四次维护之后：GMO 的安全警告为何没到集团代表？

这起事故里能被证据坐实的，不是某个漏洞被放了两年。2024 年 4 月，集团安全公司把这套系统的问题送到了运营公司副社长一级，公司也修了四次；警告却没有再往上走：没有送到集团代表手里，维护之后也没有再做同样的诊断。为什么停在那里，法务部长在记者会上说得具体：什么样的风险必须上报董事会，当时没有定下标准，只能逐案判断；到记者会当天，定量的标准仍然没有。

2026 年攻击者具体从哪一处进来、与 2024 年的指摘是不是同一处，公司说还没查清，本刊不替它连线。本刊的判断只押在已经坐实的组织断线上：如果公司日后公布的验证结果，拿出当时的上报标准、或报告曾送达集团代表的记录，本刊的主旨即被推翻，届时公开更正。

一、主旨

先把事实和判断分开。

事实是：2026 年 10 月，日本一家大型互联网集团的云服务被入侵。客户存在服务器里的交易账户凭证被带出外部，一部分人被冒名交易，蒙受了实际损失。10 月 21 日公司首次披露，此后两周连发 16 份通报；11 月 2 日，集团代表熊谷正寿带着运营方的社长、副社长和法务部长，坐了约 3.5 小时的记者会。

但记者会真正揭开的，是另一条更早的线：2024 年 4 月 24 日，集团自己的安全公司就给这套系统做过诊断，把问题摆上了桌。报告送到了运营方社长伊藤正与副社长山下浩史这一级；四次紧急维护在随后约一个月里做完；然后，这件事就停了。没有送到熊谷手里——他在记者会上说，当时没有上报到他这里。为什么没往上送？法务部长川崎友紀在记者会上把原因说得很具体：什么样的脆弱性必须上报董事会，当时没有定下过标准，只能逐案判断；到记者会当天，定量的标准仍然没有。

于是本刊的判断（OUR READING）只有一句：这起事故里能被证据坐实的，不是某个漏洞被放了两年，而是警告在副社长的办公桌上停住了。警告被接收、被处理、被判断"告一段落"；但它没有离开那一级：没有送到集团代表手里，也没有一条标准决定它必须往上走——按法务部长在记者会上的说法，那样的标准当时没有定下。

先把一个最容易写错的因果切断：2024 年指摘的具体内容，公司从未公开；记者会上被问到"这次被攻击的地方，是否就是两年前被指出的地方"，熊谷回答，侵入路径还没有准确取证完成。已知的攻击链里至少有一环——把客户电脑文件窃走的驱动器共享设定——公司说不在当年的指摘之内。所以本篇说的"被提醒的问题"，指的是当年被摆上桌的系统课题；它与 2026 年攻击者进的那扇门是不是同一扇，至今无人能证明。本篇的主旨只押组织断线，不押这条因果。

证伪条件写在第九节：公司承诺的"事前经过验证"若出示当时的上报标准、或报告送达代表的记录，本刊主旨即被推翻，公开更正。

二、先认人：一台存着交易凭证的云桌面，为什么不是普通泄露

这起事故的风险等级，是由服务器里存的东西决定的。

「お名前.com デスクトップクラウド」是 GMO 互联网（4784）运营的云端桌面服务：用户在上面 24 小时跑外汇与股票的自动交易程序，交易账户的登录信息就保存在这些服务器里。运营方在第 3 报里把数据范围说得很清楚：服务器内保存的信息，包括交易工具里保存的交易口座登录信息等；公司本身不在这台服务器上保存客户的支付信息。

所以攻击者带走的不是名单，是钥匙。10 月 24 日的第 4 报确认：客户的信息已经被带出到外部；此前已有客户报告了不是自己做的交易。凭证、冒名交易、实际损失，这条链决定了它与"邮箱地址泄露了多少万件"不是同一种事故：普通泄露的伤害是概率性的，这里的伤害是已经发生的资产损失。

