について、サイバーセキュリティー企業『S＆J』の三輪信雄社長はこう指摘します。
S＆J 三輪信雄社長
「管理者権限がとられたことに2カ月、気付かないのは考えにくい。今回のサーバーは金融取引であるFXの自動取引が前提。金融機関レベルの手厚い監視をしていれば、侵入には気付くはず」
2年前“指摘”も「リスク分析不足」
GMOは、セキュリティーを経営の柱の1つとして強化してきました。2022年、国内最大規模のサイバーセキュリティー専門会社『イエラエ』がグループに加わりました。2024年4月に『イエラエ』の専門家が、今回攻撃されたサーバーの脆弱性を指摘。その後、4回にわたって緊急メンテナンスを実施していました。
さらに、重大な脆弱性を取締役会に報告する基準もなく、熊谷代表も2年前の指摘について「今回の事件で初めて知った」と説明しています。ただ、今回の攻撃に、この脆弱性が突かれたかどうかは分かっていません。
GMOの山下副社長は、緊急メンテナンスなどで脆弱性を直そうとした判断について「サービスの安定稼働などを考える中で、リスク分析の不足があった」と説明しました。
S＆J 三輪信雄社長
「今回の不正アクセスの結果から考えて、サービス自体を“立ち上げなおす”ほどの大きな脆弱性だった可能性もある。そうだとすると、サービスを長期的に止める必要性があるため、大規模なメンテナンスに踏み切れなかったのかもしれない」
会見で、辞任するかどうか問われた熊谷代表は「今この悪意に汚染されているインターネットをこのまま、責任という名において放置したまま死ねません。私はきちんとこれを人生をかけて、多くの方の笑顔に資するツールにしてから死なせてください」と話し、即座の辞任を否定しました。
GMOは今回の件を受けて、役員4人の報酬を最大30％、3カ月にわたって減額することを発表しました。今後の検証結果を踏まえ、改めて経営責任の在り方を検討するとも説明しています。
警視庁は、約70人態勢の捜査本部を設置し、不正アクセス禁止法違反などの疑いで捜査しています。
