二、自分に不利な一文を、自分で書く
10月25日の熊谷のブログで、最も重かったのは謝罪の言葉ではない。これまでの日本型企業経営者ならば墓場まで持っていくような一文である。
「社内のホワイトハッカーが、このサービスのセキュリティ上の課題を、事前に現場へ指摘していた」
――熊谷はこう書いた。現場は対策を進めていた。だが、サービスを止めずに使い続けられることや、他の案件との優先順位を考えて慎重に進めた結果、深さも速さも足りずに攻撃者に隙を突かれた。そういった説明である。
無謬主義の横行する日本型経営者の定石では、これは「書いてはいけない」部類に入るだろう。法務は止めるだろうし、広報も止めたはずだ。株主代表訴訟の材料になり、被害者側の弁護士に最良の証拠を差し出すからだ。
それでも書いた理由はなぜか。攻撃者はすでに自らのサイトで、GMOの設定の不備を突いて侵入したと主張していた。脅迫文には、GMOの過失を裏付ける証拠もいずれ公表する、という趣旨の一文まであった。不利な事実は、遅かれ早かれ犯人の手で暴露される。そうなれば、企業や経営者が事後に発する言葉に信用は宿らない。
ならば、最も不利な事実を、最も早く、自らの名前で出す。犯人から「暴露」という武器を一本取り上げる――それは誠実さの表明であると同時に、勇気ある戦術でもあったはずだ。日本の企業不祥事の多くは、事故そのものより「隠したこと」で命取りになってきた。熊谷はその構造を、身をもって知る経営者の一人なのかもしれない。
三、80億円を拒み、100万ドルを懸ける
数字を並べてみよう。
最初の要求は5000万ドル、約80億円。期限は10月21日17時だった。GMOは払わなかった。3日後、攻撃者は新たな声明で100万ドル、約1億5700万円を要求した。わずか3日で、要求額は50分の1に縮んだのである。
恐喝の交渉で、要求額がこれほど急落するのは珍しい。犯人の側に焦りがあったと読むのが自然だろう。払わない企業から、カネは取れない。取れないと分かった時、犯人に残るのは嫌がらせの手段だけになる。
対照的なのが、2021年の米コロニアル・パイプラインである。ランサムウェアで東海岸の燃料供給が止まり、同社は約440万ドルの身代金を払った。のちに米司法省が一部を取り戻したものの、「払えば止まる」という前例は残った。犯罪者にとって、身代金を払う企業は次の標的の候補リストになる。
実際はGMOが払わない理由として挙げたのは単純なことかもしれない。払っても、盗まれた情報が消される保証はどこにもない。
そして、27日夜の懸賞金である。総額100万ドル。犯人の要求した額と同額を、犯人を突き止めた者に払う。日本語、英語、中国語で情報を受け付け、犯人逮捕まで続けるという。これは単なる捜査協力の呼びかけではない。犯罪集団の内部に向けた、裏切りへの値札である。仲間の誰かが通報すれば、身代金と同じ額が手に入る――その計算を、犯人側の全員にさせることになるといえよう。
経営とは資源配分である。危機の時、トップがどこにカネを置くかが、その企業がどちらの側に立つのかが、どんな謝罪文よりも雄弁に語るのだ。
この記事の著者・上杉隆さんのメルマガ
