GMO熊谷会長が会見で謝罪 2024年の脆弱性指摘・北朝鮮関与説・全額補償を確かめる
GMOインターネットグループの熊谷正寿会長兼社長が11月2日、不正アクセス問題で初めて記者会見を開き、2024年4月にグループの専門家から課題を指摘されていたことを認めて謝罪しました。FXの不正取引の損害は全額補償するとしています。一方、報じられた「北朝鮮のハッカーの関与」はGMOの分析段階で、確定はしていません。会見と報道から確かめられたことを整理しました。
結論：広がっている話は本当？
- 事実「GMOは2024年に脆弱性を指摘されていた」GMOは会見で、2024年4月にグループのGMOサイバーセキュリティbyイエラエの専門家からシステム上の課題を指摘されていたことを認めました。熊谷会長兼社長は「この指摘をサービスの運営において生かすことができませんでした」と述べています
- 不正確「GMOは指摘を受けても何もしなかった」GMOは、指摘を受けた2024年4〜5月に緊急のメンテナンスを4回行ったと説明しました。ただ、その対策は「深さと速さの両面で不足していた」と認めています。何もしなかったわけではありませんが、対策は不十分でした
- 確認できず「攻撃は北朝鮮のハッカーによるものと確定した」共同通信は11月1日、GMOが攻撃側に北朝鮮系のハッカー集団がいる可能性が高いと分析し、政府に報告したと関係者への取材で報じました。ただ、GMOの幹部も「可能性を含めて調査している」という段階で、警察や政府は攻撃者を発表していません
- 事実「FXの不正取引で出た損失は全額補償される」GMOは会見で、FXの不正取引で損失を受けた利用者には全額を補償すると明言しました。被害の有無にかかわらず一律5000円の見舞金、情報が公開された人には最大300万円の特別見舞金も支払うとしています
この記事のポイント
- GMOの熊谷正寿会長兼社長は11月2日、問題の発覚後はじめて記者会見を開き、「お客様をお守りすることができず、誠に申し訳ありませんでした」と謝罪しました
- 攻撃者は8月5日に利用者の仮想サーバーに侵入し、管理者権限を盗んでいました。GMOが気づいたのは10月20日で、約2か月半かかりました
- FXの不正取引の損失は全額補償し、身代金は「永久に支払わない」としています。北朝鮮の関与は報じられていますが、確定はしていません
みんなは？
読者アンケート・回答 件※ 統計的な世論調査ではありません。
① 何が起きているのか
この記事は「GMO不正アクセス、脅迫サイトの記録から攻撃者を絞り込み 犯人特定はまだ」の続報です。
熊谷会長が初めての会見で謝罪
GMOインターネットグループの熊谷正寿会長兼社長は11月2日午後、FX向けクラウドサービス「お名前.com デスクトップクラウド」への不正アクセス問題で、はじめて記者会見を開きました。
熊谷氏は、利用者の情報が流出し、資産が損なわれたことについて「心よりお詫び申し上げます」と述べ、「お客様をお守りすることができず、誠に申し訳ありませんでした」と頭を下げました。自身のXで、被害者に関わる事柄に触れたことや、笑顔の写真を投稿したことなどについても「配慮が欠けておりました」と謝罪しています。
2024年の指摘と、その後の対応
GMOは、2024年4月にグループのセキュリティー会社「GMOサイバーセキュリティbyイエラエ」の専門家から、システム上の課題を指摘されていたことを認めました。
日本テレビによると、GMOは指摘を受けて4〜5月に緊急のメンテナンスを4回行いました。ただ、その対策は「深さと速さの両面で不足していた」と説明しています。また熊谷氏は、この課題について自分には報告が上がっておらず、今回の事件で知ったと話しました。
8月に侵入、気づいたのは10月
会見で明らかになった経緯は次のとおりです。
- 8月5日：攻撃者が利用者の仮想サーバー（VPS）に侵入し、その後、サービスの管理者権限を盗みました
- 9月20日〜10月14日：乗っ取られた管理サーバーを通じて、利用者の仮想サーバーに悪意のあるソフトが配られました。対象になり得たのは最大2万6739台です
- 10月19〜20日：利用者からの問い合わせで調査を始め、10月20日に被害を認識しました
補償と見舞金
GMOが会見で示した利用者への対応は次のとおりです。
- FXの不正取引で損失を受けた人：全額を補償
- 利用者全員：被害の有無にかかわらず一律5000円の見舞金。代わりのサービスを6か月間無料で提供
