GMOインターネットグループが大規模なサイバー攻撃を受け、利用者情報の流出が問題となるなか、熊谷正寿代表の危機対応が注目されています。今回のメルマガ『上杉隆の「ニッポンの問題点」』ではジャーナリストの上杉隆さんが、今回の事件における熊谷代表の判断を振り返り、危機管理におけるリーダーシップのあり方と、企業が果たすべき責任について考察します。
GMO熊谷正寿はなぜ身代金を拒んだのか？サイバー攻撃への異例の対応と経営責任
10月27日正午。犯行グループが一方的に突きつけた「期限」が過ぎた。GMOインターネットグループは一円たりとも払わなかった。予告どおり、攻撃者は利用者の情報をネット上に晒し始めた。
その日の夜、GMOは反撃に出る。犯人の特定と検挙につながる情報に、総額100万ドルの懸賞金を懸けると発表したのだ。100万ドル――それは、犯人がこの日正午を期限に要求していた額と一致している。
払えと脅された額を、そのまま犯人を追い詰める側に回す。日本の企業経営者が、ここまで明快でかつ攻撃的な対応に出た例を筆者は寡聞にして知らない。
本稿は、代表の熊谷正寿がこの9日間に下した判断をリーダーシップの観点から解剖した。ただし、称賛で終わらせるつもりはない。事後の見事さは、事前の失敗を帳消しにはしない。その両面を分析しようと思う。
一、9日間で何が起きたか
舞台は、GMOインターネットの「お名前.com デスクトップクラウド」。クラウド上のWindowsを遠隔で使うサービスで、FXの自動売買ソフトを24時間動かす基盤として使われてきた。影響の可能性のあるサーバーは最大で2万6739件ともいわれる。利用者はそこに証券会社やFX会社の口座のIDとパスワードを保存していた。犯人が狙ったのはまさにそこである。時系列で振り返ってみる。
今回の事件における熊谷代表の判断を振り返り、危機管理におけるリーダーシップのあり方と、企業が果たすべき責任について考察します。
10月19日 調査開始
10月20日 一部サーバーで第三者の不正プログラムを確認。同日夜、全プランを停止
10月21日 不正アクセスを公表。この日17時を期限に、攻撃者はGMOに5000万ドル（約80億円）を暗号資産で要求していた
10月22日 取引口座のログイン情報が取得・悪用された可能性を公表
10月24日 第4報。実損の補償、全利用者に一律5000円、代替基盤の6カ月無償化、脅迫に応じない方針、政府への能動的サイバー防御「発動第1号」要請。同日、攻撃者は27日正午を期限に100万ドルを要求する声明を出す
10月25日 熊谷代表がブログで謝罪。社内ホワイトハッカーの事前指摘を自ら開示し、実損の全額補償を表明
10月26日 ブログに追記し、80億円要求と脅迫文を公開。木原官房長官は、無害化措置は企業の要請の有無にかかわらず警察・防衛省が判断すると述べる。同日、首相官邸でサイバー関係閣僚会議
10月27日 正午以降、攻撃者が情報公開を開始。GMOは特別見舞金（1公開あたり上限300万円）、総額100万ドルの懸賞金、悪質な拡散者への法的措置を発表
10月28日 正午、懸賞金の情報受付を開始
被害はGMOの外にも広がった。FX業者の外為ファイネストは、不正ログインと不正取引の発生を認めている。攻撃者は、利用者の口座から総額2800万ドルを「消滅させた」とまで主張する。真偽は確認されていない。だが、寝ている間にポジションを勝手に決済され、資金を失ったと訴える個人トレーダーの声はすでに複数のメディアが伝えている。
この記事の著者・上杉隆さんのメルマガ
二、自分に不利な一文を、自分で書く
10月25日の熊谷のブログで、最も重かったのは謝罪の言葉ではない。これまでの日本型企業経営者ならば墓場まで持っていくような一文である。
