「お名前.com デスクトップクラウド」(FXの取引ソフトを24時間動かすために借りる、インターネット上のWindowsのパソコン)への不正アクセスで、GMOインターネットグループの株価は大きく動きました。
日経新聞によると、10月26日の終値は前の週末から590円(16%)安い3,179円でした。28日の午後には、盗んだ情報を公開していた犯人側のサイトが止められたという発表を受けて、一時249円(7.88%)高い3,408円をつけています。
GMOは事故のあと、わかったことを「第1報」「第2報」と番号を付けて順に発表しています。この記事の「第4報」などは、その番号です。
この記事は、株を買うか売るかの話ではありません。セキュリティ事故が会社の値段にどう響くのかを、経営の目線で整理します。10月29日時点の情報です。
1サービスの事故で16%
デスクトップクラウドは、GMOインターネットグループの数ある事業の中では、ごく一部のサービスです。それでも株価は、1日で16%下がりました。
市場が見ているのは、そのサービスの売上だけではありません。補償や見舞金にいくらかかるのか、ほかのサービスにも同じ穴がないか、利用者や取引先が離れていかないか。こうした先の見えなさが、まとめて値段に乗ります。
何が下げを大きくしたか
この件で、先の見えなさを大きくした出来事は3つあったと思います。
1つ目は、顧客の情報の持ち出しを確認したという第4報です。被害がサーバーの中だけで終わらないことがはっきりしました。2つ目は、約80億円という要求額と、顧客情報の公開とランサムウェア(会社のデータを使えなくして、元に戻す代わりにお金を要求する攻撃)の予告です。3つ目は、グループ代表が、社内のホワイトハッカー(守る側の技術者)から事前に課題を指摘されていたと認めたことです。
何が戻りにつながったか
28日の上昇は、犯人のサイトの停止という、具体的な前進が出た日でした。日経新聞は、個人情報のさらなる流出への懸念が一時的に和らいだと伝えています。
前日の第9報でも、解析を終えた端末からはマルウェア(悪意のあるプログラム)は見つかっていないと報告されていました。先の見えなさが1つずつ減るたびに、値段が戻っていく。事故のあとの発表の積み重ねが、株価にも効いていることがわかります。
事故のコストは補償だけではない
経営の目線でいうと、セキュリティ事故のコストは、目に見える補償の額よりずっと大きくなりえます。
- 補償、見舞金、代替サービスの費用
- 調査や端末の解析、外部の専門家への支払い
- サービスを止めている間の売上
- 利用者が離れることによる、将来の売上
- 株価の下落による、資金の集めにくさ
株価が低いと、新しく株を発行して集められるお金が少なくなり、銀行や投資家の見る目も厳しくなります。
上の3つは事故の直後に見えますが、下の2つは時間がたってから効いてきます。
上場していない会社にも同じことが起きる
株価がない会社でも、同じ構図は起きます。取引先からの信用、銀行の見る目、採用のしやすさ。どれも、先の見えなさに反応します。たとえば、取引先から「情報の管理体制を説明してほしい」と問い合わせが来て、答えられるまで発注が止まる、といった形で表れます。
私は小さな会社の目線でしか考えたことがありませんでしたが、今回の値動きを見て、セキュリティへの投資は「事故が起きたときに、先の見えなさをどれだけ早く減らせるか」への投資でもあるのだと感じました。どのサービスで何が動いているかの一覧や、事故のときに発表を出す手順があれば、その分だけ早く先が見えるようになります。
次に読むなら
事故のあとの発表の出し方は、別の記事で整理しています。
身代金を払わない判断と、脅迫を受けた会社が最初の1週間でやることは、こちらです。
