1. 導入（イントロダクション）
大規模なセキュリティインシデントが発生した際、私たちは企業トップが語る高尚な理念や物語と、現場で起きている凄惨な技術的被害の現実との間に、深刻な乖離を目撃することがあります。危機に直面した経営陣が発する言葉は、果たして真に被害者に寄り添い再発防止を誓うものなのか。それとも、自己の功績や外部環境の変化へ焦点を移すための防衛本能なのか――。
この問いは、現代のクラウドガバナンスにおける重大なケーススタディです。
2026年11月2日、GMOインターネットグループの役員陣による記者会見が行われました。顧客情報の流出や資産への実害が報告されるなか、約3時間半に及んだ会見で熊谷正寿会長兼社長が語った言葉と、明らかになった構造的欠陥との対比は、日本のIT業界が抱える「創業者型リーダーシップ」と「現場のガバナンス不全」の歪みを浮き彫りにしています。
本稿では、この記者会見を通じて、事件の本質と組織の課題を示す「4つのポイント」を整理します。
今回の事件の舞台となった「お名前.com デスクトップクラウド」は、FX（外国為替証拠金取引）の自動売買システム（MT4/MT5）を24時間稼働させるため、Windowsの仮想デスクトップ（VPS）をRemote Desktop Protocol（RDP）経由で提供するサービスでした。
RDPは便利な仕組みですが、インターネットから直接アクセスできる状態で運用する場合、厳格なアクセス制御が欠かせません。2019年の「BlueKeep（CVE-2019-0708）」に代表される重大な脆弱性も過去に発見されており、継続的な更新と適切な防御策が必要です。
本来であれば、Network Level Authentication（NLA）、多要素認証（MFA）、RD Gateway、あるいはZero Trust Network Access（ZTNA）などを組み合わせた重層的な防御が求められます。
さらに問題視されているのが、運用上の設定です。攻撃者側は「GMOが配布していた.rdp構成ファイルで、最初からローカルドライブ共有（drivestoredirect:s:*）が有効化されていた」と主張しています。
ただし、この設定が実際にどのような状態で提供され、今回の侵入にどう利用されたのかは、現時点で確認された事実とは区別する必要があります。仮に攻撃者側の主張どおりであれば、リモート接続時に接続元PCのドライブへアクセスされる危険な経路が生じます。ただし、それだけでブラウザの認証情報まで自動的に盗まれるわけではありません。
約2万6,739台という数字も、侵害が確認された台数ではなく、影響を受けた可能性のあるサーバー数です。それでも、FX取引という資産に直結するサービスで、基本的なセキュリティ・ハイジーン（衛生管理）が十分だったのかという疑問は残ります。
「RDPをインターネットに晒すのは悪いアイデア」という警告は、セキュリティコミュニティで繰り返されてきました。適切に設定すれば実用的に使えますが、認証、接続元制限、不要なリダイレクトの無効化、監視などを怠れば危険性は高まります。
会見においてGMO側は、2024年4月の時点で、グループ内のセキュリティ専門会社「GMOサイバーセキュリティbyイエラエ」からシステムの改善点を指摘されていた事実を認めました。
国内トップクラスのホワイトハッカーを擁する専門会社をグループ内に抱えながら、その知見を事業運営に十分反映できなかった。これは典型的な「M&A後のガバナンス不全」、あるいは組織のサイロ化を示しています。
なお、警告後にGMOが何もしていなかったわけではありません。報道によれば、緊急メンテナンスなどの対応は複数回行われていました。しかし、根本的なシステムの見直しには至らなかったとされています。
高度な専門子会社を傘下に収めても、その指摘を事業部門に反映させ、必要に応じて経営層へ報告する仕組みがなければ、宝の持ち腐れです。