「社内のホワイトハッカーが、このサービスのセキュリティ上の課題を、事前に現場へ指摘していた」
――熊谷はこう書いた。現場は対策を進めていた。だが、サービスを止めずに使い続けられることや、他の案件との優先順位を考えて慎重に進めた結果、深さも速さも足りずに攻撃者に隙を突かれた。そういった説明である。
無謬主義の横行する日本型経営者の定石では、これは「書いてはいけない」部類に入るだろう。法務は止めるだろうし、広報も止めたはずだ。株主代表訴訟の材料になり、被害者側の弁護士に最良の証拠を差し出すからだ。
それでも書いた理由はなぜか。攻撃者はすでに自らのサイトで、GMOの設定の不備を突いて侵入したと主張していた。脅迫文には、GMOの過失を裏付ける証拠もいずれ公表する、という趣旨の一文まであった。不利な事実は、遅かれ早かれ犯人の手で暴露される。そうなれば、企業や経営者が事後に発する言葉に信用は宿らない。
ならば、最も不利な事実を、最も早く、自らの名前で出す。犯人から「暴露」という武器を一本取り上げる――それは誠実さの表明であると同時に、勇気ある戦術でもあったはずだ。日本の企業不祥事の多くは、事故そのものより「隠したこと」で命取りになってきた。熊谷はその構造を、身をもって知る経営者の一人なのかもしれない。
三、80億円を拒み、100万ドルを懸ける
数字を並べてみよう。
最初の要求は5000万ドル、約80億円。期限は10月21日17時だった。GMOは払わなかった。3日後、攻撃者は新たな声明で100万ドル、約1億5700万円を要求した。わずか3日で、要求額は50分の1に縮んだのである。
恐喝の交渉で、要求額がこれほど急落するのは珍しい。犯人の側に焦りがあったと読むのが自然だろう。払わない企業から、カネは取れない。取れないと分かった時、犯人に残るのは嫌がらせの手段だけになる。
対照的なのが、2021年の米コロニアル・パイプラインである。ランサムウェアで東海岸の燃料供給が止まり、同社は約440万ドルの身代金を払った。のちに米司法省が一部を取り戻したものの、「払えば止まる」という前例は残った。犯罪者にとって、身代金を払う企業は次の標的の候補リストになる。
実際はGMOが払わない理由として挙げたのは単純なことかもしれない。払っても、盗まれた情報が消される保証はどこにもない。
そして、27日夜の懸賞金である。総額100万ドル。犯人の要求した額と同額を、犯人を突き止めた者に払う。日本語、英語、中国語で情報を受け付け、犯人逮捕まで続けるという。これは単なる捜査協力の呼びかけではない。犯罪集団の内部に向けた、裏切りへの値札である。仲間の誰かが通報すれば、身代金と同じ額が手に入る――その計算を、犯人側の全員にさせることになるといえよう。
経営とは資源配分である。危機の時、トップがどこにカネを置くかが、その企業がどちらの側に立つのかが、どんな謝罪文よりも雄弁に語るのだ。
この記事の著者・上杉隆さんのメルマガ
四、約款の外側で決めた補償
全額補償の意味を正しく測るには、GMOが法的にどこまで責任を負っているのかを知る必要がある。
AIによる金融分析では、このサービスの利用規約は、賠償の上限を原則「サーバー利用料の1カ月分」と定めている。数百万円を失った利用者でも、規約上は数千円しか戻らない計算になる。消費者契約法により、重大な過失があれば上限は外れ得るが、それを利用者が証明するのは容易ではない。
また金融ITの法的な分野からAIに解析させるとさらに厳しい見方を示す。2018年のコインチェック事件では、流出したNEMの保有者約26万人に、同社が約460億円を返金した。だがそれは、取引所が顧客の資産を直接預かっていたからだ。今回、GMOは仮想のパソコンを貸していただけで、利用者のカネは1円も預かっていない。全額補償を法的に迫るのは極めて難しい――という指摘である。
