「2度目はない」

GMOインターネットグループの熊谷正寿社長が、グループ全社が集まるカンファレンスでそう話し、その様子を動画にして自分のXに載せたのは、2026年10月15日のことでした。

その5日後、グループの「お名前.com デスクトップクラウド」（FXの自動売買のために借りるネット上のパソコン）で、第三者が仕掛けた不正なプログラムが見つかります。

FXの自動売買に使われていたサーバーで、利用者からは取引口座を勝手に動かされたという報告が続いているとのこと。

知らないうちに自分の口座が動いていたと思うと、背筋が寒くなる話です。

10月24日には、攻撃の元を国の手で止めてほしいと、GMOが「能動的サイバー防御」（攻撃の元を国が突き止めて止める仕組み）の発動を求めたことも伝わり、それまで同情していた人からも首をかしげる声が出はじめました。

25日の夜には社長自身がブログで、社内から事前に課題を指摘されていたと明かしています。

27日の正午すぎには、攻撃者とみられる側が、利用者の個人情報だとするものの一部をネットに載せたという報道も出たところです。

 

Xでは、この秋のGMOの出来事を日付順に並べた投稿が広く読まれ、「思えばあれがフラグだったのか」と添える人も出ています。

日付を並べて見せられると、つい同じことを考えてしまいますよね。

フラグというのは、あとから振り返ると前ぶれになっていた一言、という意味のネットの言い方です。

熊谷社長はどんな人で、この半年に何があったのでしょうか。


熊谷正寿の経歴…高校中退から

熊谷社長は、いまのGMOインターネットグループをゼロから立ち上げた創業者です。

  • 生まれ：1963年7月17日、長野県
  • 肩書き：GMOインターネットグループ 代表取締役グループ代表 会長兼社長執行役員・CEO
  • グループの規模：上場企業12社、グループ会社157社（2026年6月末時点）
  • 売上高：2,856億円（2025年度・連結）

ブログやホームページの住所（ドメイン）を取る「お名前.com」も、このグループが運営しています。

最終学歴は、高校中退です。

本人の公式サイトによると、國學院高校に首席で合格しながら、2年生の夏に学校をやめました。

経済誌『企業家倶楽部』のインタビューでは、2年の途中で成績が学年でほぼ最下位まで落ち、両親に退学願を書いてもらったと振り返っています。

 

父親は、飯田橋の名画座「佳作座」や神楽坂のディスコのほか、パチンコ店なども手がける会社を経営していました。

学校をやめた熊谷社長はその家業に入り、17歳で、売り上げの落ちた長野のパチンコ店を任されたそうです。

家業で働いていた21歳のころには、「やりたいこと」を紙に書き出し、夢を積み上げたピラミッドと、これからの年表を作ったと、Forbes JAPANの取材で話しています。

夢がたくさんあったのは「苦しかったから」だとか。

 

独立したのは1991年、27歳のとき。

最初の会社の名前は「ボイスメディア」で、当時広まっていた有料の電話サービス「ダイヤルQ2」で使う電話会議の装置を、手作りして売るところから始めたといいます。

そこからインターネットの接続サービスへ移り、社名を変えながら大きくなっていったわけです。

  • 1991年5月　ボイスメディアを設立（27歳）
  • 1995年11月　インターキューに社名変更
  • 1999年8月　店頭市場（のちのJASDAQ）に上場
  • 2005年6月　東証一部に上場、GMOインターネットに社名変更
  • 2022年9月　GMOインターネットグループに社名変更

21歳で書き出した夢の話は、2004年に『一冊の手帳で夢は必ずかなう』という本になり、海外でも出版されました。

そして2026年9月、その続きにあたる新しい本の予約が始まったと、本人がXで知らせています。

新しい本の題は『AIで夢は必ずかなう』。


10万行を書かせた社長

2026年6月25日、62歳だった熊谷社長は、自分のXにこう書いています。

AIに話しかけてプログラムを書かせる「Claude Code」という道具に指示を出し続け、2か月で10万行のコードを書き上げたという報告です。

エンジニア向けの媒体「エンジニアtype」の取材によると、作っていたのは「人生時計」や「夢リスト」と名づけた自分専用のスマホアプリで、会社のシステムの話ではありません。

