GMO不正アクセス　熊谷代表、涙の記者会見　「命の砂時計」と遅れた脆弱性対策

　GMOインターネットグループは11月2日、サーバー管理サービス「お名前.com デスクトップクラウド」への不正アクセスに関する緊急の謝罪記者会見を開き、最大2万6739件の顧客が仮想専用サーバー（VPS）環境などに侵入されたと発表した。犯人から要求された80億円の身代金支払いを即座に拒否した同社は、FX（外国為替証拠金取引）自動売買取引の不正操作による顧客損害の全額補償を決定した。一方、今回の問題の裏には、傘下のサイバーセキュリティ専門会社が過去に発した脆弱性の警告が経営トップへ届かず、対応の深さと速さを欠くという痛恨の統治不全が潜んでいた。31年にわたり自らの「命の砂時計」をインターネットに捧げてきたという創業者・熊谷正寿（63）が流した涙と失態は、AI悪用が加速する新時代の危機と創業経営者による成長の影に潜む統治の盲点を強烈に浮き彫りにした。

不十分だった対応、「熊谷ワールド」の限界か

　東京都内で開かれた記者会見「お名前.com デスクトップクラウド 不正アクセスに関する説明会」の壇上には、主催者であるGMOインターネットグループ代表の熊谷正寿をはじめ、GMOインターネットの伊藤正社長、山下浩史副社長ら幹部5名が並んだ。全3部構成（第1部：インシデント概要とガバナンス、第2部：知見報告、第3部：質疑応答）で進行した説明会の冒頭、熊谷は「大切なお客様をお守りすることができず、誠に申し訳ありませんでした」と語った。何度か言葉を詰まらせ、感極まり目頭を押さえ、涙を流したように見える場面もあった。そして深々と頭を下げ続ける創業者。1990年代の黎明期から日本のインターネット空間を切り拓いてきた男が見せた痛恨の表情は、背負う経営責任の重さと無念さを物語っていた。

　同社によると、最初の侵入は8月5日、攻撃者が顧客のVPS環境へ侵入したことに始まる。攻撃者は同17日に管理者権限を悪用してGMOの管理サーバーへ侵入し、9月20日から10月14日にかけて顧客環境へマルウェアを配布した。同社が不正アクセスを検知したのは10月20日、顧客問い合わせを受けて調査を開始してからであり、約2ヶ月間にわたり侵入を把握できていなかった。翌21日には経営陣に対し80億円の身代金要求が届いたが、同社は一蹴。すると攻撃者は顧客のアカウントを不正操作し、FX取引で意図的な損失が生じる取引を実行した。GMO側は被害取引の全額補償や全対象顧客への5000円のお見舞い金支給を打ち出し、事態の収拾を図った。

　しかし、市場と顧客が受けた衝撃の真因は、事故そのもの以上に同社の足元に開いた統治の溝にあった。2024年4月、グループ傘下の脆弱性診断専門会社「GMOサイバーセキュリティbyイエラエ」が同サービスの脆弱性を明確に指摘していた。指摘後に4回の緊急メンテナンスを実施したものの、サービスの安定稼働や機能開発との優先順位の兼ね合いから対応の深さと速さの双方で不足しており、リスク分析に甘さがあったと説明した。さらに悲劇的なのは、この警告がトップの熊谷へエスカレーションされていなかった事実だ。熊谷は「専門家の指摘を受けながらサービス運営に生かせなかった。エスカレーションされなかった仕組みは私の全責任であり、正直、大変に悔いている」と感情を露わにして痛恨の念を口にした。また、問題が起きてからの自分自身のSNSでの発信についても反省した。

被害者非難の理不尽と「AI悪用」の超加速

　本事件は単一企業のセキュリティ障害にとどまらず、クラウドインフラおよび金融IT市場全体に強い揺さぶりをかけている。特にリモートデスクトップ上で稼働する自動売買システムが標的となり、個人の資産口座が直接操作されて毀損された構造は、SaaSやVPSに依存するデジタル経済基盤の脆さを浮き彫りにした。フィンテック企業全体においても、SaaSや自動運用環境に潜むリスクを再検証する動きが急速に広がっている。不正アクセスを受けた被害企業であるにも関わらず、謝罪会見を開くことになった理不尽さを指摘する声もある。

　会見の第2部で熊谷が強い危機感とともに強調したのが、サイバー攻撃における「AIの悪用」という不可逆的な技術環境の変化である。2022年11月のOpenAIによる「ChatGPT」公開以降、攻撃のスピードは二次関数を超え「垂直立ち上げ」の領域に入った。複数のAIモデルを複合制御する自動攻撃ツール「ARTEX（アルテックス）」などの登場により、攻撃者は24時間無差別かつ高速にシステムの脆弱性を探索し、絶え間ない連続攻撃を仕掛ける。

　かつては高度な専門技術を要したサイバー攻撃が、汎用AIの登場によって劇的に民主化・高速化された現実を今回の事件は見せつけた。従来の境界防御に頼る企業の防衛モデルは完全に限界を迎えた。侵入されることを前提とし、早期に検知・隔離して被害を最小限にとどめる「ゼロトラスト」および「レジリエンス（回復力）」への構造転換が、金融IT・ITインフラ業界全体に急務となっている。

「命の砂時計」を賭けた再生と「熊谷イズム」の真価

　「人に寿命がある以上、時間は命だ。1日は1440分、睡眠時間を除けば990分しかない。この990分のカウントダウン、自らの『命の砂時計』を何に捧げるのかが人生であり、私はインターネットとこのグループに命の砂時計を捧げてきた」。会見中、報道陣の質問に対して熱っぽく自らの経営哲学を語り出した熊谷の言葉は、会場の空気を一変させた。

　熊谷率いるGMOには独特の「言葉と美学」が息づいている。「子会社」や「社員」といった上下関係を生む言葉は厳禁とされ、会社は「グループ会社」、社員は「パートナー」と呼ばれる。M&Aも「仲間作り」と言い換える。158社・8300人のパートナーを束ねる熊谷の根底にあるのは「お客様の笑顔」という絶対的指標だ。「31年間、一度たりとも『儲かる、儲ける』という言葉を使ったことはない。目標はお客様の笑顔であり、利益はその循環の結果にすぎない」。社内には一般パートナーが代表へ直接提言できる「くまのみみ」という独自の直訴制度も用意している。

　長年築き上げた「熊谷ワールド」をもってしても、現場のリスク管理とエスカレーションの壁を突き崩すことはできなかった。専門組織の警告がトップへ届かず、重大な事故を防げなかった現実は、理念の浸透と実効的なガバナンス統制の間に横たわる深い溝を露呈させている。

　「こんな不正なツールのままインターネットを放置して去るわけにはいかない。人生の半分を捧げてきたインターネットを宝物として綺麗にし、全身全霊をかけて多くの方の笑顔のツールに再生させる」。辞任を否定した熊谷は、自社のみならず、世界のインターネットの変革・改善に乗り出す決意を表明した。国家レベルの防衛策として海外の悪質IPアドレスの即時遮断などを盛り込んだ「サイバーイージス構想」を掲げ、陣頭指揮を執るかまえだ。

　自らの「命の砂時計」の残り時間を賭けて、ネット空間の浄化と企業再建に挑む創業者。日本のネット黎明期を創り上げた巨頭の一人としての執念と失態は、デジタル安全保障の断崖に立つ日本社会全体への重い教訓となっている。

（敬称略）

ジョルダンニュース編集部