2026年10月、GMOインターネットグループのサービス「お名前.com デスクトップクラウド」で、大きな不正アクセス事件が発生しました。
11月2日には、会社の代表である熊谷正寿氏らが記者会見を開き、事件について説明しました。
その会見で、僕が特に気になったことがあります。
「2年前にセキュリティ上の問題を指摘されていたのに、なぜ今回のような事件を防げなかったのだろう？」
もちろん、今回の事件が2年前に指摘された問題を直接利用して起きたのかどうかは、まだ確定していません。
ただ、危険を見つけていたのに、十分な対策につながらなかったという問題は考える必要があると思います。
そこで今回は、難しいコンピューターの話をいったん置いて、小学校の学校生活にたとえて考えてみます。
結論：危険を見つけることと、安全にすることは違う
最初に結論です。
危険なところを見つけても、それを直す人、判断する人、確認する人がきちんと動かなければ、安全になったとはいえません。
例えば学校で、遊具が壊れかけていることがわかったとします。
先生がそのことを知っていても、修理しなかったらどうなるでしょうか。
「知っていました」だけでは、子どもたちの安全を守れません。
今回のGMO事件にも、これと似た組織の問題が見えてきました。
まず、GMOでは何が起きたの？
GMOインターネットが提供する「お名前.com デスクトップクラウド」というサービスが、不正アクセスを受けました。
このサービスは、インターネットを通じて別のコンピューターを使える仕組みで、FXという外国のお金を売買する取引などにも利用されていました。
攻撃者によって利用者のコンピューター環境に不正なプログラムが仕掛けられ、取引に関係する情報が盗まれたり、不正に利用されたりする被害が発生しました。
影響を受けた可能性のあるサーバー環境は26,739件と説明されています。
さらに、攻撃者からは約80億円という巨額の金銭を要求されましたが、会社側は支払いを拒否しました。
そして11月2日の会見では、2024年の段階でグループ内の専門家からセキュリティ上の問題を指摘されていたことも説明されました。
会社側は緊急の修正などを行っていたものの、十分な根本対策には至っていませんでした。
ここで出てくる疑問が、「危ないとわかっていたなら、なぜ直せなかったの？」ということです。
参考：Impress Watch「GMO、不正アクセス問題で熊谷会長が謝罪」
小学校の体育館にたとえてみよう
ここからは、わかりやすくするための架空のお話です。
ある日、バスケットゴールに危険が見つかった
ある小学校の体育館に、古いバスケットゴールがありました。
ある日、設備を点検する専門の人が、バスケットゴールの固定部分に問題があることを発見しました。
専門の人は先生に伝えます。
「このバスケットゴールは危険です。きちんと直した方がいいですよ」
先生たちは相談しました。
「すぐに全部交換するのは難しい。まずは緩んでいるネジを締めよう」
そこで、ネジを締める応急処置をしました。
しかし、本当に安全になったのか、根本的な問題が解決したのかは、十分に確認されないままでした。
校長先生には十分に伝わっていなかった
先生たちは、ひとまず対応したことで大丈夫だと考えていたかもしれません。
ところが、校長先生には危険が残っていることが十分に伝わっていませんでした。
校長先生は、体育館で子どもたちが普段どおり運動していると思っています。
そして2年後。
バスケットゴールが倒れる事故が起きてしまいました。
ここで、学校全体が大きな問題に直面します。
「2年前に危険だとわかっていたのに、どうして防げなかったの？」
誰が悪かったのでしょうか？
この学校の話を聞いて、どう思いましたか？
- 危険を見つけた専門の人が悪かった？
- 応急処置だけで済ませた先生が悪かった？
- 報告を受けていなかった校長先生が悪かった？
- それとも、学校全体の仕組みに問題があった？
僕は、誰か一人だけを責めても、同じような事故を防ぐことは難しいのではないかと思います。
大切なのは、危険が見つかったときに、誰が、いつまでに、何をするのかを決めて、最後まで確認することです。
例えば、修理が終わるまでは体育館のその場所を使わない、専門家にもう一度点検してもらう、校長先生にも報告する、といった方法が考えられます。
危険を見つけた人の役目が終わっても、学校の安全を守る仕事は終わっていないのです。
GMOの事件と学校の話を比べてみる
| 学校のたとえ | GMO事件で対応するもの |
|---|---|
| 学校全体 | GMOグループ |
| 校長先生 | グループの経営トップ |
| 担当の先生 | サービス運営会社の責任者 |
| 設備点検の専門家 | セキュリティ診断の専門家 |
| 危険な固定部分 | システムの脆弱性 |