夢を紙に書き出し、新しい道具が出てくれば、まず自分で使ってみて、その手ごたえをすぐ自分のXに書く人です。

在宅勤務をやめた話も、「2度目はない」も、広まりはじめたのは本人のXから。

その発信が、10月27日の夜に笑顔の自撮りや「刑事告訴」の投稿でどう受け止められたのかは、こちらの記事で。

GMO熊谷社長のXがヤバすぎる…誰も投稿を止められない理由
GMO熊谷社長は承認欲求の塊？サイコパスとまで言われてしまう理由2026年10月27日の夜から28日の朝にかけて、GMOインターネットグループの熊谷正寿代表のXに、「この社長、ヤバくない？」という声が...


在宅勤務をやめた理由

熊谷社長の言葉が大きな騒ぎになったのは、この夏の在宅勤務の話でした。

GMOは、国内でいち早く在宅勤務に切り替えた会社です。

2020年1月26日、新型コロナが広がりはじめた段階で、渋谷・大阪・福岡の拠点の約4,000人を「2週間をめどに在宅勤務」にすると発表しています。

その後は2023年から原則出社に戻し、週1日の在宅だけが残っていました。

 

2026年7月14日、熊谷社長はその週1日も含めて、グループとして在宅勤務を勧めるのをやめ、原則として全員が出社する形にしたことを、自分のXで明らかにします。

理由として書かれていたのが、この3行でした。

  • 「在宅で生産性が上がる方もいる。否定しない。」
  • 「データ上時間当りのPCタイピング数は確実に減少。トータルで在宅勤務はマイナス。」
  • 「負ける要素は排除する。」

いちばん意見が集まったのは、真ん中の「タイピング数」です。

一方で、「まぁそりゃそうだろうと思います」と、出社に戻すこと自体には納得する声もありました。

 

熊谷社長は7月16日、「｢タイピング数｣と言う言葉に多数のご意見を頂いているようです」と書き、「Xが故に、短文を意識し説明不足をお詫びします」と続けています。

同じ日には、AIで仕事が減るのではという心配に答えるように「僕はAI解雇は考えていない」とも書き、AIで社員一人ひとりの力を10倍にしたいという考えを伝えていました。

7月17日にはGMOの公式アカウントが、「育児・介護・病気などご事情がある場合は引き続き在宅勤務を選択可能」と補足しています。

子育てや介護をしながら働く人には、例外の道が残された形です。

 

7月21日の朝には「お詫びと感謝」と題した長い文章を出し、報道によると、「表現の過剰性」で誤解を生んだことを詫びています。

詫びたのは言葉の選び方で、原則として出社する方針は変えていません。

そして10月5日、熊谷社長は在宅勤務をやめた判断について「経営的には正しい判断だったと、今では確信しています」と書きました。

グループのアンケートサイト「infoQ」で、会員の情報が漏れたと発表されたのと同じ日です。


「2度目はない」の中身

秋に入ると、グループのサービスで情報漏えいが続きました。

最初は9月16日に公表された、会社向けのログインサービス「GMOトラスト・ログイン」の件です。

顧客の情報が入ったファイルを誰でも見られる設定の場所に置いていたもので、約3万8,000人分、その大半はメールアドレスでした。

記録で確かめられただけでも、2017年11月以降、外部からファイルを取られていたことが分かったそうです。

会社は、攻撃されて入り込まれたのではなく、自社の設定と設計の不備だったと説明していました。

 