还要先把运营方认清：GMO 互联网自己就是东证 Prime 上市公司，是集团持股公司（9449）的连结子会社——2025 年集团转为持股体制后，它承接了集团的基础事业。它不是藏在集团招牌后面的无名子公司，而是一家要独立向自己的股东交代的上市公司。这一点在后面看减薪开示时很重要：两家上市公司，在同一天各自开了示。

事实

本案的书面披露链（FACT）：两家公司联名的「重要なお知らせ」第 1–16 报（2026 年 10 月 21 日–11 月 4 日持续更新），外加两家上市公司的 TDnet 适时开示（10 月 23 日、24 日、28 日与 11 月 2 日，共四批）。影响口径、补偿结构、勒索要求、减薪，都能在这条书面链里找到原文。找不到的是记者会的内容：公司没有发布记者会的文字稿或资料 PDF——2024 年指摘、升级断线、侵入时间线这些最关键的事实，目前只有记者会发言这一个载体。本篇引用会见内容时，一律注明"记者会上"。

三、76 天：攻击者走完的路

本节只写检测这一条线，并逐项标明出处层级——因为这条线最容易被写错。

按山下浩史在记者会上的说明：攻击者 2026 年 8 月 5 日进入一名客户的云桌面，窃走管理员账号；8 月 17 日，用管理员权限进入管理服务器；9 月 20 日到 10 月 14 日，经管理服务器向其他客户的云桌面分发恶意程序。利用远程桌面的驱动器共享功能，客户自己电脑里的文件也可能被窃——公司在记者会上承认，实际的文件窃取已经确认发生，范围仍在调查。

公司何时知道？书面披露能钉住的是：10 月 19 日，客户问询进来，调查开始；10 月 20 日，确认有不正程序被设置；10 月 21 日凌晨 4 点，首次披露，同一时点开始顺次停止全部套餐的服务。10 月 22 日，向警察相談。

从 8 月 5 日算到 10 月 20 日，是 76 天。要注意这 76 天的证据结构：起点（8 月 5 日）只存在于记者会说明，公司的任何一份书面通报里都没有出现过这个日期；终点（10 月 20 日）是书面确认的。山下在记者会上承认，服务的监控没有发现这段期间的异常；被追问为什么没能发现时，他说现在还没有答案。

检测断点与升级断点是两回事：这一节是前者——攻击者在系统里走了 76 天，警报没有响。下一节是后者——两年前的那次警报响了，但响到的地方不对。

四、2024 年那份报告，停在了哪一层

2024 年 4 月 24 日，GMO Cybersecurity by Ierae 对这套系统做完诊断，开了诊断结果报告会，又开了工程师之间的详细说明会。指摘的具体内容，公司至今没有公开——能写到纸面上的，只有"系统上的课题、改善点"这个层级。任何把指摘具体化为某个已命名漏洞的写法，都没有出处。

报告给了谁，记者会上问得很细。伊藤正说，接到报告的是他本人（当时是集团副社长）、事业责任者和山下浩史。熊谷不在名单里。他在记者会上说得很直白：当时，没有上报到我这里。至于董事会整体是否知情，至今没有文件能回答——记者会上被问到董事会是否共享过这份报告时，公司说要先核对议事录再回答。

这里有一个细节，能把"没有标准"这件事的形状画出来。熊谷在记者会上说，集团有 158 家公司、8,300 人，是有报告基准的；紧接着，法务部长川崎友紀把话收窄到本案：把什么样的脆弱性上报董事会，当时没有定下过标准，只能逐案判断，这是今后的课题；到记者会当天，定量的标准仍然没有。也就是说，缺的不是"公司没有任何报告制度"，而是制度阶梯上专门通向董事会的那一级台阶，不存在。

