「指摘されていたのに、間に合わなかった」。GMO熊谷代表のブログで、いちばん大事な一節

• GMOの熊谷正寿代表が、FX用サーバーへの不正アクセスと、国への「能動的サイバー防御」の具申について、公式ブログで説明した
• 社内のホワイトハッカーが事前に課題を指摘していたが、サービスを止めない配慮や優先順位を考えるうちに、対応の深さと速さが足りなかったと認めている
• 「分かっていたのに、間に合わなかった」は、どの会社にも起こる。ここがいちばん学ぶところだと思う

「お名前.com デスクトップクラウド」への不正アクセスについて、GMOインターネットグループの熊谷正寿代表が10月25日、自身の公式ブログに長い文章を出した。題は「今こそ官民連携で日本を守ろう ――『能動的サイバー防御』を具申した理由」。

このサイトでは第4報や政府の動きを追ってきた。ブログで新しく分かったことと、読み取れることを整理する。

ブログで述べられていること

補償について

• 一律5,000円の見舞金は「初動の誠意の印」で、幕引きではない
• 不正取引で出た損失は、GMOインターネットが確認したうえで補償する。取引所などが返金に応じない場合も、対象の損失の全額を同社が払う
• 代替環境の6か月無償提供、システムの刷新、外部の専門家を交えた原因究明を進める

なぜ防げなかったのか

ここが、このブログでいちばん大事な一節だと思う。熊谷代表は「言い訳ではなく、事実として」と前置きして、こう書いている。

本サービスのセキュリティに関しても、社内のホワイトハッカーから改善すべき課題が事前に現場へ指摘されておりました。現場チームもその指摘を受け止め、対策を進めておりました。

しかし、サービスの可用性への影響や他の対処事項との優先順位を考慮しながら慎重に対応を進めた結果としてその対応の深度とスピードが十分ではなく、攻撃者にその間隙を突かれてしまいました。

弱点は見つかっていた。直す作業も始まっていた。それでも、サービスを止めない配慮やほかの仕事との兼ね合いの中で、間に合わなかった。

能動的サイバー防御について

熊谷代表は、世間で言われている2つの「ではない」を、分かったうえで具申したとしている。

1. GMOは、法律が定める「特定社会基盤事業者」ではない
2. 能動的サイバー防御は、民間企業に言われて動くものではない。政府が主体的に決めるもの

そのうえで、形式的な区分ではなく国民生活への実際の影響に照らして適用を検討してほしい、自社の責任を国に転嫁する意図はない、と述べている。補償やシステムの刷新の費用は、すべて自社で引き受けるという。

なお、能動的サイバー防御の関連法は、2026年10月1日に施行されている（自由民主党の10月7日のお知らせ）。警察・自衛隊が攻撃サーバーを無害化することができ、その際は独立機関のチェックを受ける仕組みだ。報道によれば、政府は適用を慎重に判断するとしている。

攻撃の背景として

ブログでは、グループのGMOサイバーセキュリティ byイエラエの調査で、日本企業約20社を狙った不正アクセスの攻撃元で、AIの侵入テストツール「ARTEX」が悪用されていたことを確認した、とも書いている。これはGMO側の調査として紹介されたもので、詳細は公開されていない。

「分かっていた弱点」を、いつ直すか

ここからは筆者の見方だ。

「なぜ防げなかったのか」に対する答えとして、「知らなかった」ではなく「知っていたが、間に合わなかった」を自ら書いたことは、重い。そして、これはGMOに限った話ではない。

多くの会社で、次のような会話は日常的にある。

• 「直したほうがいいのは分かっている。でも、止めるとお客さんに影響が出る」
• 「今月は別の案件が優先」
• 「次のメンテナンスの時にまとめてやろう」

どれも、その場では正しい判断に見える。だが、攻撃はこちらの都合を待たない。今週見てきたように、修正版が出てから公表されるまでの2か月や、公表から数時間で攻撃が始まる時間の短さを考えると、「慎重に」の時間はどんどん短くなっている。

中小の会社が持っておきたい決めごと

1. 指摘された弱点には、期限を付ける。「いつか直す」ではなく「いつまでに直す」。期限を過ぎたら、誰が判断するかも決めておく
2. 止めるコストと、入られるコストを並べる。メンテナンスで1時間止める不便と、入られたときの補償・信用・作り直しを比べる
3. 直すまでの間の守りを置く。すぐ直せないなら、入口を絞る、機能を一時的に止める、監視を強める
4. 指摘した人の声が、決める人に届く道を作る。現場で止まった指摘は、経営からは見えない

熊谷代表は「誰よりも深い悔しさを噛み締めているのは、危険を察知し警告を発していた現場のホワイトハッカーたち自身」と書いている。警告した人の声を、直す力に変える仕組み。それが今回いちばん学ぶべきところだと思う。

まとめ

• 熊谷代表は、損失は取引所が返金しなくても全額補償、費用はすべて自社で負担と明言
• 弱点は社内のホワイトハッカーが事前に指摘していたが、可用性や優先順位の判断で対応が間に合わなかったと認めた
• 能動的サイバー防御は10月1日に施行済み。GMOは対象の事業者ではないと承知のうえで具申した
• どの会社でも、指摘された弱点に期限を付け、止めるコストと入られるコストを比べる決めごとを

出典

• 熊谷正寿 公式サイト「今こそ官民連携で日本を守ろう ――『能動的サイバー防御』を具申した理由」（2026年10月25日。引用は原文から）
• 自由民主党「重大サイバー攻撃から国民を守る能動的サイバー防御関連法施行」（2026年10月7日。10月1日の施行、無害化の仕組み）
• GMOインターネットグループ・GMOインターネット 第4報（2026年10月24日）

本記事は2026年10月25日時点の公表内容に基づく。「『分かっていた弱点』を、いつ直すか」以降は筆者の見方である。補償の手続きは、GMOインターネットからの案内で確認すること。