GMO不正アクセスが突きつけた「守る経営」の空白――2年前の警告と、謝罪会見で聞きたかったこと

GMOインターネットグループの不正アクセス問題について、私が最も考えさせられたのは、攻撃者の手口の巧妙さだけではない。危険を知らせる専門家が身近にいながら、その声が十分な対策に結びつかなかったこと。そして、被害を受けた人が知りたい具体的な事実と、経営トップが会見で伝えようとした思いの間に、大きな距離があるように感じられたことだ。

会見では「命の砂時計」という言葉が注目され、担当者にジャケットのボタンを閉めるよう求めた場面も報じられた。確かに、見出しにしやすい。少し皮肉を言いたくなる気持ちも分かる。しかし、この問題を「変わった会見だった」で終わらせてしまえば、顧客の情報や資産を守れなかった仕組みは、私たちの視界から消えてしまう。

本当に問いたいのは、日本の有力IT企業が、セキュリティをどこまで経営の仕事として引き受けているのか、ということだ。安全を掲げることと、安全のために売上や利便性と衝突する判断を下すことは違う。専門家を抱えることと、その専門家に危険を止める力を持たせることも違う。今回の事案は、その違いを重く突きつけている。

なお、以下では確認できた事実、会見を伝える報道、筆者の評価を区別して記す。「日本は世界最低水準」「GMOは何もせず2年間放置した」といった、確認できる内容を越える断定はしない。そのように言い切らなくても、問うべき問題は十分に深刻だからだ。

最初に見なければいけないのは、会見の炎上ではなく顧客の被害だ
「2年前から分かっていた」が重い理由
「優先順位の問題」で済ませるには、顧客の負担が大きすぎる
専門家が社内にいても、安全な会社になるとは限らない
「トップは知らなかった」から始まる、もう一つの責任
侵入を許したことと、気づくまで時間がかかったこと
「命の砂時計」で、誰の時間を見ていたのか
「ちゃんとボタン閉めて。」は間違いなのか
会見動画――言葉の前後と、答えられた内容を確認する
日本のセキュリティ意識は、本当に世界で低いのか
世界水準を比べるなら、宣言より「判断の仕組み」を見る
「ずさんな体質」は、気合いの不足では説明できない
謝罪会見に必要なのは、反省の演出ではなく説明の設計だ
補償の発表は重要だが、信頼回復の完了報告ではない
犯罪者が悪いことと、運営企業の責任は両立する
ホリエモンの意見動画――賛否の前に、何を論点にするか
再発防止を見分けるために、次の説明で確認したいこと
利用者が「大手だから安心」を見直すとき
企業が本当に恐れるべきなのは、炎上より「次の警告が届かないこと」だ
ボタンの話で終わらせないために
出典・参考資料

最初に見なければいけないのは、会見の炎上ではなく顧客の被害だ

今回の中心となるのは、GMOインターネットが提供する「お名前.com デスクトップクラウド」への不正アクセスである。同社の公表では、サービスのシステムにセキュリティ上の問題が存在し、不正アクセスと情報の外部持ち出しが確認された。また、利用者からは、取引口座で身に覚えのない取引が行われたとの報告が寄せられている。単に画面が表示できなくなった、という種類の障害ではない。

同社は、利用者がサーバー上で使っていた取引ツールや口座の認証情報について、パスワードの変更やセッションの切断などを求めた。つまり、利用者にとっての問題は、クラウドサービスの中だけで完結しない。日常的に使っている金融サービスや、そこに置いた資産の安全まで、確認し直す必要が生じたのである。

会見を報じたImpress Watchは、影響の可能性があるサーバーを2万6739件としている。ただし、この数字を、そのまま不正取引の被害者数や情報公開の件数に置き換えてはいけない。影響を受け得る範囲と、確認された被害と、最終的な損失額は別の数字である。大きな数字を一つ置けば分かった気になるが、被害の実態を理解するには、この区別が欠かせない。

被害者の時間は、企業の発表資料には収まりにくい。口座の履歴を確認する。パスワードを変える。問い合わせ窓口につながるのを待つ。自分の情報が悪用されないか心配する。家族や仕事の予定を調整する。こうした負担は、会計上の損失としてすべて計上できるものではないが、確実に人の生活を削っていく。

だから、今回の問題を語るときの主語は、まず顧客でなければならない。トップがどれほど困難な状況にあるか、企業がどれほど攻撃者に憤っているかも理解はできる。しかし、サービスを信頼して使っていた人が、何を失い、何に不安を抱き、何をすればよいのか。その順番を外した説明は、どれほど熱心でも、肝心なところに届きにくい。

