GMO熊谷代表会見、「報告は上がっていなかった」「独演会」が露呈したガバナンス不全

この会見で浮かび上がってきた組織の問題、問題の本質を考えてみます。

郷原信郎 2026.11.03

GMOインターネットグループ株式会社（以下、「GMO」）の熊谷正寿会長兼社長が、11月2日、子会社のクラウドサービス「お名前.com デスクトップクラウド」への不正アクセス問題について、初めて記者会見を開きました。午後3時半から約3時間半に及ぶ会見で、熊谷氏は、顧客を守れなかったことを謝罪し、2年前にグループ内のセキュリティ専門家から脆弱性を指摘されながら、それを「サービスの運営で生かすことができなかった」と認めました。

しかし、問題に関する新たな説明は乏しく、「企業理念や多発するサイバー攻撃についての持論を長く展開する場面が多かった」などと会見後の評価は厳しいものとなっています。

この会見では、「グループ内の指摘が経営トップに届かなかったこと」が明らかにされ、一方で、「謝罪会見の後半が創業者の持論を語る場になったこと」でＳＮＳ上の批判の的となりました。これらは、いずれも、創業者である熊谷氏と会社組織との関係という、同じガバナンス上の問題から生じています。

会見で明らかにされた経緯は、以下のとおりです。

2024年4月、グループ会社の「GMOサイバーセキュリティ byイエラエ」（以下、「イエラエ」）の専門家が、今回攻撃を受けたサービスのシステムに脆弱性があることを指摘しました。これを受けて、同年4月26日から5月20日にかけて計4回の緊急メンテナンスが行われましたが、システムを作り変えるような抜本的な対策は取られませんでした。

それから2年が経過した今年8月5日、攻撃者が顧客のサーバー環境に侵入し、8月17日には管理者権限を奪って管理サーバーに不正アクセスしました。GMOがこれに気づいたのは、利用者からの問い合わせを受けて調査を始めた10月20日で、侵入から2カ月以上が経っていました。

2年前の指摘は、グループの伊藤正、山下浩史の両副社長には届いていましたが、熊谷氏には報告されていなかったということです。山下副社長は、安定稼働や機能開発など複数の案件の優先順位を判断する中でリスク分析に甘さがあり、4回の緊急メンテナンスで対応できたと誤認したことが「最大の反省点」だと述べました。

問題は、熊谷氏に報告されなかった理由の説明が食い違っていることです。熊谷氏は、

「グループは150社・8300人規模で報告基準がある」

旨述べました。一方、同席したグループ法務部長は、

「取締役会に上程する定量的な基準は当時設けておらず、ケースバイケースで判断していた」

と説明しました。

トップが「基準はある」と言い、法務部長が「基準はなかった」と言います。この食い違いは、トップが思い描く組織の姿と実際の運用との間にずれがあったことを示しています。そして重要なのは、指摘が経営の末端で埋もれたのではなく、創業者のすぐ下の副社長の段階で止まっていたことです。「この件を代表に上げるかどうか」が、明確な基準のないまま、側近の判断に委ねられていたことになります。

この点に関して、記者が

「もしその時点で熊谷社長自身がその事実を知っていたなら、対応はできたか」

と尋ねたのに対し、熊谷氏は

「『もし』の質問には回答するのは厳しい。申し訳ありません」

と答えました。

政治家や官僚がよく使う「仮定の質問には答えられない」という答弁と同じ型です。しかし、この質問は、本当に答えなくてよい「仮定」の質問だったのでしょうか。

第一に、この質問は熊谷氏自身の説明の意味を確かめるためのものでした。熊谷氏は「私のところには報告が上がっていなかった」と述べました。報告を受けていれば直ちに対策を指示していたというなら、問題は「報告の仕組みが機能しなかったこと」にあります。報告を受けても同じ判断をしていたというなら、問題は「経営トップの判断の優先順位そのもの」にあります。どちらなのかを答えなければ、「報告がなかったこと」の影響の大きさや、報告がなかったことを熊谷氏自身がどう受け止めているのかわかりません。

第二に、熊谷氏は別の質疑で、「本来はそこでアラートが上がるべき案件だった」と認め、報告体制の見直しが必要だという指摘は「100％その通り」と述べています。報告されるべき案件だったと認める以上、報告を受けていたらどう判断したかは、熊谷氏が今持っている対応方法を語ればよいだけのことです。

