GMO初会見、26,739件に影響か　脆弱性の指摘は経営に届かず…「報告基準」が問われる

　GMOインターネットグループは2026年11月2日、「お名前.com デスクトップクラウド」への不正アクセス問題で、初めての記者会見を開いた。同社は10月23日に不正アクセスを公表し、10月28日には対応方針を更新していた。公表から約10日を経て開かれた会見で、攻撃者の侵入から発覚までの経緯や、事前の脆弱性の指摘をめぐる対応を明らかにした。同日付で役員報酬の減額も公表している。

　会見での説明として報じられた内容によると、攻撃者は8月5日に顧客のVPS（仮想専用サーバ）環境へ入り、管理者アカウントを窃取した。8月17日には管理サーバに侵入。9月20日から10月14日にかけて、顧客のVPSにマルウェアを配布したという。

　GMOが調査を始めたのは10月20日。侵入から調査開始までは長く、約2カ月半にわたり侵入に気付かなかったことになる。影響の可能性があるサーバは26,739件。攻撃者が要求した80億円は、拒否したとしている。

　会見ではまた、事故以前の対応についても説明した。2024年にグループ会社のGMOサイバーセキュリティ byイエラエが脆弱性を指摘していたことも明らかにした。同年4～5月に緊急メンテナンスを4回行ったものの、その対応は「深さと速さの両面で不足」だったと認めた。

　この指摘は熊谷会長に上がっておらず、取締役会へ上げる基準もなかったという。事前の指摘が経営の判断の場に届いていなかったことになる。

　役員報酬の減額率は役員ごとに異なる。熊谷正寿氏が30％、伊藤氏が25％、山下氏と児玉氏が各20％で、期間は3カ月間。12月支給分からで、事故前の経緯の調査を終えた後に、責任を改めて検討するとしている。