専門家から警告を受けたとき、親会社のトップに報告が届くまで待つ必要があったのだろうか。GMOの不正アクセス問題でまず問うべきは、サービス運営会社が指摘を受け、対策の効果を確かめ、運用を続けてよいか判断する責任を果たしたかだ。警告から発覚までをたどり、運営現場とグループ経営の役割、政府に公的な対応を求める妥当性を考える。
専門家の警告に、まず誰が対応すべきだったのか？
指摘を受けたサービス運営会社が、親会社トップへの報告と並行して、対策の実施と効果の確認を進めるべきだった。
問題が起きたのは、GMOインターネット株式会社が運営する「お名前.com デスクトップクラウド」だ。外国為替証拠金取引（FX）の自動売買に使われる仮想サーバーを提供しており、サービスの安全性は、利用者の取引口座や資産にも関わっていた。
2026年11月2日の説明会で、GMOは2024年4月にグループのセキュリティ会社、GMOサイバーセキュリティ byイエラエから、システム上の課題を指摘されていたと明らかにした。説明会で示された経緯では、運営会社の社長や副社長らは指摘を把握していた一方、親会社のGMOインターネットグループを率いる熊谷正寿氏には報告されていなかった。
ここでいう「現場」とは、システムに手を入れる技術者と、改修の優先順位や運用継続を判断する事業責任者、運営会社の経営陣を指す。専門家が問題を指摘し、運営会社の幹部も把握していたのであれば、その会社には、調査に着手し、必要な対策を決め、効果を確かめる役割があった。
たとえば改修にサービス停止が伴い、技術者に停止を決める権限がなければ、利用者への影響と運用を続けるリスクを整理し、権限のある責任者に判断を求める。現場に責任があるという指摘は、担当者個人にすべてを背負わせることではなく、判断できる立場の人まで含めて、誰が何を担ったかを問うものだ。
4回の緊急メンテナンスで、何を確かめるべきだったのか？
緊急メンテナンスを実施したあと、指摘された問題が解消したかを確かめ、残る危険にどう対処するか決める必要があった。
運営会社は2024年4月から5月にかけ、緊急メンテナンスを4回行った。説明会では、別の範囲の脆弱性診断は実施したものの、当初と同じ内容での再診断は行わなかったと説明している。山下浩史副社長は、安定稼働や他の脆弱性への対応を優先する中で、リスク分析が十分でなかったと述べた。
メンテナンスを終えたあとに残る仕事
緊急メンテナンスは、短時間で対処できる作業を先に進めるうえで意味がある。その後は、指摘された箇所を再診断するなどして、問題が解消したのか、暫定措置で危険を抑えている段階なのかを確かめる必要がある。
運営責任者が知りたいのは、作業の回数よりも、どの危険が残っているかだ。仮に管理者権限の悪用が懸念されるシステムなら、対策後の判断には、たとえば次の確認が要る。
- 指摘された操作を試し、対策後に防げることを確認したか。
- 不審な管理者操作があったとき、記録をたどり、担当者が異常に気づけるか。
- 危険が残る場合、誰が追加改修の期限を決め、必要に応じて機能を制限するか。
利用者がサービスを使い続けられるようにすることも、運営会社の仕事だ。だからこそ、停止による不便と、問題を残したまま運用することで起こり得る被害を比べ、運用を続けるなら、その条件と見直しの期限を決めておく必要がある。
たとえば、全面改修に時間がかかる場合でも、問題のある機能を一時的に制限し、その間に改修を進める選択肢がある。どの選択肢が本件で可能だったかは当時の構成や運用条件によるが、実施した作業と残る危険を記録していれば、後から運用継続の判断を検証できる。
説明会で明かされた範囲では、2024年の指摘と今回の侵入手口が技術的にどこまで重なっていたかは分からない。それでも、誰がどのような確認を経て運用継続を判断したのかは、侵入の原因調査と並行して明らかにできる。
