4回のメンテナンスの後で：GMOの警告はなぜグループ代表へ届かなかったのか

この事故で証拠が裏づけるのは、特定の脆弱性が2年間放置されたことではない。2024年4月、グループのセキュリティ会社は、このシステムの問題を運営会社の副社長級に届け、会社は4回のメンテナンスを行った。しかし警告はそこから先へ進まなかった。代表には届かず、同じ診断も繰り返されなかった。なぜ止まったのか――法務部長は会見で、どの脆弱性を取締役会に上げるかの基準は当時設けられておらず、ケースごとに判断していたこと、会見当日も定量的な基準はないと説明した。

2026年の攻撃者がどこから入ったのか、それが2024年の指摘と同じ箇所なのかは、会社自身が「まだ判明していない」と言っている。本誌はその線を引かない。本稿の判断は、裏づけの取れた組織の断線だけに置く。会社が今後公表する検証で、当時の報告基準や、代表へ報告した記録が示されれば、本稿の主旨は覆り、本誌は公に訂正する。

一、主旨

まず事実と判断を分ける。

事実はこうだ。2026年10月、日本の大手インターネットグループのクラウドサービスが侵入を受けた。サーバーに保存されていた顧客の取引認証情報が外部に持ち出され、一部の顧客は不正な取引で実際の損失を受けた。会社は10月21日に初めて公表し、その後の2週間で16報を重ねた。11月2日、グループ代表の熊谷正寿は、運営会社の社長、副社長、法務部長とともに、約3時間半の記者会見に臨んだ。

しかし会見が本当に開いたのは、もっと早いもう一つの線だった。2024年4月24日、グループ自身のセキュリティ会社が、このシステムを診断し、問題を机上に置いていた。報告は運営会社の社長・伊藤正と副社長・山下浩史の級に届き、4回の緊急メンテナンスがその後の約1か月で行われた。そして、この件はそこで止まった。熊谷には届いていなかった――会見で彼は、当時自分のところには報告（エスカレーション）がされていなかったと述べた。なぜ上に進まなかったのか。法務部長の川崎友紀は会見で理由を具体的に述べた。どの脆弱性を取締役会に上げなければならないかの基準は当時設けられておらず、ケース・バイ・ケースの判断だった。そして会見当日も、定量的な基準は存在しない。

したがって本誌の判断（OUR READING）は一句に絞る。この事故で証拠が裏づけるのは、特定の脆弱性が2年間放置されたことではなく、副社長級で止まった警告である。警告は受け取られ、処理され、「ひと段落した」と判断された。しかし、そこから先へは進まなかった。代表には届かず、さらに上へ進まなければならないと定める基準もなかった――法務部長が会見で述べた通りである。

最も間違えやすい因果は、ここで切り離す。2024年の指摘の具体的内容は、会社が一度も公表していない。会見で「今回攻撃されたのは、2年前に指摘された箇所でしょうか」と問われた熊谷は、侵入経路はまだ正確にはフォレンジックできていないと答えた。判明している攻撃の流れの少なくとも一環――顧客のパソコンからファイルを奪ったドライブ共有の設定――は、会社によれば当時の指摘には含まれていなかった。つまり本稿でいう「指摘された問題」は、当時机上に置かれたシステムの課題を指すのであり、それが2026年の扉と同じものかどうかは、いまも誰にも証明できない。本稿の主旨は組織の断線にだけ置き、この因果には置かない。

反証の条件は第9節に置く。会社が約束した「事前経緯の検証」で、当時の報告基準や、代表へ報告した記録が示されれば、本稿の主旨は覆り、本誌は公に訂正する。

二、人を確認する：取引の認証情報を預かるクラウドデスクトップは、通常の漏えいとは違う

この事故のリスク水準は、サーバーの中身で決まる。

「お名前.com デスクトップクラウド」は、GMOインターネット（4784）が運営するクラウドデスクトップである。利用者はその上でFXや株式の自動売買プログラムを24時間動かし、取引口座のログイン情報はこれらのサーバー内に保存されていた。運営会社は第3報でデータの範囲を明記している。サーバー内に保存されていた情報には、取引ツールに保存された取引口座のログイン情報などが含まれる。一方、顧客の支払い情報そのものは、このサーバーには保存されていない。