つまり、取引所が返金に応じない場合でもGMOが実損を払うという熊谷の決定は法務の結論ではないといえよう。間違いなく経営者の意思である。約款の内側に逃げ込む道はあったはずだ。だが、熊谷はそれを選ばなかった。
ただし、ここにも教訓がある。24日の第4報には実損補償の方針がすでに書かれていた。それなのに世間に先に届いたのは「一律5000円」の見出しだった。「5000円で幕引きか」という怒りが広がり、熊谷は翌日のブログで、そうではないと打ち消さねばならなかった。危機の時、何を言ったかと同じくらい、どの順番で伝わるかが結果を左右する。申請方法などの詳細は11月6日までに示される予定だ。言葉の真価はその細則で試される。
五、国家を当事者席に座らせる
賛否が割れたのは、政府への能動的サイバー防御の「発動第1号」要請である。
同法は10月1日に施行されたばかりで、警察や自衛隊が攻撃者のサーバーに入り込み、無害化することまで可能にした。対象の中心は電力、金融、通信など15分野の基幹インフラ事業者で、GMOグループは含まれていない。国内に発動例はなく、世界でも数えるほどしかない。
官邸の反応は冷ややかだった。木原稔官房長官は26日の会見で個別の対応を明かさず、無害化は被害企業の要請の有無にかかわらず、警察や防衛省・自衛隊が法の要件に照らして判断すると述べた。つまり、防御の支援はするが無害化に至るかは解析次第だ、という趣旨にとどめている。企業に言われて国が動く、という構図は取らない――行政としては当然の線引きだろう。SNSでは「責任転嫁ではないか」という批判も出ている。
だが、筆者は別の読み方をする。熊谷はブログで、FX用のサーバーだから重要インフラではない、という見方に正面から反論した。国内外70社以上の金融基盤につながる環境が狙われ、国民の資産と個人のパソコンの中身までが人質に取られている。これを民間の一事案で済ませれば、次は別の社会基盤が同じ手口で狙われる、ということだ。
これは法の「線引き」そのものへの問題提起である。国家は守るべきインフラを業種で定義した。だが攻撃者は業種を見ない。どこが国民の財布に直結しているかを見る。法の地図と攻撃者の地図がずれているのだ。
果たして、政治は動いた。要請の出た2日後の26日、高市首相は首相官邸でサイバー関係閣僚会議を開き、来週中に緊急対策パッケージをまとめるよう指示した。
27日、木原官房長官は顧客情報の公開を「卑劣」と非難し、警視庁は捜査に乗り出している。要請が直接の原因だと断じる材料はない。それでも、一民間企業の事件が、施行1カ月の新法の運用を国のトップの議題に押し上げたことは間違いない。
この構図は、筆者が長年批判してきた「官報複合体」の裏返しでもある。日本では政府と大手メディアと大企業が、波風を立てない形で事件を「処理」してきた。役所に根回しし、記者クラブで型どおりの会見を開き、静かに幕を引く。熊谷はその作法を採らなかった。ブログとSNSいう自前の媒体で、政府に公然と行動を迫った。霞が関にとって、これほど扱いにくい被害者もいないだろう。
もっとも、冷静に付け加えておかねばならない。無害化措置が発動されても、すでに失われた口座の残高は戻らない。この要請は被害者救済のためではなく、次の被害を止めるためのものである。そこを取り違えてはならないといえよう。
この記事の著者・上杉隆さんのメルマガ
六、それでも免罪はされない
とはいえ、事後対応が見事であることと、事前の責任が消えることは、まったく別の話である。ここを混同すれば、本稿はただの提灯記事になる。問うべき点は少なくとも四つある。
このラインより上のエリアが無料で表示されます。