侵入を約2カ月半も把握できなかったのはなぜか？
最初の侵入から約2カ月半後、顧客からの問い合わせをきっかけに不正アクセスを把握した経緯は、運営会社の監視が実際に機能していたかを問うものだ。
11月2日の説明会によると、攻撃者は2026年8月5日に顧客の仮想サーバー環境へ侵入して管理者アカウントを窃取し、8月17日にはその権限を使って運営会社の管理サーバーに侵入した。9月20日から10月14日にかけて、管理サーバーを経由して顧客の仮想サーバーにマルウェアが配布されたという。
GMOが不正アクセスを把握したのは10月20日で、顧客の問い合わせを受けた調査がきっかけだった。翌21日にサービスを停止して公表したが、その時点までに、侵入から管理者権限の悪用、顧客環境へのマルウェア配布と、影響が広がっていた。
運用のどの段階で異常を拾えたか
事後の検証では、管理者アカウントが使われたとき、どんな記録が残ったのかを確かめるところから始まる。普段とは異なるアクセスや複数の顧客環境への配布操作を捉えられたか、記録があった場合は誰が見て、どんな条件で調査に入ることになっていたかが焦点になる。
正規の管理者アカウントを悪用されると、認証が通ったという記録だけでは異常に気づきにくい。だからこそ、誰がログインしたかに加え、その権限で何をしたかを見て、利用者からの連絡を待たずに調査を始められる運用が重要になる。
公表された経緯から分かるのは、GMOの監視では今回の侵入を把握できなかったということだ。必要な記録が取れていなかったのか、異常を拾う条件や通知後の対応に問題があったのかは、運営会社の検証を待つ必要がある。
熊谷氏に報告が届かなかった責任は、どう考えるべきか？
運営会社にはサービスの安全を確保する責任があり、グループ経営には重大なリスクが上がる仕組みを整える責任がある。
熊谷氏に報告が届かなかった事実に注目するだけでは、指摘を把握していた運営会社で何が起きたかが見えにくくなる。仮に親会社トップへ報告していたとしても、対象システムを調べ、対策を実施し、その効果を確かめる仕事は運営会社に残る。
技術者、事業責任者、グループ経営の役割
一方、改修に予算や人員が必要だったり、停止が顧客の取引に影響したりする場合は、技術者だけで決められない。警告を受けてから対応を終えるまでの仕事を分けると、どこで判断が止まったかを検証しやすくなる。
- 技術担当者は、指摘された問題を調べ、対策後の結果と残る危険を伝える。
- 事業責任者・運営会社の経営陣は、改修の優先順位を決め、予算や人員を確保し、必要に応じて運用を制限する。
- グループ経営陣は、重大なリスクを報告する基準を設け、運営会社の権限で解決できない問題に対処する。
説明会では、どの脆弱性を取締役会に報告するかについて、明確な基準がなかったことも明らかになった。親会社のガバナンスを検証するなら、誰が熊谷氏に伝えなかったかに加え、報告の基準と、未解決の案件を追い続ける仕組みがあったかを問うべきだ。
本件で具体的に説明を求めたいのは、運営会社で誰が対策の完了を判断する立場にあり、何を根拠に判断したのかだ。再診断を行う条件や、結果を確認する責任者が事前に決まっていたかも、ここで確かめたい。担当者の権限や個々の判断の経緯が明らかになれば、運営会社と親会社のそれぞれで、どの仕組みを改めるべきかも見えてくる。
攻撃基盤の無力化に、どこまで公的な資源を使うべきなのか？
犯罪捜査や被害拡大の防止には公的な役割があり、政府が攻撃基盤の無力化まで行うなら、法定要件と措置の必要性を個別に確かめるべきだ。
GMOは2026年10月24日の公表で、本件を能動的サイバー防御の「発動第1号」事案と位置づけ、国主導で攻撃基盤の追跡・遮断・無力化を進めるよう政府関係機関に要請した。同じ公表で、対象となる不正取引による損失は、取引所等からの返金分を差し引き、自社で補償する方針を示している。