つまり攻撃者が持ち出したのは名簿ではなく鍵だった。10月24日の第4報は、顧客の情報が外部に持ち出された事実を確認した。それ以前から、顧客からは身に覚えのない取引の報告が寄せられていた。認証情報、不正な取引、実現した損失――この流れがあるため、本件は「メールアドレスが何万件漏れたか」という種類の事故とは違う。通常の漏えいの害は確率的だが、ここでの害はすでに発生した資産の損失である。

運営会社についても先に確定させる。GMOインターネット自身が東証プライムの上場企業であり、持株会社（9449）の連結子会社である――2025年にグループが持株体制へ移行した際、グループの基幹事業を引き継いだ会社だ。グループの看板の陰にある無名の子会社ではなく、自社の株主に対して独立に説明責任を負う上場企業である。この点は、後の報酬減額の開示を読むときに効いてくる。2つの上場会社が、同日にそれぞれ開示を行った。

事実

本件の書面開示の流れ（FACT）：2社連名の「重要なお知らせ」第1報から第16報（2026年10月21日〜11月4日に継続更新）と、2つの上場会社によるTDnetの適時開示4回分（10月23日、24日、28日、11月2日）。影響の範囲、補償の構造、脅迫の要求、報酬の減額は、すべてこの書面の流れの中で原文を確認できる。確認できないのは会見の内容である。会社は会見の文字起こしも資料PDFも公表していない――2024年の指摘、報告の断線、侵入の時間軸といった最も重要な事実は、いまのところ会見での発言という形でしか存在しない。本稿が会見の内容を引くときは、必ず「会見で」と断る。

三、76日：攻撃者が歩いた道

この節は検知の線だけを書き、出所の層を一つずつ明示する。この線こそ、最も間違えやすいからだ。

山下浩史が会見で説明した流れはこうだ。攻撃者は2026年8月5日、ある顧客のクラウドデスクトップに侵入して管理者アカウントを奪い、8月17日に管理者権限で管理サーバーへ侵入し、9月20日から10月14日にかけて、管理サーバーを経由して他の顧客のクラウドデスクトップにマルウェアを配布した。リモートデスクトップのドライブ共有機能が悪用され、顧客自身のパソコン内のファイルが奪われた可能性もある――会社は会見で、実際のファイルの窃取が確認されたこと、範囲は調査中であることを認めている。

会社はいつ知ったのか。書面で確定できるのは次の通りである。10月19日、顧客からの問い合わせを受けて調査を開始。10月20日、不正なプログラムが設置されていることを確認。10月21日午前4時、第一報を公表し、同じ時点から全プランのサービスを順次停止した。10月22日、警察へ相談した。

8月5日から10月20日までは、76日である。この76日の証拠の構造に注意したい。起点（8月5日）は会見の説明にしか存在せず、会社の書面のどこにもこの日付は現れない。終点（10月20日）は書面で確認できる。山下は会見で、この期間の異常をサービスの監視で捉えられなかったことを認めた。なぜ捉えられなかったのかと問われると、今は答えを持っていないと述べた。

検知の断線と報告の断線は別の話である。この節は前者――攻撃者はシステムの中を76日歩き、警報は鳴らなかった。次節は後者――2年前、警報は鳴ったが、鳴った場所が違った。

四、2024年の報告書は、どの層で止まったのか

2024年4月24日、GMOサイバーセキュリティ byイエラエはこのシステムの診断を終え、診断結果の報告会と、エンジニア同士の詳細な説明会を開いた。指摘の具体的な内容は、会社が今日まで公表していない。文書にできるのは「システム上の課題・改善点」という層までである。指摘を特定の名指しされた脆弱性であるかのように書くことは、出所のない記述になる。

