「払わない」ことと顧客への責任は別物

九変篇は、利益と損失を併せて考えることを求める。不払いには、目の前の公開を止められない苦しさがある。支払いにも、公開が止まる保証がなく、次の要求を招き得る危険がある。どちらかを選べば、責任も苦痛も消えるわけではない。

公表されている情報からは、支払いによって顧客への被害を減らせると判断するための十分な根拠は見えていない。私は、不払いを維持する判断には合理性があると考える。ただし、「払わない」と決めることは、顧客を守る責任の完了ではない。そこから、企業自身が引き受ける負担が問われる。

第一に、公開情報の確認を顧客任せにしないことである。自分の情報が出ているかを確かめようとして、顧客が攻撃者のサイトへ向かえば、さらに危険へ近づく。GMOは、そのサイトにアクセスした人の情報は攻撃者に取得されていると注意を促し、顧客情報の掲載を確認した場合は個別に連絡するとしている。

悪質な拡散に対しては、証拠を保全したうえで、民事手続における開示請求と刑事告訴の準備を進めているという。会社が専門家と確認を進め、対象者へ直接連絡し、その人に必要な保護を案内する。それが筋である。

第二に、機器、情報、暮らしの被害を、それぞれ支えることである。GMOは、ランサムウェア被害が確認された顧客に同等性能の新しいPCを提供する方針を示した。情報が公開されたことを確認した顧客には、第4報で示した一律5000円の見舞金とは別に、追加の見舞金の検討を始めている。

金銭で元へ戻るとは限らない

ここでは二つのことを分けておきたい。一つは、補償方針が初めから対象を限っていることである。対象は、不正取引によって実現した損失、すなわち取引の差損や手数料であり、市場の変動による損失、得られたはずの利益、その他の間接的な損害は含まれない。取引所等から返金があればその分は差し引かれ、返金に応じない場合は同社が支払うとしている。

もう一つは、対象に入った損害でも、金銭で元へ戻るとは限らないことである。PCを交換しても、公開された個人情報は回収できない。見舞金を受け取っても、なりすましへの備えを続ける負担は顧客に残る。制度が線を引く範囲と、回復そのものの限界は、別の問題である。

だから、支えるべき対象は金銭にとどまらない。端末の調査と復旧に加え、なりすましや詐欺への対策、必要に応じた警察・金融機関との連携、継続的な相談対応が必要になる。

第三に、分かっていることと分かっていないことを、時点を付けて説明し続けることである。解析した端末でマルウェアが見つからなかったとしても、それだけで全顧客の安全が確認されたことにはならない。同社自身、すべての端末の安全を確認したものではないと明記している。逆に、攻撃者が予告しただけで、全端末が侵害されたとも言えない。不確実な状況ほど、説明の精度が顧客の行動を左右する。

情報の拡散防止も重要だ。ただし、漏えい情報の転載を止めることと、企業の対応に対する正当な検証や批判を受け止めることは両立させなければならない。顧客のプライバシーを守る姿勢が、説明を避ける姿勢と受け取られないようにする必要がある。

不払いの合理性と、顧客保護が十分かどうかは、別々に問われなければならない。攻撃者への支払いを拒むなら、その判断によって残る危険を説明し、顧客の保護と回復に必要な費用、手間、時間を企業が引き受ける。「払わない」という方針を、顧客を守る行動で支え続ける。それが、この局面で経営に求められる責任である。