会見当日も新たな情報漏えいを発表

侵入から2か月半も気づけなかった理由を尋ねられても熊谷氏は「私、ちょっと正確な回答ができませんので現場の方から回答させていただきます」と部下に振り、それを受けた山下副社長は「その回答は今持ってございません」とゼロ回答。熊谷氏は攻撃の侵入経路もまだ分かっていないと説明した。

さらにGMOの情報漏えいはこれだけではない。

「GMOグローバルサインが提供するシングルサインオンサービス『GMOトラスト・ログイン』で、設定ミスにより2017年11月ごろから今年9月までの約9年間にわたり外部から2492社、4万5030人の顧客情報を閲覧できる状態になっており、第三者が顧客ファイルを取得したことが確認されました。

10月5日にはGMOリサーチ&AIが、アンケートサイトへの不正アクセスで会員の個人情報が外部に持ち出され、一部会員のポイントが勝手にAmazonギフトコードに交換されていたと公表しました。

会見当日の11月2日にもGMOペイメントゲートウェイが、不正アクセスで顧客情報が盗まれた可能性があると発表しています」（社会部記者）

会見ではこのうち、「リスク評価以前の問題ではないか」との質問が出たGMOトラスト・ログインの問題にだけ熊谷氏が言及したが、「なぜあれだけセキュリティのキャンペーンを張って脆弱性診断もしてたのに、それ（設定ミス）が残っていたのかは私は今言語化ができてません」と話すだけだった。

GMOのサイバーセキュリティはどうなっているのか。今年3月の有価証券報告書で持ち株会社は、

〈当社グループは多くの人が安心してインターネットを利用できる社会の実現に向け、脆弱性診断等をはじめとしたサイバーセキュリティ関連サービスを提供しています。サービスを提供しているGMOサイバーセキュリティbyイエラエ株式会社は国内外のセキュリティコンテストで１位を獲得する世界最強のホワイトハッカー集団です。警察庁から感謝状をいただく等、日本国内のサイバーセキュリティの底上げにも寄与しています。〉

と誇っている。

実際イエラエは脆弱性を発見している。だがホワイトハッカーの指摘をセキュリティ向上につなげる機能はあったのかと問われた熊谷氏は、イエラエから脆弱性の報告があった時期が同社がグループに入って約2年後であったことを念頭に、組織内で発言力が高まるには時間がかかるとの認識を示したのだ。

「グループにジョインしてからすぐに発言力があるかというと、それは職種とか人間関係として徐々にやっぱり信頼関係を結び、発言力を増し、行動力も増してくんだと思うんですね」

“人間関係”が原因でイエラエが強く主張できなかった、との見方を示すのだった。