課題を知りながら放置して攻撃されたGMO

日本も対岸の火事ではない。ＧＭＯインターネットのＦＸ（外国為替証拠金）取引用クラウドサービスが侵害された問題だ。

一部利用者の口座で不正な取引が確認され、攻撃者とみられる人物は約80億円を要求。顧客情報の公開やランサムウエアによる追加攻撃も予告した。同社は政府に能動的サイバー防御の適用を要請。27日には攻撃者とみられる者による情報公開を確認したと発表し、事態は連日大きく報じられた。

ただ、派手な脅迫や会社側の異例の対応に目を奪われる前に、注目すべき事実がある。ＧＭＯインターネットグループの熊谷正寿会長兼社長は25日、自身のブログで、攻撃前から社内の専門家にサービスの安全性について改善すべき課題を指摘されていたと明らかにした。

対策は進めていたものの、サービスの継続性や他の業務との優先順位を考慮した結果、対応の深さと速さが十分ではなかったと認めた。「プロを抱えながら、その知見を組織として完璧に防御へ昇華しきれなかった」と反省の弁をつづった。

カーシェアリング大手「タイムズカー」でも９月、約660万件のアカウント情報が流出した。同社は本人確認に使った運転免許証などの画像を退会後も保存しており、約146万件で外部送信の痕跡が確認された。漏えい後には会員登録後の画像を削除する方針に改めた。

そもそも、これほど大量の個人情報を抱え続ける必要があったのか。侵入を防ぐだけでなく、流出し得る情報を必要最小限に抑えるという、日頃の管理の問題を突き付けた。