GMO熊谷社長の3時間半の会見は何を残したか――反応の整理と、中小・中堅企業が学ぶべき「指摘・報告・説明」の教訓

10月21日に不正アクセスを公表して以来、GMOインターネットグループが記者会見を開くのは初めてでした。対象は、FXの自動売買用に提供していた仮想サーバー「お名前.com デスクトップクラウド」への不正アクセスです（既報）。利用者の情報が持ち出され、攻撃者による脅迫や情報の公開が続いていました。

会見は約3時間半に及び、その進め方も含めて大きな反響を呼びました。この記事では、会見で明らかになった事実と反応を整理したうえで、規模の小さな企業ほど起こりやすい落とし穴という観点から、教訓を考えます。

会見で明らかになったこと

会見には熊谷氏のほか、伊藤正、山下浩史の両副社長らが出席しました。報道から確認できる主な内容は次のとおりです。

会見への反応

報道：「新たな説明は乏しく、持論の展開が目立った」

共同通信は、熊谷氏が涙を浮かべて陳謝した一方で、問題に関する新たな説明は乏しく、企業理念や多発するサイバー攻撃について持論を長く展開する場面が多かったと報じました。日本経済新聞も、会見の前半が謝罪と現状報告、後半が熊谷氏個人のAIに関する見解だったと伝えています。

SNS：批判が中心、評価する声も

X（旧Twitter）では、批判的な反応が目立ちました。主な論調は次のとおりです。

• 長さと配分：3時間半のうち、事実の説明や謝罪よりも、理念やAIをめぐる話の時間が長かったのではないか
• 本題とのずれ：被害を受けた利用者が知りたい補償の具体的な内容や、今後の対策の説明が足りない
• 感情の表現への違和感：涙を見せた場面や仕切り方が、かえって被害者の受け止めとずれていたのではないか
• ガバナンスへの疑問：2年前の指摘を生かせなかった体制や、「報告が上がっていなかった」とも受け取れる説明が、責任の所在をあいまいにしているのではないか

一方で、「経営トップが自ら会見に出て質問に答えたことは評価できる」「攻撃者に屈しない姿勢ははっきりしていた」といった声もありました。不祥事の際に表に出てこない経営者も少なくない中で、長時間にわたって質問を受け続けた点を前向きに受け止める見方です。

中小・中堅企業が学ぶべき4つの教訓

GMOは国内有数のインターネット企業で、グループ内にセキュリティの専門会社も持っています。それでも、指摘を生かしきれず、侵入に長く気づけませんでした。リソースが限られ、意思決定がトップに集中しやすい中小・中堅企業では、同じ落とし穴はもっと身近にあります。

教訓1：指摘を「対応済み」で閉じない

今回の経緯で最も重いのは、指摘を受け、対策もしたのに、根本的な解決に至らなかった点です。緊急の対策を4回行ったことで「一段落した」と判断し、より深い対応は開発の優先順位の中で後回しになりました。

中小企業でも、「脆弱性診断で指摘されたので、とりあえず設定を変えた」「サービスへの影響が大きいので、根本的な改修は次の機会に」という判断はよく起こります。問題は、その判断が記録されず、いつの間にか「対応済み」として忘れられることです。

• 指摘ごとに、暫定対策なのか根本対策なのか、根本対策はいつまでに行うのかを記録する
• 暫定対策で止めると判断した場合は、そのリスクを誰が受け入れたのかを残す
• 対策の後に再診断を受け、指摘が本当に解消されたかを確かめる

教訓2：指摘が経営に届く経路を作る

熊谷氏は、指摘した専門会社がグループ入りして間もなく、各社に指示する権限を持っていなかったと説明し、「私が介在すべきだった」と述べました。指摘する人と、直す権限を持つ人と、リスクを判断する経営者がつながっていなかったことになります。

中小企業では、外部の診断会社や保守業者の指摘が、現場の担当者のところで止まってしまうことがよくあります。担当者は予算も権限もなく、経営者は指摘があったこと自体を知らない、という状態です。

