端末の読み上げ機能を使います。音声ファイルは保存しません。
【PR】本記事は広告を含みます。掲載している商品リンクはアフィリエイトプログラムを利用しています。
インターネットのサービスを利用するとき、私たちはその会社が安全に情報を管理してくれていると信じています。
パスワードを設定し、大切な情報を預け、ときには自分のお金に関わる取引まで任せています。
ところが、そのサービスに以前から安全上の問題が指摘されていたとしたら、どう感じるでしょうか。
2026年11月2日、GMOインターネットグループが不正アクセス問題について、発覚後初めての記者会見を開きました。
今回の会見で注目されたのは、攻撃の被害だけではありません。
実は、問題が起きる約2年半前の2024年4月、グループ内の専門家からシステムの安全性について指摘を受けていたことが明らかになったのです。
なぜ、その指摘を十分に生かすことができなかったのでしょうか。
不正アクセスが起きたのはFXにも使われるサービス
今回問題となったのは、GMOインターネットが提供する「お名前.com デスクトップクラウド」です。
このサービスには、FX（外国為替証拠金取引）の自動売買に利用できる仮想サーバーの仕組みがあります。
FXの自動売買では、利用者が常にパソコンを操作していなくても、設定したプログラムが市場の動きに応じて取引を行います。
そのため、長時間稼働するサーバー環境は、利用者にとって重要な存在です。
しかし今回、そのサーバー環境に不正なプログラムが設置され、保存されていたFX取引口座のログイン情報などが第三者に取得される被害が発生しました。
GMOによると、影響を受けた可能性のあるサーバーは2万6,739件に上ります。
これは2万6,739人の被害が確定したという意味ではありませんが、問題の規模を考えるうえで重要な数字です。
さらに、取得された情報が不正に利用され、利用者の資産に損害が生じたことも報告されています。
攻撃者は8月に侵入していた
11月2日の会見では、攻撃の経緯についても新たな説明がありました。
報道によると、GMOは攻撃者が2026年8月5日に顧客のサーバー環境へ侵入していたとの調査結果を明らかにしています。
一方、会社側が攻撃を認識したのは10月20日だったと説明されています。
つまり、最初の侵入から会社が問題を認識するまで、約2か月半の期間があったことになります。
もちろん、サイバー攻撃は巧妙化しており、侵入を即座に発見することが難しい場合もあります。
それでも、利用者から見れば、自分の情報が危険にさらされていることを知らないまま、サービスを使い続けていた可能性があるわけです。
この時間差は、今回の問題を考えるうえで見過ごせません。
2024年4月には安全性への懸念が伝えられていた
今回の会見で、特に気になるのがこの点です。
GMOインターネットグループは、2024年4月24日に社内の専門家から、今回被害を受けたサービスの安全性について懸念が伝えられていたことを明らかにしました。
グループには、サイバーセキュリティーを専門とする「GMOサイバーセキュリティ byイエラエ」という会社があります。
報道によると、当時は指摘を受けて対策を実施したものの、結果的には十分ではありませんでした。
関係者からは、サービスを一時停止してでも、より徹底した対応を行うべきだったという反省の声も伝えられています。
ここで考えたいのは、問題を見つけることと、問題を解決することは別だという点です。
専門家が危険を指摘しても、それが経営判断や現場の作業に十分反映されなければ、安全性の向上にはつながりません。
サービスを停止すれば、利用者に不便をかけることになります。
企業側には、運営を続けながら改善したいという事情もあるでしょう。
しかし、安全性に重大な懸念がある場合、サービスを止めないことが、かえって利用者に大きな損害を与える結果になる可能性もあります。
今回の問題は、技術だけではなく、企業がリスクをどう判断するのかという経営上の課題も浮かび上がらせています。
熊谷会長が謝罪。経営陣の責任も問われる
11月2日の会見では、GMOインターネットグループの熊谷正寿会長が利用者に謝罪しました。
グループ内の専門家から指摘を受けながら、サービス運営に十分生かせなかったことについても、重く受け止めていると説明しています。
また、熊谷氏は不正アクセス発覚後の自身のSNS投稿についても謝罪しました。
