ボタンは見えた。2年前の指摘は見えなかった ― GMO会見から、経営者が持ち帰るべきこと

2026年11月2日の記者会見、開始から2時間37分。別件の担当責任者が説明を始めた直後に、熊谷正寿代表が止めました。「ちゃんとボタン閉めてください」。[1]

GMOインターネットグループの不正アクセス問題をめぐる、3時間26分の会見です。話題の中心は「命の砂時計」という言葉と、このボタンの場面でした。

でも私が映像を見て一番引っかかったのは、別の対比です。代表の目は、登壇者の上着のボタンにまで届いていました。一方で、2024年に自社グループの専門家が出した指摘は、今回の事件が起きるまで代表に届いていませんでした。[1]

ボタンは見えた。指摘は見えなかった。この落差に、他の会社が持ち帰るべきことが詰まっていると私は思います。

最初に押さえること

この会見の教訓は、謝罪の作法ではありません。トップの目が届く範囲と、届かない範囲の落差です。

• 良かったこと： 代表は内容を理解し、進行を仕切り、記者への回答の過不足を確かめ続けました。私はこの姿に好感を持ちました

• 問題： その優秀さこそが、組織の弱さを見えにくくしていたのではないか、と私は見ています

• 他社へのメッセージ： トップが優秀な会社ほど、トップの視野の外に仕組みがあるかを確かめてください

会見のうまさは有事の能力に見えます。ただ、実際に問われるのは、平時に情報がどう流れていたかです。

何が起きていたのか

対象は「お名前.com デスクトップクラウド」です。攻撃の構図と恐喝の読み方は、10月26日と27日の記事で書きました。[3][4] ここでは会見で示された時系列を押さえます。

• 2024年4月24日： グループのセキュリティ会社が診断結果を報告

• 2024年4月26日〜5月20日： 緊急メンテナンスを4回実施。会社は深さと速さの両面で足りなかったと認めています

• 2026年8月5日： 攻撃者が顧客環境のVPSへ侵入

• 8月17日： 管理者権限を悪用し、管理サーバーへ侵入

• 9月20日〜10月14日： 顧客のVPSへマルウェアを配布。対象になり得た台数は最大2万6,739

• 10月20日： 顧客の問い合わせを受けた調査で確認[1]

8月5日から数えると76日間、サービスの監視では気づけなかったことになります。

会見の見どころは、ここから先です。この指摘は誰まで届き、なぜそこで止まったのか。その答えの中に、どの会社にも当てはまる構造がありました。

壇上の情報は、すべて代表を通っていた

ここから先は、公開された映像を踏まえた私の読みです。

まず、良かったところから書きます。批判の多い会見でしたが、他社が真似すべき点がいくつもありました。

• 進行： 代表が自分で記者を指名し、誰が答えるかをその場で振り分けました。グループ代表として中身を理解していなければ、この振り分けはできません

• 答えない判断： 正確に答えられない質問は現場へ渡し、不正確な回答をしたくないと理由も説明しました

• 過不足の確認： 回答のあとに「回答になりましたでしょうか」と記者へ返し続けました。言い回しの揺れを含めて字幕で数えると、30回前後です

• 持ち帰り： 攻撃者からの接触の有無に即答できなかった件は、十数分後に確認結果を返しました

• 不都合な事実の開示： 同じ内容の再診断はしていなかったこと、取締役会へ上げる脆弱性の基準が当時なく、今も定量的な基準がないことを認めました

• 責任の引き受け： 上申の仕組みについて「私の全責任」と述べ、現場に押し付けないとも話しました[1]

私が一番好感を持ったのは、過不足の確認です。答えた側が終わりを決めず、聞いた側に足りたかを確かめる。批判の矢面に立ちながら、これを続けるのは簡単ではありません。

補償と身代金への姿勢も明確でした。

• 不正取引で生じた実現損失の補償

• 一律5,000円の見舞金

• 代替サービスの6か月無料

• 情報流出時の最大300万円の見舞金

• 身代金は支払わない方針[1][6]

専門家の解説記事も、全額補償の方針、身代金に応じない姿勢、長時間の質疑を評価点に挙げています。[2]

