熊谷社長は会見で何を謝罪したのか

熊谷氏はシステムにセキュリティ上の問題があったことを認め、グループ内の専門家から2024年に受けていた指摘を「生かすことができなかった」と語った。同じ日の取締役会では、熊谷氏ら役員4人の月額報酬を最大30％、3か月にわたって減らすことも決めている。

問題が起きたのは、子会社のGMOインターネットが運営する「お名前.com デスクトップクラウド」だ。FXの自動売買ソフトを動かすための仮想サーバー（VPS）を貸し出すサービスで、利用者のサーバー内に保存されていた証券会社やFX会社の口座ログイン情報などが第三者に取得され、不正な取引に使われたとみられる。

会見は2日午後3時30分ごろに始まった。熊谷氏とGMOインターネットの伊藤正社長らが出席し、冒頭で熊谷氏が経緯をわびた。

「当グループのサービスにおいて不正アクセスを受け、お客様の情報が流出し、結果悪意のあるものによってお客様の資産が毀損するという事故が発生しました。心よりおわび申します」

続けて「本サービスのシステムに、セキュリティ上の問題があったことは事実です」と明言。最後は「お客様をお守りすることができず、誠に申し訳ありませんでした」と述べ、深く頭を下げた。

2年前の指摘を「サービス運営に生かすことができなかった」

会見で焦点の一つになったのが、事前の指摘だった。熊谷氏は、グループのセキュリティ会社「GMOサイバーセキュリティ byイエラエ」の専門家からシステム上の課題を指摘されていたと認め、その指摘を「サービス運営に生かすことができなかった」と説明した。グループ代表として重く受け止めているという。

会社側の説明では、指摘を受けたのは2024年4月。同年4〜5月に計4回の緊急メンテナンスを行ったものの、根本的な改善には至らず、対策は十分ではなかったと認めた。当時どこまで手を打ち、なぜ止まったのか。この点が今後の検証で問われる。

自身のSNS投稿3点も陳謝

熊谷氏は問題が起きてからの自身の発信についても謝った。挙げたのは次の3点だ。

陳謝した投稿	内容
1点目	被害に遭った人に関わる事柄に投稿で触れた
2点目	問題の渦中に笑顔で写る写真を投稿した
3点目	グループの陸上部を巡る投稿者に不適切なコメントをした

3点とも「被害に遭われた方のお気持ちへの配慮が欠けておりました」と述べた。熊谷氏は10月29日にXでも謝罪していたが、会見の場で改めて頭を下げた。

役員4人の報酬を最大30％減額、12月支給分から3か月

GMOインターネットグループは会見と同じ日に「役員報酬の減額に関するお知らせ」を開示した。対象は熊谷氏を含む4人で、いずれも月額報酬を3か月減らす。

氏名	主な役職	減額
熊谷正寿	グループ代表会長兼社長	30％を3か月
伊藤正	GMOインターネット社長	25％を3か月
山下浩史	GMOインターネット副社長	20％を3か月
児玉公宏	GMOインターネット専務	20％を3か月

減額は2026年12月支給分から始まる。伊藤氏、山下氏、児玉氏の3人は子会社のGMOインターネットから報酬を受けているため、同社の取締役会で同じ内容を決議した。

ただし、これで責任の取り方が決まったわけではない。開示資料は、今回の減額を「現時点における評価」に基づくものと位置づけ、問題が起きる前の経緯を今後検証すると明記した。検証の結果を踏まえ、経営責任のあり方を改めて検討するという。会見では安田昌史副社長も同じ趣旨を説明している。

流出した情報はどこまで分かっているのか

利用者がいちばん知りたいのは、自分の何が漏れたのかだろう。

会社がこれまでの公式発表で認めているのは、顧客の情報が外部に持ち出された事実だ。影響を受けた可能性があるサーバーは2万6739件。サーバー内に保存されていた証券会社やFX会社の取引口座のログイン情報などが取得され、不正に利用された可能性があるとも説明している。一方、持ち出された情報の種類ごとの件数や、情報が漏れた人数は、会見までの公式発表では明らかにしていない。

10月27日には、攻撃者とみられる者が顧客の情報とされるものをネット上で公開したことを会社が確認した。掲載サイトのドメインは28日未明に停止され、同様のサイトが出てくれば削除を求めるとしている。攻撃者は「70を超える」証券・FX会社の口座への不正操作の継続などを脅しの材料に挙げているが、これは攻撃者側の主張で、会社が確認した被害の範囲とは異なる。

侵入が始まった時期について、会社側は会見で8月に侵入されていたと説明した。サーバーに不正なプログラムが置かれていることを会社が確認したのは10月20日で、2か月余り気づかなかったことになる。

時期	出来事
2024年4月	グループの専門家が課題を指摘
2026年8月	攻撃者がシステムに侵入
10月20日	不正プログラムの設置を確認
10月21日	サーバーの停止と公表、約80億円の要求メール
10月24日	見舞金と損失補償を決定
10月27日	攻撃者による情報公開を確認
10月28日	懸賞金の受け付けを開始
11月2日	初の記者会見、役員報酬の減額を決議

補償の中身と、これからの対応

会社が示している補償は、金銭的な被害の有無にかかわらず受け取れるものと、被害の中身に応じたものに分かれる。

補償	中身
一律の見舞金	利用者全員に5000円
不正取引の損失	不正アクセスが原因と認めた取引の実現損失を補償
特別お見舞金	情報を公開された人に区分ごと1万円から2万5000円、1公開あたり上限300万円
代替サービス	独立した基盤へ移行でき、移行後6か月は無料

損失補償の対象は取引の差損や手数料などで、相場の変動による損失や、得られたはずの利益は含まない。申請の方法と期限は11月6日までに案内するとしている。特別お見舞金は、公開された情報が「氏名・連絡先などの基本的な情報」「取引口座のID・パスワードなど」「プライバシー性の高い情報」のどれに当たるかで金額が変わり、複数に当たれば合計する仕組みだ。

約80億円の金銭要求には応じていない。会社は警察に相談したうえで、犯人の特定につながる情報に総額100万米ドルを上限とする懸賞金をかけた。サービスは10月21日から止まったままだ。

次に問われるのは、2年前の指摘からなぜ根本的な改善に進めなかったのかの検証になる。会社はその結果を見て経営責任を改めて考えるとしており、検証の進め方と公表の時期が、利用者が判断する材料になる。

関連記事：GMO懸賞金サイト、開設6時間で113件の情報提供　総額上限100万ドルの条件と、個人情報を公開された人への特別お見舞金

関連記事：GMO熊谷代表、不正アクセス問題で陸上部は「何の影響も無し」　ニューイヤー駅伝王者の存続を心配する声に、主なメンバーと今後の大会日程

[文/構成 by ライター 飯田タツヤ]