- 情報が公開された人：情報の内容に応じて最大300万円の特別見舞金
熊谷氏ら役員4人の報酬は、12月分から3か月間、最大30%減らします。検証の結果をふまえて、経営責任のあり方を改めて検討するとしています。
「北朝鮮のハッカー」説はどこまで確か
共同通信は11月1日、GMOが攻撃側に北朝鮮系のハッカー集団がいる可能性が高いと分析し、政府に報告したと、関係者への取材をもとに報じました。悪意のあるソフトの特徴などから判断したとみられます。共同通信が専門家の協力を得て調べたところでも、脅迫サイトの公開直後に接続したIPアドレスのうち5つが、過去に北朝鮮のハッカー集団が使ったものと一致しました。
一方で、脅迫サイトには米国や日本など複数の国に関わる痕跡もあり、調査を混乱させる狙いの可能性が指摘されています。GMOの幹部もTBSの取材に、北朝鮮の関与の可能性を「含めて」調査していると話しており、確定した話ではありません。前回の記事で紹介したように、攻撃者は「素人」だとみる専門家もいます。
熊谷氏はこれまでXで、ネット上の情報の広がりを攻撃者による「認知戦」だと発信してきました。会見では、これは個人の見解で、会社としての見解ではないと説明しています。
まだわかっていないこと
- 犯人は誰か：懸賞金には約700件の情報が寄せられ、GMOは犯人特定につながる情報を警察に提出しています。ただ、2日夜の時点で、警察は攻撃者の特定や逮捕を発表していません
- 補償の時期と手続き：いつ、どのように支払われるかは、今後の案内を待つ必要があります
出典
② それぞれの意見
各立場の主な主張を、元の発言や記事をもとに、当サイトがわかりやすくまとめています。
GMOの説明と対応を評価する見方の意見
熊谷会長兼社長は、FXの不正取引の損失を全額補償し、利用者全員に一律5000円、情報が公開された人には最大300万円の見舞金を払うと説明しました。代わりのサービスも6か月間無料で提供します
攻撃者が求める約80億円については「彼らの最大の目的はお金です。助長するようなことはしません」として、永久に支払わない方針を改めて示しました
犯人の特定につながる情報を募る懸賞金には、会見の日までに約700件の情報が寄せられたとしています
GMOの責任を厳しく問う見方の意見
共同通信は、2024年4月に社内の専門家が警告していた脆弱性を、GMOが2年以上放置していたと報じ、対応の遅れへの批判は避けられないとしています
熊谷会長兼社長は会見の前、Xで「脆弱性に関する通報を放置した」という報道を「事実ではありません」と否定していました。会見では、グループの専門家から指摘を受けていたことを認めています
熊谷会長兼社長は、問題の原因となったセキュリティー上の課題について、自分には報告が上がっておらず、この事件で知ったと話しました。経営の目が届いていなかったことになります
③ ポイント整理
意見が一致している点
- FXの不正取引で出た損失は、GMOが全額補償すること
- 攻撃者の要求には応じず、身代金は支払わないこと
- 公開された個人情報とされるものを、拡散したり見に行ったりしないほうがよいこと
意見が分かれている点
- 2024年の指摘のあとの対応を「放置」と見るか、「不十分な対策」と見るか
- 役員報酬の減額（熊谷氏は月額の30%を3か月）が責任の取り方として十分かどうか
- 攻撃者を北朝鮮系とみる分析と、「素人」とみる専門家の見方のどちらが近いか
今後の注目点
- 警視庁が攻撃者を特定・逮捕するか、政府が北朝鮮の関与について何か発表するか
- GMOがこれから行う検証の結果と、それをふまえた経営責任の見直し
- 補償と見舞金が、いつ、どのように支払われるか
GMOは会見で、2024年に脆弱性を指摘されながら対策が不十分だったことを認め、FXの損失の全額補償を約束しました。「何もしなかった」わけではないものの、気づくまで2か月半かかり、トップにも報告が上がっていなかったことがわかりました。 北朝鮮の関与は有力な見方として報じられていますが、まだ分析の段階です。犯人が誰かは、警察の捜査を待つ必要があります。
あなたの考えに近いのは？
ワンタップで回答できます。回答すると、ほかの読者の回答の割合が見られます。
※ 記事を読んだ方が自由に答える読者アンケートで、統計的な世論調査ではありません。当サイトとしての賛否を示すものでもありません。
この記事をシェアする
いろいろな立場の人と一緒に考えるきっかけに。