被害者への配慮を欠いた発信があったと認め、改めておわびしたと報じられています。
会社は熊谷氏ら役員の報酬を減額する方針も発表しています。
ただし、報酬の減額や謝罪だけで、利用者の不安が解消されるわけではありません。
大切なのは、なぜ問題を防げなかったのかを明らかにし、同じことを繰り返さない仕組みを作ることです。
その結果を、利用者に分かる形で説明することも必要でしょう。
利用者にとって本当に気になること
今回の事件では、FXの自動売買という専門的なサービスが対象になっています。
そのため、FXを利用していない人には、あまり関係のないニュースに感じられるかもしれません。
しかし、問題の本質はもっと身近なところにあります。
私たちは日常的に、銀行、通販、メール、写真の保存、仕事のデータ管理など、さまざまなサービスを利用しています。
その多くは、利用者が自分でサーバーの安全性を確認できるものではありません。
だからこそ、サービスを提供する会社が適切な対策を講じていることが重要になります。
そして利用者自身にも、できる備えがあります。
例えば、複数のサービスで同じパスワードを使い回さないこと。
二段階認証や多要素認証が利用できる場合は、有効にすること。
金融サービスでは、取引履歴や口座残高を定期的に確認すること。
不審なログイン通知や身に覚えのない取引があった場合には、メール内のリンクを安易に開かず、公式サイトや公式アプリから確認することも大切です。
こうした対策だけで、サービス提供者側の問題を防げるわけではありません。
それでも、自分の被害を小さくするための備えにはなります。
情報提供700件。その先に何が分かるのか
今回の会見については、10月28日から募集していた情報提供が約700件に達したと報じられています。
ただし、情報提供の件数が多いことと、攻撃者の特定が完了したことは別です。
攻撃者については、さまざまな可能性が報道されていますが、現時点で犯人や所属組織が最終的に確定したと判断できる情報は確認できません。
サイバー攻撃では、別の国や組織による攻撃に見せかける手法も存在します。
そのため、断片的な情報だけで犯人を決めつけることは避ける必要があります。
今後は、被害の全容、攻撃の経路、会社側の対応、利用者への補償などについて、さらに詳しい説明が求められるでしょう。
「知っていたのに防げなかった」という問題
今回の会見で明らかになった事実の中でも、2024年の安全性への指摘は重い意味を持っています。
危険をまったく知らなかった場合と、危険を認識しながら十分に対応できなかった場合とでは、問われる責任の内容も変わってきます。
ただし、2024年に指摘された具体的な問題が、今回の侵入経路とどこまで直接結びついていたのかについては、引き続き慎重な検証が必要です。
企業の安全対策に、絶対という言葉はありません。
どれほど対策を重ねても、新しい攻撃方法が現れる可能性はあります。
それでも、見つかった問題を放置せず、必要なときにはサービスを止めてでも対処する。
そうした判断の積み重ねが、利用者の信頼につながるのではないでしょうか。
私たちは便利なサービスを使うたびに、その向こう側にある仕組みを信じています。
普段は意識することのない、その信頼。
今回の会見は、便利さを支える安全というものが、決して当たり前に存在しているわけではないことを改めて考えさせる出来事でした。
参考資料
産経新聞・2026年11月2日
https://www.sankei.com/article/20261102-H4V7LEBJRNORXLGJB5MLHHPJ2I/
Impress Watch「GMO、不正アクセス問題で熊谷会長が謝罪」（2026年11月2日）
https://www.watch.impress.co.jp/docs/news/2153150.html
大分合同新聞・共同通信配信「安全性、24年4月に社内で指摘とGMO」（2026年11月2日）
https://www.oita-press.co.jp/1002000000/2026/11/02/NP2026110201000995
大分合同新聞・共同通信配信「8月5日に攻撃者が侵入とGMO」（2026年11月2日）
https://www.oita-press.co.jp/1002000000/2026/11/02/NP2026110201001028