報告は誰に届いたのか。会見では細かく問われた。伊藤正によれば、報告を受けていたのは伊藤自身（当時はグループ副社長）、事業責任者、そして山下浩史だった。熊谷はその中に入っていない。会見で彼ははっきり述べた。当時、自分のところにはエスカレーションされていなかった、と。取締役会全体が知っていたかどうかは、いまも文書では答えられない――会見で取締役会への共有の有無を問われた会社は、議事録を確認してから回答するとした。

「基準がなかった」という事実の形を描く細部がある。熊谷は会見で、グループは158社・8,300人規模であり報告の基準はある、という趣旨を述べた。続いて法務部長の川崎友紀が、その話を本件に絞って言い直した。脆弱性を取締役会に上げる定量的な基準は当時設けておらず、ケース・バイ・ケースで判断していた。それは今後の課題であり、会見当日も定量的な基準は存在しない。つまり足りなかったのは「会社に報告の制度が何もない」ことではない。制度の階段のうち、取締役会へ至る段だけが存在しなかったのだ。

構造の問題がもう一つある。警告を発したイエラエには、運営会社への指示・命令の権限がない。熊谷は会見の最後に、イエラエの当時の位置づけは兄弟会社に「健康診断」をするようなものだったと述べた。見つけることはできても、その先を強制はできない。本来は自分が間に入ってマネジメントすべきだった、それは自分の責任だ、と。この一言が分業の形を明らかにする。診断した側にあるのは報告の権限だけで、処置と報告（エスカレーション）の権限は診断された側にあった。その処置を、次節で見る。

五、4回のメンテナンスの後、誰が「ひと段落した」と言ったのか

2024年4月26日から5月20日にかけて、運営会社は4回の緊急メンテナンスを行った。伊藤正は会見で、当時こう判断したと説明した。4回のメンテナンスで、この件は「ひと段落した」と。

山下浩史は、その判断の背景を補った。当時はサービスの可用性、他の脆弱性への対応、機能開発や性能向上といった案件と並べて優先順位を判断しており、その中でリスク分析が足りなかった。4回のメンテナンスで十分な深さまで対応できたと思っていたことが「最大の反省点」だという。彼の言葉では、対応は「深さと速さの両面で不足していた」。熊谷の総括はもっと短い。この指摘を「サービスの運営において生かすことができなかった」。

不在だった3つのことが、「ひと段落」の中身を確定させる。

• 再診断はなかった。会見で、メンテナンス後にこのシステムへ同じ診断を行ったかを問われ、山下は行っていないと答えた。4回のメンテナンスの後、このシステムが同じ診断で確かめられることは、二度となかった。
• 抜本的な再構築の公式記録はない。16報の書面と各開示のどこにも、このシステムの構造そのものを作り替えたという記載はない。メンテナンスの具体的な内容と深さは会社が公表しておらず、本節はそれを推測で埋めない。
• 上への道がなかった。報告が副社長級で止まったのは、誰かが口止めしたからではない。法務部長の説明では、そうした基準は当時設けられていなかったからだ（第4節）。

事実

見落とされやすい対照（FACT）：会社の16報の書面には、「2024年の対応が不足だった」という認め方は一度も現れない。書面が認めたのは、第4報における「本サービスのシステムにセキュリティ上の問題が存在した」という総括までである。「深さと速さの不足」も「指摘を生かせなかった」も、11月2日の会見にのみ存在する。書面開示と会見での発言のあいだにあるこの距離そのものが、本稿の観察対象の一つである。

