こんにちは。弁護士の浅見隆行です。
ドメイン登録サービス「お名前.com」を運営するGMOインターネットは2026年10月21日、FXの自動売買などに使われるサーバーサービス「お名前.com デスクトップクラウド」が不正アクセスを受けたと公表しました。
影響の可能性があるサーバーは2万6739件で、同社は全プランのサーバーを停止しています。
同社は10月24日の第4報で、システムにセキュリティ上の問題があり、利用者の情報が外部に持ち出されたことを確認したと明らかにしています。利用者の取引口座では身に覚えのない取引が行われており、同社は不正取引による損失を補償するとしています。
600万円の損失が出たという利用者の声も報じられています。
GMOインターネットグループの代表取締役グループ代表である熊谷正寿氏は10月25日、自身のブログで謝罪しました。
熊谷氏はその中で、社内のホワイトハッカーから改善すべき課題を事前に指摘されていたことを明かしています。現場は対策を進めていたものの、サービスを使える状態を保つことへの影響や、ほかの課題との優先順位を考えて慎重に進めた結果、対応の深さと速さが足りず、攻撃者に隙を突かれたという説明です。
熊谷氏は、「プロを抱えながら」その知見を組織として防御に生かしきれなかったことを反省するとも書いています。
指摘されていた課題への対応を、サービスを止めないことより後回しにしていたことを認めた、と理解できます。
同じ週にPHPの問題で再開できないサイトが続出
同じ週には、Webサイトで広く使われているプログラミング言語PHPに重大な脆弱性が見つかり、国内でも多くのサイトが予防のために一時停止しました。各社の停止の判断と告知については前回のブログで取り上げました。
停止したサイトがいつ再開できたかは、使っていたPHPのバージョンで分かれました。
サポート中のバージョンを使っていた会社は、公開された修正版を当てれば済んだので、多くが翌日にはサービスを再開しています。
再開が遅れているのは、サポートが終わったPHP 8.1以前のまま、バージョンを上げずに放置してきた会社です。
IPAは、そうしたバージョンを使っている場合は、サポート中のバージョンへの更新や、対策済みの製品への移行を検討するよう呼びかけています。
ところが、バージョンを上げると古い書き方のプログラムが動かなくなることがあるので、書き換えと動作確認をしなければなりません。その作業が終わるまでサイトは再開できず、26日の時点で国内の停止は累計1000件を超え、再開できない例も多いと報じられています。
PHPのサポート期限は、何年も前から公表されていました。バージョンを上げる作業は、サイトが普段どおり動いている限り急ぐ理由が見当たらず、後回しにされやすい仕事です。
デスクトップクラウドはWindowsの仮想デスクトップを貸すサービスで、PHPの脆弱性とは関係がありません。
ただ、GMOも、PHPを更新してこなかった会社も、分かっていた課題や期限への対応を後回しにしていました。そのため、事件が起きたときに打てる手が限られています。
GMOインターネットは、不正アクセスを受けた現行のシステム基盤でサービスを再開することをあきらめ、別の基盤で動く代替サービスへの乗り換えを利用者に案内しています。
対応を急いでいたデジタル庁での漏えい
後回しは、対応を急いでいた組織でも起きています。
デジタル庁は2026年9月11日、政府共通の業務環境「ガバメントソリューションサービス（GSS）」が不正アクセスを受け、政府職員などの個人情報約24.6万件が漏えいした可能性があると公表しました。
同庁のQ&Aによると、悪用されたVPN機器の脆弱性は攻撃の前に公表されていたもので、当初の深刻度の評価は「中」でした。同庁は、評価に応じた一般的な対応より早く対処を進めていましたが、修正プログラムを当てる前に悪用されています。
外部の評価に合わせて決めた順番の途中で、攻撃を受けたという意味では、GMOとも類似しています。
サービスを止めないことが優先される職場
GMOの現場が慎重に進めた理由は、想像がつきます。
FXの自動売買は24時間動き続けることが前提で、サーバーを停止すれば利用者の取引も止まります。設定を変えて取引ツールが動かなくなれば、苦情はすぐに担当者のもとに届きます。
一方、セキュリティ上の弱点は、攻撃を受けるまで誰の目にも見えません。今日直さなくても、明日も明後日もサービスは普段どおり動きます。
目に見える不具合と目に見えない弱点を並べれば、経営陣や現場の担当者が目に見える不具合を避ける順番を選ぶのは自然です。
社内での打ち合わせで経営陣が「お客様に迷惑をかけないよう、慎重に進める」と決めたら、指摘したホワイトハッカーも「それでも今すぐ直すべきです」とは言いにくくなります。
PHPのバージョンを上げずにきた会社でも、同じことが起きていたと推察できます。
「今は動いているから、次にサイトを作り直すときに」「そのときまで予算はつけない」という判断は、毎年繰り返すうちに誰も見直さなくなります。
見落とされやすいのは、後回しにするという判断が、その間に攻撃されて被害が出ても仕方がないと会社が決めることでもある点です。