「2年前から分かっていた」が重い理由

今回、特に見過ごせないのが、2024年にグループ内のセキュリティ専門会社からシステム上の課題を指摘されていたという点だ。TBSの会見報道でも、この事前の指摘と、それを十分に生かせなかったことが伝えられている。突然現れた未知の危険だけを相手にしていた、と整理することはできない。

一方、「2年間、完全に何もしなかった」と書くのは正確ではない。ITmediaによれば、指摘を受けた2024年4月から5月にかけ、計4回の緊急メンテナンスが実施された。しかし、会見では、その対応が十分ではなかったことが認められた。ここにあるのは、対応の有無だけでは測れない問題である。

作業をしたことと、危険を取り除いたことは同じではない。担当者が依頼を受けた、チケットを起票した、メンテナンスを実施した、報告書を提出した。これらは活動の記録であって、安全の証明ではない。対策後に何が改善し、何が残り、その残った危険を誰が引き受けたのか。そこまで確認して、初めて対策を評価できる。

「放置」という言葉を使うなら、その意味を曖昧にしたくない。何もしない放置もあれば、応急処置をしたことで安心し、残る危険を追わなくなる放置もある。後者は、一見すると仕事が進んでいるように見えるだけに厄介だ。会議では対応済みと説明でき、現場には作業の履歴があり、誰も自分が放置したとは思っていない。それでも顧客は守られていない、という状態が生まれる。

今回どの判断が、どこまで、この構造に当てはまるのかは、調査と説明を待つ必要がある。ただし、少なくとも事前の指摘があり、対応を行い、それでも不十分だったという経緯は、単なる「うっかり」では片づけられない。危険を認識した後に、それを解消したと判断するまでの仕組みが、厳しく検証されるべきである。

2年前という時間の長さは、後知恵で誰かを責めるための材料ではない。改善の機会が何度あったのか、再評価の機会がどこにあったのか、経営に知らせる契機がなぜ働かなかったのかを問うための時間軸だ。事故が起きる前に止められた可能性を検証しなければ、次の2年間も、同じように過ぎてしまう。

「優先順位の問題」で済ませるには、顧客の負担が大きすぎる

ABEMA TIMESの会見報道では、当時はサービスの安定稼働や可用性、ほかのセキュリティ案件、修正の影響、開発案件などを踏まえて優先順位を判断していたと説明されている。同時に、そのリスク分析が不足していたことも認められている。

現場の事情として、これは理解できる。修正すればサービスが停止するかもしれない。古い構成を変えれば、想定していなかった不具合が出るかもしれない。限られた人数で複数の案件に対応していれば、すべてを同時に進めることはできない。現場を知る人ほど、優先順位を決める難しさを知っているはずだ。

しかし、難しいからこそ経営判断なのである。顧客の資産や認証情報に影響し得る危険を先送りするなら、停止の不便と、侵害された場合の被害を、同じ会議の同じ表に載せなければならない。サービスを止めたときの苦情だけが具体的に見え、攻撃されたときの損失が「可能性」という言葉で遠ざけられているなら、判断は最初から偏っている。

さらに、「優先順位を下げた」は、それだけでは説明にならない。どの情報を使い、どの程度の被害を見積もり、誰が承認し、いつ見直す予定だったのか。対策までの間、別の守り方を用意したのか。これらを伴って初めて、判断の妥当性を第三者が考えられる。「ほかにも案件があった」は、どこの会社にもある事情であり、顧客が被害を引き受ける理由にはならない。

優先順位とは、企業が何を大切にしているかを、予算と時間で表したものだ。ホームページの理念より、採用ページの美しい言葉より、最後に何を後回しにしたかに、その会社の実態が出る。今回の問題は、この当たり前だが厳しい事実を、IT業界全体に突きつけている。

専門家が社内にいても、安全な会社になるとは限らない

高度なセキュリティ技術を持つ会社がグループにある。優秀な専門家がいる。診断を行っている。そうした話を聞けば、利用者は安心したくなる。しかし、専門家の存在は、経営判断の適切さを自動的に保証しない。診断する力と、診断結果に従ってサービスを変える力は、別の場所にあるからだ。

例えば、専門家が危険を指摘しても、改修予算は事業部が決め、サービス停止は別の責任者が決め、売上目標は経営が決める。その間に、対応しなかった場合の責任だけが曖昧に残る。これはGMOの内部事情を断定した例ではなく、多くの組織が点検すべき構造の例である。専門性が意思決定に接続されなければ、専門家は「危険を見つける人」のままで終わる。