ただ、この場面を見ながら気づくことがあります。指名も、振り分けも、資料の指定も、持ち帰りの確認も、服装の確認も、すべて代表という一点を通っていました。会場の情報は、代表がいるから流れていたのです。

では、代表がいない場所で、情報はどう流れていたのでしょうか。

声が届く仕組みはあった。それでも指摘は届かなかった

GMOは、セキュリティを軽く見ていた会社ではありません。ここが、この事案の怖いところです。

会見の説明によれば、グループは次の取り組みを重ねてきました。[1]

• 2022年にセキュリティ企業がグループに加わり、「ネットのセキュリティもGMO」を掲げた

• 全グループのミーティングで計8回、代表の口からセキュリティ最優先を伝えた

• 試験に受かった社員が胸にバッジをつける制度を作った

• 社是にセキュリティを加え、10か条も作った

上から下へのメッセージは、8,300人に届く設計になっていたわけです。

下から上への仕組みもありました。質疑で紹介された「熊の耳」という制度です。社員が代表へ直接連絡でき、エレベーターの待ち時間やランチのおかずへの不満まで届き、総務が動いて改善するといいます。[1]

ランチのおかずの声は、代表に届く。2024年の脆弱性の指摘は、届かない。

この対比を、私は皮肉として書いているのではありません。声を届ける経路があることと、届けるべき情報が届くことは別物だ、と言いたいのです。

指摘が止まった先は、現場の担当者ではありませんでした。当時のグループ幹部を含む、事業と技術の責任者までは上がっていたと説明されています。[1] つまり、情報は組織の上のほうまで来ていて、最後の一段だけ上がらなかった。悪意や隠蔽を疑う材料は、会見の中にはありません。

「終わった案件」は、上に上がらない

なぜ最後の一段が上がらなかったのか。私が会見で一番注目したのは、担当役員たちのこの説明です。

緊急メンテナンスを4回行ったことで、ある程度の深さに達したと考えていた。対応に一区切りがついたと判断し、以後は他の開発と並べて優先順位をつけた。その見立てが、リスク分析の誤りだった。[1]

私はここに、どの会社にもある落とし穴を見ます。上申の仕組みは、たいてい「未解決の問題」を上げるように作られています。ところが危ないのは、未解決の案件よりも「解決したと思われている案件」です。

現場から見れば、4回もメンテナンスをした指摘は、もう終わった話です。終わった話を、わざわざ社長に報告する人はいません。こうして、一番確かめるべき判断だけが、誰にも確かめられないまま組織の中に沈みます。

解説記事は、都合の悪い情報を小さく見積もる正常性バイアスに触れています。ただし、GMOの経営陣に働いたと判断できるわけではないと留保しています。[2] 私も、ここで個人の心理を断じるつもりはありません。問題にしたいのは仕組みです。

仕組みの穴は、会見の説明から読み取れます。[1]

• 再診断： 別のWebアプリ診断は実施していましたが、同じ内容の再診断はしていませんでした。「直したはず」が「直った」に、確認なしで置き換わっていたことになります

• 基準： どの脆弱性なら取締役会へ上げるかの基準は当時なく、今も定量的なものはないと説明されました。専門的で難しい領域だから、という理由です

• 権限： グループのセキュリティ会社には各社への指示命令権がなく、代表はこれを、兄弟が健康診断をしてくれたようなものと表現しました

検査はした。結果をどう扱うかは本人次第。そのうえ再検査の予約は、誰も入れていなかった。こう置き換えると、構造がよく見えます。

笑顔では、順番は決められない

なぜ後回しになったのかを、記者は角度を変えて何度も聞きました。コストや人員を優先したのではないか、という質問もありました。代表の答えの中心は「お客様の笑顔」でした。[1]

担当役員は、パッチの適用、診断結果の反映、機能開発、利便性の改善を並べて優先順位をつけたと説明しています。なぜその順番になったのかは、今後検証するとのことでした。[1]

