GMOインターネット株式会社が提供する「お名前.com デスクトップクラウド」で、不正アクセスによる深刻な被害が発生しました。

同社は、サービスのシステムにセキュリティ上の問題があり、第三者による不正アクセスと顧客情報の外部持ち出しを確認したと発表しています。
また、一部の利用者からは、FX・証券口座における身に覚えのない取引も報告されています。

影響を受けた可能性があるサーバーは最大26,739件とされていますが、これは全件で情報流出が確認されたという意味ではありません。

さらに、攻撃者は約80億円を要求し、2026年10月27日12時に顧客情報の公開とランサムウェア攻撃を行うと予告しました。
同日12時30分には、攻撃者による情報公開が確認されています。
ランサムウェア攻撃については、第10報が公表された13時55分時点では確認されていませんでした。

GMOインターネット 第4報
GMOインターネット 第10報

なぜ熊谷代表への批判が出たのか

今回の批判で最も重要なのは、「大企業でも攻撃を完全には防げなかった」という点ではありません。

熊谷正寿代表自身が、社内のホワイトハッカーから改善すべき課題が事前に指摘されていたものの、対応の深度と速度が十分ではなかったと説明したことです。

サービスの可用性への影響や、ほかの対応事項との優先順位を考慮して慎重に進めた結果、攻撃者に間隙を突かれたとしています。

熊谷正寿代表の公式発表

これは、同業の多くの企業で起こり得る問題です。

セキュリティ担当者が危険を指摘していても、
– サービスを止められない
– 改修すると利用者に影響が出る
– 売上に直接つながらない
– 担当部署だけでは判断できない
– ほかの開発案件が優先される
といった理由で、対策が先送りされることがあります。

今回の教訓は、脆弱性を「発見できなかった」ことよりも、発見されたリスクを誰が評価し、いつまでに是正し、対応しない場合の責任を誰が負うのかという経営管理が重要だということです。

政府への要請が「責任転嫁」に見えた理由
熊谷代表は、今回の事件を一企業だけの問題ではなく、国民の金融資産を狙った重大なサイバー攻撃として捉え、政府に対して「能動的サイバー防御」の適用を要請しました。

国境を越えた攻撃への対応には、民間企業だけでは限界があるので、官民連携を求めること自体は不自然ではありません。

しかし、社内で事前に問題が指摘されていた事実が明らかになったため、「まず自社の対策不足を説明すべきではないか」「国の問題に置き換えているように見える」といった批判が出ました。

ITmedia NEWSの報道

危機対応では、説明の順番が重要です。

本来は、まず次の点を明確にする必要があります。
1. 会社として何が不十分だったのか
2. 顧客にどのような影響があるのか
3. 被害を止めるために何をしているのか
4. 顧客への補償と再発防止をどうするのか
5. そのうえで、政府や業界にどのような協力を求めるのか

最初から社会全体の問題を強調すると、正しい問題提起であっても、責任を外部へ向けているように受け取られる可能性があります。
「5,000円のお見舞金」も説明の順番が重要だったと思います。
GMOインターネットは、対象サービスの利用者に一律5,000円のお見舞金を支払うと発表しました。

一方、本件に起因すると認定された不正取引の実現損失については、5,000円とは別に補償するとしています。
取引事業者から返金されない場合も、対象となる損失をGMOが支払う方針です。

しかし、「5,000円」という数字だけが先に広がったことで、「この金額で終わらせるのか」という反発が起きました。

実際の補償内容だけでなく、
– 見舞金と損失補償は別であること
– 何が補償対象になるのか
– 誰が、どの資料に基づいて判断するのか
– 申請期限と支払時期
– 市場変動による損失など、対象外になるもの
を最初から分かりやすく示す必要がありました。

評価すべき対応もある
今回の対応を、すべて不適切だったと評価するのも正確ではありません。

GMOインターネットは、次の対応を行っています。
– 対象サービスの全サーバーを停止
– 警察・関係当局への相談と証拠の提出
– パスワード変更と全セッション切断の案内
– 利用者PCの回収と解析
– 不正取引による実現損失の補償
– 代替サービスの6か月間無償提供
– 現行基盤をそのまま再開せず、システム構成を刷新する方針
– 攻撃者への身代金支払いを拒否
– 流出情報を拡散しないよう注意喚起

特に、サービスを停止して被害拡大を防ぎ、現在の基盤をそのまま再開しないと判断した点は重要です。

企業が平時に決めておくべきこと
今回の事件は、セキュリティを担当者任せにしてはいけないことを示しています。

企業は少なくとも、次のルールを決めておく必要があります。

1．脆弱性への対応期限
危険度の高い問題は何日以内に対応するのか、サービス停止を伴う場合は誰が判断するのかを決めます。

2．未対応リスクの経営承認
セキュリティ担当者が危険を指摘したにもかかわらず対応しない場合、現場だけで判断せず、経営者がリスクを確認して承認する仕組みが必要です。