本来、専門家の指摘には、その先の道筋が必要だ。重要度を分類し、期限を設定し、対応が遅れれば責任者を上げ、対策後は別の視点から確かめる。期限を延ばすなら、延ばすこと自体を承認事項にする。こうした地味な管理がなければ、どれほど鋭い指摘でも、会議資料の一ページになってしまう。

「専門家がいるから大丈夫」という安心は、場合によっては責任を遠ざける言葉にもなる。経営は技術側が見ていると思い、事業側は診断を受けたからよいと思い、利用者は大手だから安心だと思う。全員が誰かの確認を信じているのに、最終的な確認の持ち主がいない。この空白こそ、企業が意識して潰さなければならない。

安全を売る会社に求められるのは、優秀な人材の紹介だけではない。その人材が出した不都合な結論を、どこまで事業に反映できるかだ。予定どおり発売することより、安全の確認を優先できるか。短期の数字が悪くなっても、必要な改修を通せるか。専門家の本当の価値は、そのような場面で組織がどう動くかによって決まる。

「トップは知らなかった」から始まる、もう一つの責任

ITmediaの会見報道では、当時の指摘は熊谷代表に報告されておらず、どのような脆弱性を取締役会に上げるかについて、明確な基準が存在しなかったと説明されている。ここは、個人の記憶や認識の問題として流すべきではない。重大な危険がどこまで届く設計だったのか、という組織の問題である。

経営トップが、すべての脆弱性の番号や修正内容を知る必要はない。何千、何万と存在する技術的な事項を、すべて社長の机に積み上げることが正解でもない。しかし、顧客の資産、事業継続、社会的信用に重大な影響を及ぼし得る問題が、一定の条件で必ず上がる仕組みは必要だ。

報告されなかったという事実は、責任がなかったという結論に直結しない。なぜ報告されなかったのか。報告しなくてよいと誰が判断したのか。判断に迷ったときの相談先はあったのか。長期未解決の案件は、時間の経過によって自動的に上位者へ上がるのか。そうした設計を含めて、経営は組織を管理している。

私がトップから聞きたいのは、「知らなかった」の後に続く説明だ。自分が知るべき情報を知れなかった原因を、どう変えるのか。次に似た警告が出たとき、誰が、何時間または何日以内に、どの会議体へ持ち込むのか。そこまで説明されれば、個人の善意ではなく、改善される仕組みを評価できる。

反省は、内心の問題である。外から完全に測ることはできない。だからこそ、企業の反省は、判断の仕組みが変わったことによって示されるべきだ。トップがすべてを知る会社を目指すのではなく、トップが知らないままにしてはいけないことが、確実に届く会社をつくる。その違いは大きい。

侵入を許したことと、気づくまで時間がかかったこと

共同通信配信の記事では、攻撃者が2026年8月5日に顧客のサーバー環境へ侵入し、不正を確認できたのが10月20日だったと報じられている。約2か月半という期間は、入口の対策だけでなく、異常を見つける仕組みについても検証が必要であることを示す。

なお、調査開始の日付は資料によって表現が異なる。同社の第2報では、10月19日に顧客の問い合わせを受けて調査を開始し、20日に不正なプログラムを確認したとしている。したがって、本稿では「問い合わせ」「調査開始」「不正の確認」を一つの日付にまとめない。こうした区別は細かく見えても、事故の経過を検証するうえでは大切だ。

どれほど対策しても、侵入の可能性をゼロにはできない。だから、入口で止める工夫に加えて、中でおかしなことが起きたときに気づき、広がる前に止め、被害を把握する備えが必要になる。侵入されたかどうかだけで安全を測ると、その後の守りを評価できなくなる。

ここで知りたいのは、監視製品の名前の一覧ではない。異常な操作や権限の利用を、何によって把握していたのか。警告が出ていたなら、なぜ調査につながらなかったのか。警告が出なかったなら、何を見ていなかったのか。顧客の問い合わせが重要な手がかりになったのであれば、運営側の把握との間に、どのような差があったのか。

これは、現場の監視担当者を後から責めれば解決する問題ではない。見るべき記録が保存されていなかったら、担当者の努力では見つけられない。人員が足りなければ、警告は積み上がる。重大な兆候を見つけても停止の権限がなければ、被害の拡大を止めにくい。検知の遅れは、人、設計、運用、権限を一緒に検証する必要がある。

「命の砂時計」で、誰の時間を見ていたのか

会見で注目された「命の砂時計」という言葉。ABEMA TIMESによれば、2年前の指摘や判断の経緯について質問が重なる中、熊谷代表は同じ回答をすることによる時間の浪費に言及し、なるべく違う質問を求めた。記者側は、具体的な事情の説明を求めていた。