この節の判断はここで置ける。行動はそろっていた――報告会は開かれ、メンテナンスは行われ、責任者は当時「ひと段落した」と判断した。不在だったのは3つである。上に上げることを求める基準、メンテナンス後の再診断、そして上に進むこと自体。「ひと段落した」と判断した人と、報告を受け取った人は、同じ級だった。これは誰か一人の怠慢で説明できる形ではなく、報告の道が制度として定義されていないときに現れる形である。

六、同じグループ、もう一つの死角：トラスト・ログインの9年

時間を、主事件の3か月前に戻す。2026年9月14日17時48分、外部のセキュリティ研究者が、脆弱性の報告制度を通じてGMOグローバルサインに一つの問題を知らせた。

「GMOトラスト・ログイン」は、企業向けのシングルサインオン（一度の認証で複数の業務システムにログインできる仕組み）である。その設計には、致命的な置き場所があった。ロゴ画像配信用の公開領域（ストレージ）に、顧客情報を含むファイルも保存されていたのだ。管理者が管理画面で一括操作をした際にシステムが作る一時ファイルや、契約情報のファイルがそこにあり、ファイルのリンクには署名も有効期限もなかった。リンクを知れば、誰でも取得できた。会社の最終報告（10月30日の第三報）の定性は明確である。これは外部からの攻撃や侵入によるものではなく、自社の設定および設計上の不備である。

期間と範囲は、第三報の確定した物言いで書く。ファイルが外部から取得可能だった期間は、2017年11月14日頃から2026年9月15日まで、約8年10か月。対象は2,492社・45,030人――人数はメールアドレスで重複を除いたものであり、「会社または外部の専門機関のいずれかが、第三者に取得され、かつ個人情報を含むと判定したファイル」に含まれる範囲に限る。全契約顧客ではない。アクセス記録で取得が確認できるのは2021年6月8日以降であり、それ以前の記録は残っておらず、会社は「可能性」として扱っている。ログインパスワードや決済情報は含まれていない。第三報の時点で、二次被害は確認されていない。

なぜ9年間、気づかなかったのか。第三報は自ら答えている。定期的な診断・侵入テストは行われていたが、その対象はアプリケーションとサーバーであり、ファイルを保管するストレージは対象外だったため、長いあいだ気づくことができなかった。そしてこの事件の外部調査を担ったのが、主事件のシステムを診断したイエラエである。グローバルサインにとっては「外部の専門機関」だが、同じ9449グループの関連会社でもある。その調査の結論を引くときは、この関係を添えなければならない。

事実

第一報の数字は失効している（FACT）：トラスト・ログインの第一報（9月16日）の暫定数字は2,007社・37,747人だった。第三報はこれを2,492社・45,030人に訂正し、第一報における遮断の時点と「取得が確認された期間」の記述もあわせて訂正した。先行報道や企画資料が第一報の数字を引き継いでいる場合、本稿はすべて第三報に置き換える。

この節の判断（OUR READING）：主事件は「報告」で壊れ、本件は「範囲」で壊れた。警告が上に進む線は、会見での説明では当時引かれておらず、診断の届く範囲は、データの流れではなく習慣で引かれていた。2つの事件の技術的な原因は無関係であり（一つは侵入、もう一つは設計の不備）、会社がこの2つを結びつけたことは一度もない。それでも並べて見る理由は一つだけである。どちらも同じグループの出来事であり、壊れたのはセキュリティの行動そのものではなく、その行動の行き先と届く範囲――制度との接点だった。

七、同じ秋、ほかの会社はどこで壊れたのか

この節は横に並べるだけにする。壊れた場所は会社ごとに違い、比較できるのは仕組みだけである。

アララ：プラットフォームが破られ、害は横に広がった。メール配信サービス「アララメッセージ」（ペイクラウドホールディングスの子会社が運営）が侵入を受けた。攻撃者はこのサービスのサーバーを経由して契約企業の環境に入り、97台のサーバー、最大で約380社が影響を受けた。持ち出された、またはそのおそれのあるメールアドレスは約7,700万件――会社は繰り返し、これは件数であり「おそれ」を含み、人数ではないと明記している。このサービスは、クレジットカード会社を装うフィッシングメールの送信にも悪用され、最大で約713万通が実際に送信された。サービスは10月31日に全面停止した。この秋、唯一「持ち出しと悪用の両方」が公式に確認された事件である。第一報の約301万件が、1週間後に自社の第2報で7,700万件に訂正された――その訂正の幅そのものも、開示の調整についての教訓である。

