四、約款の外側で決めた補償
全額補償の意味を正しく測るには、GMOが法的にどこまで責任を負っているのかを知る必要がある。
AIによる金融分析では、このサービスの利用規約は、賠償の上限を原則「サーバー利用料の1カ月分」と定めている。数百万円を失った利用者でも、規約上は数千円しか戻らない計算になる。消費者契約法により、重大な過失があれば上限は外れ得るが、それを利用者が証明するのは容易ではない。
また金融ITの法的な分野からAIに解析させるとさらに厳しい見方を示す。2018年のコインチェック事件では、流出したNEMの保有者約26万人に、同社が約460億円を返金した。だがそれは、取引所が顧客の資産を直接預かっていたからだ。今回、GMOは仮想のパソコンを貸していただけで、利用者のカネは1円も預かっていない。全額補償を法的に迫るのは極めて難しい――という指摘である。
つまり、取引所が返金に応じない場合でもGMOが実損を払うという熊谷の決定は法務の結論ではないといえよう。間違いなく経営者の意思である。約款の内側に逃げ込む道はあったはずだ。だが、熊谷はそれを選ばなかった。
ただし、ここにも教訓がある。24日の第4報には実損補償の方針がすでに書かれていた。それなのに世間に先に届いたのは「一律5000円」の見出しだった。「5000円で幕引きか」という怒りが広がり、熊谷は翌日のブログで、そうではないと打ち消さねばならなかった。危機の時、何を言ったかと同じくらい、どの順番で伝わるかが結果を左右する。申請方法などの詳細は11月6日までに示される予定だ。言葉の真価はその細則で試される。
五、国家を当事者席に座らせる
賛否が割れたのは、政府への能動的サイバー防御の「発動第1号」要請である。
同法は10月1日に施行されたばかりで、警察や自衛隊が攻撃者のサーバーに入り込み、無害化することまで可能にした。対象の中心は電力、金融、通信など15分野の基幹インフラ事業者で、GMOグループは含まれていない。国内に発動例はなく、世界でも数えるほどしかない。
官邸の反応は冷ややかだった。木原稔官房長官は26日の会見で個別の対応を明かさず、無害化は被害企業の要請の有無にかかわらず、警察や防衛省・自衛隊が法の要件に照らして判断すると述べた。つまり、防御の支援はするが無害化に至るかは解析次第だ、という趣旨にとどめている。企業に言われて国が動く、という構図は取らない――行政としては当然の線引きだろう。SNSでは「責任転嫁ではないか」という批判も出ている。
だが、筆者は別の読み方をする。熊谷はブログで、FX用のサーバーだから重要インフラではない、という見方に正面から反論した。国内外70社以上の金融基盤につながる環境が狙われ、国民の資産と個人のパソコンの中身までが人質に取られている。これを民間の一事案で済ませれば、次は別の社会基盤が同じ手口で狙われる、ということだ。
これは法の「線引き」そのものへの問題提起である。国家は守るべきインフラを業種で定義した。だが攻撃者は業種を見ない。どこが国民の財布に直結しているかを見る。法の地図と攻撃者の地図がずれているのだ。
果たして、政治は動いた。要請の出た2日後の26日、高市首相は首相官邸でサイバー関係閣僚会議を開き、来週中に緊急対策パッケージをまとめるよう指示した。
27日、木原官房長官は顧客情報の公開を「卑劣」と非難し、警視庁は捜査に乗り出している。要請が直接の原因だと断じる材料はない。それでも、一民間企業の事件が、施行1カ月の新法の運用を国のトップの議題に押し上げたことは間違いない。
この構図は、筆者が長年批判してきた「官報複合体」の裏返しでもある。日本では政府と大手メディアと大企業が、波風を立てない形で事件を「処理」してきた。役所に根回しし、記者クラブで型どおりの会見を開き、静かに幕を引く。熊谷はその作法を採らなかった。ブログとSNSいう自前の媒体で、政府に公然と行動を迫った。霞が関にとって、これほど扱いにくい被害者もいないだろう。
もっとも、冷静に付け加えておかねばならない。無害化措置が発動されても、すでに失われた口座の残高は戻らない。この要請は被害者救済のためではなく、次の被害を止めるためのものである。そこを取り違えてはならないといえよう。
この記事の著者・上杉隆さんのメルマガ
