導入：脅迫の値段と、正義の値段
攻撃者が突きつけた金額は、100万ドルだった。
払わなければ、顧客の情報を公開する。顧客のパソコンにランサムウェアを仕掛ける。日本時間の10月27日正午までに、約1億6,000万円を払え――攻撃側とみられる者の声明は、そう告げていたと報じられている。
GMOインターネットグループは払わなかった。そして翌28日の正午、同じ100万米ドルを、まったく別の用途で差し出した。犯人の特定や検挙につながる情報への懸賞金である。
脅迫の値段と、正義の値段が、同じ数字で並んだ。
もちろん、数字の一致に意図があるかどうかは分からない。だが、この事件を追うと、金額よりも先に「お金の順番」が気になってくる。何に、いつ、どの順番で払ったのか。その順番の中に、この事件の芯がある。
事件の輪郭
狙われたのは「お名前.com デスクトップクラウド」。FXの自動売買などを24時間動かし続けるための、仮想デスクトップ（VPS）のサービスである。
10月19日、利用者からの問い合わせで調査が始まり、翌日には一部のサーバ環境に不正なプログラムが確認された。21日未明、全プランのサーバが順次止められた。影響を受ける可能性のあるサーバは26,739件。会社はその後、システムにセキュリティ上の問題があり、顧客情報が外部に持ち出されたことを認めた。
証券会社などの取引口座のログイン情報が持ち出されたとされ、被害はGMOの外にも広がった。10月27日、片山さつき金融相は、国内5社から不正取引の報告が金融庁にあったことを明らかにしている。顧客の中には、数百万円規模の損失を訴える人もいる。
二層の要求と、二つの正午
金銭の要求は2回あった。
1回目は10月21日午後5時を期限とする5,000万ドル、約80億円である。熊谷正寿会長兼社長が、後に自身のブログで明かした。2回目が、冒頭の100万ドルである。払わなければ27日正午に情報公開とランサムウェア攻撃を行う、という予告付きだった。
GMOは応じなかった。第12報では「永久に応じません」とまで言い切った。応じても、持ち出された情報の削除や不正利用の防止が保証されるわけではない。払えば犯罪組織への資金提供になり、さらなる攻撃を助長する。この判断自体は、正しい。身代金を払わないことは、責められる話ではない。
27日正午が過ぎ、攻撃側は「会社が交渉に応じなかった」として、個人情報とみられる情報1件を公開した。GMOも同日12時30分に公開を確認したと発表した。ただし、公開された内容は調査中で、事実と異なる内容が含まれるおそれがあるという。報道によれば、警視庁が連絡を取ったとされる当の人物は、名前と住所は一致するが、それ以外は事実ではないと説明したという。真偽が定まらないなかで確かだったのは、予告されていたランサムウェアの実行が確認されなかったことだけである。
期限は終わらなかった。攻撃側の新声明は、毎日正午に順次公開していくと告げた。
ところが28日の正午、2回目の公開は、公式発表と主要メディアの範囲では確認できなかった。その日の午前4時頃、攻撃者とみられる者のサイトのドメインが停止されていたのである。
社内の盾
この事件でいちばん重い一文は、攻撃者の声明ではなく、熊谷社長自身のブログにある。
社内のホワイトハッカーたちは、事前に、改善すべき課題を現場へ指摘していた。だが「その対応の深度とスピードが十分ではなく、攻撃者にその間隙を突かれてしまいました」と、社長自らが認めたのである。
GMOといえば、ホワイトハッカーを抱え、セキュリティを看板にしてきた会社である。盾がいなかったのではない。盾は社内にいた。声も上げていた。ただ、その声が「可用性への影響」や「優先順位付け」の中で後ろに回り、対応が間に合わなかった。
先に起きたPHPの脆弱性（PHP2Shell）の件でも、構図は同じだった。欠陥の兆候は2024年の外部監査ですでに見つかっていたのに、修正は小さな開発チームの中で何か月も滞った。財団はそれを「構造的失敗」と呼んだ。
