GMOのサイバー攻撃から考える経営者のリスク管理――「何かおかしい」を見逃さない経営判断
経営者は、すべての技術を理解する必要はない。しかし、リスクを察知し、対策を決断する責任がある。
有限会社ジャムティガ 代表／コンサルタント
GMOの不正アクセスは、単なる技術的な問題なのか
2026年10月、GMOインターネットが提供する「お名前.com デスクトップクラウド」で、第三者による不正アクセスが発生しました。
同社の発表によると、10月20日に一部の顧客のサーバー環境で不正なプログラムが確認され、その後の調査では、保存されていた取引口座のログイン情報などが第三者に取得され、不正利用された可能性も明らかになりました。
この問題で私が特に注目したのは、10月25日にＧＭＯインターネットグループの熊谷正寿代表が明らかにした内容です。
社内のホワイトハッカーから、セキュリティ上の改善すべき課題が事前に指摘されていたというのです。
しかし、サービスの稼働への影響や、ほかの対応事項との優先順位を考慮する中で、結果として対策が十分な速度と深さで進まず、攻撃を防ぎきれなかったと説明しています。
ＧＭＯにとって見えない敵に備えておくというのは優先順位としては低いものだったのかもしれませんが、顧客から見ると金融取引をサービスとして行っている企業のセキュリティーは当たり前のことです。
社内から声が出た時に対処しなかったこと自体にこの会社の経営方針が見えるような気がします。
もちろん、サイバー攻撃そのものの責任は攻撃者にあります。
また、今回の具体的な脆弱性や社内の意思決定過程の全容は、現時点で明らかになっていませんが、専門家がリスクを認識していたにもかかわらず、十分な対策が間に合わなかったという事実は、技術面だけでなく、組織の意思決定やリスク管理のあり方を考えさせられる問題となりました。
経営判断にスピード感は大事、問題が起きてからでは遅い
限られた人員、資金、時間の中で、何を優先するかを判断しなければなりません。しかし、その判断には、リスクが現実になった場合の損失を考慮しなければなりません。
例えば、セキュリティ対策のために一時的なサービス停止が必要だったとしても、それを先送りした結果、顧客情報の流出やサービスの長期停止につながれば、損失ははるかに大きくなる可能性があります。
目の前の業務を止めないことと、将来の重大なリスクを防ぐこと。この二つをどう判断するかは、まさに経営の問題です。
弊社がドメイン契約とサーバー契約を見直した理由
弊社は、インターネット関連サービスの利用環境を見直した経験があります。以前、弊社のドメインはＧＭＯのグループ会社で契約していました。
契約当初は、他社と比較して価格も安く、サービスにも疑問を感じることはありませんでしたが、次第に営業メールが頻繁に届くようになり、別のグループ会社からも営業電話が頻繁に掛かってくるようになり、煩わしさを感じるようになりました。また、契約時には安かったドメイン料が、いざ更新となると料金の上り幅が極端に高くなり、更新時期のかなり前から自動的に契約が更新されてしまうことに疑問を感じ、見直すことにしました。
営業メールや営業電話の多さがセキュリティ上の問題を意味するわけではありませんが、弊社が取引先を選ぶ際には、料金や機能はもちろん、管理のしやすさや事業者への信頼感も重要な判断材料にしています。つまり、ＧＭＯのグループ会社の顧客に対する姿勢から、弊社はこの判断をしたのです。もちろんＧＭＯを非難するつもりは全くありません。
さらに、以前利用していた「さくらのレンタルサーバー」でも、気になる経験をしました。
FTPソフトを使ってサーバーに接続した際、自社とは関係のない企業のものと思われるファイルやディレクトリの存在が見えたことがあったのです。中には、社名と思われる名称もありました。私は、その画面を見て、セキュリティ上の問題があるのではないかと感じました。
情報漏洩というと、顧客名簿や機密文書の内容が外部に流出することを想像する人が多いでしょう。 しかし、情報セキュリティの問題は、それだけではありません。
ファイル名やディレクトリ名には、企業名、取引先、プロジェクト、業務内容などが含まれている場合があります。
仮にファイルを開けなかったとしても、名前や保存場所の構造から、企業活動に関する情報を推測できる可能性があります。
また、攻撃者にとっては、そうした情報が攻撃対象を探る手掛かりになることも考えられます。
私が目にした現象について、実際に他社の機密情報が取得できる状態だったかどうかは確認していません。当時のアクセス権限やサーバーの設定も、今となっては検証できません。それでも、他社のものと思われるファイル情報が見えることは、自社のものも見られているということで、これは経営者として無視できない懸念でした。
そこで私は、その環境が危険だと判断し、サーバーを他社へ移行しました。
これは、どのサーバー会社が安全という話ではありませんが、さくらインターネットは、2026年9月10日の公式発表で、最大1,360,563アカウント（約136万件）の会員情報が、第三者に閲覧または取得された可能性があると公表しています。