人生の時間が有限であるという考え自体を、否定するつもりはない。会見の時間を有効に使う配慮も必要だ。だが、質問が繰り返される理由には、単純な重複だけでなく、最初の回答では必要な事実が分からなかった、という場合がある。話した側が「答えた」と思うことと、聞いた側が「分かった」と感じることは一致しない。

どの危険を知っていたのか。誰が対応の優先順位を決めたのか。なぜ十分な対策にならなかったのか。何が分かっていて、何がまだ分からないのか。こうした質問に対して欲しいのは、経営者の人生観ではなく、判断と結果をつなぐ説明だ。印象的な比喩が、その説明の代わりに置かれたように見えれば、聞き手は置いていかれる。

ここで、少し意地悪なことを言いたくもなる。会見場の砂時計を気遣う前に、利用者が口座を確認し、問い合わせ、眠れない夜を過ごす砂時計を見てほしかった、と。もちろん、これは会見の発言から筆者が受けた印象であり、本人の本心を断定するものではない。それでも、危機のさなかにどの言葉を選ぶかは、聞き手との距離を大きく変える。

都合のよい言葉に聞こえるのは、言葉が美しいからではない。知りたい事実への到達を助けず、説明の不足を覆うように働いてしまうからだ。有限な時間を大切にするなら、むしろ説明を整理し、未回答の項目を一覧にし、次に答えられる時期を明示する。そのほうが、会見場にいる人にも、画面の向こうの利用者にも、時間を返せる。

「ちゃんとボタン閉めて。」は間違いなのか

もう一つ話題になったのが、担当者にボタンを閉めるよう求めた場面である。J-CASTニュースによれば、これは同じ会見で別件の「GMOトラスト・ログイン」について担当者が説明しようとした際の出来事だった。デスクトップクラウドの不正アクセスと、別サービスの問題を同一の事故として混同しないことは、最初に確認しておきたい。

そのうえで、「ちゃんとボタン閉めて。」という指摘自体が、常に間違いだとは思わない。謝罪の場で身だしなみを整えることは、相手への敬意として理解できる。だらしない服装でよいと言いたいわけでもない。問題は、何を、いつ、どの優先順位で、その場の人々に見せたかである。

説明を聞こうとしているときに、話が中断され、服装への注意が入る。すると聞き手は、被害への説明から、社内の上下関係を見せられる時間へと移される。「顧客に向き合っている」という印象よりも、「部下の振る舞いに目が向いている」という印象が前に出る可能性がある。ユーザーが感じる、よそ見をしているような違和感は、そこにあるのだと思う。

少し皮肉を込めるなら、ジャケットの開いたところにはすぐ気づくのに、組織の中で閉じられなかった課題については、なぜこれほど説明が難しいのか、という話になる。ただし、この比喩をそのまま技術的な原因説明にしてはいけない。服装の注意とシステムの不備は、因果関係が確認された出来事ではない。あくまで、会見の優先順位を考えるための対比だ。

トップが反省していたかどうかを、短い場面だけで断定することはできない。しかし、その反省が聞き手に伝わったかどうかは、別の評価である。胸の内で深く反省していたとしても、見える行動が顧客から離れれば、伝わりにくい。謝罪は、本人が反省していると主張するだけで完結しない。相手が置かれた状況に、説明と行動の焦点を合わせ続ける必要がある。

会見動画――言葉の前後と、答えられた内容を確認する

会見は、短い切り抜きだけで見ると、印象的な言葉や表情に評価が引っ張られやすい。できるだけ発言の前後を含めて確認し、何を質問され、何が回答され、何が保留になったのかを見たい。謝罪の言葉の長さより、利用者の不安を減らす情報がどれだけ増えたかが、判断の軸になる。

GMO 記者会見動画

見るときには、被害の範囲、2年前の指摘への対応、経営への報告、再発防止の期限という四つの論点を意識するとよい。言葉遣いに違和感を覚えたら、その違和感を具体的な未回答事項に置き換えてみる。「感じが悪い」で止まるより、「この問いへの答えがまだない」と言えるほうが、企業への要求は明確になる。

日本のセキュリティ意識は、本当に世界で低いのか

今回のような事案を見ると、「日本のセキュリティ意識は、世界と比べて低すぎる」と言いたくなる。しかし、その言葉を客観的な順位のように使うのは慎重であるべきだ。国の制度、企業の運用、経営者の判断、個人の知識は、同じ指標では測れない。一つの企業の事故から、日本全体の順位を決めることもできない。