第一に、警告は届いていた。 熊谷自身が認めたとおり、社内の専門家は穴を指摘していた。それが「サービスを止めない」ことと天秤にかけられ、後回しにされた。これは現場の判断ミスではない。何を優先するかを決める経営の仕組みの問題である。しかもGMOは、ホワイトハッカー集団を擁するセキュリティ子会社を持ち、国内最大級のセキュリティ会議を主催し、国家安全保障領域のサイバー防御を担う新会社まで立ち上げたグループ企業だ。紺屋の白袴では済まされない。
第二に、三日間の空白である。 80億円要求の期限は10月21日17時だった。つまり要求は、遅くとも21日にはGMOに届いていたことになる。だが、金銭要求の存在が公表されたのは24日の第4報、金額が明かされたのは26日だ。攻撃者は脅迫文の中で、GMOが警告を無視して沈黙を続けたと非難している。捜査上の配慮があったのかもしれない。そうであるならばそう説明すればよい。いつ要求を受け、誰が、どう判断したのか。その経緯はまだ語られていない。
第三に、これは今月二度目である。 10月2日には、子会社GMOリサーチ&AIのアンケートサイト「infoQ」が不正アクセスを受け、最大約95万件の個人情報が流出、約286万円分のポイントが不正に交換された。同社は全額を補填したが、同じグループで1カ月に二度の大規模侵害が起きた事実は重い。個別の不運なのか、グループ統治の問題なのか。答えはまだない。
第四に、設計そのものへの疑いである。 攻撃者は、全サーバーに共通の管理者アカウントがあった、利用者が接続すると自宅のパソコンのドライブまでサーバー側から見える設定が標準だった、などと主張している。セキュリティ専門メディアが分析した攻撃者側のログには、利用者の手元のパソコンからファイルを複製したとする記録が3500行以上あり、税務書類に関わるものも含まれていたという。いずれも真正性は未確認だ。だが事実なら、被害はクラウドの中にとどまらず、利用者の自宅の机の上にまで及ぶ可能性がある。
実際、27日に公開された情報には顔写真や家族に関するものまで含まれているとされて、政府は一部の被害者の自宅周辺で警備を強化した。カネは補償できる。だが晒された私生活は、元に戻らない。
「逃げない」姿勢の真価は、ここから問われる。危機の渦中で頭を下げるのは、ある意味でたやすい。難しいのは、嵐の去った後に、自社にとって最も痛い検証結果を同じ熱量で公開できるかどうかだ。
七、結語――危機管理とは、リーダーの身体である
日本の危機管理は、長らく「文書」で行われてきた。弁護士が整えた謝罪文、広報が角を削った定型句、「調査中につき回答を差し控える」という思考停止の常套句。そこには、責任を負う人間の顔がない。
熊谷の9日間は、その逆を行った。自分の名前で書き、自分に不利な事実を自分で開示し、約款の外側でカネの出し方を決め、犯人の要求額をそのまま懸賞金に付け替え、政府に公然と行動を迫った。ブログでは、この問題に社会人人生のすべてを賭ける覚悟だとまで書いている。危機の最中に、トップが自らの身体を前面に差し出したのである。
だが、言葉は行動で裏打ちされて初めて意味を持つ。11月6日までに示される補償の細則は、約束どおりのものか。三日間の空白と、設計上の疑いについての検証は、隠されずに出てくるか。1カ月に二度破られたグループの統治は、本当に変わるのか。答えは、これからの数カ月が出す。
それでも、一つだけ確かなことがある。サイバー攻撃は、もはや「起きるかどうか」ではなく「いつ起きるか」の問題になった。今月だけでも、日本の大企業が次々と不正アクセスの被害を公表している。その時、トップは文書の陰に隠れるのか、前に出るのか。80億円を拒み、100万ドルを懸けた9日間は、日本のすべての経営者にその問いを突きつけている。
上杉隆（株式会社AIメディア代表取締役）
この記事の著者・上杉隆さんのメルマガ
image by: Piotr Swat / Shutterstock.com