| ネジを締める応急処置 | 緊急パッチなどの対策 |
| 事故を防ぐ仕組み | セキュリティ管理と報告体制 |
もちろん、バスケットゴールが倒れる事故と、コンピューターへの不正アクセスは同じではありません。
また、今回のGMO事件で2024年に指摘された脆弱性が実際に攻撃に使われたと確認されたわけでもありません。
このたとえで考えたいのは、危険を発見した後の対応と、組織内での情報共有です。
「危険を見つけた人」に直す権限がないこともある
今回の会見で、もう一つ気になった点があります。
グループ内でセキュリティ上の問題を指摘した専門会社には、別のグループ会社へ直接命令する権限がなかったという説明です。
これも小学校にたとえてみましょう。
例えば、保健室の先生が体育館の設備に危険を見つけたとします。
でも、保健室の先生が学校の設備を勝手に交換することはできません。
修理の予算を決めたり、業者に依頼したりするのは、別の担当者かもしれません。
だからこそ、危険を見つけた人の報告を、実際に判断できる人へ届ける仕組みが必要になります。
これは会社でも学校でも同じではないでしょうか。
専門家が「危険です」と言っただけでは、問題は解決しないのです。
では、GMOの社長は何と説明したの？
11月2日の記者会見で、熊谷代表は、セキュリティ上の問題が自分に十分伝わっていなかったことについて、自身の責任だと説明しました。
また、専門会社と各グループ会社の間に経営トップが入り、適切に管理すべきだったという趣旨の発言もしています。
一方で、なぜ当時そのような判断になったのかについては、まだ十分に分析できていないとも説明しました。
つまり、会見の段階では、「なぜ危険を指摘されながら、十分な対策につながらなかったのか」について、すべての答えが出たわけではありません。
参考：ITmedia ビジネスオンライン「GMO熊谷代表、不正アクセスで謝罪も露呈した組織の壁」
もし自分の学校だったら、どうすればよかった？
先ほどの体育館の例に戻ります。
もし自分がその学校の校長先生だったら、どうすれば事故を防げたでしょうか。
- 危険が見つかったら、校長先生にも必ず報告する。
- 応急処置だけで安全なのか、専門家に確認する。
- 安全が確認できない場所は、必要に応じて使うのをやめる。
- いつまでに修理するのか、担当者と期限を決める。
- 修理が終わった後、本当に安全になったか確認する。
こうした仕組みがあれば、少なくとも危険が見つかったまま放置される可能性は減らせると思います。
会社のセキュリティでも、専門家の指摘が実際の対策につながることが大切なのだと感じました。
ただし、今回の事件でまだわかっていないこともある
今回のGMO事件については、11月2日の会見終了時点で、まだ調査中のことが残っています。
- 攻撃者がどのような方法で侵入したのか。
- 2024年の指摘と今回の攻撃に直接の関係があるのか。
- なぜ不正な操作をもっと早く発見できなかったのか。
- 被害を受けた利用者の範囲と最終的な損失額。
- 今後、どのような再発防止策を実施するのか。
このため、2024年の問題を修正していれば今回の事件は必ず防げた、とまでは断定できません。
また、今回の攻撃にAIが使われたという証拠も、会見では示されませんでした。
確認できた事実と、まだわからないことを分けて考える必要があります。
まとめ：危険を伝えたら、それで終わりではない
今回のGMO不正アクセス事件を、小学校の体育館にたとえて考えてみました。
学校でも会社でも、危険を見つける人、対策を考える人、最終的に判断する人は違う場合があります。
だからこそ、報告しただけ、応急処置をしただけで終わらせない仕組みが必要です。
「危険だと知っていた」と「安全にした」は、まったく違います。
僕自身、今回の長い記者会見の内容を整理していて、特にこの部分が気になりました。
セキュリティの専門家ではありませんが、難しい技術の問題を抜きにしても、危険を見つけた後にどう行動するかは、誰にとっても大切なことだと思います。
今回の事件については、今後の調査で新しい事実が明らかになる可能性があります。
被害を受けた方々への対応が進み、同じような問題が繰り返されないことを願っています。
参考資料
- GMOインターネット公式：不正アクセスに関する対応について（第9報）
- GMOインターネット公式：不正アクセスに関する対応について（第10報）
- Impress Watch：GMO、不正アクセス問題で熊谷会長が謝罪
- ITmedia ビジネスオンライン：GMO不正アクセス会見の要点まとめ
※この記事は2026年11月2日の記者会見の文字起こしと、公式発表・報道をもとに作成しています。学校の体育館の話は説明のための架空の例であり、実際に起きた事故ではありません。事件に関する情報は2026年11月3日時点のものです。
コメント