セキュリティ

指摘はされていた。それでも防げなかった——セキュリティを「投資」として扱うことの限界

セキュリティの指摘は、たいてい事前に出ています。問題は、それが「いつか直すリスト」に入るのか、「今週止めてでも直すリスト」に入るのかです。2026年10月のGMOインターネットの事案は、その分かれ目がどこにあったのかを、珍しく当事者の言葉で説明しています。この記事では、公表されている事実だけを並べ直し、「投資領域としてのセキュリティ」という扱い方が、どこで限界に達するのかを考えます。

何が起きたか

まず公表されている事実を時系列で並べます。以下はGMOインターネットの第1報〜第5報、および同社の公表をまとめたpiyolog の整理に基づいています。

• 10月19日／顧客からの問い合わせを受けて調査を開始
• 10月20日／一部顧客のサーバー環境で不正なプログラムの設置を確認。新規申し込みとコントロールパネルを停止
• 10月21日 4:00／全プランのサーバーを順次停止。第1報を公表。この時点では「個人情報の漏えいや悪用された事実は確認されていない」としていた
• 10月22日／第2報。同日、金融庁が金融先物取引業協会を通じてFX事業者に通知
• 10月23日／第3報。ログイン中の全セッションの切断を顧客に依頼
• 10月24日／第4報。顧客の情報が外部に持ち出された事実を確認したと公表

影響の可能性があるサーバーは26,739件。ただしこれは「対象となり得るサーバー数」であり、不正アクセスや情報取得が確認された件数ではない、と明示されています。持ち出された情報の種類と件数、取引口座での不正操作の件数と被害額は、いずれも公表時点で示されていません。

このサービスはFX自動売買用のWindowsデスクトップ環境でした。つまり顧客が自分の取引口座にログインしたまま置いておく箱です。箱が取られれば、中に入っているセッションも一緒に取られます。報道では、2秒で400万円超の損失を被ったとされる個人の事例が伝えられています。

事前に指摘はあった

この事案を他と分けているのは、次の一点です。社内のホワイトハッカーが、事前に改善課題を指摘していた。同社代表の熊谷正寿氏が公表した説明に含まれています。

説明によれば、現場チームは指摘を受け止めて対策を進めていた。しかし「サービスを継続利用できる状態への影響」や「他の対処事項との優先順位」を考慮して慎重に進めた結果、対応の深さと速さが十分ではなかった。その隙を攻撃者に突かれた、としています。

ここで責めるべきは、指摘を出した人でも、対策を進めていた現場でもありません。見るべきは、その指摘がどのリストに入ったかです。「サービス影響があるので慎重に」「他にも対処事項がある」——この2つは、どの現場でも毎週言われている、まったく普通の言葉です。そして普通であるがゆえに、セキュリティの指摘は構造的に後ろへ回ります。

「投資領域」として扱うと何が起きるか

セキュリティを投資領域として扱うとは、他の投資と同じ土俵で費用対効果を比べるということです。新機能、性能改善、コスト削減。これらと並べたとき、セキュリティ対応には構造的に不利な性質が3つあります。

1. 成果が「何も起きないこと」なので、投資判断の材料になる数字が出ない。新機能の売上は見積もれるが、防げたインシデントの額は見積もりにくい
2. サービスに影響を与える。認証の変更、経路の遮断、構成の作り直しは、どれも既存の顧客に何らかの不便を強いる。だから「慎重に」が正しく聞こえる
3. 期限が外から与えられない。法令対応と違い、「いつまでに」を決めるのは自社だけなので、他の締切に負ける

この3つが揃うと、指摘は消えないまま、順番だけが後ろへずれていきます。誰も間違った判断をしていないのに、結果として対応が遅れる。GMOの説明は、まさにこの形を自ら述べたものと読めます。

逆に言えば、必須領域として扱うとは、費用対効果の比較から外すということです。会計監査や法定点検を「今期はROIが低いので来期に」とは言いません。やらない選択肢がないものとして、先に予算と時間を抜いておく。扱い方の差はここだけで、技術の差ではありません。

海外では値段が違う

セキュリティを必須領域として扱う市場では、人材の値段も変わります。米国労働統計局（BLS）の職業ハンドブックによると、Information Security Analysts の数値は次のとおりです。

• 賃金中央値／年129,180ドル（2025年5月時点）／時給62.11ドル
• 就業者数／192,900人（2025年）
• 雇用の伸び／2025〜2035年で21%。全職種平均の3%に対し「Much faster than average」
• 年間の求人見込み／約14,100件（10年間の年平均）

日本側の公的な数字としては、厚生労働省の職業情報提供サイト（job tag）の「セキュリティエキスパート（情報セキュリティ監査）」があります。賃金は583.3万円（令和7年賃金構造基本統計調査を加工）、平均年齢41.7歳。

両者は調査の設計も職種の定義も異なるため、単純な引き算はできません。ただし「中央値12.9万ドル」と「583.3万円」が同じ桁の話ではないことは、前提の違いを割り引いても残ります。