警告がなかったのではない。警告を処理する順番が、ほかの何かに負けたのである。
国の盾
事件の直後、GMOは政府関係機関に、能動的サイバー防御の適用を要請した。攻撃者のサーバを無害化する、あの新しい国の盾である。
だが政府の応答は、静かだった。政府関係者は、要請には法的根拠がなく、個別企業の求めに応じて発動を決める制度ではないと説明した。木原官房長官も古川サイバー安全保障担当大臣も「個別の事案についてはコメントを控える」で一貫した。無害化措置が取られたかどうかは、実施の有無自体が公表されない仕組みの中で、今も分からない。
では、28日未明に攻撃側のサイトを止めたのは誰か。GMOは「関係事業者などと連携して対応を進めてきた」とする。ネット上では、レジストラへの通報が効いたのだという指摘もある。国の大きな盾が動いたのか、民間の地味な通報手続きが効いたのか。公式には、最後まで語られなかった。
確かなのは、警視庁が不正アクセス禁止法違反などの疑いで捜査を始め、会社や顧客から事情を聴いていることだけである。
何に払うか
話をお金に戻す。
顧客への支払いは、事件の後に積み上がっていった。全利用者への一律5,000円の見舞金。不正取引で生じた実現損失の補償。代替サービスの6か月無償化。ランサムウェアの被害に遭った顧客には、同等の性能の新しいPCの提供。そして公開が確認された顧客への「GMO特別お見舞金」は、情報の区分ごとに1万円から2万5,000円を積み上げ、1回の公開につき上限300万円にまでなった。
懸賞金もそうだ。GMOはこれを、身代金や盗まれた情報の買い取りではなく、捜査に協力する情報提供への対価だと位置づけた。受付は2027年10月まで続き、逮捕や国際手配があれば終わる。熊谷氏は「期限は逮捕まで永遠です」と述べたという。
払う、払わない、ではない。何に払うか、である。その選択自体は、どれも筋が通っている。
ただし、事後のお金は、これだけの速さで、これだけ積み上がった。攻撃の前に、社内の盾の指摘へ回るはずだったお金と時間だけが、この順番の中に最後まで現れなかった。
顧客の側
忘れてはいけないのは、正午の時計にいちばん振り回されたのが顧客だということだ。
27日の正午前、日本のインターネットインフラを牽引してきたはずの企業から顧客へ突きつけられた「防御策」は、あまりにも前近代的な光景だった。
「バックアップを取り、PCにつながっているコードを抜き、電源を落としてください」
AIがコードを解析し、国家規模のサイバー戦がミリ秒単位で交わされる2026年に、クラウド基盤の最前線が呼びかけたのは、四半世紀前のダイヤルアップ接続時代と同じ物理プラグの引き抜きだった。
端末を預けた人は、グループのホワイトハッカーチームによる解析を待った。自分の情報が公開されるかどうか分からないまま、毎日正午が来る日々である。
さらに会社は、公開された情報の転載や拡散を控えるよう求め、悪質な拡散者には法的措置の準備を進めるとした。「面白半分」や「情報共有のつもり」でも被害を拡大させる、という警告は正しい。だが裏返せば、流出した情報への責任の一端は、こうして社会の側へも分配されていく。
結び:死んだ金と、生きた金
盾は、三つあった。
社内の盾は、声を上げていた。
国の盾は、姿を見せなかった。
金の盾は、事件の後にいくらでも積み上がった。
足りなかったのは、盾の数ではない。盾の声を聞く順番である。
対策は、事件の前では「優先順位」に負け、事件の後では予算に困らなかった。
彼らは最初から、お金の使い方を致命的に取り違えていたのではないか。
事後のお見舞金や代替PC、そして100万ドルの懸賞金――。事件の後にどれほど札束を積み上げようと、それは過去の失態を埋め戻すための「死んだ金」でしかない。
もし、社内のホワイトハッカーたちが声を上げていたあの時、彼らの知性に敬意を払い、情報防衛の最前線にその「生きた金」を惜しみなく投じていたなら。
顧客が正午の時計に怯え、自らの手でPCのコードを引き抜くようなこの喜劇の結末は、まったく違う地平を描いていたはずなのだ。