还有一层结构问题：发出警告的 Ierae，对运营公司没有指示、命令的权限。熊谷在记者会最后说，Ierae 当时的位置像给兄弟公司做"健康诊断"——查得出问题，管不了后续；本该居中管理的是他自己，这是他的责任。这句话把分工说清了：诊断方只有报告权，处置权与升级权都在被诊断的一方手里，而那一方的处置，下一节来看。

五、四次维护之后，谁说了"告一段落"

2024 年 4 月 26 日到 5 月 20 日，运营方做了 4 次紧急维护。伊藤正在记者会上说，当时判断：四次维护之后，这件事"告一段落"。

山下浩史把这个判断的背景补上了：当时要并行判断的，还有服务的可用性、其他脆弱性的应对、功能开发与性能提升；在这些事项之间排优先级的过程中，风险分析不足；他以为四次维护已经做到了足够的深度，这是"最大的反省点"。他的原话是：对应"在深度和速度两个方面都不足"。熊谷的总括更短：这个指摘，"没能活用到服务的运营里去"。

三件缺席的事，把"告一段落"的成色钉死：

• 没有再诊断。记者会上被问到维护之后是否对这套系统做过同样的再诊断，山下回答：没有做过。四次维护之后，这套系统再没有被同样的诊断检查过。
• 没有根本改造的官方记载。16 份书面通报与各批开示里，没有一处记载这套系统做过架构级的根本改造；维护的具体内容与深度，公司没有公布，本节不替它虚构。
• 没有向上的路。报告停在副社长一级，不是因为谁下了封口令，而是因为没有一条"必须往上送"的标准——法务部长在记者会上说，这样的标准当时没有定下过（第四节）。

事实

一个容易被忽略的对照（FACT）：公司 16 份书面通报里，从未出现"2024 年的处理不足"这一承认——书面只在第 4 报里承认"本服务的系统存在安全问题"这个总括。"深度和速度不足""没能活用指摘"这些话，只存在于 11 月 2 日的记者会。书面披露与记者会表态之间的这段距离，本身就是本篇的观察对象之一。

于是这一节的判断可以落了：动作是完整的——报告会开了、维护做了、负责人在当时还做了"告一段落"的判断。缺席的是三件事：决定它往上走的标准、维护之后的再诊断、它本身往上走这一步。说"告一段落"的人，和接收报告的人，是同一级。这不是某个人偷懒能解释的形状——这是上报通道没有被制度定义时，会出现的形状。

六、同一个集团，第二个盲区：Trust Login 的九年

把时间倒回主案之前三个月。2026 年 9 月 14 日 17 点 48 分，一名外部安全研究者通过脆弱性报告制度，向 GMO GlobalSign 报告了一个问题。

「GMO Trust Login」是给企业用的单点登录服务：员工用一次认证登录多个业务系统。它的设计里有一个致命的存放方式——给 logo 图片用的公开存储区，同时被用来保存含客户信息的文件：管理员批量操作时系统生成的临时文件、合同信息文件，都在里面；文件的链接没有签名、没有有效期，谁拿到链接，谁就能取。公司最终报告（10 月 30 日第三报）的定性很明确：这不是外部攻击、不是入侵，是公司自身设定与设计的不备。

期间与范围，按第三报的定案口径：文件可被外部取得的期间，是 2017 年 11 月 14 日前后到 2026 年 9 月 15 日，约 8 年 10 个月；涉及 2,492 家公司、45,030 人——人数按邮箱去重，且限于"被公司或外部专门机构任一方判定为已被第三方取得、且含个人信息"的文件所涉范围，不是全部合同客户。有访问记录能确认被取得的，是 2021 年 6 月 8 日之后；这之前没有日志，公司只能说"可能"。登录密码、支付信息不在其中；到第三报时，二次被害尚未确认。

为什么九年没有发现？第三报自己给了答案：定期诊断与渗透测试一直在做，但对象是应用程序与服务器，存文件的存储区不在对象之内，所以长年没有察觉。而担任这起事件外部调查方的，正是给主案系统做过诊断的 Ierae——它是集团关联公司，对 GlobalSign 而言是"外部专门机构"，引用它的调查结论时要带上这层关系。