続いて10月5日、アンケートに答えてポイントを貯めるサイト「infoQ（インフォキュー）」で、不正アクセスによる情報漏えいが発表されます。

ポイ活で登録していた、という人もいるかもしれませんね。

運営するGMOリサーチ&AIによると、10月2日から第三者が入り込んでいて、10月14日の第2報で、外に持ち出された個人情報は89万4,082件と確定しました。

持ち出された中身は、会社の発表によるとこうです。

  • 氏名・フリガナ・性別・生年月日
  • メールアドレス・住所・電話番号
  • 暗号化されたパスワード・会員ID・保有ポイント数など

一部の会員では貯めていたポイントが勝手にAmazonギフトコードへ交換されていて、会社はその約287万円分を全額補填するとしています。

会員には10月5日からメールで知らせていて、10月7日には全会員のパスワードを無効にしたとのこと。

同じパスワードをほかのサイトでも使っていた人は、そちらも変えておくと安心です。

 

発表の前の日、10月4日に会員が書いた投稿がこちら。

会社の説明によると、サイトはこのとき、理由を出さないまま「緊急メンテナンス」として止められていたんです。

10月9日には、熊谷社長も自分のXでお詫びを出しています。

そして10月15日、冒頭の動画のカンファレンスで出たのが、この言葉でした。

  • 「2度目はない」
  • 「AIを悪用したサイバー攻撃には　最強クラスのAIで防御を固めます」
  • 「全社総点検の号令を出しました」
  • 「お客様の笑顔を奪うことはしません」
  • 「平均年収を　2,100万円にするプロジェクトを発表」
  • 「続報、ご期待ください」

動画では、セキュリティの話と並んで、社員の平均年収を2,100万円に上げるプロジェクトの発表も。

熊谷社長の言う「2度目」は、設定の不備で情報が見えていたトラスト・ログインは数に入れず、外から入り込まれたinfoQを1度目と数えた言葉と読めます。

「2度目はない」は、社員を前に、もう外から入り込ませることはないと約束した言葉だったのでしょう。


5日後に見つかった不正

その2度目として広まったのが、お名前.com デスクトップクラウドです。

ドメインを取る「お名前.com」とは別の、同じ名前を付けたサーバーのサービスで、FXの自動売買ソフトを24時間動かしておくために、ネット上のパソコンを借りるものです（こうしたサービスはVPSとも呼ばれます）。

GMOの第2報によると、サーバーの中には、利用者がFX会社に持っている取引口座のログイン情報なども入っていて、それが取られて使われた可能性があるそうです。

公式のお知らせでは、こんな流れでした。

  • 10月19日　利用者からの問い合わせを受けて、調査を始める
  • 10月20日　一部のサーバーで、第三者が仕掛けた不正なプログラムを確認
  • 10月21日　第1報。全プランのサーバーを順に停止（この時点では「悪用された事実は確認されておりません」）
  • 10月22日　第2報。取引口座で第三者による不正な操作があったと、利用者から報告。警察に相談
  • 10月23日　第3報。影響の可能性があるのは26,739件のサーバー。再開の時期は未定

「2度目はない」から5日で、2度目が見つかっています。

あの言葉がフラグと言われているのは、この近さのためです。

 

ITmedia NEWSは、「不正に取引されて55万円無くなった」という利用者の投稿を紹介していますが、被害の全体の額はまだ発表されていません。

ネットで回っている「26739件へ影響」は、第3報によると影響の可能性があるサーバーの数で、「不正アクセスまたは情報取得が確認された件数ではありません」とのこと。

第3報では、犯人を名乗る人物から連絡が来ることも想定して、返信しないよう利用者に呼びかけています。

 

利用していた人に向けて、GMOがお願いしているのはこの3つです。

  • FXに使っていない端末から、取引口座と取引ツールのパスワードを変える
  • 取引の履歴と残高を確かめる
  • 困ったときの問い合わせは電話（03-5456-2560・24時間受付）かフォーム

