GMOで顧客情報流出やFX不正取引、熊谷正寿社長が涙の謝罪も…セキュリティーの研究者が指摘する「本当の問題点」

記者会見を終え、改めて謝罪するＧＭＯインターネットグループの熊谷正寿社長ら＝２０２６年１１月２日、東京都内（Ｃ）日刊ゲンダイ

　会見での説明によると、攻撃者は8月5日に顧客のリモートデスクトップ環境へ侵入し、8月17日にはGMOの管理サーバーにも侵入した。その後、9月20日から10月14日にかけて、顧客のサーバーに不正なプログラムを配布したという。会社が調査を始めたのは10月19日。きっかけは社内の監視ではなく、顧客からの問い合わせだった。翌20日に不正なプログラムの設置を確認している。管理サーバーへの侵入から発覚まで約2カ月、最初の侵入からは約2カ月半が経過していた。

　もっと重いのは、その前の話だ。グループのセキュリティー専門会社「GMOサイバーセキュリティ byイエラエ」が、2024年4月にこのシステムのセキュリティー上の課題を指摘していた。運営側は同年4〜5月に緊急メンテナンスを4回行ったが、会見で担当副社長は「4回の緊急メンテナンスで対応できたと誤認した」と説明している。

　しかも、この指摘は熊谷氏に届いていなかったという。熊谷氏は「私の元に報告が上がっておらず、事件後に知った」と語った。グループの法務部長も、どの程度の問題なら取締役会に上げるかについて、当時は定量的な基準を「設けておらず、ケースバイケースで判断していた」と説明している。