GMO、2年前の警告生かせず不正アクセス 「社長に届かなかった」では済まない
GMOインターネットグループは2日、FX自動売買サービスへの不正アクセスについて初めて記者会見を開いた。熊谷正寿社長は、2024年にセキュリティー子会社から問題を指摘されながら、サービス運営に生かせなかったと説明した。
GMOによると、管理者権限が悪用されて管理サーバーに侵入され、顧客サーバーにマルウエアが配布された。対象となり得た台数は最大約2万6700台で、社内の対策と情報伝達が十分だったかが問われている。
代表まで情報が伝わっておらず、今回の事案が発生して初めて問題が指摘されていたことを知ったという。
同年４－５月に緊急メンテナンスを４回行い、対策は実施したものの十分ではなかったという。
GMOの会見で最も重いのは、攻撃が巧妙だったという説明より、社内の専門家の指摘が十分に生かされなかったことです。2024年に問題を把握し、メンテナンスも行ったのに対策が足りなかった。社長に情報が届いていなかったというなら、誰が危険度を判断し、どの段階で経営陣に上げる仕組みだったのかを明らかにしてほしい。被害を受けた利用者には、抽象的な決意より具体的な影響と復旧策が必要です。
海外からの攻撃を防ぐ制度の提案は議論してよいでしょう。ただ、国の新制度ができるまで、自社の管理体制の検証を待つわけにはいきません。報酬減額も責任を示す一歩にはなりますが、侵入を見逃した期間、顧客への通知、再発防止の実効性まで説明して初めて信頼回復につながります。サイバー防御を社会全体の課題として語る前に、内部の警告を確実に届ける組織を作り直すべきです。
