AI診断の導入は事件の後 — GMOの不正アクセスが問う「直った」の確認

何が起きたの? — 監視していても気づけなかった侵入

狙われたのは、GMOインターネットが運営する「お名前.comデスクトップクラウド」です。外国為替証拠金取引(FX)の自動売買に使う、仮想の専用サーバー(VPS)のサービスです。

2026年11月2日、熊谷正寿会長兼社長が都内で記者会見を開き、「お客様を守ることができず誠に申し訳なかった」と謝罪しました。事件をめぐる自身のSNSでの発信についても、配慮を欠いていたと認めています。

会見で説明された経緯は、次のとおりです。

同社はサービスを監視していましたが、一連の不正アクセスを検知できませんでした。影響の可能性があるサーバーは最大2万6739台で、サービスは止まったままです。

なぜ防げなかったのか? — 指摘のあとの「確認」が抜けた

実は2024年の時点で、警告は出ていました。グループのセキュリティ診断会社、GMOサイバーセキュリティbyイエラエが、このサービスの改善点を指摘していたのです。

2024年4月24日には、診断結果の報告会と、エンジニア向けの詳しい説明会も開かれました。GMOは4月26日から5月20日にかけて、緊急メンテナンスを4回行っています。

しかし、対策は十分ではありませんでした。日経クロステックによると、対策の後に、直ったかどうかをもう一度確かめる再診断は行われていませんでした。

もう一つの事実があります。同社はAIを使った自社の診断の仕組みを持っています。それをグループ全体に広げたのは、事件の後でした。

会社のどこが問われるの? — 部門の壁

会見でGMOは、セキュリティーを経営の柱の一つとして強化してきたと強調しました。グループ内に専門の診断会社を持つ会社です。それでも穴は残りました。

ITmediaビジネスは、会見の要点として「組織の壁」が露呈したと伝えています。指摘する部門と直す部門が分かれていると、指摘は報告書を渡した時点で「終わった」ことになりがちです。直す側も、修正を出した時点で「終わった」と考えます。

ただし、再診断をしていれば今回の侵入を防げたのかは、まだ分かりません。同社は当時の対応を今後検証するとしています。

SYNCONの視点 — 診断は「閉じた」ときに終わる

脆弱性診断は、受けた時点では費用をかけただけです。効果が出るのは、指摘が直り、直ったことを確かめたときです。外部の診断会社に頼む会社も、この最後の工程は自社で持つしかありません。

決めておきたいのは3点です。指摘ごとに「閉じる人」を1人決めること。修正の後に再診断する予算を、最初の診断と一緒に確保すること。そして、未確認の指摘が何件残っているかを、経営の会議で定期的に見ることです。

AIを使った診断は、弱点を見つける速度を上げます。ただ、見つかった指摘を閉じる流れがなければ、未確認の指摘が増えるだけです。新しい仕組みの導入より先に、過去の指摘が閉じているかを確かめる価値があります。

要点まとめ

• 「お名前.comデスクトップクラウド」に不正アクセス。影響は最大2万6739台、身代金の要求は約80億円
• 8月の侵入から10月の発覚まで、監視していても検知できなかった
• 2024年に子会社イエラエが指摘し、緊急メンテナンスを4回実施。ただし対策後の再診断はなし
• AIを使った自社の診断をグループに広げたのは事件の後
• 再診断で防げたかは未検証。同社は当時の対応を今後検証する
• 自社で決めたいのは、指摘を閉じる責任者、再診断の予算、未確認の件数の報告