なぜハッカーが支持されてしまったのか：GMO不正アクセス事件と代表の失態

２０２６年１０月、GMOインターネットのFX自動売買用サービス「お名前.com デスクトップクラウド」が不正アクセスを受けました。影響を受けた可能性があるサーバーは全プランで２６,７３９件にのぼります（実際に侵入や感染が確認された数ではありません）。７０社以上の証券・FX口座では、身に覚えのない取引も起きています。脅迫して身代金を要求した犯人は、非難されるべき立場です。それなのにXでは、犯人の言い分のほうが信用できるという空気が広がりました。原因は犯人の主張の中身ではなく、GMO側、とくにトップである熊谷正寿代表の対応にあります。

１. 「事前に指摘されていた」と自分から認めた

いちばん大きかったのは、熊谷代表が１０月２５日のブログで、社内のホワイトハッカーが課題を前もって現場に指摘していたと書いたことです。対策が遅れた理由は「可用性や他の対処事項との優先順位」でした。正直に明かしたこと自体は評価できます。しかし、リスクを知りながら後回しにしたという告白は、「GMOに過失がある」という犯人の主張を、会社自身が裏付けたように受け取られました。中途半端な情報開示をトップが行ったことにより、憶測が広がる余地を残しました。重大事態が起こった時に曖昧な情報が浮上すると話題が膨れ上がるのはセオリー中のセオリーです。しかも、ハッカー側の言い分を肯定したことで、代表自らがハッカーの信用度をあげてしまったことは大きな失態と言えます。

２. 公表の遅れと、追い込まれたように見えるタイミング

発覚は１０月２１日ですが、脅迫を公表したのは２４日の１１時５０分でした。犯人が「過失を公表する」と予告していた１２時のわずか１０分前です。お金に直結するサービスで３日間情報が出なかったことで、利用者がPCを切り離したり口座を確かめたりする判断が遅れました。そのうえ予告の直前に発表したため、「自分から情報を出したのではなく、追い込まれて出した」という印象を与えました。実際にこの間に数百万の損失が起こったなどという話題が飛び交いました。すでに危機対処として深刻な事態に入っているにも関わらず初動で利用者側にたった行動ができなかったことでGMO側から支持が離れる用意となりました。

３. 注意喚起が後追いになり、規模もわかりにくかった

PCのスキャン、ネットからの切断、電源オフといったお願いは、状況が広がってから段階的に出されました。手元のPCにまで影響が及ぶおそれがあるなら、最初に伝えるべき内容です。また、発表されたのはサーバーの件数だけで、影響を受けた契約者の人数は示されていません。小出しの発表が続き、規模もはっきりしないことで、「会社は事態を把握しきれていない」という不安が強まりました。

この時点で会見も開かずに、サイト上での発表と、代表のXやブログでの投稿が主たる対応であり、表立って謝っていないことも輪をかけて不誠実な会社でさらにリスクを隠しているのではという心配を加速させました。

４. 「AIのせい」「国に要請」という責任転嫁に見える説明

熊谷代表は背景として「AIの悪用」を挙げ、政府に能動的サイバー防御の適用を求めました。けれども、AIが使われた根拠は示されていません。自社の設定や管理をどう検証したかを説明する前に外部の要因を前面に出したことで、「まず自社の不備を認めるべき」という批判を招き、信頼をさらに落としました。そもそも政府による能動的サイバー防御は国の基幹インフラや重要システムに対する攻撃への対処であり、民間企業の営利事業に対しては対象外です。そのような法的知識もなく要請したことで、専門性も持たない集団であると自らレッテルを貼ってしまいました。

５. PCの補償の対象が狭い

GMOは１０月２７日に、ランサムウェアの被害に遭った人には同等性能の新しいPCを提供すると発表しました。ただし対象は被害が確認された人だけで、予防のために自分で買い替えた人の費用は補償されません。不正取引で出た損失、ユーザー全員への一律５０００円の見舞金という対処はあったものの、対処のためにPCの電源を切るよう求めるというのはバランスが悪く見え、利用者の不満と不安に寄り添いきれていないと受け取られました。とにかく会見が開かれないことで情報が曖昧な状態が続いています。

熊谷代表の個人会社へのワインやプライベートジェット関連の支出に関する追求も始まったことで、保証金額についての不満も高まってしまいました。普段からの素行がリスク時に爆発した格好となりました。

その他にも代表の不適切な投稿が散見され、一般大衆からの支持はほぼゼロとなりました。総理総裁であったならもう退陣必須の状況です。

セキュリティ関連を扱う企業としてここまでの対応は杜撰であるとしか言えません。

もちろん、悪いのは脅迫犯です。早く捕まることを祈ります。犯人側の情報を好意的に広めてしまってる人々にも強い注意が必要です。

GMOの扱う中国製ロボット事業への不安も後追いで話題となっています。

GMOは２０２６年６月から、子会社を通じて中国Unitree社の人型ロボットを国内で販売していて、羽田空港での実証実験も行っています。事件をきっかけに、「セキュリティが甘い会社が、セキュリティリスクの指摘がある中国製ロボットを広めて大丈夫か」という声が上がりました。本業のセキュリティでつまずいたことで、新しい事業にまで疑いの目が向く結果になりました。

実際に、中国製ロボットにリスクがあったとしてもGMOはその課題への対処ができないと不審がられてしまっています。

そろそろ真面目にリスク対応を行わなければ、他の事業にもさらに飛び火し、会社が潰れかねないと思われます。

GMOが支持を失ったのは、事前の対策を後回しにしたこと、初動の情報公開が遅れたこと、そして熊谷代表の失態。

危機のときにトップに求められるのは、自社の責任を引き受けることです。

その対応を誤ったことが、犯人の言い分に耳を傾ける空気を生んだ最大の原因と言えるでしょう。