報酬は、その職種が組織の中でどの位置に置かれているかの写し鏡です。コストセンターの一部門として扱えば、賃金はその扱いに収束します。必須機能として扱えば、代替の効かない職種としての値段がつきます。

人がいない、という前提条件

ISC2が2025年7〜8月に16,029名を対象に実施したCybersecurity Workforce Study の数字は、この議論の前提になります。

• スキル不足／「重大または深刻」と答えたのは59%。2024年の44%から悪化
• 何らかのスキル不足／95%
• 適切な人員配置ができている／34%
• 予算削減を経験／36%／採用凍結39%／昇進凍結34%
• 最も必要とされるスキル／AI（41%）、クラウドセキュリティ（36%）、リスク評価（29%）

つまり予算が絞られ、人が足りず、必要なスキルの中身も変わっている。この条件下で「他の対処事項との優先順位」を判断させれば、後ろに回るものが出るのは避けられません。個人の判断力ではなく、置かれた条件の問題です。

回答者の国別内訳では日本が8%を占めており、この傾向が日本と無関係ではないことも示唆されます。

エンジニアの側で何が変わるか

現場のエンジニアにとって、この事案から取り出せる実務的な論点は4つです。

1. 指摘を出すだけでなく、どのリストに入ったかを確認する。「対応予定」と言われた時点で、期限と、期限までの暫定緩和策がセットで決まっているか
2. サービス影響を理由に遅らせるなら、遅らせている間の代償を明示する。「この経路が開いている間、取られ得るものはこれ」と書けると、議論が優先順位の話になる
3. 預かっている環境が、顧客にとって何に繋がっているかを把握する。今回はVPSの先に取引口座があった。箱の価値ではなく、箱が繋がっている先の価値で守る
4. セッションの寿命を設計に入れる。GMOは第3報で、パスワード変更後も既存セッションが一定期間残る場合があると注意喚起している

4つとも、新しい技術は要りません。必要なのは、セキュリティの指摘を「検討事項」ではなく期限付きの不具合として扱う言語化です。

その後の対応

GMOが公表している対応も、必須領域への切り替えとして読めます。

• 基盤の扱い／現行基盤は再開せず、セキュリティアーキテクチャを刷新。Windowsデスクトップ環境を希望する契約顧客には、独立したクラウド基盤上の代替サービスを6か月間無償で案内
• 補償／不正アクセスに起因する不正取引の実現損失（差損・手数料等）を補償。市場変動による損失・逸失利益・間接損害は対象外
• 見舞金／現在の利用顧客全員に、金銭的被害の有無にかかわらず一律5,000円
• 脅迫への対応／攻撃者とみられる者から金銭要求があったが、応じても削除や不正利用防止は保証されないとして応じない方針

見舞金の金額については批判も報じられています。ただ、ここで注目したいのは現行基盤を再開しないという判断のほうです。直して戻すのではなく、作り直す。この判断は、事前の指摘が「直せば済む不具合」ではなく「構成そのものの問題」だったことを意味します。事前に同じ判断ができていれば、というのが唯一の後知恵です。

要求は、途中から性質が変わった

この事案を時系列で追うと、攻撃者の要求が段階的に積み上がっていったことが分かります。GMOの第7報に記載された経緯です。

• 10月21日／サービス停止と第1報の公表。同日、脅迫メールを受信。要求額は約80億円
• 10月22日／警察に相談
• 10月24日／見舞金等を決定（第4報）。同日、能動的サイバー防御の適用を政府関係機関に要請（第5報）
• 10月25日〜26日／顧客端末の調査協力を依頼し、預かった端末の解析を開始
• 攻撃者の予告期限／10月27日12:00に顧客情報の公開とランサムウェア攻撃

攻撃者が主張した内容は3点です。国内外70社を超える証券・FX会社等の口座への不正操作の継続、本サービスと接続した顧客PCに関する情報の公開およびランサムウェア攻撃、そしてGMOのシステムや運用体制に関する情報の公開。

注目したいのは3つ目です。システムや運用体制に関する情報の公開が脅しの材料として成立している、ということは、攻撃者が構成そのものを把握しているという主張でもあります。公開されれば、同じ構成を使っている他の事業者にも波及しうる。ここが、データ漏えい単体とは違う二次被害の形です。

GMOはこれに対し、要求に応じても削除や不正利用の防止は保証されないとして、応じない方針を示しました。同時に、国主導での攻撃基盤の追跡・遮断・無力化などの実効的な措置を政府関係機関に要請し、本件を「発動第1号」事案と位置づけています。

要請先は「政府の関係機関」とのみ記載され、具体的な機関名は公表されていません。政府側が要請を受理したか、措置を発動したかについての公式発表も、本記事の執筆時点では確認できていません。

