2026.09.18（金）
- 注目検索ワード
AI が得意な領域・人間よりも高いパフォーマンスを発揮できる「確率論的セキュリティ対策」は AI に任せ、AI とロジックを上手く融合させる「決定論的セキュリティ対策」は人間がケツをもつことで「ととのう、セキュリティ」を実現する。最近はそんなことを考えています。
7 月に最も件数換算の被害規模が大きかったのは、KDDI株式会社による「KDDI の ISP 事業者向けメールシステムに不正アクセス、ゼロデイ脆弱性を悪用」であった。先月のKDDIの続報で、本来なら除外するのだが件数が最大 1,422 万件から、12,233,087 名に下方修正されたので、記録のために入れておいた。
この「内製化支援の取り組み」について、取材させて欲しいと何度も頼んでいたのだが、毎回返事は芳しくなかった。4 回目か 5 回目かの打診で取材 OK が出た。しかも、取材対応いただく二人の人物のうち一人は、内製化支援の最最最初期からカスタマーサクセスに携わる人物であり、これはいわば本誌が重要視する「はじまりの物語」である。
日本プルーフポイントの野村健は「お客の成功」を最終ミッションに掲げる。製品を売って終わりではなく、顧客が投資対効果を実感し、CIOやCISOが経営会議でその成果や役割を正当に評価されるまで伴走する。セキュリティがコストセンターから価値創造の基盤へと変わる瞬間を、顧客とともに作り出そうとしている。
6 月に最も件数換算の被害規模が大きかったのは、KDDI株式会社による「KDDIのISP事業者向けメールシステムに不正アクセス、最大1,422万件のメールアドレス・パスワードが漏えいした可能性」の最大 1,422 万件だった。
5 月に最も件数換算の被害規模が大きかったのは、ユニバーサル ミュージック合同会社による「ユニバーサル ミュージックのECサイトへの不正アクセス、合計 3,105,585件の顧客情報が流出」の 3,105,585 件だった。
![[Interop Tokyo 2026 Best of Show Award] セキュリティ部門グランプリは Keysight、シスコの 2 製品 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/53411.jpg)
Interop Tokyo Best of Show Award は「技術的新規性」「技術的優位性」「コンセプトの新規性」「動態 / デモ展示をしていること」「訪問審査に対応した説明員のプレゼンの的確さ」「Interop Tokyo の開催日にあわせて製品やサービスが発表されているか」「社会に与えるインパクト」等の項目によって評価される。
「我々がメール訓練の中で一番大事だと考えているのは報告の仕組みです」と岩部氏は語った。不審なメールを開いてしまった時に、速やかに管理者へ報告するフローが確立されていて、組織として対応できる状態であれば被害は最小化できる。しかし、不審メールを見つけた際の報告フローを明確にルール化していない企業は驚くほど多い。
4 月に最も件数換算の被害規模が大きかったのは、株式会社ウエーブによる「ウエーブへの不正アクセス、最大 176,810 件の顧客情報が漏えいの可能性」の最大 176,810 件だった。
SaaS は自らの意思で設定を変更しないが AI エージェントは自律的に振る舞いを変える。今日と明日で成果物が変わる。昨日まで安全だった状態が、今日も安全である保証はない。「自律的に振る舞う管理対象」という事実が従来のセキュリティの前提を覆している。
Claude に EC サイトをゼロから作らせて、完成したアプリを自社の AeyeScan でスキャンしてみたら、Critical も High もゼロ。ぱっと見は悪くない結果ですが、この数字の中身を掘っていくとバイブコーディングの「クセ」がはっきり見えてきました。
プルーフポイント開催のカンファレンスで毎回驚くことは、ユーザー事例の紹介である。こうした情報の共有は、セキュリティにおける情報共有の文化や文脈を知らない経営層などは「トクが無い」どころか明確に「損」と考えることも少なくないはずだ。それでも、内部不正対策の導入事例を社名を出して公の場で語るのは、同じ課題に向き合う他の企業への利他の精神にほかならない。
