はじめに
2026年に入ってから村田製作所、KDDI、アドバンテスト、アフラック生命保険、朝日放送テレビ、名鉄協商、日本交通、ニチレイ――と、日本を代表する企業が相次いでサイバー攻撃の被害を公表しました。
2025年のアサヒグループホールディングス、アスクル等への攻撃を含め、国内の重要インフラ・大企業を狙った攻撃は、明らかに常態化してきています。
私は、日本交通へのサイバー攻撃という具体的な事例を入口としながら、より大きな問いを提起したいと考えています。
なぜ、私たちの社会はサイバー攻撃に対してこれほど脆弱であり続けるのか。そして、その脆弱性を克服するために、社会は何を変えるべきなのか。
ネット探検ラボでは、被害企業を特定の非難対象とすることを目的とせず、目的はあくまで、公開情報から読み取れる構造的な課題を整理し、健全な議論の土台を提供していきたいと思います。
1.攻撃側絶対有利の原則
サイバーセキュリティの世界には、しばしば見過ごされる構造的な非対称性があります。
攻撃側は、無数にある入口の中からたった一つの穴を見つければ成功します。
フィッシングメール一通、パッチ未適用のVPN機器一台、退職者の消し忘れたアカウント一つ。
攻撃側は数ヶ月かけて偵察し、機が熟すのを待つ余裕さえあるのです。
一方、防御側はすべての入口を、常時、同時に守らなければならなりません。
すべての従業員のセキュリティ意識、すべてのシステムのパッチ状態、すべての権限設定――そのどれか一つが破られれば、防御は突破されてしまうのです。
しかも、防御側が「敵」の存在を認識できるのは、多くの場合、侵入がすでに成立した後になります。
この非対称性がある限り、「侵入を許した企業＝管理が甘い企業」という単純な図式は、実態を正確に捉えていないと考えています。
むしろ、この短絡的な断罪が繰り返されることこそが、問題を悪化させる一因になっていると危惧しています。
2.なぜ「侵入されたから悪」では済まされないのか
侵入を許した企業を一方的に断罪する社会的反応は、一見すると企業への牽制として機能するように見えるますが、実際には、逆効果を生みやすい。
第一に、企業がインシデントの詳細を開示することへの心理的・レピュテーション的ハードルを引き上げてしまいます。
開示すればするほど叩かれるのであれば、企業は「最小限の開示」に留めようとする誘因を持ちます。これは業界全体の学習機会を狭め、同種の攻撃の再発を防ぐための知見の共有を妨げると考えます。
第二に、攻撃を受けた事実と、対応の巧拙は、本来切り分けて評価されるべきものであり、サイバー攻撃の展開は、大きく次の四段階に分けられると見ています。
| 段階 | 問われるべき問い |
|---|---|
| ①初期侵入 | どこから、どのように侵入を許したか |
| ②横展開 | 侵入後、内部でどこまで拡散を許したか（権限設計・セグメンテーションの実効性） |
| ③情報資産の持ち出し | データが実際に外部へ送出されたか、どの範囲か |
| ④検知後の封じ込め | 検知後、どれだけ迅速・的確に被害を局所化できたか |
このうち①〜③は、多くの場合、攻撃者側が主導権を握っているものです。
いつ、どこから、どう侵入するかを設計するのは攻撃側であり、防御側はその設計を事前にすべて予測することはできません。
一方、④は防御側の即応力が直接反映される領域であり、ここは客観的に評価可能なものです。
すべてを一括りに「侵入されたから対応が悪い」と評価することは、この構造を見誤らせます。
侵入されたこと自体を防げなかった理由（技術的な脆弱性、予算制約、人的リソース）と、侵入後にどれだけ被害を抑えられたかは、別の物差しで測り、評価する必要があると考えます。
3.「稚拙な断罪」が招く暗い未来
こうした短絡的な評価が社会に定着し続けるとどうなるか。
企業は開示を恐れて沈黙し、業界横断的な教訓の共有は進まなくなると考えます。
攻撃者は、社会的制裁への恐怖を逆手に取り、恐喝の圧力としてさらに利用する。
そして何より、「侵入された企業が悪い」という物語が定着するほど、社会は「では、侵入されないためにどうすべきか」という、本来最も重要な問いから目を逸らしてしまうようになります。
サイバー犯罪は、今後さらに増加することがほぼ確実視されている分野です。
ランサムウェア・アズ・ア・サービス（RaaS）モデルの普及により、高度な技術を持たない攻撃者でも、既製の攻撃ツールを使って犯行に及べる時代になりはじめています。
攻撃の参入障壁が下がり続ける一方で、断罪の文化だけが強化される社会に、明るい未来は見えないと危惧しています。
4.攻撃側にコストを掛けさせるという発想への転換
では、防御側は何を目指すべきか。答えは「侵入を100%防ぐ」という、達成不可能な目標への固執からの転換にあります。
近年のセキュリティ設計思想の中核にあるのは、「侵入されることを前提とする（Assume Breach）」という発想です。
侵入そのものを完全に防ぐのではなく、侵入後の横展開・情報資産の持ち出しにかかる攻撃者側のコストと時間を、可能な限り引き上げることに重心を移すこと。
具体的には、次のような施策が挙げられます。いずれも、大規模な予算をかけずとも、設計思想の転換だけである程度実現できるものです。