しかし、利用者がいちばん知りたい補償については、第3報まで、ひと言も出てこなかったんですよね。

infoQのときは、勝手に交換されたポイントを全額補填すると書いていました。

2024年には、DMMビットコインが約482億円相当の暗号資産を流出させたとき、「全額保証いたします」と発表した例もあります。

今回はFX会社の口座の中で損が出ているぶん、誰がどこまで負うのかが見えにくく、10月24日の朝の時点では、GMOからその説明はまだ出ていませんでした。

その日の昼に出た第4報で、GMOは利用者全員への見舞金5,000円と、不正な取引で出た損失の補償を発表しています。

補償の申請の方法は、11月6日までに知らせるそうです。

同じ日の午後には、攻撃者側も、ネット上に出している自分たちのページに「GMOの過失」という文章を足し、危ない作りが7年以上も放置されていたと主張しています。

それが本当なのかは、別の記事で調べました。

GMOの看板の前で頭を抱える会社員と、鍵の外れたノートパソコンのイラスト
GMOのセキュリティはガバガバ？社長が認めた『事前の指摘』がやるせないFXの自動売買のために借りるGMOのサーバー「お名前.com デスクトップクラウド」に入り込んだ攻撃者が、2026年10月24日、ネット...


最初に気づいたのは誰か

秋の出来事を並べた投稿を引用して、「優秀なセキュリティ系エンジニアがフル出勤になって辞めていったんだと思うわ」と書く人もいました。

在宅勤務をやめた話と不正アクセスが同じ半年に並んでいれば、そう結びつけたくなりますよね。

ただ、デスクトップクラウドの侵入経路はまだ「調査中」で、出社との関係を示す話は、公式の発表にも報道にも出ていません。

それぞれの発表には、最初に異変に気づいた人のことも書かれています。

  • GMOトラスト・ログイン：外部のセキュリティ研究者からの報告で気づいた（9月14日）
  • infoQ：会員からの問い合わせを受けた調査で気づいた（10月3日）
  • お名前.com デスクトップクラウド：利用者からの問い合わせを受けて調べ始めた（10月19日）

3つとも、GMOの外にいる人でした。

 

GMOはグループの中にセキュリティの会社を持ち、ほかの会社の守りを請け負う側でもあります。

9月30日には、攻撃を見張る監視まで入った会社向けの年間契約「GMOサイバーセキュリティ あんしんプラン」を始めていました。

10月21日には、AIが企業のシステムに抜き打ちで侵入を試す「不正アクセス抜き打ちテスト」も、グループのGMO Flatt Securityが始めたばかり。

この秋の出来事を並べて、GMOのセキュリティの担当者たちを気づかう投稿もあります（投稿の「別会社」は、infoQとは別のグループ会社という意味で、並んでいる日付は発表や報道の日です）。

10月23日のこの投稿の翌日、GMOは国に助けを求めます。


「発動第1号」を国に頼む

10月24日の昼、熊谷社長は補償のお知らせを自分のXに載せ、そこにもう1行を添えました。

能動的サイバー防御は、攻撃の元になっているサーバーを国が突き止め、使えなくする仕組みのこと。

関連の法律が施行されたのは2026年10月1日で、まだ1か月もたっていません。

 

GMOは第4報で、今回の件をこの仕組みの「発動第1号」と位置づけ、国が攻撃の拠点を追いかけて、通信を止め、無力化してほしいと求めました。

理由として書かれていたのは、この一文です。

「民間事業者単独の防御・事後対応のみでは、国境を越えて暗躍する高度なサイバー犯罪集団による国民資産の略奪を根絶することは困難です。」

同じ第4報によると、GMOは攻撃者からお金を要求され、払わなければ取引口座への不正な操作を続ける、情報を公開する、と脅されていました。

払っても情報が消される保証はないとして、要求には応じないと書いています。

その日の夜、攻撃者は自分のページに「27日正午までに100万ドルを支払え」と書き足しました。

犯人は元社員ではないかという声も出ていて、その説が何を手がかりにしているのかは、別の記事で調べています。

GMOのビルを背に、フードで顔の隠れた人物がノートパソコンの前でうつむく様子を色鉛筆で描いたイラスト
GMOハッキングの犯人は元社員？内部告発に見える犯行声明が怖いGMOの「お名前.com デスクトップクラウド」を攻撃した犯人は、中の事情を知る元社員なのではないか。 2026年10月24日の夜から、...

