六、それでも免罪はされない
とはいえ、事後対応が見事であることと、事前の責任が消えることは、まったく別の話である。ここを混同すれば、本稿はただの提灯記事になる。問うべき点は少なくとも四つある。
このラインより上のエリアが無料で表示されます。
第一に、警告は届いていた。 熊谷自身が認めたとおり、社内の専門家は穴を指摘していた。それが「サービスを止めない」ことと天秤にかけられ、後回しにされた。これは現場の判断ミスではない。何を優先するかを決める経営の仕組みの問題である。しかもGMOは、ホワイトハッカー集団を擁するセキュリティ子会社を持ち、国内最大級のセキュリティ会議を主催し、国家安全保障領域のサイバー防御を担う新会社まで立ち上げたグループ企業だ。紺屋の白袴では済まされない。
第二に、三日間の空白である。 80億円要求の期限は10月21日17時だった。つまり要求は、遅くとも21日にはGMOに届いていたことになる。だが、金銭要求の存在が公表されたのは24日の第4報、金額が明かされたのは26日だ。攻撃者は脅迫文の中で、GMOが警告を無視して沈黙を続けたと非難している。捜査上の配慮があったのかもしれない。そうであるならばそう説明すればよい。いつ要求を受け、誰が、どう判断したのか。その経緯はまだ語られていない。
第三に、これは今月二度目である。 10月2日には、子会社GMOリサーチ&AIのアンケートサイト「infoQ」が不正アクセスを受け、最大約95万件の個人情報が流出、約286万円分のポイントが不正に交換された。同社は全額を補填したが、同じグループで1カ月に二度の大規模侵害が起きた事実は重い。個別の不運なのか、グループ統治の問題なのか。答えはまだない。
第四に、設計そのものへの疑いである。 攻撃者は、全サーバーに共通の管理者アカウントがあった、利用者が接続すると自宅のパソコンのドライブまでサーバー側から見える設定が標準だった、などと主張している。セキュリティ専門メディアが分析した攻撃者側のログには、利用者の手元のパソコンからファイルを複製したとする記録が3500行以上あり、税務書類に関わるものも含まれていたという。いずれも真正性は未確認だ。だが事実なら、被害はクラウドの中にとどまらず、利用者の自宅の机の上にまで及ぶ可能性がある。
実際、27日に公開された情報には顔写真や家族に関するものまで含まれているとされて、政府は一部の被害者の自宅周辺で警備を強化した。カネは補償できる。だが晒された私生活は、元に戻らない。
「逃げない」姿勢の真価は、ここから問われる。危機の渦中で頭を下げるのは、ある意味でたやすい。難しいのは、嵐の去った後に、自社にとって最も痛い検証結果を同じ熱量で公開できるかどうかだ。
七、結語――危機管理とは、リーダーの身体である
日本の危機管理は、長らく「文書」で行われてきた。弁護士が整えた謝罪文、広報が角を削った定型句、「調査中につき回答を差し控える」という思考停止の常套句。そこには、責任を負う人間の顔がない。
熊谷の9日間は、その逆を行った。自分の名前で書き、自分に不利な事実を自分で開示し、約款の外側でカネの出し方を決め、犯人の要求額をそのまま懸賞金に付け替え、政府に公然と行動を迫った。ブログでは、この問題に社会人人生のすべてを賭ける覚悟だとまで書いている。危機の最中に、トップが自らの身体を前面に差し出したのである。
だが、言葉は行動で裏打ちされて初めて意味を持つ。11月6日までに示される補償の細則は、約束どおりのものか。三日間の空白と、設計上の疑いについての検証は、隠されずに出てくるか。1カ月に二度破られたグループの統治は、本当に変わるのか。答えは、これからの数カ月が出す。
それでも、一つだけ確かなことがある。サイバー攻撃は、もはや「起きるかどうか」ではなく「いつ起きるか」の問題になった。今月だけでも、日本の大企業が次々と不正アクセスの被害を公表している。その時、トップは文書の陰に隠れるのか、前に出るのか。80億円を拒み、100万ドルを懸けた9日間は、日本のすべての経営者にその問いを突きつけている。
上杉隆（株式会社AIメディア代表取締役）
この記事の著者・上杉隆さんのメルマガ
image by: Piotr Swat / Shutterstock.com