実際、ITUの「Global Cybersecurity Index 2024」では、日本は最上位の区分であるTier 1に分類されている。この指標が評価するのは、法的措置、技術的措置、組織的措置、能力開発、協力といった、国レベルの取り組みである。日本が一律に世界の下位にいる、という説明とは一致しない。

ただし、その高評価が、国内のすべての企業の運用を保証するわけでもない。制度が整っていることと、ある企業で警告が適切に処理されることは別である。国全体の能力が高くても、個々のサービスでは重大な欠陥が残り得る。ここを混同すると、今度は「日本は上位だから問題ない」という、逆方向の思考停止になる。

筆者が今回強く感じるのは、能力や知識の不足だけでは説明できない落差だ。専門家がいて、危険の指摘があり、対策という言葉もありながら、顧客を守る結果につながらない。この落差は、単に海外の製品を買えば埋まるものではない。組織が危険をどう受け止め、誰が判断し、何を後回しにするかという、経営の実務に踏み込む必要がある。

日本のIT企業に向けて厳しく言うなら、世界に誇れる技術者がいることを、経営の免罪符にしてはいけない。世界水準の技術を語るのであれば、不都合な警告を事業の判断に反映する責任も、同じ水準で引き受けるべきだ。問われているのは、日本人という属性の優劣ではなく、知っている危険に対して組織が本当に動けるかどうかである。

世界水準を比べるなら、宣言より「判断の仕組み」を見る

海外企業なら安全、日本企業なら危険という二分法に、実務上の価値はほとんどない。比べるべきは国籍ではなく、企業が何を管理し、その結果をどこまで説明できるかである。脆弱性への対応期限はあるか。期限を過ぎた案件は誰が見るか。事業部が受け入れた危険を、経営が把握しているか。そうした問いは、どの国の企業にも向けられる。

参考になるのが、米国NISTのサイバーセキュリティフレームワーク2.0である。同フレームワークは、組織がリスクを理解し、評価し、優先順位を付け、伝えるための枠組みを示している。また、企業全体のリスク管理へサイバーリスクを組み込むためのガイドも公開されている。個別製品の導入だけで完結しない考え方だ。

ここから本稿が重視するのは、セキュリティを経営上の判断として扱うことだ。技術部門から危険の説明が上がったとき、事業責任者が何を優先し、誰がその判断を監督するのか。事故が起きたときに、以前の判断の記録をたどれるか。規格名を掲げることより、その問いに答えられることのほうが、利用者には意味がある。

これは、海外の枠組みを採用すれば自動的に安全になる、という話でもない。立派な方針書があっても、例外が放置され、期限が延長され続け、実態が見えなくなれば同じことだ。看板と運用を分けて見なければならない点は、国の評価でも、企業の認証でも、共通している。

世界レベルという言葉を使うなら、見栄えのよい発表の規模ではなく、不都合な事実を受け止める仕組みの強さで語りたい。危険が小さいうちに立ち止まれること。商売上の痛みを伴う変更を決断できること。失敗したときには、その過程を検証可能な形で説明できること。それが、利用者が比較できる企業の成熟度だと思う。

「ずさんな体質」は、気合いの不足では説明できない

日本のIT企業のずさんな体質、と言うとき、何を指しているのかを具体化する必要がある。担当者の気合いが足りない、社員の意識が低い、といった言い方だけでは、責任を現場へ押し戻して終わってしまう。危険があると分かっても、止める権限も予算もない人に、意識の高さだけを要求しても限界がある。

例えば、障害を起こさなかったことは評価されるのに、安全のために計画停止を提案した人は叱られる。新機能を納期どおり出せば褒められるのに、危険を見つけて延期した人は進捗を悪くしたと扱われる。こうした評価制度があるなら、社員は言葉よりも評価を見て動く。これは本件で確認された社内制度の説明ではなく、各社が自分たちに照らすべき点検項目である。

「何かあったら報告して」と言いながら、報告すると責任を追及される。「安全第一」と言いながら、予算の会議では安全のための工数だけが削られる。「専門家の意見を尊重する」と言いながら、最後は声の大きい人の希望で日程が決まる。そのような矛盾が積み重なれば、社内のスローガンは誰にも信じられなくなる。

ずさんさは、雑な一人の行動だけから生まれるとは限らない。個々の担当者は目の前の仕事をまじめにこなし、上司は自部門の目標を守り、経営は全体の業績を見ている。それでも、部門の間に落ちた危険を誰も拾わなければ、結果はずさんになる。だから、体質を変えるとは、社員に気をつけるよう頼むことではなく、責任の空白をなくすことだ。