捜査への協力と、無害化措置の判断
警察への相談やログの提供には、犯罪を捜査し、新たな被害を防ぐ意味がある。政府の「アクセス・無害化措置」は、重大な危害のおそれなど一定の要件の下、警察や自衛隊が攻撃に使われるサーバーなどにアクセスし、不正な機能を停止させる措置だ。
10月26日の会見で、木原稔官房長官は、被害組織からの要請の有無にかかわらず、警察や防衛省・自衛隊が法律の要件に照らして判断すると説明した。公的な人員や権限を使う以上、どんな被害が差し迫っているのか、関係事業者の協力などで防げるのか、直接の措置がどこまで必要かが問われる。
実際、GMOは10月28日、関係事業者などと連携し、顧客情報とされる情報が掲載されたサイトのドメイン停止を確認したと公表した。公表されたのはドメインの停止であり、政府のアクセス・無害化措置が実施されたかは、この発表からは分からない。
国に対応を求めるなら、GMOにも説明すべきことがある。自社と関係事業者でどこまで被害を抑えられるのか、それでも何が防げず、なぜ政府にしか取れない手段が必要なのかを示してこそ、公的な対応を求める根拠が伝わる。
企業が自ら負うべき安全対策や復旧、顧客補償の費用まで公費で肩代わりするなら、筋違いだ。今回の要請を評価する基準も、企業の規模や知名度に左右されるべきではない。事業者が自社の責任を果たすことを求めたうえで、国が動く必要性は、顧客や社会に及ぶ被害と、取り得る手段に照らして判断すべきである。
まとめ
GMOの不正アクセス問題でまず問われるのは、警告を受けた運営会社が、対策の効果を確かめ、サービスの安全を確保する責任を果たしたかである。
運営会社は緊急メンテナンスを行ったが、当初と同じ内容で再診断はせず、その後の侵入も自社の監視で把握できなかった。熊谷氏への報告経路を検証することと、運営会社で誰がどんな根拠で対策を十分と判断したのかを明らかにすることには、それぞれ意味がある。
利用者の安全を預かる会社には、把握した危険に自社の権限と費用で対処する責任がある。政府が公的な資源を使う場合は、被害を防ぐためにその措置が必要だと説明できることが条件になる。この区別を保つことで、企業に求める対応と、国が担うべき仕事が見えてくる。
主な参考資料
- GMOインターネットグループ・GMOインターネット「『お名前.com デスクトップクラウド』不正アクセスに関する説明会」（2026年11月2日）
- TBS NEWS DIG「GMO熊谷正寿社長『セキュリティ上の指摘を生かせず』不正アクセス受け謝罪 自身のSNS対応も陳謝 8月に攻撃者が侵入も認識は2か月後【会見冒頭全文】」（2026年11月2日）
- GMOインターネット「お名前.com デスクトップクラウドサービスに対するサイバー攻撃について（第4報） お客様へのお見舞金のお支払いと不正取引による損失の補償について」（2026年10月24日）
- GMOインターネット「『お名前.com デスクトップクラウド』への不正アクセスに関する現在の対応について（第13報）」（2026年10月28日）
- TBS NEWS DIG「『要請の有無にかかわらず警察や防衛省・自衛隊において適切に判断』木原官房長官 GMOが緊急要請した『能動的サイバー防御』めぐり」（2026年10月26日）
- ITmedia NEWS「渦中のGMO記者会見、責任の所在はどこに？ 熊谷代表が語った“グループ内の力関係”」（2026年11月3日）
- セキュリティ対策Lab「GMOの3時間超の謝罪会見は何を明らかにしたのか-脆弱性対応の先送りと『命の砂時計』、危機管理広報の課題」（2026年11月2日）
- 国家サイバー統括室ウェブサイト掲載資料「アクセス・無害化措置の導入に係る背景」