GMO、社内の事前指摘あっても全台停止。警告に期限を

GMOインターネットグループは、攻撃者と同じ技術で自社の弱点を探す「ホワイトハッカー」を社内に抱えています。今回、その人たちは実際に穴を見つけ、事前に現場へ伝えていました。現場も対策を進めていました。

それでも、サービスを止めないよう慎重に直しているあいだに破られ、全プランのサーバーを、再開の見通しが立たないまま止めることになったのです。

足りなかったのは、見つける力でも、直す人でもありません。公表された説明から見えないのは、「対応中」の指摘を、いつまでに直すかという締め切りです。

あなたの会社にも「対応中」の指摘があるはずです。仮に10件あって、月に2件ずつしか片づかないなら、最後の2件は5か月間、開いたままになります。その5か月は、誰も決めていないのに、決まってしまった先送りです。

最初に結論：「対応中」の指摘に、締め切りと引き受け人を書く

何が起きたか：FX用の貸しサーバーを、全プラン止めた

GMOインターネットが提供する「お名前.com デスクトップクラウド」が、不正アクセスを受けました。FX（外国為替証拠金取引）の自動売買用に貸し出しているサーバーです。

同社は10月20日に不正なプログラムを確認し、21日の午前4時から全プランのサーバーを順次止めました。影響の可能性があるサーバーは2万6,739台です。利用者の情報が外部に持ち出されたことも確認しています。

出典：GMOインターネット「お名前.com デスクトップクラウドサービスに対するサイバー攻撃について（第4報）」（2026年10月24日）、同（第11報）（10月27日）、piyolog（10月27日更新）。

10月24日には、利用者全員に一律5,000円の見舞金を払い、意図しない取引で出た損失を補償すると発表しました。同じ日、政府に「能動的サイバー防御」の適用を要請しています。攻撃に使われるサーバーなどを、国が無害化できる仕組みです。

翌25日、熊谷正寿代表がブログで謝罪しました。そこで明かしたのが、社内のホワイトハッカーが、このサービスの課題を事前に現場へ指摘していたことです。

SNSでは、国への要請を「責任転嫁では」と見る声が目立ったと報じられています（ITmedia NEWS）。熊谷代表はブログで、補償や刷新の費用はすべて自社で引き受けると書いています。27日には攻撃者が顧客情報と称するものを公開し、GMOは約80億円の要求には応じない方針を示しました。

侵入の具体的な経路は、10月27日時点で公表されていません。攻撃者は管理用のアカウントや設定の甘さを主張していますが、GMOの公表では裏づけられていません。この記事では、GMO自身が書いた「指摘はあった」という一点を扱います。

そもそもホワイトハッカーとは？ 店の鍵を試す点検員

ホワイトハッカーは、攻撃者と同じ技術を使って、自社の弱いところを先に探す技術者です。店にたとえると、鍵の甘いところを試して回る点検員にあたります。

GMOのグループには、こうした診断を専門にする会社もあります。熊谷代表自身、ブログでグループ内に「国内屈指のセキュリティのプロ」を擁していると書いています。そして今回も、点検員は役目を果たしていました。

出典：熊谷正寿「今こそ官民連携で日本を守ろう ――『能動的サイバー防御』を具申した理由」（2026年10月25日）。役の整理は編集部。

ブログによると、現場チームは指摘を受け止め、対策を進めていました。では、なぜ間に合わなかったのか。熊谷代表の説明は、こうです。

「サービスの可用性への影響や他の対処事項との優先順位を考慮しながら慎重に対応を進めた結果として、その対応の深度とスピードが十分ではなく」。可用性とは、サービスが止まらずに使えることです。

つまり、鍵を付け替えるために店を閉めるのは避け、開けたまま少しずつ進めた、と読めます。図2の3つ目の箱、「いつまでに」を決める役は、この説明には出てきません。

なぜ間に合わなかったのか：止める痛みは見え、破られる痛みは見えない

現場が慎重になるのは、怠けているからではありません。2つの痛みの見え方が、まったく違うからです。

直すために店を一度閉めると、痛みは明日、確実にやってきます。利用者の苦情や売上の減少として、数字で見えます。しかも、その痛みを負うのは「止める」と決めた担当者です。

編集部の整理。今回の経緯は、GMOインターネットの公表（10月27日時点）による。

一方で、直さずに開けておく痛みは、いつ来るかわかりません。来ないかもしれません。起きるまでは0円に見えます。だから優先順位を比べると、目に見える「止める痛み」を避ける側が、勝ちやすくなります。

今回の皮肉は、その結末です。サービスを止めないよう慎重に進めているあいだに破られ、全プランのサーバーを再開未定で止めることになりました。利用者全員への見舞金と、損失の補償も加わりました。

本質：足りなかったのは技術者ではなく、「対応中」の締め切り

このニュースの本質は、セキュリティ人材の不足ではありません。受け止めた指摘が「対応中」の箱に入ったまま、締め切りを持つ人が見えなかったことです。公表された説明をもとにした、編集部の見立てです。

指摘を受けて何もしない会社は、多くないはずです。たいていは受け止めて、手をつけます。ただ、ほかの仕事と並べて、空いた順に進めます。そして攻撃者は、その順番を待ってくれません。