ドメインは、取得価額が大きい場合には、無形固定資産として、商標権やその付随費用として BS に掲載される資産的側面も持つ。公平に言ってこれは、予算だったり会社の方針が合うのであれば、どんな会社でも一度は導入を一考してみるべきサービスである。今回取らなければ、次がいつになるかわからない。その間は取りたくても取れないのだから
3 月に最も件数換算の被害規模が大きかったのは、株式会社穴吹ハウジングサービスによる「穴吹ハウジングサービスへのランサムウェア攻撃、約 496,000 名分の個人情報が漏えいした可能性を否定できず」の約 496,000 名だった。あともう少しで政令指定都市（人口 50 万人以上）に手が届く膨大な数字で、筆者はこんな人口の多い自治体に住んだことは一度もない。
手口としては、当該従事者が退任後の 2024 年 10 月以降に、不正取得したシステムID・パスワードを使用して鈴谷公民館多目的ホールの抽選予約に申込み、当選後に予約を取り消して空きとなったところを速やかに自らの団体で予約するという鮮やかかつ泥臭い手法で 2025 年 4 月から 2026 年 1 月利用分まで計 15 件の予約をしていたとのことだ。
「もうひとつの問題はセキュリティには高級品しかないこと。セキュリティ対応をすることそのものがある意味ブルジョアな感じだと思います。セキュリティ対策をやろうってなった時に、最初に来るのが「高い」「お金がかかる」「手間がかかる」。だから後回しにしようとなります。そういう連続性のあるセキュリティ対応に必要なものを、いかに誰でも手が届くように民主化していくか、簡単に言うとカローラを作っていくことだと思っています（吉田）」
1 月に最も件数換算の被害規模が大きかったのは、株式会社バンダイナムコフィルムワークスによる「バンダイチャンネルへの不正アクセス、最大 136.6 万件の会員情報漏えいの可能性」の最大 136.6 万 件だった。新年早々の 100 万件超えで、情報漏えい界隈は幸先の良いスタートを切ることができたと言えるだろう。
このままでは診断が期間内に完了しない可能性があります。そこで、私たちは窮地を脱するため、文字通り「診断ツールの一部になる」という苦渋の決断を下しました。つまり、自動診断として対応しながらも、OTPの手動入力をひたすら繰り返すという、時間と労力を要する作戦です。
取材の終盤で手塚は「自分は辻さんのようなセキュリティ専門家ではないし、セキュリティ専門家になってはいけないと思っている。“あっち側の人”になってしまうとお客さんの求めるものを作れない」という印象的な言葉を口にした。かつて聞いたことがない発言だ。ある種「セキュリティ ノンケ宣言」とも取れるが、要は「いやいや」セキュリティをやっている立ち位置にいなければ、世の大半を占める、セキュリティを「やむなく」「いやいや」「仕方なく」やっている IT 管理者の気持ちから離れてしまうということだろう。
筆者は情報漏えいのリリースを毎日探しており、見つけたら記事を書き、その数通算で年間 800 本近いという記者生活を続けている。計算したら一日の稼働時間を 8 時間と換算すると 3 時間 19 分に一本情報漏えいの記事を執筆していることになる。このように情報漏えいについて 24 時間 365 日体制で思いを巡らせていながらも、自分自身が漏えいの被害者になった経験が決して豊かとはいえない点がコンプレックスであり、自虐的に自身を「情報漏えい陸（おか）サーファー」と呼んでいた。しかし、しかしである。
11 月に最も件数換算の被害規模が大きかったのは、アクサ損害保険株式会社による「アクサのペット保険のシステムに不正アクセス、第三者が情報を抜き取ろうとしていた可能性」の約 553,199 件だった。
10 月に最も件数換算の被害規模が大きかったのは、スターバックスコーヒージャパン株式会社とBlue Yonder社による「新たに約 40,700 名分の従業員 ID 漏えいが判明 ～ スターバックスが利用するシフト作成ツールへ不正アクセス」の約 72,200 名だった。
ありふれたメール誤送信だが静岡県の再発防止策はひと味違っていた。委託先事業者に対し「緊急の連絡事項が生じた場合であっても、複数人で対応できない時間外等にはメール送信を行わないことを徹底」したとのことだ。ダブルチェックにかける安全神話的なものを感じる。これでチェック漏れがなくなるという保証など何もないからだ。