3．管理者権限と認証情報の分離
複数サーバーで同じ管理者情報を使わず、必要最小限の権限に限定します。
重要な操作には多要素認証を設定し、認証情報をサーバーやブラウザへ安易に保存しないことも重要です。

4．ログ監視と侵入後の検知
侵入を完全に防ぐことは困難です。通常と異なるログイン、不審なプログラムの実行、大量のデータ転送などを早期に検知する仕組みが必要です。

5．バックアップと復旧訓練
バックアップがあっても、同じネットワーク上に置かれていればランサムウェアで暗号化される可能性があります。
バックアップを分離して保管し、実際に復元できるか定期的に確認します。

6．インシデント発生時の発表方法
発表には毎回、次の項目を明記すると混乱を減らせます。
– 確認済みの事実
– まだ確認できていない事項
– 利用者が直ちに行うこと
– 会社が現在行っていること
– 次回の情報更新予定

ウイルネットが大切にしていること

ウイルネットも20年以上レンタルサーバー事業を行なっていますが、大手事業者と同じように契約件数だけを追いかけるのではなく、一社一社の利用目的や運用状況を確認し、お客様との距離が近いサーバー事業者であることを大切にしています。

例えば、単にサーバーを提供するだけでなく、

– お客様が何のためにサーバーを利用しているのかを把握する
– サーバー移行や初期設定について個別に相談を受ける
– 障害やセキュリティ上の問題を、専門用語だけで済ませず説明する
– バックアップや復旧方法をお客様と一緒に確認する
– 必要に応じてマネージドサービスやセキュリティ対策を提案する
– 売上だけでなく、長期間安心して利用できる環境を重視する

ことを基本姿勢としています。

もちろん、会社の規模が小さければ自動的に安全になるわけではありません。
担当者との距離が近いだけで、サイバー攻撃を防げるものでもありません。

だからこそウイルネットでも、人による丁寧な対応に加えて、脆弱性管理、パッチ適用、アクセス制御、ログ監視、マルウェア対策、バックアップ、復旧訓練といった仕組みを継続的に整える必要があると考えています。

サーバー選びを「価格と規模」だけで決めない
レンタルサーバーを選ぶ際には、料金、容量、通信速度、契約件数だけでなく、次の点も確認することが重要です。

– 問題が起きたとき、誰に相談できるか
– 自社の利用状況を理解してもらえるか
– バックアップからの復旧を支援してもらえるか
– セキュリティ上の問題を迅速に説明してもらえるか
– 担当者任せではなく、会社として対応する体制があるか
– 利用者側が行うべき対策まで案内してもらえるか

今回の事件を、大手事業者だけの問題として見るべきではありません。

ウイルネットを含むすべてのサーバー事業者が、契約件数や売上の拡大だけでなく、一社一社のお客様のデータと事業を守ることが、サーバー事業の原点であると改めて確認する機会にしたいと思います。

GMOグループの早期解決と信頼回復を願って

弊社は、GMO社へ買収される前からイエラエ株式会社とパートナー契約を締結し、同社のセキュリティサービスをお客様へ提供する立場にあります。

同社は、脆弱性診断やペネトレーションテスト、インシデント対応など、高度な専門技術を持つセキュリティ企業です。
弊社もその技術力と、「世界から脆弱性を一つでも減らす」という考え方に期待して、パートナーとしての活動を進めています。

それだけに、同じGMOインターネットグループが提供するサービスにおいて、社内の専門家から改善すべき課題が事前に指摘されていたにもかかわらず、十分な速度で対策が完了せず、お客様の情報や資産に影響する事態となったことを、パートナー企業として非常に残念に受け止めています。

現時点で、GMOサイバーセキュリティ byイエラエ株式会社のサービスや顧客情報が侵害されたという発表はありません。

今回の問題を一部門や一社だけの問題として終わらせず、セキュリティ専門会社の知見をグループ全体の経営判断、システム設計、脆弱性管理に確実に反映する仕組みへつなげることが重要だと考えます。

そして何より、被害や不安を抱えているお客様への対応が速やかに進み、今回の問題が一日も早く解決することを願っています。
また、弊社はGMOグループおよびGMOサイバーセキュリティ byイエラエ株式会社が、今回の経験を今後のセキュリティ強化に生かし、失われた信頼を回復されることを、パートナー企業として応援しています。

問題を正しく検証し、改善すべき点を明らかにしたうえで、より安全なサービスへ変わっていくことを支える。
それが、同じインターネット・セキュリティ事業に携わる企業としての姿勢であると考えています。

執筆・監修：株式会社ウイル 執行役員 岸本　静樹
編集協力：生成AI