[ITmedia ビジネスオンライン] 「31年間『もうける』と言ったことはない」GMO熊谷代表、不正アクセスで謝罪も露呈した“組織の壁”【会見の要点まとめ】

　GMOインターネットグループおよびGMOインターネットは11月2日、FX自動売買専用サーバ「お名前.com デスクトップクラウド」への不正アクセスに関する記者説明会を都内で開催した。

　対象となる顧客データは2万6739件に上り、1件のデータが犯人サイトに掲載された。犯人からは80億円の身代金要求があったが、同社は支払いを拒絶している。

　「私は（事業を続けてきた）31年間、一度たりとも“もうける”という言葉を使ったことはありません。（中略）お客さまのために情報を守れと言い続けてきた」

　GMOインターネットグループ 代表取締役グループ代表の熊谷正寿氏は会見で何度もこの言葉を口にした。

涙ながらに会見で話す、GMOインターネットグループ 代表取締役グループ代表の熊谷正寿氏（編集部撮影、以下同）

　同社グループは2022年からセキュリティを経営の柱に据えてきたが、今回の事態は社内監視ではなく顧客からの問い合わせで判明した。国内大手ITグループでなぜこのような事態が起きたのか。本記事では、会見の要点をまとめて紹介する。

不正アクセス、2カ月半検知できず　イエラエの警告が生かせなかった理由

　攻撃者は8月5日に顧客環境（VPS）へ侵入して管理者アカウントを窃取し、8月17日には管理サーバへ侵入。9月20日～10月14日に顧客VPSへマルウェアを配布した。同社が調査を開始したのは顧客からの問い合わせを受けた10月20日で、約2カ月半にわたり不正侵入を検知できなかった。

会見では攻撃者の侵入時期と経路も説明した

　当該の脆弱（ぜいじゃく）性については、2024年にグループ会社であるGMOサイバーセキュリティbyイエラエ（以後、イエラエ）が、認識・報告していたと、一部報道がされていた。熊谷氏は会見で、これは「事実」であることを認めた。

　指摘を受け、GMOインターネットは同年4～5月に計4回の緊急メンテナンスを実施した。しかし、GMOインターネット副社長執行役員の山下浩史氏は「深さと速さの両面で不足していた」と、対応が不十分であったことを認める。

　また、当時のイエラエからの指摘は、グループのトップである熊谷氏にエスカレーションされていなかったという。グループ法務部長の川崎友紀氏（埼は「たつさき」）は会見で「どのような脆弱性があれば取締役会にエスカレーションするか」という明確な基準が存在しなかったと説明した。