GMOが不正侵入の経緯と管理体制の問題を初めて説明
GMOインターネットグループは11月2日、同社グループが提供する「お名前.comデスクトップクラウド」で発生したサイバー攻撃について、東京都内で記者会見を実施した。熊谷正寿会長兼社長と、サービスを運営するGMOインターネットの伊藤正社長らが出席し、侵入経路や社内の安全管理に関する調査結果を説明した。
今回の事件では、利用者の情報が外部に流出し、一部顧客の金融資産にも損害が発生している。熊谷氏は会社のシステムに安全上の欠陥が存在していたことを認め、利用者と関係者に謝罪した。
会見では、問題の発生から発覚までに長い期間を要したことに加え、過去に専門家から受けた警告が十分に反映されていなかった実態も明らかになった。
8月5日の侵入から10月20日の被害発覚までの経過
会社側の調査では、攻撃者が最初に利用者のリモートデスクトップ環境へ侵入したのは2026年8月5日だった。その過程で管理者アカウントを奪取し、8月17日には取得した権限を使ってGMO側の管理サーバーへ不正にアクセスした。
一方、運営会社が異常を認識したのは10月20日だった。利用者から寄せられた問い合わせを契機に調査を始め、外部からの侵入が確認された。最初の侵入から問題の把握まで、約2か月半が経過していたことになる。
攻撃者との連絡は10月23日午後8時40分を最後に途絶えている。実行者の身元については捜査が続いており、会社側も現段階で具体的な情報を明らかにしていない。
2024年の安全性診断で判明した問題と不十分な改善策
セキュリティー上の問題は、事件が起きる2年以上前からグループ内部で認識されていた。2024年4月、GMOサイバーセキュリティbyイエラエの専門家が対象サービスを調査し、改善を要する箇所を報告していた。
同年4月24日には診断内容を共有する会議が開かれ、技術担当者間でも詳細な説明が行われた。その後、4月26日から5月20日までに4回の緊急メンテナンスを実施したものの、結果的に防御体制の強化は不十分だった。
伊藤氏は、当時の経営陣にも報告が届いていたと説明した。ただし、複数回の修正作業を終えた段階で、必要な対応は済んだと判断していたという。会社側は、問題の重大性を見極める過程や改善の進め方について検証する方針を示した。
経営トップへの報告基準と役員の責任が新たな焦点に
安全上の問題を経営層へ伝える仕組みにも課題があった。熊谷氏によると、今回の脆弱性に関する情報は自身には届いていなかった。取締役会へ報告するべき問題の重大度についても、当時は明確な判断基準が設けられていなかったという。
グループは情報共有の手順を含め、管理体制全体の点検を進めている。あわせて、今回の事態に対する経営責任を明確にするため、幹部4人への報酬減額を決定した。
熊谷氏は月額報酬の30％、伊藤氏は25％、子会社の副社長と専務はそれぞれ20％を減額する。いずれも2026年12月の支給分から3か月間適用される。
被害調査と再発防止に向けたグループ全体の対応方針
GMOは、攻撃を受けた利用者のパソコンを調べるなどして、被害の実態把握を続けている。外部のセキュリティー専門家も調査に協力しており、収集した情報は関係機関に提出されている。
顧客が受けた金銭的損失については、11月6日から個別の聞き取りを始め、被害額の確定を進める予定だ。補償費用やグループ業績への影響は現時点で集計中であり、必要な情報がまとまった段階で公表する。
会社側は、これまでの安全対策が適切に機能していたかを改めて調べるとともに、専門家による指摘を経営判断へ反映させる仕組みの見直しを進めるとしている。