2 件目はジブラルタ生命保険株式会社の奈良支社に所属していた元営業社員が、在籍時に担当していた顧客情報を持ち出した疑いが判明したというものだ。この元営業社員は、持ち出した顧客情報を金銭貸借の担保として無登録の金融業者に提供した疑いもあるとのこと。
1 件目は、奈良市 道路維持課 主務の技術職員（35歳）が、少なくとも計 31 回にわたって人事課などの職員になりすまし、人事データやメールのやり取りなどを閲覧する不正アクセス行為を行ったことへの処分だ。本連載でも何度もくり返し取り上げているが、やはり同僚の人事情報というのは、停職処分を喰らってでも覗きたい抗いがたい魅力があるものなのだろう。
6 月に最も件数換算の被害規模が大きかったのは、損害保険ジャパン株式会社による「損害保険ジャパンへの不正アクセス、顧客や代理店のデータが漏えいした可能性を否定できず」の 約 9,040,000 件 だった。日本の首都である東京23区の人口 973 万人に迫り、あと少しで大台の 1,000 万人に手が届きそうな、まさに日本一と言っても過言ではない立派な数字である。
今回は、内部不正の最大の要因「動機」について解説します。いかに内部不正が人類の歴史と共にあり続けたか、古からのキリスト教の7つの大罪をもとに分析する分かりやすい。人の欲望というのは、科学や文明が発達しても変わらないもんだ。中編で解説した不正のトライアングルそれぞれの対策も、教科書的なモノではなく、現場のリアル的なものを提示しますよ！
Interop Tokyo Best of Show Award は「技術的新規性」「技術的優位性」「コンセプトの新規性」「動態 / デモ展示をしていること」「訪問審査に対応した説明員のプレゼンの的確さ」「Interop Tokyo の開催日にあわせて製品やサービスが発表されているか」「社会に与えるインパクト」等の項目によって評価される。
5 月に最も件数換算の被害規模が大きかったのは、株式会社保険見直し本舗グループによる「保険見直し本舗グループへのランサムウェア攻撃、約 510 万件の顧客情報が漏えいした可能性」の 約 510 万件 だった。
如月が満面の笑みで付け加えた。これがもうひとつの重要な要素だった。こんなことは長く続けられない。でもたった五年でよいのだ。
「松野？」と厳しい表情に豹変したＡ社のＢ氏は記者の目をまっすぐに見てそう問いかけてきた。「松野だと貴様？ おまえいま松野って言ったか？」完全にそういうトーンだった。心の中のオートマチック拳銃のスライドが前後して銃弾が薬室に送り込まれ、金属同士が互いに親密に一体となる不吉な音が聞こえたような気がした。
佐藤の表情が険しくなる。全く予想していなかった結論なのだろう。だが、これが論理的な結論だ。それにしても佐藤がここまで感情的な反応を見せるとは思わなかった。
4 月に最も件数換算の被害規模が大きかったのは、インターネットイニシアティブ（IIJ）による「「IIJセキュアMXサービス」に不正アクセス、4,072,650 件のメール情報が漏えいした可能性」の 4,072,650 件だった。しかし、IIJ ではその後情報漏えいの事実が確認されたのは、最初に漏えいの可能性があるとしたメールアカウント 4,072,650 件のうち 311,288 件が該当すると大幅に下方修正した。最大値を速報。インシデント情報共有の見本である。
「今回の事件は『超可能犯罪』です。君島さんがこの事件を私たちに託したのは、典型的なサイバー犯罪のテンプレートにあてはまるからでした」
2024年は金融機関にとって信頼を失いまくった1年だった。前代未聞クラスの内部不正の不祥事が、金融庁、東京証券取引所、野村証券、三菱UFJ銀行、三井住友信託銀行で発生した。これだけの大型不祥事が連続すると、恐怖！機動ビグ・ザムを量産されたみたいな絶望感だよ。インサイダー取引 量産型ビグ・ザムだ。やらせはせん！やらせはせんぞ！！
「そのふたつに絞って、もう一回データを確認する？ あれ？ ちょっと待って大事なことを忘れていたんじゃない？」