• 外部からの重大な指摘は、経営者に必ず報告するルールにする。「重大」の基準（顧客情報、決済、外部から届く機器など）もあらかじめ決めておく
• 未解決の指摘の一覧を、定期的に経営会議で確認する
• 委託先や子会社からの指摘も、同じ経路に乗るようにする

教訓3：侵入に早く気づける体制を持つ

報道によれば、攻撃者が利用者の環境に入ってから、同社が侵入を認識するまでに約2カ月半かかっています。この間に情報が持ち出され、その後の脅迫につながりました。侵入を完全に防ぐことは難しくても、早く気づければ被害は小さくできます。熊谷氏自身も、目標として「侵入されても最速で回復する会社」を挙げました。

• サーバーや端末の不審な動きを監視する仕組み（EDRなど）を入れ、アラートを誰かが必ず見る体制にする
• 社内で24時間見られない場合は、外部の監視サービス（MDR）を使う
• ログを一定期間保存し、侵入が分かったときに「いつから、何をされたか」をさかのぼれるようにする

教訓4：危機の説明は「利用者が知りたいこと」に絞る

今回の会見への批判の多くは、説明の中身よりも時間の配分に向けられました。被害を受けた人が知りたいのは、何が起きたのか、自分は影響を受けたのか、何をすればよいのか、補償はどうなるのか、そして再発をどう防ぐのか、です。経営者の思いや業界への問題提起は、それが十分に伝わった後でなければ、受け手には届きにくくなります。

この点は、会見だけでなく、SNSを含む対外的な発信全体に関わります。次の章で詳しく整理します。

インシデント時の対外コミュニケーションの基本

インシデントが起きたときの対外的な発信は、「被害を受けた人や関係者が知りたいこと」を軸に、事実を中心に、簡潔に、一貫して伝えることが基本です。IPAの「中小企業のためのセキュリティインシデント対応の手引き」も、インシデント対応の基本的な段階の一つに「報告・公表」を挙げ、関係者への報告や公表を、対応の一部として位置づけています。

GMOのケースで問題視された点

GMOは、事態の発覚後、公式サイトで第1報から段階的に情報を更新し続けてきました（既報、第12報）。この点は評価できます。一方で、信頼を損なう要因として指摘されたのは、主に次の2つでした。

• 経営トップ個人のSNS：被害に関わる事柄に触れた投稿や、事態の最中の笑顔の写真、自社の陸上部について投稿した人へのコメントが、「被害者の感情を逆なでする」と批判された。熊谷氏は会見で「配慮が欠けておりました」と謝罪した。攻撃者が情報を小出しにして注目を集めようとする中で、企業側の発信も過熱しやすい構図があった（関連コラム）
• 記者会見の進め方：約3時間半のうち、事実の説明や謝罪に比べて、AIへの危機感や企業理念をめぐる持論に多くの時間が割かれた。報道でも「新たな説明は乏しかった」と評価された

公式発表を重ねること自体は正しい対応です。それでも、発信の主体、内容、トーンを誤ると、かえって信頼を損なうことを示したケースと言えます。

5つの観点で見る「推奨」と「避けたいこと」

記者会見・説明会を開く場合

• 時間はできるだけ短くする。目安は1時間前後。事実、影響の範囲、対応策、再発防止、被害者への支援に絞る
• 理念や業界への問題提起を語る「第2部」は設けない。質問への回答も、核心から外れないようにする
• 誰が何を話すか、時間配分をどうするかを事前に決め、リハーサルをする。中小企業でも、最低限、社長と、広報や法務の担当者（または顧問弁護士）ですり合わせておく

