GMO、2年前に子会社が弱点を指摘と報道　2日午後に初の社長会見

TBS NEWS DIG・日本テレビ・テレビ朝日によると、GMOインターネットグループは2日（月）午後、熊谷正寿社長らによる記者会見を開く。10月20日に「お名前.com デスクトップクラウド」（FX自動売買用のサーバー）への不正アクセスが発覚してから、会見は初めてだ。会見を前に、新しい点が報じられた。NHKとテレビ朝日は関係者の話として、グループのセキュリティー子会社が2年前にこのサービスの弱点を指摘していたと伝えた。テレビ朝日によると、指摘したのは「GMOサイバーセキュリティ byイエラエ」で、時期は2024年4月。グループの指示で対策は施されたが、関係者は「サービスを一時的に停止して、もっと十分な対応を取るべきだった」と話したという。指摘の時期や中身について、GMOはまだ公表しておらず、ヨリビケでは確認できていない。

事前に指摘があったこと自体は、熊谷氏が10月25日（日）のブログで認めている。社内のホワイトハッカーから改善すべき課題が事前に現場へ指摘され、現場も対策を進めていたが、サービスの可用性への影響やほかの対処との優先順位を考えながら進めた結果、対応の深さと速さが足りず、攻撃者にそのすきを突かれた、という説明だ。ただ、ブログでは指摘がいつだったか、どんな中身だったか、今回の侵入の経路と関係があるかは示されていない。報道で「事前」が2年前とされたことで、その間になぜ直しきれなかったのかが会見で問われる形になった。NHKは別に、被害者の情報を集めるとうたう不審なサイトが被害の公表より前に開設されていたと伝え、ハッカー側と関連がある可能性を報じている。

10月27日（火）以降、会社は公式サイトで対応を重ねてきた。27日夜の第12報では、犯人が公開した情報に自分の情報が含まれていた利用者に「特別お見舞金」を出すと発表した。氏名・連絡先などは1万円、取引口座のIDやパスワードなどは1万5000円、要配慮個人情報などは2万5000円で、合計の上限は300万円。一律5000円の見舞金と、不正取引の損失の補償とは別に払う。あわせて、犯人の特定につながる情報に総額100万ドル（約1億5000万円）を上限とする懸賞金を設けた。28日（水）午前4時ごろには犯人サイトのドメインが止まったことを確認し（第13報）、29日（木）にはグループのホワイトハッカーチームが独自に調べて犯人の特定につながると考えられる情報を得て、警察などに出すとした（第15報）。懸賞金サイトへの情報提供は、30日（金）18時時点で累計428件（第16報）。30日には、見舞金の受け取り手続きと代替サービスの案内を、契約者に直接送り始めた。

株価は1週間で大きく揺れた。株探とYahoo!ファイナンスによると、GMOインターネットグループは26日（月）に15.65%安の3179円、27日（火）は一時3040円まで下げて3159円で終えた。28日（水）は5.22%高、29日（木）は1.59%高の3377円と2日で約7%戻したが、30日（金）は3.82%安の3248円。前の週末の3769円から521円安（13.8%安）で、同じ週の日経平均は0.95%高だった。戻した28〜29日は、犯人サイトの停止の確認や、犯人の特定につながる情報の入手が発表された日と重なる。一方で30日は、日経平均が2.12%安の日に、それを上回る3.82%安になった。上場子会社のGMOインターネット（4784）も30日は11円安の422円（株探）。

この先の焦点は2日（月）午後の会見だ。報道では、攻撃者の特定の進み具合と、セキュリティー対策が十分だったかが焦点とされている。2年前の指摘がどんな中身で、侵入の経路とつながっているのか、補償や見舞金の総額がどこまで見込まれるのかが会見で明らかになるかどうかも見たい。会見は東証の取引時間中（後場は12時30分〜15時30分）にあたる。そのあとは、不正取引の損失補償の申請方法の案内が6日（金）まで、決算発表が13日（金）の予定（Yahoo!ファイナンス、株探）で、補償などの費用がどう扱われるかが見えてくる。