無印良品：第一報の「含まれない」という一覧が、第二報で覆った。良品計画の第一報（10月30日）は、MUJIアプリから漏れた可能性があるのはメールアドレス、生年月日、性別で最大約2,726万件であり、氏名・住所・クレジットカード情報は含まれないとした。11月4日の第二報では、範囲はネットストアの利用者に広がり、そのうち約52万件には氏名・住所・電話番号が加わった。さらに目を引くのは、2021年7月以前に入会したMUJI Card会員について、カード番号の全桁とCard ID、生年月日、約109万件が「外部からアクセスされた可能性」の範囲に入ったことだ。この全桁のカード番号は、当時、自社の特典を付けるためにカード会社から取得し、良品計画のシステムの中に残り続けていた古いデータだった。第二報は同時に、ダークウェブへの流出も悪用被害も、現時点で確認されていないとしている。壊れた場所ははっきりしている。「事前に警告されていたか」ではない。目的が終わった後も残されていたデータと、第一報が「まだ分かっていない」を「存在しない」に近い形で書いてしまったことである。

ANA：リスクは他人のシステムの中にあった。全日空の予約システムはスペインのAmadeusが提供している。Amadeusへの侵入の後、ANAの約37,800名の予約情報に参照された形跡があった。そのうち約1,700名にはパスポート番号などが含まれる（対象は2023年8月10日から2026年9月23日までの予約で、クレジットカード情報とパスワードは含まれない）。同じ提供先を使う日本航空にも、合計約92,000名の影響があった。ここにはよく転述される時間の流れがある――提供先が9月下旬に異常に気づき、ANAは10月中旬に他の航空会社から聞いて照会し、数日後に報告を受けた、というものだ。しかしこの流れは、報道がANAの説明として伝えたものだけに現れ、ANA自身の文書による開示にはこれらの日付がない。本稿では裏づけが取れていないものとして背景にとどめ、判断には使わない。確認できるのは構造だけである。データは自社にあっても、システムが他社にあるとき、リスクの所有とシステムの所有は分かれる。

並べ終わって、一言で締める。4社、4つの壊れ方である。主事件の「事前の警告に報告の道がなかった」という形は、ほかの3社のどこにも対応物がない。横に比較できるのは、各社のセキュリティの仕組みが、どの輪で制度として定義されていなかったか――報告、範囲、残存、委託先――それだけである。

八、FACT／OUR READING：セキュリティは製品であって、統治ではなかった

まずFACTをそろえる。GMOインターネットグループが外に売っているのは、まさにセキュリティである。イエラエは脆弱性診断、ペネトレーションテスト、フォレンジック支援を売る。グローバルサインはID管理と認証を売る。2026年の秋、グループ自身の2つの事件は、一つは、警告が取締役会に届かなかったことで壊れた――会見での法務部長の説明では、上げる基準が当時なかった。もう一つは、診断の範囲に、ファイルを保管するストレージが入っていなかったことで壊れた――会社の最終報告の記述である。この2文には、どちらも出所のある原文がある。修辞ではない。