SNSで発信する場合

• 原則として会社の公式アカウントで発信する。経営者の個人アカウントは、事態が落ち着くまで休止するか、最小限にとどめる
• 投稿の前に、被害を受けた人から見てどう受け取られるかを確認する。笑顔の写真、攻撃者への挑発、話題を社会全体の問題へ広げる発信は、特に反発を招きやすい
• 攻撃者が情報戦を仕掛けてきても、それに乗って感情的に反応しない。混乱を大きくし、攻撃者に注目を与えることになる

全体として

• 誰に何を伝えるかを分ける。顧客、取引先、従業員、報道機関、監督官庁などで、必要な情報や伝え方は異なる
• 第一報は早く、詳細は段階的に。次の更新の予定（日時や頻度）を示すと、信頼につながる
• 社長一人で抱え込まない。外部の広報・危機管理の専門家や弁護士に相談できる体制を、平時から用意しておく

特にオーナー企業では、トップの熱意や個人の発信力は、平時には大きな強みです。しかし危機のときには、それが最大のリスクにもなりえます。被害を受けた人が最も知りたいのは、「自分はどうなるのか」「会社は何をしてくれるのか」「再発は防げるのか」の3つです。そこに集中し、余分な語りや演出を抑えること。簡単な危機コミュニケーションの方針を平時に決めておくだけでも、いざというときの結果は大きく変わります。

自社で確認したいチェックリスト

よくある質問

Q. 外部の診断で指摘を受けても、すべてをすぐに直す余裕はありません。どうすればよいですか？

すべてを同時に直す必要はありません。大切なのは、指摘ごとに「いつまでに、どこまで直すか」を決めて記録し、すぐに直せないものについては、そのリスクを経営者が理解したうえで受け入れることです。顧客情報や決済に関わるもの、インターネットから直接届くものは優先して対応してください。

Q. 経営者が会見や説明に出るべきかどうか、どう判断すればよいですか？

利用者や取引先に大きな影響がある場合は、経営者が自ら説明することで責任の所在がはっきりし、信頼回復につながりやすくなります。ただし、経営者が出る場合も、伝える内容と時間配分を事前に決め、事実と対応策を中心にすることが大切です。分からないことは「調査中で、いつまでに報告する」と伝えるほうが、推測で話すよりも信頼されます。

Q. 攻撃者から身代金を要求されたら、どうすればよいですか？

まず警察と、セキュリティの専門家に相談してください。身代金を払っても、データが戻る保証や公開されない保証はありません。今回GMOが「犯罪者にお金を払うことはしない」と明言したように、支払わない方針をあらかじめ決めておくと、事態の最中に迷わずに済みます。

まとめ：「知っていた」と「動けていた」の差を埋める

今回の会見で浮かび上がったのは、セキュリティの専門会社をグループに持つ大企業でさえ、指摘を「知っていた」ことと、それに基づいて「動けていた」ことの間に大きな差があったという事実です。そして、その差は、指摘を記録して追いかける仕組み、経営に届く報告の経路、侵入に気づく監視、そして危機の際に利用者の目線で説明する準備によって、埋めることができます。

規模の小さな企業は、意思決定が速いという強みも持っています。外部の目を入れ、指摘を経営に上げ、危機のときは事実を中心に短く伝える。この基本を平時から整えておくことが、同じ事態を防ぎ、起きたときの傷を小さくする近道です。

参照：日本経済新聞「GMO熊谷正寿社長「2年前の指摘、私が介在すべきだった」 会見の一問一答」（2026年11月2日）／共同通信「GMO社長、涙浮かべ陳謝　新たな説明乏しく、持論展開も」（Yahoo!ニュース、2026年11月2日）／新潟日報「ＧＭＯ熊谷社長、不正アクセス問題で記者会見」（2026年11月2日）／ITmedia NEWS「GMO熊谷代表、会見で改めて謝罪 SNS投稿巡り「配慮が欠けていた」」（2026年11月2日）／IPA「中小企業のためのセキュリティインシデント対応の手引き」／GMOインターネットグループ「お名前.com デスクトップクラウドへの不正アクセスに関するお客様へのご案内」（2026年10月30日）