GMOインターネットグループの熊谷正寿社長は2日、不正アクセス問題を巡り東京都内で記者会見を開き、子会社からセキュリティー上の課題を指摘されていたと明らかにした。2024年4月に専門家が懸念を伝えていた。脆弱性を2年以上放置しており、対応の遅れへの批判は必至だ。今回の攻撃者は今年8月5日に顧客のサーバー環境に侵入したことも公表。GMOが認識したのは10月20日だった。GMOは熊谷氏ら役員4人の報酬を3カ月間、最大30％減額すると発表した。

一連の問題で会見は初めて。熊谷氏は会見冒頭で顧客の資産を毀損したことに対し謝罪した。GMOによると、社内の指摘後に施した臨時のメンテナンスで対応できたと判断した。熊谷氏は今回の攻撃まで経緯の報告を受けていなかったといい「仕組みの改善に向けて議論する」と語った。

GMOは攻撃者の背後に北朝鮮系のハッカー集団がいる可能性が高いとの分析を政府に報告したもようだ。ただ熊谷氏は会見で「解析データをしかるべき機関に報告している」と述べるにとどめた。GMOは攻撃者側から会社への連絡は10月23日夜以降、途絶えているとも明かした。

不正アクセスがあったのは、子会社が提供する外国為替証拠金取引（FX）のためのサービス「お名前．comデスクトップクラウド」。10月19日に顧客からの問い合わせで調査を開始し、その後、顧客口座での不正操作を確認した。GMOは攻撃者から身代金の支払いを要求された。

27日には、脅迫サイトに顧客のものと称する1人分の個人情報が掲載された。GMOは関連事業者と対応を進めた結果、サイトが停止したと28日に公表。その後は追加の個人情報は公開されていない。

○…熊谷社長は時折、目をきつく閉じ、涙を浮かべた。カメラのフラッシュが瞬く中、幹部とともに何度も頭を下げ「お客さまをお守りすることができず、誠に申し訳ありませんでした」と緊張した面持ちで陳謝した。100人以上集まった報道陣を前に、一言一言をかみしめるように、ゆったりとした口調で「お客さまの資産が毀損する事故が発生した」「重く受け止めている」などと説明した。

◆記者会見での一問一答

熊谷社長　社内の専門家からシステム上の課題の指摘を受けていたが生かすことができなかった。私自身の交流サイト（SNS）での発信は被害に遭われた方への配慮に欠けていた。深くおわびする。

－－対策に生かせなかった背景は

熊谷氏　私のところに報告されていなかった。仕組みの改善に向け議論する。リスク分析して今後に生かす。

－－攻撃者の犯人像は

熊谷氏　解析データをしかるべき機関に報告している。これ以上は捜査機関の邪魔になるので発言できない。私個人の意見だが、今回の件はお金以外にも動機があると思っている。

－－被害の範囲は

子会社のGMOインターネット伊藤正社長　まだ明確に被害額は分かっていない。（攻撃者とみられる脅迫サイトへの）顧客の個人情報の公開は現時点で1件だけと認識している。今後も監視を続けていく。

◆ITジャーナリストの三上洋さん　記者会見で明らかにされたサーバーの脆弱性は、セキュリティー上、大変重大な問題だ。8月に管理者権限が悪用され、その後侵入されたということは、何らかの抜け穴や設定ミスがあったと考えられる。監視が行き届かず、10月までの長期間、顧客が問題を指摘するまで気付けなかった責任は重い。またセキュリティー関連のグループ会社から別の脆弱性を指摘されても不十分な対応に終わっており、専門家の助言を適切に生かせなかったのは残念だ。今後はグループ全体で速やかに、人工知能（AI）などを活用して脆弱性がないか総点検し、結果を公表すべきだ。(共同)