事实

第一报的数字已经作废（FACT）：Trust Login 第一报（9 月 16 日）的暂定数字是 2,007 家公司、37,747 人；第三报更正为 2,492 家公司、45,030 人，并同时更正了第一报关于遮断时点与"确认取得期间"的表述。先行报道与选题材料里沿用第一报数字的，本篇一律以第三报为准。

本节的判断（OUR READING）：主案坏在"上报"，这案坏在"范围"——警告该往上走的线，按记者会上的说法当时没有定下；诊断该覆盖的范围，由习惯划定，不由数据的流向划定。两件事的技术原因毫无关系（一宗是入侵，一宗是设计不备），官方也从未把两案相连；把它们放在一起看的理由只有一个：它们出自同一个集团，而出问题的都是安全动作的制度接口——一个没定义往哪报，一个没定义查到哪。

七、同一个秋天，其他公司坏在哪里

这一节只做横向摆放：每家公司坏掉的位置不同，能比的只有机制。

Arara：平台被打穿，伤害横着走。邮件配信服务「アララメッセージ」（运营方为ペイクラウドホールディングス的子会社）遭入侵：攻击者经该服务的服务器进入契约企业的环境，97 台服务器、最多约 380 家企业受牵连；被带出或可能被带出的邮件地址约 7,700 万件——官方反复注明，这是件数，含"有可能"的部分，不等于人数。服务还被滥用来发送冒充信用卡公司的钓鱼邮件，最大约 713 万通（已确认发送）。服务已于 10 月 31 日全面停止。它是这一秋唯一"带出＋滥用"都被官方确认的案例；其第一报的约 301 万件，一周后被自家第二报修正到 7,700 万件——修正幅度本身，也是披露校准的一课。

无印良品：第一报的排除清单，被第二报推翻。良品計画 10 月 30 日的第一报说，MUJI App 可能泄露的是邮箱、生日、性别，最大约 2,726 万件，不含姓名、住所与信用卡信息。11 月 4 日第二报：范围扩大到网店利用者，其中约 52 万件另含姓名、住所、电话；更刺眼的是，2021 年 7 月以前入会的 MUJI Card 会员的卡号全桁与 Card ID、生日，约 109 万件，进入了"可能被访问"的范围——这些全桁卡号，是当年为自家特典而向发卡方取得、一直残留在良品計画系统里的旧数据。第二报同时确认：暗网流出与滥用被害，至今均未确认。它坏的位置很清楚：不在"有没有被提醒"，在为已经结束的目的取得的数据，没有随着目的结束而被删掉，以及第一报把"尚未查清"写成了近似"不存在"的清单。

ANA：风险在别人的系统里。全日空的预约系统由西班牙的 Amadeus 提供；Amadeus 遭入侵后，ANA 约 37,800 名乘客的预约信息留下了被参照的痕迹，其中约 1,700 人含护照号等信息（対象期間为 2023 年 8 月 10 日至 2026 年 9 月 23 日的预约；信用卡与密码不含）。同供应商的日本航空另有合计约 92,000 名。这里有一条常被转述的时间链——供应商 9 月下旬检知异常、ANA 10 月中旬从其他航司处得知后照会、数日后才收到供应商报告——它只见于媒体对 ANA 说明的转述，ANA 自己的成文披露没有这些日期，本刊未核成，只记作背景，不用它下判断。可以确认的只有结构：数据在自己手里，系统在别人手里时，风险的所有权与系统的所有权是分开的。

摆完之后收一句：四家公司，四种坏法。主案的"事先警告没有升级通道"，在其他三家身上都找不到对应物；能横比的，是每家的安全机制在哪一环没有被制度定义清楚——升级、范围、留存、供应链，仅此而已。