弊社は、今年の春に契約解除しましたが、以前からこの現象に気づいていた人も多かったのではないでしょうか。
経営者は専門家でなくても、リスクを察知しなくてはならない
私は、システムエンジニアでもセキュリティの専門家でもありません。
しかし、「何かおかしい。」と感じたときに、その違和感を放置しないことが経営者とって非常に大事なことではないかと感じます。
「わからないことは、わかる人に聞く。」複数の専門家に確認することを心掛けています。そして、重大な問題に発展する可能性があるなら、早い段階で対応すること。
こうした判断は、経営者が果たすべき役割の一つだと思います。
重要なのは、問題が起きるまで何もしないという選択を、無意識に続けないことです。
攻めの経営ばかりに目を向けるのではなく、守りの経営にも目を向けることが大事です。
経営上のリスクは、サイバーセキュリティに限らない
中小企業の日常業務にも、同じような構造の問題があります。例えば、
- 顧客からの問い合わせメールに返信しない会社。
- 受注内容の確認が不十分で、誤った商品を納品してしまう会社。
- 社長が不在になると、重要な判断や日常業務が止まってしまう会社。
- 契約書一つ締結するにも、代表者の承認を待って何週間もかかる会社。
これらは、一見すると担当者の仕事の進め方や能力の問題に見えるかもしれません。
しかし、経営の立場から見ると問題はそれだけではないように思います。
- 問い合わせへの回答期限を守っているか。
- 仕事の進捗を管理する責任者はいるのか。
- 重要な業務が特定の社員だけに依存していないか。
- 社長が不在でも、一定の範囲で判断できる権限が従業員に与えられているか。
こうした仕組みを整えることは、経営管理そのものです。
そして、いざ問題が起きたとき、社員だけを責めても根本的な解決にはなりません。
見直すべきは、社員の行動だけでなくその行動を生み出している会社の仕組みです。
経営者が見直すべきなのは、社員の行動だけでなく、その行動を生み出している会社の仕組みなのです。
リスクを放置することにも、経営コストがある
企業経営では、目に見える支出には敏感でも、目に見えにくい損失には気づきにくいものです。
- 問い合わせへの返信が遅れたことで失った商談。
- 誤納品によって失った顧客の信用。
- 意思決定が遅れたために逃した事業機会。
- 問題を放置した結果、後になって発生する多額の対策費用。
こうした損失は、会計帳簿には明確な数字として表れないこともありますので、経営者は日常の小さな問題を、単なる現場の出来事として済ませてはいけません。
その背後に、会社の収益力や競争力を弱める構造がないかと考えるべきです。
企業統治は大企業だけの問題ではない
コーポレートガバナンスという言葉は、上場企業や大企業の問題だと思われがちです。しかし、私は中小企業にこそ、経営管理と意思決定の仕組みが重要だと考えています。 大企業には専門部署や複数の管理職がいても、中小企業では社長一人が多くの判断を担っています。 だからこそ、社長の判断が会社の将来を大きく左右します。 何を把握し、誰から報告を受け、どこまで権限を委ね、いつ対策を実行するのか。 こうした基本的な仕組みが、会社の強さを決めるのです。
今回のＧＭＯの事案は、サイバー攻撃の脅威だけでなく、「経営判断」の大切さを改めて考える機会になりました。
「何かおかしい」と思ったときが、経営を見直す機会
経営者が、すべての問題を自分一人で解決しようとするのには限界があります。
時には外部の視点から見てもらうことで自社に気づきが生まれます。
経営者に必要なのは、問題が起きた後の対応力だけではありません。問題の兆候を察知し、重大な損失になる前に行動する判断力です。
そして、その判断を支える仕組みを会社の中に作ることこそ、持続的な経営につながるのではないでしょうか。
中小企業の経営課題を、会社全体の視点から考えます
有限会社ジャムティガは、東京都を拠点とする中小企業向けの総合経営コンサルティング会社です。
35年にわたる経営経験と、金融・財務・事業承継などの実務経験を生かし、経営者の課題整理から経営改善、実行支援まで、一社ごとの状況に応じて対応しています。
社内だけでは解決しにくい経営課題について、外部の視点を取り入れてみませんか。
ジャムティガの経営相談については、公式サイトをご覧ください。
参考資料（2026年10月28日確認）
- GMOインターネット株式会社「お名前.com デスクトップクラウドへの不正アクセスに関するお知らせ（第3報）」2026年10月23日
- GMOインターネット株式会社「不正アクセスに関する現在の対応について（第10報）」2026年10月27日
- GMOインターネット株式会社「不正アクセスに関する現在の対応について（第13報）」2026年10月28日
- さくらインターネット株式会社「当社システムへの不正アクセスに関する調査結果および再発防止策について（第三報）」2026年9月10日