第三に、創業者が強大な権限を持つ組織では、部下が「何を上に上げるか」は、トップが何を重視し、どう反応するかについての部下の予測という名の忖度によって左右されがちです。報告基準がなかったのであればなおさらです。副社長たちが「代表に上げるまでもない」と判断した背景には、熊谷氏が「セキュリティ」と「サービスのスピード」のどちらを重く見る経営者だと受け止められていたかが、当然関わっていたはずです。「もし」の質問は、まさにその点、つまり創業者の価値観が部下の判断をどう方向づけていたかを問うものだったのです。

損害賠償請求や株主代表訴訟を意識すれば、どちらに答えても法的に不利になりかねない、ということを考慮したのかもしれません。「知っていれば直させた」と答えれば、取締役として報告体制を整える責任の問題が浮かび上がるからです。

しかし、そういう責任追及の場面での損得勘定は、この会見で

「31年間『儲ける』と言ったことはない」

と強調する熊谷氏のスタンスと矛盾します。

「重大なセキュリティ上の指摘は、サービスの稼働や機能開発よりも優先させるのが私の方針であり、それを組織に徹底できなかった」

と答えることがなぜできなかったのでしょうか。

記者がさらに

「今の時点で同じようなことがあったら」

と聞き直そうとしたところ、熊谷氏が

「お一人1問で」

と制しました。「一人一問」のルールで「更問い」を拒絶するのは、説明責任を果たそうとしない会見の典型的なフレーズです。

会見は、今回の問題についての謝罪・説明が約30分で終わり、その後、熊谷氏は「第2部」として、AIの悪用によるサイバー攻撃の脅威や、創業以来の理念について語りました。YouTubeライブの画像には批判コメントが溢れる中、熊谷氏の「独演会」は30分にわたって続きました。

その後の質疑で、「第２部」独演会の意図を問われると、

「会社は理念で成り立っている。創業者としてインターネットの安全を守りたい思いがある。現在、AI悪用により攻撃頻度は従来の100倍に達していると考えており、この世界的な脅威の激変を社会全体に認識してほしかった」

と答えました。

しかし、今回の攻撃にAIが使われたかどうかは分かっていません。問題は、AIが悪用されるようになった現在の世界的な脅威にあったのではないのです。2年前に社内の専門家から指摘された脆弱性に、十分な対策を取らなかったことにあります。

熊谷氏は10月25日のブログで、社内のホワイトハッカーから指摘を受けていたことを認めつつ、政府に「能動的サイバー防御」の適用を具申したと明らかにしていました。これに対しては、自社が指摘への対応をしていなかったのに国に官民連携を求めるのは「順番が逆ではないか」との批判が出ていました（篠原修司氏【なぜGMOは子会社の脆弱性指摘に2年も対応できなかった？　不正アクセス事件と国への官民連携要望の矛盾】）。

辞任するつもりはないのかとの質問に、熊谷氏は

「悪意に汚染されているインターネットを、このまま責任という名において放置したまま死ねません」

と答えました。ここでも、経営責任が、創業者の使命を貫くことにすり替えられています。

注目すべきは、答え方の落差です。熊谷氏は、AIの脅威という未来の、しかも今回の事件との関係が不明な事柄については予測を交えて雄弁に語りました。一方で、自らの判断と責任に関わる「もし」の質問には答えませんでした。

「指摘がトップに届かなかったこと」と「謝罪会見が創業者の独演会になったこと」は、一つの構造として理解すべきです。

今回の対応に関して、二つの方向への情報の流れがあります。一つは、現場から経営トップに上がる悪い情報です。もう一つは、経営トップから社外に発信される情報です。本来、取締役会、リスク管理部門、広報部門、ラインといった組織の機能は、この二つの流れを制御するためにあります。悪い情報は確実に上に届け、トップの発信は組織としての吟味を経て効果や影響を検討したうえで外に出します。

GMOでは、このどちらも機能していませんでした。悪い情報はトップの手前で止まり、トップの思いは誰にも止められずに外に出ました。向きは逆ですが、根は同じです。トップと組織の間で情報を選び分ける役割が、制度ではなく、トップとその側近の判断のみに委ねられていたのです。

熊谷氏は、2年前は、指摘したイエラエがグループ入りして間もなかったため、各社への指示命令権を持っていなかったと説明し、