この記事は、note掲載記事の転載です。

おはようございます、かーでぃです。
本記事は、様々なネットニュースサイトからセキュリティ記事を集めて提供している”セキュリティ関連ニュースRSS”から、気になったニュースをピックアップして紹介しています。
情シスさんやサイバーセキュリティを担当されている方、逆に私のようにセキュリティ商材を取り扱う営業の皆様などに活用頂けると幸いです。

技術書典21

オンラインマーケット：2026年11月21日(土) 〜 12月6日(日)
オフラインマーケット：2026年11月23日(月・祝)
　会場：池袋サンシャインシティ展示ホールD（文化会館ビル2F）
かーでぃらぼ：す07 - よろしくお願いします(^^)/
**新刊
**📚EDRを入れたので安心しきっていませんか？
📚実践！エンドポイントセキュリティ
📚「セキュリティ対策、できてますか？」に答える本
📚せっかく本を書いたので「もっと」届けたい

30秒のショート動画解説

良かったら、高評価とチャネル登録をお願いします🙇

「ネットのセキュリティもGMO」の実態　イエラエの事前指摘はなぜ放置されたか

会見では、グループ傘下のセキュリティ企業GMOサイバーセキュリティ byイエラエ（以下、イエラエ）からの脆弱（ぜいじゃく）性の指摘を生かせず放置していた実態や、管理者権限の奪取を2カ月以上検知できなかったガバナンスの致命的な欠陥が、経営陣の肉声や質疑応答を通じて浮き彫りとなった。

連日のGMO関連のネタで辟易されてる方も多いかと思いますが、もう少しお付き合いください🙇

昨日、個人的には会見は悪くなかった、と書きました。
はい。でも、それはあくまで会見だけの話です。GMOがやらかしたこととは別問題ですね。今日はどちらかと言えば、そのやらかした方を深ぼっていきたいと思います。

AD乗っ取りを監視する仕組み

2026年8月17日に管理サーバを掌握されてから、顧客に指摘された同年10月20日まで、実に2カ月以上も不正アクセスに気付けなかったことになる。これについて山下氏は「サービスの監視で気付けなかったことを深く受け止めている。なぜ気付けなかったのか、何が不足していたのかは今後検証する」と陳謝した。

いや、まぁ今回の件において、なぜ**「ADを構築したのか問題」**があるのですが、それは一旦置いておきます。

一般的は不正アクセスにおいても、攻撃者はADの管理者アカウントの乗っ取りを目指します。乗っ取ることで、AD配下のPCの中を自由に動けるようになるからですね。活動の幅が一気に広くなり、攻撃しやすい（≒なんでもできちゃう）環境が手に入ります。

※AD（Active Directory）とは？

マイクロソフト社が開発した、Windows Serverのネットワーク上にあるユーザー情報やパソコン、プリンターなどのIT資産を中央で一元管理する機能（ディレクトリサービス）のことです。

会社をビルに例えると、全社員の名簿や部屋の合鍵をまとめて管理し、入館証を発行・チェックする「総合受付・警備室」のような役割を果たします。

このADを監視するツールの1つとしてEDRがあります。攻撃者はADの上で、管理者アカウントの追加やグループポリシーの変更といった操作を行います。それらは全てEDRがイベントとして記録します。
そして、そのログを監視するSOC機能があれば、不審な動きがADで行われていることがわかります。

今回、恐らくですがEDRの導入ということをしてなかったのでしょう。もしくはしてあったとしても、EDRから出されたアラートをしっかりと見れていなかった、ということだと思います。

まさに…コレですね💦
熊谷社長、ぜひ買ってくれｗ

イエラエの事前指摘

GMOは2022年にイエラエを傘下に収めており、2024年4月24日には同社の専門家がお名前.com デスクトップクラウドの診断結果としてシステムの課題・改善点を指摘していたという。

しかしこの指摘は生かされなかった。山下氏は「2026年4月26日～5月20日まで緊急メンテナンスを4回実行した。しかし、その対策は十分ではなかった。脆弱性の優先順位付け、リスク分析が不十分で、深さと速さの両面で不足していた」と話した。

イエラエが指摘したってことは、恐らくペネトレーションテストを社内に向けて実施した結果、「まずいんじゃないの？」となったんだろう、と考えています。

※その前にイエラエって？

GMOサイバーセキュリティ byイエラエ株式会社は、世界トップクラスの技術力を持つホワイトハッカー集団を擁するサイバーセキュリティ企業です。GMOインターネットグループの連結子会社で、旧社名は「株式会社イエラエセキュリティ」。
2011年12月に牧田誠氏が「イエラエセキュリティ」を創業。社名の「イエラエ」は、花言葉で「危険な遊び」を意味する夜来香（イエライシャン）に由来し、在籍するエンジニアたちが、世界最大のハッキング大会「DEF CON CTF」などの国際大会で好成績を収め、国内外で「世界トップクラスの技術力を持つ集団」として名を轟かせるようになります。

じゃ、そのペネトレーションテストを指示したのは誰なの？って話。

自分は熊谷社長だと思ってたんですが、指示したなら報告が上がるはずが上がってなかった。指示して報告が上がってないなら、さすがに指摘するハズでしょう。

でも、会見ではそんな話にはならなかったようです（全部見てないので💦）。伊藤氏、山下氏の言葉からも指示をしたようには感じられませんでした。指示をして指摘を受けたなら、真摯に対応するでしょうからね。

となると、熊谷社長でも、GMOインターネット株式会社でもなさそう、とすると……イエラエが自主的に社内監査を実施したか、「なんとなく怪しい」と感じたのか…その辺りの話を知りたいのですが、記者会見ではツッコミを入れた人は居なさそうですね、、、

※ペネトレーションテストとは？

ペネトレーションテスト（ペンテスト）とは、セキュリティの専門家が「攻撃者」と同じ視点や手法を使い、実際のシステムやネットワークに模擬的なサイバー攻撃を仕掛けて、不正侵入やデータ奪取ができるかを実証的に検証するテストのことです。

[PR]月額500円で最新のセキュリティ事情がわかる❣

毎日のセキュリティニュースをご覧くださいまして、ありがとうございます。 noteのメンバーシップ機能を使い、毎日のセキュリティニュースを**「点」ではなく「線」で見るために、1か月分のニュースをまとめて振り返っていきます。
記事数や注目テーマを集計し、データをみながら「この1か月は何が起きていたのか**」を整理していきます。

[PR]「セキュリティ対策、できてますか？」に答える本/SCS評価制度で始める、取引先に説明できる備え

なかなかセキュリティ投資ができずに、むずむずしてる情シスの皆さん。今年度末からSCS評価制度が始まります。
これをやらされ感で進めるのと、利用してやろう！という気持ちで進めるのとでは、結果がかなり異なると考えています。
無論、利用してやろう！！と考えた方が良い結果につながります。
ということを書いてますので、キニナル方は是非🙌

元記事

11/4、今日のセキュリティニュース｜「ネットのセキュリティもGMO」の実態　イエラエの事前指摘はなぜ放置されたか