ちなみに事例主義がもっとも猖獗を極めているのはメディアの報道である。事件や問題が起きると、それが日本全国で起きている、あるいは、その時代や世代に蔓延しているかのような報道になっているような表現をするのは、悪しき事例主義そのものと言える。医療の世界でも同じだ。一定の確率で薬や治療で事故は起きる。しかし事例主義的報道によって、時として薬や治療法そのものへの拒否反応につながる。
如月は手を引っ込めると、ぺらぺらと念仏のようにつぶやきだした。それは違うんじゃない？ と突っ込みたいが、いつものことなのでスルーする。ああやって話すことで頭を整理しているのだ。本人も話している内容が正しいとは思っていない。
本命だった三社目、ScanNetSecurity からの返答は一向に届きませんでした。ところが、その日の夕方、奇跡が起きました。ScanNetSecurity からの返事が届き、なんと「条件付きで許可する」とのこと。その条件とは、「卒業研究の体験を記事として寄稿すること」。まさに、今この文章を書いていることが、その条件の実行なのです。
箱崎はわくわくしてきた。こうやってふたりで話しながら可能性を確認してゆくのは楽しい。見ていた世界ががらっと姿を変えることも多い。今回もそうなりそうな気がしてきた。
岡山県精神科医療センターへはランサムウェア攻撃の調査を専門家に依頼するにあたり、その目的を「つまびらかに事実を記載し、ひとえに今後の対策にとって重要な情報を正確に把握して、公表すること」とし「一切の忖度なしで事実と責任の所在を明確にし、今後の警鐘とすることをお願いし」たとのことだ。
いろいろ考えさせられる文言である。それは、基本的には、あらゆるフォレンジック調査依頼とはこうした趣旨で行われなければおかしいからだ。とはいえわざわざこんなことを冒頭に書くのは明確に意志を感じた。
今、佐藤は自分がしてきたことを受け手の立場で解析している。Fatebook 社がアジア各国に提供してきた無償インターネットサービスがなにをもたらしたか、SNS がなにをもたらしたか。
あいつらどこまでやるつもりなんだ。本当にできるのか？ 佐藤は半信半疑になったが、それでも数カ国分のデータをまとめて送る。ふと気がつくと荒垣がにやにやしている。
「さきほどの二つ目の答えをうかがっていません。なぜ、ご立派な結果が出ているのに、ここにいらしたんでしょう？」
問題はそれだけではない。多くの人々が Free Basics 経由で情報にアクセスするようになり、ひたすら世論への影響力が拡大する。一部では“Fatebook の悪魔”と呼ばれている。
さて、この 700 万という全盛期の『週刊少年ジャンプ』の部数をも上回る数字だが、そもそも快活CLUB の会員がこんなにも居たことに改めてびっくりした。SCAN の有料会員もこれだけ居たら、筆者の晩ご飯のおかずが一品増えるのにと悔しさで涙溢れた。それにしても 700 万人という圧倒的な数字の暴力には絶句してしまう。日本の人口の 6 %近くを占め、学校の 1 クラスに 2 人くらいはいる計算だ。
如月の言葉に佐藤はにやっと笑う。初めて佐藤の人間らしい表情を見た気がする。さきほどまでは、よそいきの顔だったのだろう。それにしても一気に話が進んでしまった。これじゃ、こちらの出番がない。
新たに取り扱いを開始したBIMIのロゴの正当性を示す証明書 CMC を自分たちの所有するロゴマークやアイコンを使って発行してみましたので、手続きや VMC と CMC の違いなどをご紹介したいと思います。
佐藤の言葉に箱崎は目を見張った。まさか直接兵器を与えたりはしていないと思うが、どのような形でも少数民族虐待を行っている軍隊に支援するのは平和国家という看板をぶら下げている日本らしくない。
如月が立ち上がる。見た目はいつもと変わりない穏やかな笑顔だが、いつも一緒にいる箱崎には明らかに違うことがわかる。やる気まんまんだ。金払いがよさそうだからだろう。
戦後、銀行から巨額を引き出した代表的な事件は３つあり、それぞれに手口の巧妙さ、横領額の大きさ、人間関係のドラマ性で社会に衝撃を与えています。そのいずれもが女性で、報道で容姿がもてはやされている点が興味深い。もうね、これは、週刊少年ジャンプの黄金期の代表作の一つ、北条司先生の怪盗三姉妹キャッツ💛アイに匹敵します。
