GMOのクラウドサービスへのサイバー攻撃で、経営の対応が問われる事実が明らかになった。GMOインターネットグループの熊谷正寿代表は10月25日、社内のホワイトハッカーが攻撃前にセキュリティ上の改善課題を現場へ指摘していた、と自身のブログで説明した。
事前に社内から指摘があった
問題となったのは、FXの自動売買などに利用される「お名前.com デスクトップクラウド」だ。同社の発表によると、10月20日に不正プログラムの設置を確認。影響の可能性があるサーバーは2万6739件に上り、利用者からは取引口座で不正な操作が行われたとの報告も寄せられた。GMO
熊谷氏の説明では、現場は改善に取り組んでいたものの、サービスの稼働への影響や他の対応との優先順位を考慮する中で、対策の深さと速度が十分でなかったという。社内に専門家がいても、その警告を実際の防御につなげられなかったことになる。
公表内容だけでは、熊谷氏本人がいつ、どの程度の報告を受けていたかは分からない。指摘された課題の詳細や、今回の侵入経路との関係も、この説明からは確認できないが、攻撃者と自称する側からは「問題のセキュリティホールは1行修正すればふさげた」との指摘もある。
「GMOインターネットへ」が更新されてるけど
・修正にどれだけかかるのか？
テキストから1行消して、コマンドを1つ打つ。何ミリ秒かは、我々も計測していない。
・GMOサービスの可用性に影響するのか？… pic.twitter.com/1cfVJYFSdD— yousukezan (@yousukezan) October 26, 2026
「能動的サイバー防御」とは無関係
GMOの発表によると、攻撃者と名乗る人物は当初5000万ドル（約80億円）要求してきたが、同社が応じないと100万ドルに下げてきた。社内で警告はいつ出され、危険度はどう評価され、誰が対応の期限と優先順位を決めたのか。経営陣に報告されていたなら判断の妥当性が、報告されていなかったなら情報共有の仕組みが問われる。
サービスの停止や改修には費用がかかるが、利用者の金融取引にかかわる環境では、対策を遅らせることで生じる損失も判断に織り込む必要がある。稼働の継続を重視した判断が、結果として利用者の資産を危険にさらしたのであれば、その検証は避けられない。
熊谷氏は政府に能動的サイバー防御の適用を求めているが、今回の事件はGMOに固有のセキュリティホールと考えられ、政府のサイバー防御とは関係ない。熊谷氏も自社の責任を国へ転嫁する意図はないと説明し、今回の不正アクセスに起因すると同社が確認した不正取引の損失は全額補償する方針を示した。
コメント