今回の事案を自社の話として受け止めるなら、朝礼で注意喚起をする前に、未解決の重大課題を一度並べてみるべきだ。「検討中」のまま何か月も経っているものはないか。「対応済み」の根拠は作業完了の報告だけではないか。担当者の退職や異動で、誰も経緯を知らなくなった案件はないか。企業の本音は、そうした一覧の隅に表れる。

謝罪会見に必要なのは、反省の演出ではなく説明の設計だ

謝罪会見の評価は、声の震え方やお辞儀の角度の採点になってはいけない。涙があれば誠実で、なければ不誠実というものでもない。経営者の感情は、その人のものだ。利用者が必要としているのは、自分の被害と今後の行動を判断できる情報であり、再び任せられるかを考える材料である。

そのためには、会見の内容を整理する必要がある。確認できた事実はどこまでか。まだ調査中なのは何か。安全上の理由で公開できないのはどの部分か。それぞれを分け、次の更新をいつ行うかを示す。「調査中です」という言葉自体が悪いのではない。その言葉の範囲も期限も分からないとき、聞き手は待ち方を失う。

技術的な詳細をすべて公開できない事情はあるだろう。未対処の弱点を詳しく説明すれば、別の攻撃を招く可能性がある。しかし、攻撃手順を明かせないことと、経営判断の過程を説明できないことは同じではない。修正の必要性を認識した時期、承認した役職、対応を完了と判断した基準など、技術的な秘密を伏せながら説明できる項目は検討できる。

説明できない範囲を最小限にし、説明できることは具体的に話す。その姿勢が、聞き手の納得につながる。分からないことを分からないと認めるのは、弱さではない。分からないまま断言しないことと、分からない状態を解消する計画を示すことは、責任ある説明の一部だ。

もし会見で同じ質問が続くなら、司会進行の問題だけでなく、説明の設計に欠けているものがないかも考えるべきだ。質問を減らす最も確かな方法は、質問者をたしなめることではなく、必要な事実を増やすことだ。これは、会見だけでなく、障害報告、顧客対応、社内の説明にも通じる。

補償の発表は重要だが、信頼回復の完了報告ではない

GMOは、第4報で一律5000円のお見舞金、代替サービスの提供と6か月間の無償化、不正取引による損失への補償方針を公表している。また、第12報では、情報が公開された場合の特別お見舞金について、通常のお見舞金や不正取引の損失補償とは別の枠組みとして説明している。これらを「5000円だけで済ませる」とまとめるのは不正確だ。

ただし、補償を発表したことと、利用者が実際に救済されたことも、同じではない。どの損失が対象になり、どの証拠が必要で、いつ判断され、いつ支払われるのか。申請に不慣れな人でも進められるのか。問い合わせが増えても対応が止まらないのか。支援の価値は、発表資料の金額だけでなく、手続きの使いやすさに表れる。

情報が外部に持ち出された場合、金銭的な補償だけでは元に戻せないものもある。知られたくなかった情報を、誰かが知っているかもしれないという不安。今後届く連絡が本物かどうかを疑わなければならない負担。自分の落ち度ではないのに、何度も事情を説明しなければならない疲れ。企業は、そうした被害の時間の長さにも向き合う必要がある。

だから、支援は一度の入金で閉じるのではなく、被害の状況に応じた相談や情報提供と合わせて評価したい。もちろん、あらゆる不安を完全に消すことはできない。それでも、企業が何を把握し、何を支援し、どの相談先を用意しているかが明確なら、利用者は次の行動を決めやすくなる。

補償は重要である。その重要性を認めたうえで、原因究明や再発防止の説明を求め続けることは矛盾しない。お金を払う責任と、同じ種類の被害を繰り返さない仕組みをつくる責任は、それぞれ残る。利用者の信頼を回復する道のりは、一つの発表で短縮できるものではない。

犯罪者が悪いことと、運営企業の責任は両立する

不正アクセスを行い、情報や資産を侵害する攻撃者が悪い。それは、当然の出発点である。GMO自身も攻撃を受けた側だ。その事実を無視して、犯罪行為の責任までサービス提供企業に移すべきではない。一方で、犯罪者の存在を理由に、運営上の不備の検証が不要になるわけでもない。

同社は、攻撃者の金銭要求に応じない方針を示し、事件の解明につながる情報を募る懸賞金制度も公表した。捜査への協力や犯罪抑止に取り組むことと、顧客への補償、原因究明、再発防止は別の責任であることは、同社の発表にも明記されている。