会見で、トップへの未報告について「基準がなかった」と説明されたことは、同社のガバナンス不全を象徴しています。専門知を組織の防壁として機能させられなかった。この構造的な欠陥こそ、今回の問題の核心の一つでしょう。
約3時間半に及んだ会見の中で、熊谷会長兼社長は自らの理念や歴史観を強く語りました。
「私たちが育ててきたインターネット」「31年間一度も『儲かる』と言ったことがない」と涙ぐみながら語る姿は、創業者としての情熱を示す一方、危機管理コミュニケーションとしては、重大な焦点のズレを感じさせます。
歴史的な事実を整理すれば、日本のインターネットの技術的・学術的基礎は1980年代のJUNETや研究機関などによって築かれました。GMOの前身であるボイスメディアは1991年に設立され、当初は電話系事業を展開。その後、1995年にインターネット接続事業へ参入しています。
したがって、GMOが日本のインターネットそのものを育てたという表現には無理があります。一方、商用インターネットの普及に貢献してきた企業であることまで否定する必要はありません。「31年間」という発言も、1995年のインターネット事業開始から数えたものと考えられます。
さらに危機対応の最中、熊谷氏がSNSに投稿した笑顔の写真について、会見では「犯人を牽制する意図だった」と説明しました。しかし、結果として被害顧客の感情を逆なでしたことは認めざるを得ませんでした。
被害者が求めていたのは、創業者の物語や苦しい弁明ではなく、なぜ2024年の警告を根本的な改善につなげられなかったのか、そして被害補償にどう向き合うのかという具体的な説明だったはずです。
創業者個人の理念や物語が、危機管理における冷静な状況判断を曇らせていなかったか。ここは厳しく問われるべきです。
会見において経営陣は、攻撃の背景として「AIの登場による犯罪の加速（秒進分歩）」や「中高生でも攻撃者になれる無差別攻撃の時代」といった最新技術の脅威を強調しました。
AIによって自動スキャンや攻撃コードの生成が高速化しているという業界動向自体は事実であり、決して的外れではありません。
しかし、今回GMOの足元で起きていたのは、高度なAI攻撃に対抗できなかったという話だけではありません。RDPをめぐるアクセス制御や設定管理、2024年4月の内部指摘を根本的な改善につなげられなかった問題など、基本的なセキュリティ運用の不備が問われています。
さらに見逃せないのが、侵入から検知までの時間です。報道によれば、攻撃者の侵入は2026年8月5日。GMO側が不正プログラムを確認したのは、顧客からの問い合わせを受けた10月20日でした。約76日間、侵入を把握できていなかったことになります。
これは侵入防止だけでなく、ログ監視や異常検知、インシデント対応体制にも課題があったことを示唆しています。
どれほどAIによって攻撃が高速化しようとも、基本的な防御策や監視体制が機能していれば、侵入や被害拡大のリスクは下げられます。
AIによる脅威の変化を説明することと、自社の管理責任を説明することは別問題です。外部環境の変化を強調するだけでは、足元の運用不備や内部統制の甘さへの説明にはなりません。
今回のGMOセキュリティインシデントと一連の記者会見は、企業セキュリティの本質に関する二つの教訓を提示しています。
第一に、最新のAI脅威論を語る前に、長年知られている泥臭いセキュリティ・ハイジーンを徹底すること。
第二に、創業者の強力なカリスマ性や理念は、独立したガバナンスと客観的なエスカレーションルートによってチェックされなければ、危機時に重大な機能不全を起こしかねないということです。
先進的なテクノロジーを扱い、社会インフラとしての使命を標榜する企業ほど、華々しい未来像や創業ストーリーの陰で、足元の初歩的なリスクや内部の技術的警告を放置してはいないでしょうか。
今回、最も皮肉なのは、グループ内に国内有数のセキュリティ専門家を抱えていながら、その専門知を事業運営の防壁として機能させられなかったことです。
創業者の涙は個人の感情です。しかし、組織の欠陥は涙では解決しません。
感想
まだ感想はありません。最初の1件を書きましょう！