疾病地政学とは、相手国に疾病を蔓延させることで混乱と分断を広げることを目的とした実学である。その過程で相手国の国民の多くが疾病で死亡する効果もある。疾病を「兵器」としてとらえ、医療をその「防御」と位置づけ、疾病の蔓延と医療体制の毀損を狙った全領域作戦を実施する。
1 月に最も件数換算の被害規模が大きかったのは、株式会社三恵による「三恵通販サイトに不正アクセス、71,943 名のカード情報が漏えいした可能性」の 292,707 名だった。
公開情報というと大したことないように聞こえるが、世界中がネットでつながっている現代では、OSINT によってさまざまな秘密が暴露されている。有名なのは 2014 年 7 月に墜落したマレーシア航空 ＭＨ１７便が実際にはロシアによって撃墜されたことを暴いたベリングキャットの記事だ。ベリングキャットはイギリス人ブロガーのエリオット・ヒギンズが始めた調査報道サイトであり、世界でもっとも有名な OSINT による調査報道サイトとなっている。
「このうち選挙の手続きと政治参加以外のカテゴリーは、指標ができた 2006 年以降、悪化の一途をたどっています。中でも政府機能つまり透明性、説明責任、腐敗、人権などについては特に悪化がひどい。荒垣さんのお言葉をお借りすると、世界の民主主義は緩慢な死を迎えつつあると言ってよいでしょう」
イーロン・マスクが目指すのは「自由な世界」だ。自由に事業を行い、宇宙を開拓し、人間の脳を改造する。人間の可能性を拡大するのに規制は不要だ。だから世論を操作し、規制の権限を持つ国家を懐柔して同盟関係を結ぶ。多くの民主主義国の企業が規制に苦しむ中、規制を受けない企業は一歩も二歩も先を行くことが出来る。そのために彼は「自由」を大事にする。
「君島さんからメールだ。なにこれ？」そう言いながら送信元を確認して開く。君島は以前一緒に仕事をしたことのあるフリーのサイバーセキュリティコンサルタントだ。如月姉妹社にとびきりやっかいな仕事を持ち込んでくることが多い。 “ 外交研究所の荒垣さんに紹介した。いずれ連絡がゆくと思う。よろしく。依頼するのは『民主主義を殺した犯人』を特定する仕事だ ”
アルゴリズムと不滅の音源という特徴のおかげで、TikTok は「潜在的テロリスト覚醒サービス」となった。その影響を大きく受けたのは TikTok をよく利用している 10 代の若者だった。
2024 年に取り上げたセキュリティ事故やインシデント記事の総件数は 607 本であった。ちなみに 607 本のほぼすべてを筆者が執筆した。月あたり 50本 程度の漏えい記事が SCAN を彩った訳だ。参考までに 2023 年は 621 本であった。
なお、まったくの余談だが、筆者は日産自動車の記事とトヨタモビリティ東京株式会社の記事を同日に執筆しており、さながら「レスポンス（Response.jp）」の記者になった気分だった。レスポンスとは ScanNetSecurity を運営する企業、株式会社イードの旗艦媒体である自動車専門誌で、ありとあらゆる点で ScanNetSecurity と段違いの差がある花形部署である。ScanNetSecurity が冷蔵庫マンだとしたら、レスポンスは M-1グランプリを二度制覇した令和ロマンといったところか。
政府ができていない実効性ある対策はとっくに市民によって行われていた。起きていたのに誰もこれに気づかなかったのはメディアが報道してこなかったことも理由のひとつだろう。こうした市民の活動は、VCDs（Voluntary Collective of Defenders：自発的集団防御）と呼ばれる。VCDs は、2024 年 8 月に英国で起きた暴動でも活躍した。市民たちは、あらかじめ暴徒が現れる場所を特定、共有し、事前にそこに集まって、暴徒たちが騒ぎを起こすのを抑止した。
事件でセキュリティ技術者が逮捕されるたび杉浦は苛立ちを募らせた。それは、一度逮捕されるとあとでたとえ釈放されても社会復帰することが非常に難しくなる、つまり「戻ってこれなくなってしまう」ことだった。
これだけだとよくある事務作業が出来ない職員の話だが、SCAN的に引っかかったのは「通知書の送付を失念したため未送付が発覚しないようシステムに不正アクセスし納期限を勝手に変更した」という点だ。「事務作業をするくらいならシステムへの不正アクセスすら辞さない」という間違った方向への全振りがいっそすがすがしい。