筆者試算。前提：指摘10件、受けた順に月2件ずつ片づける。

図4の試算で見てみます。指摘が10件あり、月に2件ずつ片づけるとします。最後の2件が直るのは5か月目です。その間、誰かが「5か月待とう」と決めたわけではありません。それでも結果は、5か月の先送りを決めたのと同じです。

判断軸で見ると、これは「仕組みになるか」の問題です。指摘は個人が見つけます。しかし、いつまでに直すかを決めるのは仕組みの役目です。仕組みがなければ、締め切りは毎日の忙しさが勝手に決めます。

「人が育つか」にも関わります。熊谷代表は、いちばん悔しいのは警告を発していた現場のホワイトハッカーたちだと書きました。指摘が「対応中」のまま消えていく職場では、指摘する人がやがて黙ります。

うちの会社は？ 止める損と、破られる損の両方で分ける

あなたの会社の「指摘」は、セキュリティの言葉では呼ばれていないかもしれません。設備の異音、足場の安全指摘、外部の診断結果、退職者のアカウント。名前は違っても、形は同じです。

分け方は2つの軸です。直すために止めたら、いくら困るか。間に合わなかったら、いくら失うか。両方が大きいものほど、図3の天秤で「止めない」が勝ちやすくなります。

編集部の整理。業種の置き場所は代表的な例で、会社によって異なる。

ネット予約や通販で売上を立てる会社なら（小売・宿・医院など）、外部の診断で出た弱点が右上に入ります。直すにはサイトを止める必要があり、破られれば顧客情報が出ます。止めずに直せる手があるかを確かめたうえで、それでも止める日を経営が決めます。

製造業なら、主力ラインの設備から出た異音の指摘が右上です。止めれば生産が落ち、壊れれば長く止まります。保全担当が「部品待ち」と書いたまま、何か月も過ぎていないかを見ます。

意外なのは左上です。足場の安全指摘や、退職者のアカウントの削除は、止めても困りが小さいものです。それでも「対応中」に入ると、右上と同じ列に並んで待たされます。迷う理由がないものは、その日のうちに片づけます。

あなたの会社では：「対応中」の一覧に、3つの欄を足す

あなたの会社で、指摘を受けた人が「対応中です」と答えたまま、ひと月以上たっている案件はありますか。あるなら、それがこのニュースと同じ形です。

社員30人の会社なら、指摘の一覧は社長が自分で見られる量です。週に一度、空欄の行だけを見れば足ります。社員100人を超え、情報システムや保全の担当がいる会社なら、締め切りを決める会議を月に一度置きます。現場の担当者ではなく、止める損を引き受けられる役員が出る会議です。

筆者作成。記入例の会社・内容は架空。

明日やるなら、「対応中」の指摘を1枚に並べ、締め切り・間に合わなければ止めるもの・引き受けた人の3つの欄を足してください。

3つ目の欄が大事です。締め切りを過ぎても直らないなら、そのあいだ穴が開いていることを、誰かが承知していなければなりません。その人の名前を書く欄です。名前が書けない行は、図5の右上なら経営の机に上げます。

外から届く修正を、夜に誰が当てて誰が止めるかは「PHPに重大な穴、予告で19組織が停止。自社サイトは誰が直す」で扱いました。今回は、社内で見つかった指摘が「対応中」のまま何か月も残る側の話です。設備や安全など、ITの外の指摘にも同じ形があります。外注先に預けた情報の出口は「委託先で顧客12.4万件流出の恐れ。預けた名簿は返却まで確かめる」を、対策の基本は「サイバーセキュリティの基礎知識」をご覧ください。

5問で確認する　「対応中」の指摘の扱い

社内で受けた指摘が、締め切りのないまま後ろへ回っていないかを確かめる簡易チェックです。

SELF CHECK / 無料・登録不要

5問で確認｜「対応中」の指摘の扱い

設備・安全・システム・外部の診断など、社内で受けた指摘を思い浮かべて、いちばん近いものを選んでください。回答はこの端末の中だけで処理され、送信・保存されません。

回答の進捗0 / 5

1. Q1社内で受けた指摘が、1つの一覧にまとまっている

   まとまっている部署ごとにあるない
2. Q2「対応中」の指摘に、締め切りが書いてある

   すべて書いてある一部だけ書いていない
3. Q3締め切りに間に合わないとき、何を止めるかが決まっている

   決まっている主なものだけ決まっていない
4. Q4止める損も破られる損も大きい指摘について、締め切りを決めるのは経営になっている

   なっている案件による現場任せ
5. Q5指摘した人に、その後どうなったかが伝わっている

   伝わっている聞かれたら答える伝えていない

結果を確認する›回答をリセット

※一般的な検討項目を整理するための編集部独自の目安です。成果や適法性を判定・保証するものではありません。

出典・調査の対象範囲

※事案の経緯・補償・発言は、2026年10月27日時点のGMOインターネットと熊谷代表の公表、および報道に基づきます。侵入の経路と原因は公表されておらず、今後の発表で変わる可能性があります。店と鍵のたとえ、指摘10件の試算、業種の整理、記入例と自己診断は、考え方を示すための編集部の整理です。