GMOインターネットグループ株式会社（以下、「GMO」）の熊谷正寿会長兼社長が、11月2日、子会社のクラウドサービス「お名前.com デスクトップクラウド」への不正アクセス問題について、初めて記者会見を開いた。午後3時半から約3時間半に及ぶ会見で、熊谷氏は、顧客を守れなかったことを謝罪し、2年前にグループ内のセキュリティ専門家から脆弱性を指摘されながら、それを「サービスの運営で生かすことができなかった」と認めた。
しかし、問題に関する新たな説明は乏しく、「企業理念や多発するサイバー攻撃についての持論を長く展開する場面が多かった」などと会見後の評価は厳しい。
この会見では、「グループ内の指摘が経営トップに届かなかったこと」が明らかにされ、一方で、「謝罪会見の後半が創業者の持論を語る場になったこと」でＳＮＳ上の批判の的となった。これらは、いずれも、創業者である熊谷氏と会社組織との関係という、同じガバナンス上の問題から生じている。
2年前の指摘は「副社長」で止まった
会見で明らかにされた経緯は、以下のとおりだ。
2024年4月、グループ会社の「GMOサイバーセキュリティ byイエラエ」（以下、「イエラエ」）の専門家が、今回攻撃を受けたサービスのシステムに脆弱性があることを指摘した。これを受けて、同年4月26日から5月20日にかけて計4回の緊急メンテナンスが行われたが、システムを作り変えるような抜本的な対策は取られなかった。
それから2年が経過した今年8月5日、攻撃者が顧客のサーバー環境に侵入し、8月17日には管理者権限を奪って管理サーバーに不正アクセスした。GMOがこれに気づいたのは、利用者からの問い合わせを受けて調査を始めた10月20日で、侵入から2カ月以上が経っていた。
2年前の指摘は、グループの伊藤正、山下浩史の両副社長には届いていたが、熊谷氏には報告されていなかったという。山下副社長は、安定稼働や機能開発など複数の案件の優先順位を判断する中でリスク分析に甘さがあり、4回の緊急メンテナンスで対応できたと誤認したことが「最大の反省点」だと述べた。
問題は、熊谷氏に報告されなかった理由の説明が食い違っていることだ。熊谷氏は、
「グループは150社・8300人規模で報告基準がある」
旨述べた。一方、同席したグループ法務部長は、
「取締役会に上程する定量的な基準は当時設けておらず、ケースバイケースで判断していた」
と説明した。
トップが「基準はある」と言い、法務部長が「基準はなかった」と言う。この食い違いは、トップが思い描く組織の姿と実際の運用との間にずれがあったことを示している。そして重要なのは、指摘が経営の末端で埋もれたのではなく、創業者のすぐ下の副社長の段階で止まっていたことである。「この件を代表に上げるかどうか」が、明確な基準のないまま、側近の判断に委ねられていたことになる。
「もし」の質問に答えなかったことの意味
この点に関して、記者が
「もしその時点で熊谷社長自身がその事実を知っていたなら、対応はできたか」
と尋ねたのに対し、熊谷氏は
「『もし』の質問には回答するのは厳しい。申し訳ありません」
と答えた。
政治家や官僚がよく使う「仮定の質問には答えられない」という答弁と同じ型である。しかし、この質問は、本当に答えなくてよい「仮定」の質問だったのだろうか。
第一に、この質問は熊谷氏自身の説明の意味を確かめるためのものだった。熊谷氏は「私のところには報告が上がっていなかった」と述べた。報告を受けていれば直ちに対策を指示していたというなら、問題は「報告の仕組みが機能しなかったこと」にある。報告を受けても同じ判断をしていたというなら、問題は「経営トップの判断の優先順位そのもの」にある。どちらなのかを答えなければ、「報告がなかったこと」の影響の大きさや、報告がなかったことを熊谷氏自身がどう受け止めているのかわからない。
第二に、熊谷氏は別の質疑で、「本来はそこでアラートが上がるべき案件だった」と認め、報告体制の見直しが必要だという指摘は「100％その通り」と述べている。報告されるべき案件だったと認める以上、報告を受けていたらどう判断したかは、熊谷氏が今持っている対応方法を語ればよいだけのことである。
第三に、創業者が強大な権限を持つ組織では、部下が「何を上に上げるか」は、トップが何を重視し、どう反応するかについての部下の予測という名の忖度によって左右されがちである。報告基準がなかったのであればなおさらである。副社長たちが「代表に上げるまでもない」と判断した背景には、熊谷氏が「セキュリティ」と「サービスのスピード」のどちらを重く見る経営者だと受け止められていたかが、当然関わっていたはずだ。「もし」の質問は、まさにその点、つまり創業者の価値観が部下の判断をどう方向づけていたかを問うものだったのである。
損害賠償請求や株主代表訴訟を意識すれば、どちらに答えても法的に不利になりかねない、ということを考慮したかもしれない。「知っていれば直させた」と答えれば、取締役として報告体制を整える責任の問題が浮かび上がる。
しかし、そういう責任追及の場面での損得勘定は、この会見で
「31年間『儲ける』と言ったことはない」
と強調する熊谷氏のスタンスと矛盾する。
「重大なセキュリティ上の指摘は、サービスの稼働や機能開発よりも優先させるのが私の方針であり、それを組織に徹底できなかった」
と答えることがなぜできなかったのか。
記者がさらに
「今の時点で同じようなことがあったら」
と聞き直そうとしたところ、熊谷氏が
「お一人1問で」
と制した。「一人一問」のルールで「更問い」を拒絶するのは、説明責任を果たそうとしない会見の典型的なフレーズだ。
「第2部」はなぜ設けられたのか