発生から日が浅く、被害対応を優先している事情は分かります。ただ、私はこの「笑顔」に一番の危うさを感じました。

理念は、方向を示すことはできても、順番を決めることはできません。機能開発もセキュリティ修正も、どちらも「お客様の笑顔のため」と説明できるからです。

象徴的なのが、顧客のPCからファイルが窃取される経路になったドライブ共有です。この機能がオンだったのは、お客様の利便性を考えてのことでした。[1] 笑顔のための設定が、笑顔を奪う経路になった。理念に反した行動が事故を招いたのではなく、理念に沿った判断が事故の条件を作ったのです。

理念の強い会社には、トレードオフを語る言葉が育ちにくいと私は考えています。「何を止めて、何を諦めて、どのリスクを誰が引き受けるか」。この問いを、理念の言葉のままでは議論できません。

同じ理由で、第2部の話は要らなかったと思います。第1部のあと、約30分のプレゼンがありました。1995年から事業を続けてきたこと、31年間「儲かる」と言ったことがないこと、インターネットをきれいにしてから死にたいという思いです。[1]

インターネットの黎明期から頑張ってきた話は、私には自分語りに聞こえました。熱量は本物に見えます。ただ、被害者と記者が知りたかったのは「なぜ」であって、「誰が」ではありません。経歴を語るほど、「では、なぜ届かなかったのか」という問いから遠ざかります。

記者に理由を問われると、代表は「会社は理念によって成り立ってる」と答えました。「命の砂時計」が出たのも、この回答の中です。[1] 解説記事も、理念の説明そのものより、謝罪の場でそれをどこに置くかを論点にしています。[2] 問題は理念の有無ではなく、場所と順番です。

攻撃の加速の話は、議論する価値があります。ただ代表自身も、今回AIが使われた証拠はないと説明しています。[1] 本件と切り離すなら、別の日に別の資料で出すべきでした。

有事には、平時の構造がそのまま映る

ここで、冒頭のボタンの場面に戻ります。

「あなたお詫びをしているのにボタン開けてどうすんだ」。[1] 中身は正論です。詫びる場で服装を整えるのは当然で、解説記事も、この場面だけで人柄や企業風土を決めつけるのは適切でないとしています。[2] 私も同じ意見です。

問題は、それが回答の途中で、マイクに乗ったことです。記者の質問より服装が先に来たように見えます。隣からメモ1枚で済む話でしたし、この担当者は途中で呼ばれた人でした。

パワポの場面も構造は同じです。開始から1時間53分ごろ、質問に答えるため代表が資料の表示を求めましたが、なかなか映りません。「パワポイントすぐ使えるように準備しときなさい」「ちゃんと映して」という言葉が、そのまま配信されました。[1]

こちらは半分擁護します。代表は「お待たせしちゃいけないから」と言っており、理由は記者の時間でした。2分足らずで、次の質問を先に受けて戻ると切り替えた判断も正しかったです。[1]

ただ、資料の場所まで代表が声で指示していました。操作担当との連絡手段が、マイク越しの肉声しかなかった形です。解説記事は、運営面が軽く見られがちだと指摘しています。[2] 受付も電源も資料の切り替えも、危機管理広報の一部です。

叱責そのものより、私が見たのはここです。この会見には、代表の代わりに動く人が見えませんでした。服装を直す人も、資料を止める人も、断定を止める人も、です。

SNSも同じ構図でした。代表は犯人を牽制するつもりで投稿したと説明し、結果として間違いだったと認めています。質疑では、代表自身が会社のリスクになっていないかとまで問われました。[1] 外部からの通報をめぐる質問でも、「完全な嘘で心理戦です」と強く言い切っています。[1] 社内調査の結果を示さないまま言い切る発言は、事実が動いたときの傷を大きくします。

その後の質疑では、物が言いにくい社風はないのかとも問われました。[1] 運営の担当者が代表の前で動きにくかったのかは、外からは分かりません。解説記事も、直言できる人がいなかったと言える判断材料はないとしています。[2] 分かるのは、映像の上で役割が代表に集中していたことまでです。

それでも、次のことは言えると思います。平時に代表の能力で回っている会社は、有事にも代表の能力で回ります。長所も短所も、そのまま配信されます。セキュリティの言葉で言えば、単一障害点です。

