GMO熊谷代表の涙ながらの謝罪会見　3時間の説明でも残る多くの謎

　GMOインターネットが提供するクラウドサービス「お名前.comデスクトップクラウド」への不正アクセスをめぐる2日の記者会見では、GMOグループ代表の熊谷正寿氏がシステムのセキュリティー対策が不十分だったことを認め、涙ながらに謝罪した。3時間を超えた会見では「命の砂時計」など熊谷氏の独特の言い回しにも注目が集まったが、結局、何が新たに分かり、何が分からないままなのか。整理した。

　会見で新たに分かったことは、大きく三つある。

不正アクセスの時期と経緯

　一つ目は、攻撃者側からの不正アクセスの時期と経緯だ。

　侵入されたのは、1台のサーバーに複数の仮想的なサーバーをつくり、利用者ごとに貸し出す「VPS（仮想専用サーバー）」を提供するサービスだった。

　攻撃者は、8月5日に顧客のVPSに侵入し、そこから管理者アカウントを窃取した。8月17日には、その管理者権限を悪用してGMOの管理サーバーに入り込み、9月20日～10月14日に他の顧客のVPSにも悪意のあるプログラムを配布した。

　GMOは、利便性の高さを考え、VPSと顧客のパソコンとの間でファイルを共有する機能を「オン」にしていた。攻撃者はこの機能を悪用し、顧客のパソコンからファイルを盗み取った可能性がある。10月20日になってGMO側が異変に気づいた。被害を受けた可能性があるサーバーは2万6739件にのぼる。

2年前にあった脆弱性の指摘

　二つ目は、2年前に社内からシステムの脆弱（ぜいじゃく）性について指摘を受けていたことだ。

　指摘したのは、グループ企業の「GMOサイバーセキュリティbyイエラエ」で、2024年4月に報告があった。翌5月までに4回の緊急メンテナンスをして「対応としては一段落ついた」と判断し、その後は対応していなかった。また、このシステムに対する再診断もされていなかった。

　顧客のパソコンからファイルを窃取するのに悪用されたとみられるファイル共有機能については、2年前の指摘には含まれていなかったという。

2年前の指摘を熊谷氏は知らなかった

　三つ目は、2年前の指摘が熊谷氏まで共有されていなかったことだ。

　システムの脆弱性について、どのレベルで取締役会に上げるかの基準はなく、個別に判断していた。指摘は、事業やシステムの責任者に共有されたが、熊谷氏には報告されていなかったという。

　会見で分からなかったことも、おもに三つある。

■攻撃側の侵入方法…