この区別は、批評する側も守りたい。犯人への怒りを語ることは、企業が改善を約束することの代わりにはならない。同様に、企業の不備を批判することも、攻撃者の行為を正当化することにはならない。二つの責任を並べて考えられなければ、議論は「企業を守るか、責めるか」という不毛な二択になる。

また、被害の実態を知るために、流出したとされる個人情報を探し回る必要もない。誰かの情報を再び広めれば、批判のつもりでも被害を増やしかねない。企業に説明を求めることと、被害者の私生活をさらすことは、明確に分けられる。私たちが追うべきなのは、個人情報そのものではなく、それが守られなかった過程だ。

企業への批判が強いほど、根拠と対象は正確である必要がある。動機を決めつけず、未確認の犯人像を広めず、確認された対応と不足している説明を示す。そのほうが、批判は弱くなるどころか、逃げ道の少ない問いになる。

ホリエモンの意見動画――賛否の前に、何を論点にするか

経営者や発信者による意見は、ニュースとは違う視点を得るきっかけになる。ただし、意見の強さと事実の確かさは別に確認したい。以下には、ホリエモンこと堀江貴文氏の意見動画を掲載する枠を用意した。動画が未掲載の現時点では、本稿は堀江氏の具体的な発言や立場を紹介していない。

ホリエモン・堀江貴文氏の意見動画

動画を見る際には、攻撃者の責任、サービス提供者の管理責任、会見の伝え方、顧客の救済という論点を分けて考えたい。どれか一つについて納得できる意見があっても、それがほかの論点への答えになるとは限らない。著名人の結論に賛成か反対かを決める前に、その結論が何を根拠に、どの範囲について述べられているのかを確認することが大切だ。

本稿も同じである。読者に求めたいのは、筆者の感想への無条件の同意ではない。会見や公表資料を確かめながら、「自分ならサービス提供者に何を説明してほしいか」「自社に同じ空白はないか」と考える材料にしてほしい。

再発防止を見分けるために、次の説明で確認したいこと

「再発防止に努めます」という言葉は、出発点にすぎない。何を変えるのか、いつまでに変えるのか、変えたことを誰が確かめるのかが示されて、初めて進捗を見られる。今回のように、過去にも対策が行われたが十分ではなかった事案では、対策の実施と対策の有効性を、特に丁寧に分ける必要がある。

確認したい論点	説明に求めたい具体性
2024年の指摘	指摘の分類、想定されていた影響、当時の対応範囲と残った課題
優先順位の判断	判断した役職、用いた評価基準、見直し期限、先送り期間中の代替対策
経営への報告	報告の条件、重大案件の期限、未解決案件を上位へ上げる仕組み
検知と対応	把握が遅れた理由、改善対象、改善の効果を確かめる方法
顧客への救済	対象、申請手順、判断と支払いの進捗、継続する相談への対応
再発防止の検証	実施責任者、期限、事業部から独立した検証、未完了項目の公表方針

この表は、企業にすべての内部情報を公開せよと求めるものではない。利用者が改善を判断できる程度の説明を求めるものだ。詳細な攻撃手順を伏せても、対応の進捗や検証の有無は説明できる場合がある。公開できない項目については、その理由と、代わりに何を説明できるのかがあるとよい。

特に重視したいのは、対策した部署自身の「完了しました」だけで終わらないことだ。もともとの指摘に対して、対策後の状態は本当に改善したのか。残る危険は許容できるのか。その判断を、異なる立場から確かめる仕組みが必要になる。自分で作り、自分で直し、自分で合格を出すだけでは、見落としが残りやすい。

そして、期限は守れなかったときにも意味を持つべきだ。期限を過ぎたら新しい日付に書き換えるだけなら、管理しているように見えるだけである。遅延の理由を説明し、危険を再評価し、承認者を上げる。そうした手続きがあってこそ、期限は顧客を守るために機能する。

利用者が「大手だから安心」を見直すとき

大手企業を選ぶことには、合理的な理由がある。継続的な運営を期待でき、サポート体制や設備への投資も見込める。しかし、規模は個々のサービスの安全性を保証しない。グループ全体のブランドと、自分が使っているサービスの運用実態の間には、距離があるかもしれない。

利用者に、事業者の内部を完全に監査することはできない。だからこそ企業には説明責任があり、利用者にすべての確認を押しつけることはできない。そのうえで、自分の用途に対して何が重要かを整理することはできる。停止したら困るのか、情報が漏れたら困るのか、認証情報が奪われたら資産に直結するのか。守りたいものによって、見るべき条件は変わる。