優先順位は、何と何を比べていたのか

「他の対処事項との優先順位」という説明は、抽象的に聞こえて、実際には相当具体的な比較です。現場で何が天秤に乗るのかを分解しておきます。

1. いま稼働している顧客への影響。自動売買を動かしっぱなしにしている利用者にとって、認証方式の変更や経路の遮断は、取引の中断と同義になる。「止めない」こと自体が、このサービスの価値だった
2. 他の脆弱性・他のシステム。指摘は1件ではない。限られた人数で、どれから手を付けるかを毎週決めている
3. 対応の深さ。設定変更で塞ぐのか、構成を作り直すのか。後者は数か月かかる一方、前者は塞ぎ残しが出る
4. 期限の不在。法令対応と違い、いつまでにという締切を外から与えられない

1から4のどれも、個々には妥当な判断材料です。問題は、この4つを並べると「深く・速く」が構造的に選ばれにくいことです。深くやれば顧客影響が大きく、速くやれば深さが足りない。両立しようとすれば、他の対処事項が止まる。

GMOの説明にある「慎重に進めた結果、対応の深さと速さが十分ではなかった」は、この構造を正確に述べたものと読めます。誰かが手を抜いたのではなく、4つの比較を普通にやると、この結論に着地しやすいということです。

必須領域として扱うと、運用はどう変わるか

「必須領域にする」を精神論にしないために、運用上どこが変わるのかを具体化します。

• 予算の置き方／他の投資と並べて比較するのをやめ、先に確保する。会計監査や法定点検と同じ扱いにする
• 期限の持ち込み方／指摘に社内で期限を付ける。外から締切が来ない以上、自分で作るしかない。期限を延ばす場合は、延ばす判断を誰かの名前で記録する
• 暫定緩和の義務化／恒久対策に時間がかかるなら、その間の暫定緩和策をセットで決める。「対応予定」だけでリストに載せない
• 顧客影響の扱い／「サービス影響があるから慎重に」を止める理由にしない。影響を出す前提で、通知と移行の計画を同時に作る
• 権限／一定の条件を満たしたら、現場の判断で止められる範囲を事前に決めておく

5つのうち、技術が必要なものは1つもありません。すべて意思決定の設計です。そして、どれも事故の前にしか作れない。

この5つが入ると、冒頭の3つの不利な性質——成果が数字にならない、サービスに影響する、期限が外から来ない——のうち2つ目と3つ目が解消されます。1つ目は解消されませんが、比較の土俵から降りてしまえば、数字が出ないこと自体は問題でなくなります。

同じ転換は、他の業界ですでに起きている

セキュリティが「満たさないと取引できないもの」に変わった例は、半導体の製造現場にあります。

• SEMI E187（2022年1月）／Fab装置のコンピューティングデバイス向けのセキュリティ標準。OSサポート、ネットワークセキュリティ、エンドポイント保護、セキュリティ監視の4領域を要求
• 調達要件化（2023年）／TSMCがE187をウェハfabの調達契約の要件とした。要件を満たさない装置は売れないという形になった
• 改訂（進行中）／IEC 62443との整合を目的に、SL1（Baseline）／SL2（Enhanced）／SL3（Comprehensive）の3段階のセキュリティレベルを導入する方向

買う側が要件を書いた瞬間に、売る側にとってセキュリティは投資ではなく売上の条件になります。「ROIが低いので来期に」とは言えなくなる。

同じ力学は、法令と規制からも働きます。2026年10月1日に一部施行されたサイバー対処能力強化法では、基幹インフラ15分野の約258事業者にインシデント報告義務が課され、報告を行わず是正命令にも従わない場合は200万円以下の罰金が規定されました。EUのCyber Resilience Actでは、悪用されている脆弱性を認識してから24時間以内の早期警告が2026年9月11日から義務化されています。

どれも、外から期限を持ち込む仕組みです。国内のセキュリティの扱いが変わるとしたら、起点になるのは技術の進歩ではなく、この種の要件のほうだと考えられます。

出典

• piyolog（2026年10月23日作成・24日更新）／お名前.com デスクトップクラウドへの不正アクセスについてまとめてみた／時系列、26,739件、第1〜5報の内容、補償と見舞金、攻撃者の主張
• ASCII.jp（週刊アスキー）／GMO熊谷代表、不正アクセスで謝罪 事前に弱点指摘も防げず／社内ホワイトハッカーの事前指摘、優先順位と「対応の深さと速さ」に関する説明
• U.S. Bureau of Labor Statistics／Occupational Outlook Handbook: Information Security Analysts／賃金中央値129,180ドル（2025年5月）、就業者数192,900人、2025〜35年21%、年約14,100件
• 厚生労働省 職業情報提供サイト（job tag）／セキュリティエキスパート（情報セキュリティ監査）／賃金583.3万円・平均年齢41.7歳（令和7年賃金構造基本統計調査を加工）
• ISC2／2025 ISC2 Cybersecurity Workforce Study／有効回答16,029名、スキル不足59%、人員配置34%、予算削減36%ほか

本記事は2026年10月27日時点で公開されている情報に基づいています。持ち出された情報の内容・件数、被害総額、攻撃者の主張の真偽は、いずれも現時点で確認されていません。被害事例として挙げた金額は個別の報道に基づくもので、当社が検証したものではありません。