見方

OUR READING：このグループに足りなかったのは、セキュリティの人材では決してない。自社のホワイトハッカーのチームは2024年4月の時点で問題を見つけていたし、その診断の腕は、グループのもう一つの会社の外部調査を任されるほどだった。足りなかったのは、重大な発見を取締役会の案件に変える機械である。その第一の要件は報告の線――どの線を越えたら、その級の机を離れなければならないか――であり、法務部長の会見での説明によれば、その線は当時設けられておらず、2024年の報告は線の手前、副社長級で止まった。その先に本誌が書き加えるべきだと考えるのは、責任者（そのリスクを最後まで引き受ける者）、期限（いつまでに処置するか、上げるか）、再検証（直した後、誰がもう一度確かめるか）、残存リスクへの署名（リスクを抱えたまま運用を続けると決めるとき、誰が署名して引き受けるか）の4つである。この4つは本誌の提案であり、存在しなかったと確定したものではない。会社はその有無を公表していない。

同じ機械の不在は、会見後の処分の形も説明する。報酬の減額は本物だが、それは「現時点の評価」であり、当時の対応への評価は今後の検証に送られた。熊谷は辞任を否定し、その理由として、インターネットを「きれいにしてから死にたい」と述べた。第三者を交えた検証を設けるかどうかは、会見で「検討中」とされた。原因の検証も、責任の線引きも、会見そのものの構成も、いまのところ同じ経営陣の内側を回っている。本誌は、その機械が作れるかどうかを予断しない。ただ、その成否を測る物差しは謝罪の誠意ではなく、この要件――まず報告の線――が書き留められた制度になるかどうかだ、と指摘する。

もう一つ、小さな観察を添える。この秋の第一報は、どこも「まだ分かっていない」を「存在しない」に近い形で書いていた。GMOの第一報は「漏えいは確認されていない」とし、3日後に持ち出しが確認された（第一報の原文には「現時点において」という限定があり、逃げ道は残されていた）。無印の第一報の「含まれない」という一覧には限定がなく、5日後に自社の第二報で覆った。アララの第一報の件数は、1週間で20倍を超えた。これはどこかの会社の品性の問題ではなく、開示の順序の構造の問題である。第一報を満杯に書くほど、その後のすべての報は、間違いを認める報になる。

九、これから何を見るか：会見の言葉を、確かめられる一覧に変える

本稿の判断は公開された証拠の上に置く。証拠が変われば、判断も変える。時間の順に、5つを見る。

1. 会社の「事前経緯の検証」（時期は未定）。報酬減額の開示は、2024年の対応への評価をこの検証に委ねた。検証が次を示せば――当時、文書化された取締役会への報告基準が存在し、本件がその基準で評価されていたこと、あるいは指摘が実際にグループ代表や取締役会に報告されていたこと――そのどちらか一つでも示されれば、本稿の主旨は覆り、本誌は公に訂正する。逆に、検証が会見の説明をなぞるだけなら、主旨は一度補強される。
2. 侵入経路についてのフォレンジックの結論（時期は未定）。本稿が切り離した因果を、どの級に置くかを決める。経路が2024年の指摘と無関係だと確定すれば、本稿の主旨と今回の事故との因果の重みは下がり、教訓はリスクの登録と報告の制度の話に狭まる。関係があると確定すれば、報告の断線の代償は値付けし直される。
3. 2026年11月12日（最も近い確認点）。グローバルサインは予定通り、個人情報保護委員会へトラスト・ログインの確報を提出する。範囲と定性は、そこで更新される可能性がある。
4. 取得が確認された総件数（いまだ公表されていない）。16報が示したのは「可能性」の総数（サーバー26,739件）だけである。顧客ごとに確認された実数が公表されて初めて、この事故の実際の大きさが定まる。
5. 業績への影響の最初の算定と、サービス再開の条件（いずれも未定）。補償、懸賞金、対応費用は、いまも「算定できていない」。デスクトップクラウドを再開するのか、するとすればどの条件でかは、この会社がセキュリティを優先順位のどこに置くかを示す、次の試金石である。

最後に一言。この事故の代償は、すでに顧客が先に払った。認証情報と、損失と、2か月半のサービス停止である。それが見合うものになるかどうかは、次の会見の誠意では決まらない。このグループが次に出すのが、謝罪か、基準かで決まる。