事故時の連絡先が分かりやすいか。障害や不正アクセスの情報を、隠さず更新しているか。契約上の補償や責任の範囲を確認できるか。重要なデータや手続きが、一つのサービスに依存しすぎていないか。これらは、宣伝文句より地味だが、困ったときの差になる。

今回の利用者については、同社や取引先金融機関の最新の案内を確認し、口座や認証情報への対応を進めることが重要になる。同社第2報では、当該サービス以外の端末からのパスワード変更、セッション切断、取引履歴と残高の確認、提供されている場合の二段階認証の設定などが案内された。具体的な対応は、その後の更新と個別の状況を踏まえて確認したい。

ただし、こうした利用者側の対応を述べることは、被害者に責任を移すことではない。預けた先の問題によって追加の負担を強いられているという事実は変わらない。企業の責任を問うことと、利用者が今の被害を減らす行動を取ることは、同時に進めるべきことだ。

企業が本当に恐れるべきなのは、炎上より「次の警告が届かないこと」だ

会見で批判を受けた企業は、次から言葉遣いや服装に注意するかもしれない。もちろん、それも改善の一部にはなる。しかし、会見が上手になっただけで、システムが安全になるわけではない。次の危険の指摘が、また日常業務の中に埋もれるなら、最も重要な問題は残ったままだ。

本当に恐れるべきなのは、現場の人が「言っても変わらない」と学習することだ。指摘しても後回しにされ、危険を説明しても納期だけが返ってきて、事故になったときだけ責められる。そのような経験が続けば、人は報告を簡単に済ませるようになるかもしれない。報告書は残っていても、本気の警告が届かない組織になる。

ここでも、GMOの社員の気持ちを外部から断定することはできない。だが、すべての企業にとって、警告した人がどのように扱われるかは重要な問題だ。危険を知らせる行為を、事業を邪魔する行為と見なさない。事故を防いだ仕事を、売上に直接表れないからと軽く扱わない。そうした評価が、日常の安全を支える。

派手なセキュリティ施策より先に、地味な質問をしたい。重大な課題を指摘されたとき、その責任者は会議に呼ばれるか。期限を超えたとき、上司は事情を聞くだけか、具体的に資源を動かすか。危険が高ければ、予定されたサービスの提供を止められるか。その答えに、組織の本当の優先順位が出る。

企業文化は、社長のメッセージだけでは変わらない。日々の承認、予算、人員配置、評価、例外の扱いによって変わる。今回を教訓にするというなら、社員が次に危険を見つけたとき、以前とは違う経路で、以前より確実に対策へ進める状態をつくらなければならない。

ボタンの話で終わらせないために

「命の砂時計」も、ボタンへの注意も、会見の一場面としては強い。SNSで広まりやすく、メディアが扱いやすいのも分かる。だが、その場面を笑って消費した後、私たちの側に何も残らないなら、結局はまた次の事故の会見で、似たような言葉を並べることになる。

会見が印象に残ったことを、むしろ具体的な問いへつなげたい。なぜ2年前の指摘は十分な対策にならなかったのか。なぜ重大な課題が経営へ届く基準が整っていなかったのか。なぜ異常の把握まで時間がかかったのか。何を変えれば、次の顧客を守れるのか。この問いを手放さないことが、被害を単なる話題で終わらせないためにできることだ。

日本のIT企業に必要なのは、「日本は遅れている」と嘆くだけの議論でも、「技術力は高い」と胸を張るだけの議論でもない。持っている知識を、危険を減らす判断へ変えることだ。専門家の警告を聞く。必要な予算を付ける。止めるべきときには止める。対策後の効果を確かめる。できなかったときには、その理由を説明する。基本的なことを、経営として最後までやり切ることである。

企業のトップが本当に反省しているかどうかを、私は表情から読み切ることはできない。けれど、その反省が、期限、責任者、検証、顧客への救済として形になったかは見ていける。謝罪の言葉を評価するだけでなく、その後の行動を追うことが、企業にも利用者にも必要だと思う。

ボタンは閉めたほうがいい。そこは否定しない。ただ、聞いている人が確かめたかったのは、服装が整ったことだけではない。自分たちの情報と資産を守れなかった会社が、今度こそ、自分たちに向き合っているのか。その問いに答えるものは、注意する声の強さでも、きれいな比喩でもない。

2年前の警告に、今度は組織として最後まで答えられるのか。

経営者の時間も、技術者の時間も、利用者の時間も有限である。その有限な時間を尊重するというなら、まず守るべきなのは、会社を信じてサービスを使っていた人が、安心して日常に戻るための時間だ。その時間をこれ以上奪わないことを、企業の最優先事項にしてほしい。