「ネットのセキュリティもGMO」の実態 イエラエの事前指摘はなぜ放置されたか：GMO記者会見を読む

お名前.com デスクトップクラウドで起きた大規模な不正アクセス被害。2026年11月2日に開催された記者会見ではGMOグループの熊谷正寿代表らが同社を襲った事態と機能しなかったセキュリティガバナンスの欠陥を赤裸々に語った。

[田渕聖人，＠IT]

　GMOインターネットグループは2026年11月2日、仮想デスクトップサービス「お名前.com デスクトップクラウド」における大規模な不正アクセス被害について記者会見を開き、セキュリティの過失と今後の対応方針を発表した。

　今回の事件は単なる個人情報漏えいだけでなく、侵入した攻撃者によって顧客のFX自動売買アカウントが不正操作され、意図的な損失を発生させられるという異例の事件に発展している。対象アカウントは最大2万6739件、実行犯と見られる人物からは80億円という巨額の身代金要求があったことも公表された。

GMOインターネットグループの熊谷正寿氏（アイティメディア撮影）

　会見冒頭、GMOインターネットグループの熊谷正寿氏（代表取締役会長兼社長・グループ代表）は「顧客の情報が流出し、結果として悪意のある者によって顧客の資産が毀損（きそん）するという事故が発生した。顧客をお守りすることができず誠に申し訳ありません」と深く頭を下げた。

　会見では、グループ傘下のセキュリティ企業GMOサイバーセキュリティ byイエラエ（以下、イエラエ）からの脆弱（ぜいじゃく）性の指摘を生かせず放置していた実態や、管理者権限の奪取を2カ月以上検知できなかったガバナンスの致命的な欠陥が、経営陣の肉声や質疑応答を通じて浮き彫りとなった。

記者会見における謝罪の様子（出典：GMOインターネットグループの記者会見の配信から抜粋）

なぜ記者会見の公表は遅れたのか？

　お名前.com デスクトップクラウドを運営するGMOインターネットの伊藤正氏（代表取締役社長執行役員）はインシデントの概要について「大切なサービスをお預かりする事業者としてこのような事態を招いたことを極めて重く受け止めている」と語った。

　同氏の説明によると、2026年10月20日に不正アクセスを確認し、翌21日には犯人から80億円の身代金を支払うよう脅迫が届いたという。これに対し伊藤社長は「当社としては当初より絶対に身代金を支払わない方針で進めている」と断言。熊谷代表も貴社会見の第2部で「彼らの目的はお金。助長するようなことはしない。一歩たりとも犯罪者にお金を払うことはない」と徹底抗戦の姿勢を強調した。

　しかし脅迫と同日、攻撃者は取得した顧客のアカウント情報を悪用し、FX口座などで意図的に損失が生じる取引を実行した。さらに2026年10月27日には、盗み取ったデータのうち1件が犯人サイトに掲載される事態となった。

　発覚から12日後の会見となった理由を問われた伊藤社長は「被害の拡大防止や顧客対応、インフラ機能の維持を最優先に取り組んできたため」と釈明した。発表された補償・対応方針は以下の通りである。

• FX不正取引による損害：直接的な損失額は全額補償（2026年11月6日から順次ヒアリング・確定作業を実施）
• 一律のお見舞い金：被害の有無にかかわらず、全対象顧客に5000円
• 代替サービスの提供：復旧までの間、代替環境を6カ月間無償提供
• 情報流出への補償：流出が確認された場合、内容に応じ最大300万円の「特別お見舞い金」

　なお、犯人特定に向けた手掛かりを募る「GMOサイバー犯罪撲滅・懸賞金」には約700件の応募が集まっており、同社に不利・有利を問わず全件を警察や関係省庁へ共有しているという。

「何が不足かは分からない」　“利便性優先”の事情が招いた顧客環境への侵害

　GMOインターネットの山下浩史（グループ副社長執行役員／システム部門担当）は、「同等の攻撃を未然に防ぐことと捜査への影響から、攻撃の詳細な手口は控えさせていただく」と前置きしつつ、初期侵入から管理者権限の掌握、顧客環境への侵入に至るまでのタイムラインを明かした。

• 2026年8月5日：犯人が顧客環境のリモートデスクトップVPSに侵入
• 2026年8月17日：侵入先から管理者アカウントを奪取され、同社の「管理サーバ」に侵入を許す
• 2026年9月20日〜10月14日：管理サーバを経由し、最大2万6739台の顧客VMにマルウェアが一斉配布される
• 2026年10月20日：顧客からの問い合わせを受けて調査し、初めてマルウェアの存在を検知

侵害のイメージ（出典：GMOインターネットグループの記者会見の配信から抜粋）

　タイムラインを見ると、2026年8月17日に管理サーバを掌握されてから、顧客に指摘された同年10月20日まで、実に2カ月以上も不正アクセスに気付けなかったことになる。これについて山下氏は「サービスの監視で気付けなかったことを深く受け止めている。なぜ気付けなかったのか、何が不足していたのかは今後検証する」と陳謝した。