自社に持ち帰ること

ここからは私の提案です。会見の感想で終わらせず、来週の経営会議に載せられる形にします。

平時に見直すこと

• 「閉じた指摘」の一覧を経営に上げる： 未解決の一覧ではありません。過去2年に「対応済み」とした重大な指摘を並べ、誰が閉じたか、再診断の日付はいつかを書かせます。空白のものが、あなたの会社の「終わった案件」です

• 理念をトレードオフの言葉に翻訳する： 数字は会社ごとに違って構いません。順番を決められる文章になっていることが条件です

  • 重大な指摘は、機能開発より先に直す

  • 90日を超えて未完了なら経営会議へ上げる

  • 止められない場合は、リスクを引き受ける役員の名前を残す

• 専門家に是正を確認する権限を持たせる： グループ会社でも社内部門でも外部委託でも同じです。指摘して終わりの立場に置くと、健康診断は年中行事になります

• 便利な既定設定を棚卸しする： 今回のドライブ共有は、2024年の指摘にも含まれていませんでした。[1] 診断の範囲外に、利便性のために開けた扉が残っていないかを確かめます

• 最初の検知を確かめる： 顧客の問い合わせが最初の検知になっていないかを点検します。今回は管理者権限の悪用から確認まで、約2か月かかっています

有事に備えること

• 代表抜きの訓練をする： 解説記事は、経営者を含む机上訓練や模擬記者会見を勧めています。[2] 私はそれに加えて、あえて代表が不在の回を入れることを勧めます。副社長が答え、司会が振り分け、資料担当が黙って切り替える。これが回らないなら、個人で回っている証拠です

• 部門の優先順位をぶつけておく： 技術は原因究明を急ぎ、法務は未確定情報に慎重になり、広報は説明を急ぎます。解説記事のこの整理も、訓練の中で試します

• 代表を止める役を職務にする： 「それは今、発信すべきではありません」と言うのが、その人の仕事になっている状態を作ります

• 話す順番を決める： 被害、原因、補償、責任、再発防止の順とし、理念は別の場へ回します

GMOから真似すること

• 代表自身が前に出て答える

• 「回答になりましたでしょうか」と確かめる

• 持ち帰りを必ず返す

代表がいない部屋で、同じことができるか

解説記事は、完璧な謝罪会見で信頼が戻るわけではないと書いています。[2] その通りです。信頼を決めるのは、この先の検証の中身です。第三者を交えるかも、サービス再開の時期も、会見の時点では決まっていません。[1]

役員報酬は、代表が月額の30％を3か月減額します。これは現時点の評価に基づくもので、発生前の経緯を検証したうえで経営責任を改めて検討するとしています。[5]

だから他社にとっての問いは、GMOの点数ではありません。あなたの会社の社長の目は、何に届いていて、何に届いていないのか。それを社長本人は知っているのか。

今週、一つだけやってみてください。直近の診断報告を1件開いて、再診断の日付を確かめることです。空欄なら、それが最初の上申案件になります。

ボタンは、社長が見ていれば直せます。2年前の指摘を直すのは、社長が見ていない部屋で動く仕組みです。私はGMOの検証結果を追い、分かり次第、続きを書きます。

出典

[1] 記者会見のノーカット映像（2026年11月2日）https://www.youtube.com/watch?v=_TbUj3kFkvY （発言は自動字幕に基づく）

[2] 危機管理広報の専門家による解説記事（2026年11月4日）https://www.itmedia.co.jp/business/articles/2611/04/news039.html

[3] 前々回記事「人質は利用者の口座、身代金は100万ドル　GMO恐喝事案は何が違うのか」 https://note.com/foxglove2024/n/n47a51f228eb3

[4] 前回記事「GMO事案、情報公開は誰への圧力なのか――支払拒否後も続く恐喝」 https://note.com/foxglove2024/n/nb053763f5400

[5] GMOインターネットグループ「役員報酬の減額に関するお知らせ」2026年11月2日 https://ir.group.gmo/pdf/irlibrary/gmo_disclose_info20261102.pdf

[6] GMOインターネットグループ／GMOインターネット「【重要】お名前.com デスクトップクラウドサービスに対するサイバー攻撃について（第4報）」2026年10月24日 https://group.gmo/info/alert/20261024/