GMOの管理者権限はなぜ直らなかった　2年前の指摘、社長まで届かず

2026年11月7日、NHKが、GMOインターネットグループの不正アクセスについて新しい事実を報じた。2年前に子会社が出していた指摘の、中身だ。アクティブディレクトリという機能を通じて、管理者がすべての利用者の情報にアクセスできる状態になっていた。リスクは、そう名指しされていた。それでも、十分な対策はされなかった。

指摘を出したのは、グループの子会社GMOサイバーセキュリティ byイエラエだ。日本経済新聞によると、2024年4月に、システムの抜本的な見直しを求めていた。攻撃が来たのは、その2年4か月後の2026年8月5日。狙われたのは、FXの自動売買に使われるVPSサービス「お名前.com デスクトップクラウド」。影響の可能性があるのは、最大2万6739台のサーバーだ。

熊谷正寿会長兼社長がブログで謝り、社内のホワイトハッカーから事前に指摘が出ていたと書いた件は、本誌が10月26日に伝えた。今回の報道は、その「指摘」が何だったのかを明らかにするものだ。

社長のところに、報告は上がっていなかった

11月2日、GMOは問題が表に出てから初めての会見を開いた。熊谷社長はそこで、2年前の指摘は自分のところには上がっていなかったと話した。取締役会に上げるかどうかの、はっきりした基準もなかったという。

では、なぜ直らなかったのか。指摘のあと、GMOは4回の臨時メンテナンスをした。それでも根っこは残った。会見での説明はこうだ。サービスを止めずに動かすこと、新しい機能を作ること、そういうものと並べて順番を決めていく中で、リスクの見立てが足りなかった。熊谷社長ら役員4人は、12月から3か月、月額の報酬を20〜30%減らす。FXの不正な取引で出た損失は、全額を補償するとした。

では、指摘した側はどうなるのか。ここが、まだ分からない。NHKも日経も、イエラエが抜本的な見直しを求めたところまでは書いている。そのあと、誰にどう食い下がったのかは出てこない。穴を見つけるのが仕事の人は、直す順番を決める側ではない。

外からは「届かなかったこと」が問題だと見られている

Yahoo!ニュースでエキスパートとして解説を書く森井昌克氏は、いちばんの問題は警告が経営に届かなかったことだとした。これを現場のミスではなく、危ないことを経営の課題として扱う仕組みが動いていなかった話だと読んでいる。そのうえで、専門家の警告が確実に経営に届き、危険を放っておかない組織に変わることが本当の課題だと書いた。

11月6日午後6時、GMOは、不正な取引で損失が出た人への個別の連絡を始めたと発表した。

ネットの評判

はてなブックマークには、技術者らしい具体的な声が並んだ。「権限分割してフルアクセスのアカウントを業務に使わないのはセキュリティーの基本中の基本」という書き込みがあり、同じ投稿には「ほとんどの企業ができていない」とも書かれている。設計そのものを問う声もある。「マルチテナントのDaaSであればテナント毎に独立したフォレストを持たせるのがMS推奨構成」という指摘だ。一方で、GMOだけを責めるのは違う、という声も出た。「他の会社もひどいのたくさんあるからな」「実際にコード書くエンジニアの単価が低すぎるんだよ」。NHKの記事には、11月7日の時点で25人がブックマークを付けている。

指摘は2024年4月に出ていた。攻撃は2026年8月5日に来た。その2年4か月について会見で分かったのは、社内の指摘を上に上げる基準が決まっていなかった、ということだけだ。