　さらに、顧客の手元にあるローカルPCのファイルまで抜き取られた要因について、リモートデスクトップの「ドライブ共有機能」がデフォルトで有効化されていたことを原因として挙げた。

　山下氏は「当初は顧客の利便性を考えて設定をオンにしていたが、昨今のセキュリティリスクの中でオフへ変更できなかった点にリスク分析の甘さがあった」と述べ、運用上の隙を認めた。

イエラエの事前指摘はなぜ放置され、経営層に届かなかったのか？

　会見でも最も多く記者からの質問が飛んだのは、イエラエによる警告が放置されていた経緯についてだった。

　GMOは2022年にイエラエを傘下に収めており、2024年4月24日には同社の専門家がお名前.com デスクトップクラウドの診断結果としてシステムの課題・改善点を指摘していたという。

　しかしこの指摘は生かされなかった。山下氏は「2026年4月26日〜5月20日まで緊急メンテナンスを4回実行した。しかし、その対策は十分ではなかった。脆弱性の優先順位付け、リスク分析が不十分で、深さと速さの両面で不足していた」と話した。

イエラエによる改善点の指摘を受けて対策をしたが、それは不十分だった（出典：GMOインターネットグループの記者会見の配信から抜粋）

　質疑応答では、サービスの責任者レベルでも同脆弱性について報告を受けていたこと、しかし開発スケジュールとの兼ね合いから対応を後回しにしたこと、その後同一の環境に対する再度の追跡診断を実施していなかったことも明らかになった。なお、優先順位の判断についても会見では明かされていない。

　さらに、この重大な指摘が経営トップである熊谷代表に報告されていなかった点も露呈した。

　「当時の報告はどこまで共有されていたのか」という記者からの質問に対し、伊藤氏は「事業サイドの私と事業責任者、そしてシステムサイドの山下氏まで報告・共有されていた」と認めた。イエラエ合流直後は兄弟会社という関係性で指示命令系統がなかったことや、社内にエスカレーション基準が存在しなかったことが原因だという。

　また、「予見できたはずではないか」と問われた熊谷代表は、「エスカレーションされていなかったことの仕組みは私の全責任」と述べ、自社のガバナンス不全を全面的に認めた。

自身のSNS投稿を「100％私が悪い」と謝罪、進退と「レジリエンス」への課題

　会見では、取締役会で役員報酬の減額（熊谷代表30％減×3カ月など）を決議したことが報告された。自身の進退を問われた熊谷代表は、辞任を否定し「責任を放棄して辞任するのではなく、安全・安心なインフラを取り戻し、信頼を回復するまで人生をかけて全力を尽くす」と言い切った。

　また、顧客の資産が脅かされている最中に自身のSNSで笑顔の写真を投稿する、被害者の家族構成に触れる投稿を拡散するなど、根拠の薄い“認知戦”で批判を浴びた件についても言及して釈明。「写真は犯人をけん制する意図だったが、被害者の感情への配慮が欠けており明らかに判断ミスだった。100％私が悪い」と陳謝し、会見の総括を行った後は「一定期間、SNSの発信を謹慎・休止する」と約束した。

　会見後半の第2部では、熊谷氏が「今回の私どもの件の言い訳ではない」と前置きしつつ、AIの急速な進化によってサイバー攻撃が激増している現状について熱弁を振るった。かつて脆弱性診断用に作られた中国発のツール「ARTEX」が悪用・拡散されている例を挙げ、「従来の攻撃が拳銃なら今は機関銃、以前がピンポイント爆撃なら今は絨毯爆撃だ」と危機感をあらわにし、侵入を完全に防ぐことは不可能であり、いかに早く食い止め復旧させるかという「レジリエンス（回復力）」担保への変革と、国家レベルでの「サイバーイージス構想」の必要性を説いた。

　しかし質疑応答で記者から「今回の攻撃にAIが使われた証拠はあるのか」と問われると、熊谷代表は「AIが使われた証拠はございません。第1部と第2部は全く違う話としてペンを分けて書いてほしい」と回答せざるを得なかった。

初期侵入経路などは発表されず　再発防止策についても明言なし

　GMOグループは2022年以降、「ネットのセキュリティもGMO」を掲げ、イエラエの合流や社是「GMOイズム」への追加、年間を通じたテストなど、グループを挙げてセキュリティ強化をアピールしてきた。しかし強固なはずのセキュリティガバナンスが実サービスの現場では機能していなかったことが今回の事件で浮き彫りになった。

　今回の記者会見は質疑応答も含めて3時間以上に及んだもののセキュリティ上の重要なポイントは、「専門家から受けた警告の放置」「利便性を優先した設定の放置」「2カ月以上も管理サーバの乗っ取りに気付けなかった監視の不備」という、初歩的なセキュリティとガバナンスの欠落に集約される。

　また、初期侵入経路や脆弱性に関する詳細、再発防止策、攻撃者に関する情報などについて踏み込んだ発表はなかった。続報に期待したい。