熊谷氏の説明からは、その判断が経営陣の会議で議論されたのかどうかは分かりません。ただ、サービスへの影響と他の課題との兼ね合いを比べていたという説明からは、社内のホワイトハッカーから指摘されていた改善課題の解決を後回しにしていた可能性が考えられます。
日本システム技術事件が示した内部統制の質
サイバー攻撃や情報漏えいへの備えは、情報の保存・管理を含む「損失の危険の管理に関する規程その他の体制」、いわゆるリスク管理体制にあたります。
内部統制の1つであるこの体制に、どこまでの質が求められるのかを示したのが、日本システム技術事件の最高裁2009年7月9日判決です。
この事件では、ソフトウェア会社の事業部長が部下と共謀して注文書や検収書を偽造し、監査法人が取引先に送った売掛金残高確認書まで回収して偽装していました。
最高裁は、事業部門と財務部門の分離や売掛金残高の確認といった仕組みを挙げ、会社は「通常想定される架空売上げの計上等の不正行為を防止し得る程度の管理体制」を整えていたと判断しました。
そのうえで、不正は通常容易には想定しにくい方法によるもので、代表取締役が発生を予見すべきであったという特別な事情もないとして、責任を否定しています。
判決が内部統制に求めた質は、通常想定される不正を防げる程度です。裏を返せば、通常想定できる事故を防げない体制は、求められる質に足りていないことになります。予見すべき事情があったのに手を打たなかった場合は、なおさらです。
何が「通常想定される」のかは、時間が経ち、攻撃の手口が変わるにつれて広がっていきます。この点は、タイムズカーの事案を取り上げたブログで、リソー教育事件の判決とあわせて書きました。
今回の事案に当てはめると、GMOでは社内のホワイトハッカーが弱点を指摘していました。PHPのサポート終了は何年も前から公表されていました。デジタル庁で悪用された脆弱性も、攻撃の前に公表されていました。
しかも、GMOのグループには、外部からの攻撃を受けた前例もあります。
グループ会社のGMOペパボ（当時の社名はpaperboy&co.）が運営するレンタルサーバー「ロリポップ！」では2013年8月、利用者のWordPressサイト8438件が第三者に改ざんされました。
同社は、サーバーのディレクトリのアクセス権限の設定が適切でなかったため、同じサーバーを使う他の利用者のサイトにまで被害が広がったと説明しています。
攻撃の手口は今回と違います。
それでも、サーバーを貸す事業が外部から狙われ、運営側の設定に不備があれば利用者に被害が及ぶことを、GMOのグループは10年以上前に経験していました。外部からの攻撃は、GMOにとって通常想定しておくべき事故だったと読み取れます。
いずれも、判決の言う想定しにくい方法とは言いにくく、通常想定される不正行為や予見すべき特別な事情にあたると判断されやすい事情です。
リスク管理体制に求められる質を保つには、一度整備した体制を、社内外からの指摘や公表された期限、他社で起きた事故に合わせて更新し続けることが必要です。
取締役会と監査役が確かめておくこと
後回しの判断は経営陣の決定事項
現場の作業の順番に任せている限り、サービスを止めない方が優先される流れは変わりません。担当者は、目の前の利用者に迷惑をかけないよう誠実に判断しているだけだからです。
そのため、セキュリティ上の指摘への対応や課題を先送りするときは、経営陣が決める事項として上げさせることが必要です。
担当役員が経営会議で「この弱点への対応を3か月見送ります。その間はこの方法で影響を抑えます」と説明し、経営陣がその説明を聞いたうえで見送りを了承する形にすれば、先送りは会社の判断として記録に残ります。
確かめるのは未対応の指摘と期限
取締役会に報告されるセキュリティの資料は、導入した製品や投資額、研修の受講率が中心になりがちです。それを見ても、指摘されたまま手を付けていない課題は分かりません。
取締役会や監査役が確かめたいのは、社内外から指摘されたまま対応が済んでいない課題がいくつあり、それぞれどれだけの期間残っているかです。
あわせて、自社で使っているソフトウェアや機器のサポートがいつ終わるかを一覧で出させることが効果的です。
ちなみに、PHP 8.2のサポートも、2026年12月31日で終わります。
PHPのバージョンが古い会社は、今回の問題は切り抜けられたとしても、次に備えて今からバージョンアップするなど保守していく必要があります。
他社の事案という点検のきっかけ
何も起きていないときに、こうした確認を取締役会の議題にするのは簡単ではありません。今回のGMO、PHP、デジタル庁の事案は、自社の点検を切り出すきっかけになります。
監査役や社外取締役が次の取締役会で「当社で、指摘されたまま手を付けていないセキュリティ上の課題はいくつありますか。一番長く残っているものはどれですか」と質問するだけでも、担当部署は一覧を作り、課題が可視化されることになります。
セキュリティにいくら投じてきたかより、指摘されたまま手を付けていない課題がいくつ、どれだけの期間残っているかを取締役会が知っているかどうかが、内部統制の質を分ける気がします。
企業の不祥事対応や第三者委員会のセカンドオピニオン等のご相談は、アサミ経営法律事務所お問い合わせフォームよりご連絡ください。