- 最小権限の原則の徹底：すべてのアカウントが、業務上必要な範囲を超える権限を持たないようにする。
- ネットワークセグメンテーション：システムを機能ごとに分離し、一部が侵害されても他への波及を防ぐ構造にする。
- イミュータブル・オフラインバックアップ：ランサムウェアが暗号化・削除できない形でバックアップを保持する。
- 多要素認証の徹底、特に特権アカウントへの適用
- 内部ネットワークの異常検知（East-Westトラフィックの監視）：横展開の兆候を早期に察知する。
こうした施策は、「攻撃を防ぐ」というより「攻撃のコストを引き上げ、時間を稼ぐ」ことを目的とします。これは、攻撃側絶対有利という非対称性そのものを覆すことはできないまでも、その非対称性の傾きを緩やかにすることはできるものです。
5.知見は共有されているのか ― 見えにくい既存の回路
「学んだ教訓を社会で共有すべきだ」という主張には強く同意できます。ただし、この共有の回路がまったく存在しないわけではない、という点も正確に認識しておく必要はあるのだと思います。
- 脅威インテリジェンス企業（Mandiant、CrowdStrike、Recorded Future等）は、攻撃者グループの手口・暗号方式・恐喝の型を継続的に分析し、年次レポート等の形で一部を無料公開している。
- JPCERT/CCをはじめとする各国のCERT（Computer Emergency Response Team）は、匿名化された事例をもとに注意喚起・報告書を一般公開している。
- 業界横断のISAC（Information Sharing and Analysis Center）は、個別事案の詳細を、被害企業を特定させない形で会員間・業界内に共有する制度として機能している。
つまり、「研究されても共有されず死蔵されている」というより、「権限を持つ主体が調査・匿名化・一般化した上で公開する」という回路は、既に存在はしています。
6.それでも残るギャップ
一方で、この既存の回路にも限界があるようです。
第一に、匿名化・一般化の過程で、教訓の解像度がどうしても落ちてしまう。「このような手口があった」という抽象的な記述にとどまり、具体的にどう設計を見直すべきかという実践的な示唆までは届きにくい。
第二に、こうした情報の多くは業界関係者・法人向けに閉じており、一般市民や中小企業、個人の開発者・研究者には届きにくい。CTIレポートはしばしば有料であり、ISACへの参加には会員資格が必要である。
第三に、この「専門的な知見を、一般に理解可能な形に翻訳する」という中間的な作業自体が、ビジネスとしても学術研究としても評価されにくい構造的な隙間になっている。査読論文にもならず、企業の売上にも直結しないこの「橋渡し」の役割を担う人材・予算は、業界的に手薄なままである。
この「専門家コミュニティの中では共有されているが、社会全体には届いていない」というギャップこそ、埋めるべき本質的な課題だと考えます。
7.あるべき代替構成への提言
このギャップを埋めるために、ネット探検ラボでは、以下のような方向性を提言します。
- 「翻訳」機能を担う中間層の制度的強化：専門的な脅威インテリジェンスを、専門家以外にも理解可能な形に翻訳し、社会に発信する独立系研究者・教育機関・メディアの役割を、業界としても積極的に支援する。
- 公開できる情報の切り分け基準の明文化：ゼロデイ情報や具体的な攻撃者インフラといった、公開すれば攻撃側を利する情報と、権限設計・セグメンテーションといった構造レベルの教訓（公開しても攻撃側への実質的な利益が乏しい情報）を切り分け、後者は積極的に公開する基準を業界内で共有する。
- 開示を促すインセンティブ設計：被害企業が詳細な事後検証を公開した場合に、規制上の配慮や保険料の優遇といった、開示への心理的ハードルを下げるインセンティブを制度的に設計する。
- 「原因究明と処罰の分離」という文化の醸成：航空業界における事故調査の伝統的なアプローチ（Just Culture、原因究明を処罰と切り離すことで、当事者からの正直な情報提供を促す文化）を、サイバーセキュリティ領域にも応用する。
おわりに
サイバー犯罪が今後も増加することは、ほぼ疑いようがありません。この現実を前に、私たちの社会に求められているのは、「侵入された企業を叩く」という短絡的な反応ではなく、攻撃側絶対有利という構造そのものを正しく理解した上で、防御側の学びを社会全体で共有し、攻撃のコストを引き上げていくという、地道で長期的な取り組みです。
日本交通の事案は、本稿執筆時点でもなお調査が続いています。侵入経路や情報資産の持ち出しの有無について、今後どのような事実が明らかになるとしても、それを「一企業の失態」として消費するのではなく、「社会全体がどう備えるべきか」という問いへと転換して受け止めることこそが、サイバー犯罪に強いレジリエンスを持つ社会への、確かな一歩になると信じています。
本稿は、2026年7月時点で公開されている報道・公式発表・脅威インテリジェンス機関の一般公開情報のみに基づいて執筆されています。特定の被害企業への非難、および攻撃手法の技術的詳細の開示を意図するものではありません。
コメント