会見は、今回の問題についての謝罪・説明が約30分で終わり、その後、熊谷氏は「第2部」として、AIの悪用によるサイバー攻撃の脅威や、創業以来の理念について語った。YouTubeライブの画像には批判コメントが溢れる中、熊谷氏の「独演会」は30分にわたって続いた。
その後の質疑で、「第２部」独演会の意図を問われると、
「会社は理念で成り立っている。創業者としてインターネットの安全を守りたい思いがある。現在、AI悪用により攻撃頻度は従来の100倍に達していると考えており、この世界的な脅威の激変を社会全体に認識してほしかった」
と答えた。
しかし、今回の攻撃にAIが使われたかどうかは分かっていない。問題は、AIが悪用されるようになった現在の世界的な脅威にあったのではない。2年前に社内の専門家から指摘された脆弱性に、十分な対策を取らなかったことにある。
熊谷氏は10月25日のブログで、社内のホワイトハッカーから指摘を受けていたことを認めつつ、政府に「能動的サイバー防御」の適用を具申したと明らかにしていた。これに対しては、自社が指摘への対応をしていなかったのに国に官民連携を求めるのは「順番が逆ではないか」との批判が出ていた（篠原修司氏【なぜGMOは子会社の脆弱性指摘に2年も対応できなかった？ 不正アクセス事件と国への官民連携要望の矛盾】）。
辞任するつもりはないのかとの質問に、熊谷氏は
「悪意に汚染されているインターネットを、このまま責任という名において放置したまま死ねません」
と答えた。ここでも、経営責任が、創業者の使命を貫くことにすり替えられている。
注目すべきは、答え方の落差である。熊谷氏は、AIの脅威という未来の、しかも今回の事件との関係が不明な事柄については予測を交えて雄弁に語った。一方で、自らの判断と責任に関わる「もし」の質問には答えなかった。
二つの問題に共通する構造
「指摘がトップに届かなかったこと」と「謝罪会見が創業者の独演会になったこと」は、一つの構造として理解すべきだ。
今回の対応に関して、二つの方向への情報の流れがある。一つは、現場から経営トップに上がる悪い情報である。もう一つは、経営トップから社外に発信される情報である。本来、取締役会、リスク管理部門、広報部門、ラインといった組織の機能は、この二つの流れを制御するためにある。悪い情報は確実に上に届け、トップの発信は組織としての吟味を経て効果や影響を検討したうえで外に出す。
GMOでは、このどちらも機能していなかった。悪い情報はトップの手前で止まり、トップの思いは誰にも止められずに外に出た。向きは逆だが、根は同じである。トップと組織の間で情報を選び分ける役割が、制度ではなく、トップとその側近の判断のみに委ねられていたのである。
熊谷氏は、2年前は、指摘したイエラエがグループ入りして間もなかったため、各社への指示命令権を持っていなかったと説明し、
「私が介在してマネジメントすべきだった」
と述べた。だが、創業者がより深く介在するというのは、創業者への依存をさらに強めることになる。それは、制度による解決とは逆の方向である。グループはセキュリティ事業を収益の柱の一つとしながら、その専門性を、グループ自身のリスクを統制する仕組みには組み込んでいなかった。
創業者トップを規律する仕組みはあるか
この構造の背景には、会社の支配構造がある。
有価証券報告書によれば、2025年12月末時点で、熊谷氏の資産管理会社である熊谷正寿事務所が発行済株式（自己株式を除く）の35.66％を、熊谷氏個人が8.98％を保有している。合わせて約45％に達する。株主総会を通じて創業者を規律することは、事実上難しい。
取締役は9名で、うち独立社外取締役は3名、取締役会の議長は社長である。熊谷氏は会長と社長を兼ね、グループ代表でもある。形式上、独立役員の要件は満たしていても、創業者の判断に異を唱える力がどこにあるのかは見えにくい。
今回の処分は、熊谷氏ら役員の月額報酬を3カ月間、最大30％減額するというもので、経営陣自身が決めたものである（時事通信）。原因についても、山下副社長は
「何が足りなかったかは今後検証する」
と述べるにとどまった（産経新聞）。会見報道を見る限り、経営陣から独立した第三者委員会を設置するとの表明はない。
つまり、原因の検証も、責任の取り方も、会見の構成も、すべて創業者を頂点とする同じ経営陣の中で決められている。これでは、問題を生んだ構造の中で、その問題の後始末をしていることになる。
必要なのは独立した検証
今回の問題の本質は、会社が説明する「報告基準の未整備」という手続上の不備にとどまらない。創業者に権限と株式が集中した組織で、悪い情報を上げる仕組みも、創業者の発信を止める仕組みも働いていなかったことにある。
そうである以上、再発防止のためには、少なくとも次の点を、経営陣から独立した第三者委員会が検証し、公表する必要がある。
- 2024年の指摘の具体的な内容と、両副社長が「代表に上げる必要はない」「対応は済んだ」と判断した根拠と経緯。
- その判断の際に、熊谷氏の経営方針や優先順位がどのように理解されていたか。
- 独立社外取締役を含む取締役会が、指摘を把握できる立場にあったか。また、今回の会見方針の決定に関与していたか。
- セキュリティ専門部門に、事業会社への指示権や取締役会への直接の報告ルートを与えるなど、トップを介さないリスク管理の仕組みをどう作るか。
熊谷氏は会見の最後まで、
「インターネットを多くの人を笑顔にするツールにしたい」
という創業者としての思いを語り続けた。
しかし、問われているのは、創業者の思いの強さではない。その思いと異なる現実が組織の中にあったときに、それを創業者に突きつけ、創業者を止めることのできる仕組みが、GMOにあったのかどうかである。
昨日の会見は、その答えを示すものではなかった。