八、FACT / OUR READING：安全产品 ≠ 安全治理

先把 FACT 摆齐。GMO 互联网集团对外卖的正是安全：Ierae 卖脆弱性诊断、渗透测试与取证支援；GlobalSign 卖身份管理与认证。2026 年秋，集团自己的两起事故，一起坏在警告没能往上走——按记者会上的说法，把风险上报董事会的标准当时没有定下；一起坏在诊断没有覆盖到出事的地方——这是公司最终报告自己的说法。这两句都有原文出处，不是修辞。

我们的解读

OUR READING：这个集团缺的从来不是安全人才。它的白帽团队能在 2024 年 4 月就把问题找出来，它的诊断业务能被自家另一家公司请去做外部调查。它缺的是一台把高危发现当成董事会事项的机器。这台机器的第一要件是上报线：越过哪条线，问题必须离开本级办公桌——按法务部长在记者会上的说法，这条线当时并不存在，2024 年那份报告就停在了线内侧的副社长一级。在它之外，本刊认为还应写下来的有：责任人（谁对这条风险负责到底）、期限（多久之内必须处置或升级）、复测（修完之后由谁再验一次）、剩余风险签字（决定带着风险继续运行时，谁签字认账）。这四项是本刊主张补上的制度，不是已经查实的缺席——它们当时有无，公司没有公布过。

同一台机器的缺席，也解释记者会之后的处置形状：减薪是真的，但它是"现时点评价"，对当年的定责被留给"今后验证"；熊谷拒绝辞任，理由是要把互联网"清理干净再死"；是否引入第三方验证，公司在记者会上说还在研究。原因的验证、责任的划定、记者会本身的构成，目前都还在同一套管理层内部循环。本刊不预断这台机器补不补得上——只指出检验它的标准不该是道歉的诚意，而是这几项要件——首先是上报线——有没有变成写下来的制度。

还有一个更小的观察，附在这里：这一秋的第一报，普遍把"尚未查清"写得接近"不存在"。GMO 第一报说"未确认泄露"，三天后确认带出（第一报原文带了"现时点"的限定，算留了活口）；无印第一报的排除清单没有保留，五天后被自家第二报推翻；Arara 第一报的件数一周后放大了二十多倍。这不是哪一家的品行问题，而是披露顺序的结构问题：第一报写得越满，后面每一报就越像在认错。

九、接下来盯什么：把记者会的话变成可核对的清单

本篇的判断押在公开证据上，证据一变，判断就改。按时间顺序盯五件事：

1. 公司的"事前经过验证"（时点未定）。减薪开示把 2024 年处理的定责留给了它。验证若出示：当时存在成文的董事会升级标准且本件按标准评估过，或指摘事实上报过集团代表/董事会——任一出现，本刊主旨即被推翻，公开更正。反之，若验证只重复记者会口径，主旨获得一次加强。
2. 入侵路径的取证结论（时点未定）。它决定本篇切断的那条因果如何定级：若证实入口与 2024 年指摘无关，本刊主旨与事故的因果权重下降，教训收窄为风险登记与上报制度；若证实有关，升级断线的代价被重新定价。
3. 2026 年 11 月 12 日（最近的检查点）。GlobalSign 按预定向个人信息保护委员会提交 Trust Login 的确报，届时范围与定性可能再更新。
4. 确认被取数的总件数（至今未公布）。16 份通报只给了"可能"的总数（26,739 件服务器）；逐户确认的盘子一旦公布，事故的实际大小才落地。
5. 业绩影响的首次算定与服务重启条件（至今未定）。补偿、悬赏、应对费用至今都是"无法算定"；Desktop Cloud 是否重启、以什么条件重启，是观察这家公司把安全放在优先级什么位置的下一块试纸。

最后一句：这起事故的代价，已经由客户先付了——凭证、损失、两个半月的停服。它最终值不值，不看下一场记者会的诚意，看这家集团接下来交出的，是道歉，还是标准。