 

この要請はNHKも速報で伝えましたが、政府の受け止めは慎重です。

日本経済新聞によると、この制度には、個別の企業からの要請を受け付ける仕組みがありません。

政権でサイバー対策を担う高官は、安全保障に関わるような重大な問題が対象だとしたうえで、「まだ発動する事態ではないと判断している」と説明したそうです。

別の政府高官も、防御のための支援はするとしながら、攻撃の拠点を無力化できるかは解析を進めないと分からない、と話していました。

 

要請が伝わった日の深夜、日付が変わったころの投稿がこちら。

「GMOが自衛隊に報復攻撃を頼んだ」という受け止め方も広まり、制度はそういう仕組みではないと説明する投稿まで出ています。

10月15日の動画で熊谷社長が約束したのは、「最強クラスのAIで防御を固めます」。

その9日後、攻撃を止める役として名前が挙がったのは、国です。


国に頼んだあとの3日間

GMOが国に要請してから2日後の26日の夕方、サイバーセキュリティーに関する関係閣僚会議が開かれました。

高市首相は、能動的サイバー防御の中心になる「アクセス無害化措置も含め、あらゆる対処オプションを戦略的に選択し、実行する」と述べ、来週中をめどに緊急対策のパッケージをまとめる考えを示しています（時事通信）。

ただ、これは企業から個人情報が漏れる事件が相次いでいることを受けた会議で、GMOの件がそこでどう扱われたのかは、報道からは分かりません。

 

同じ26日、GMOインターネットグループの株価は、前の週末から15%を超えて下がって取引を終えました。

共同通信によると、補償の費用や業績への影響を心配した売りが広がったそうです。

その前の晩、熊谷社長はブログで、社内のホワイトハッカー（攻撃から守る側の腕利き）から改善すべき課題を事前に指摘されていたと明かしていました。

異変に最初に気づいたのは外の人でしたが、弱いところがあること自体は、中の人が先に知っていたことになります。

26日にはそのブログに、攻撃者から最初の21日に5,000万ドル（約80億円）を求められていたことと要求の文面を書き足し、「当社は、これらの要求に応じておらず、支払いも一切行っておりません」としています（J-CASTニュース）。

24日の夜にページへ書き足された100万ドルとは別の、最初の要求です。

 

そして27日の朝、GMOは第8報で、デスクトップクラウドにつないでいた手元のパソコンの電源を、12時になる前に落としてコードを抜いてほしいと利用者にお願いしました。

攻撃者が「27日の12時に利用者の情報を公開し、ランサムウェア（データを人質にとるウイルス）の攻撃をする」と予告していたためです。

正午を過ぎると、攻撃者とみられる側が、利用者の個人情報だとするものの一部をネットに載せたと、共同通信やNHKが伝えています。

GMOの答えは「個々の事象についてはコメントを差し控える」。

同じ日には片山さつき金融相も、FX業者5社から「GMO関連と考えられる顧客被害」の報告があったと明かしました（時事通信）。

10月15日に社員の前で約束した言葉は、12日後、利用者にパソコンの電源を落としてもらうお願いになりました。

 

利用者が待っているのは、どこから入られたのかという説明と、11月6日までに届くという補償の申請方法だと思います。

「2度目はない」と言った熊谷社長から、国への要請より先に聞きたいのは、その2つです。