ゼロデイ攻撃とは？ なぜ脆弱性を「先に」見つけるのか

2026年6月、KDDI がインターネット接続会社向けに提供していたメールの仕組みが不正アクセスを受け、約761万人分のパスワードが漏れました。KDDI の発表によると、原因は外部のメーカーが作ったソフトの欠陥で、KDDI が確認した時点ではメーカー自身も知らないものでした。直す方法がまだこの世に無い穴。これがゼロデイ脆弱性です。守る側はなぜ、攻撃者より「先に」穴を見つけないといけないのか。公式の報告書・論文・当時の新聞で数字を確かめました。

動画（約24分）はこちらです。

https://youtu.be/Tsk7d3rE_nE

※ 攻撃の手順は扱っていません。KDDI の件のソフト名は公表されていません。

ゼロデイとは何か

ソフトの設計やプログラムのミスで生まれたセキュリティ上の欠陥が「脆弱性」、それを突く道具が「エクスプロイト」、実際に入り込むのが「攻撃」です。家にたとえれば、鍵の欠陥・欠陥を突く合鍵・侵入にあたります。「ゼロ日」は、メーカーが欠陥を知ってからの日数のこと。メーカーが知る前、つまり0日目に使われる攻撃で、守る側が対策に使えた時間がゼロ日という意味です。これに対し、パッチがもう出ているのに当てていない機器を狙うのが「Nデイ攻撃」です。マンディアントの分析では、2023年に悪用された脆弱性138件のうち97件がゼロデイ、41件が Nデイでした。

脆弱性の一生には危ない時間が2つあります。攻撃が始まってからパッチが出るまで（ゼロデイの時間）と、パッチが出てから利用者が当てるまで（パッチギャップ）。1つめを縮める方法は、攻撃者より先に穴を見つけて直すことだけです。

いま何が起きているか

Google の脅威インテリジェンスグループ（GTIG）によると、実際の攻撃で使われたゼロデイは2022年63件、2023年100件、2024年78件、2025年90件。2025年の90件のうち企業向けの製品が43件（48%）で、VPN やファイアウォールなどセキュリティとネットワークの機器だけで21件ありました。使っているのは、国が後ろにいるスパイ集団、商用スパイウェアの会社とその客、お金目的の犯罪集団。2025年は、商用スパイウェアの側が初めて国家のスパイ集団を上回りました。

攻撃の速さも変わりました。マンディアントの調べでは、脆弱性の公表から悪用までの平均日数は、2018〜19年の63日から、2021〜22年は32日、2023年は（外れ値を除くと）5日。2025年は推定でマイナス7日、つまり平均するとパッチより1週間ほど早く攻撃が始まっている計算です。あくまで平均の推定値ですが、パッチが出てから急いで当てるだけでは間に合わない場面が増えています。

実例でたどる

• Stuxnet（2010年）：Windows のゼロデイを4つ使っていました。シマンテックの集計では9月末までに約10万台が感染し、約6割がイラン。

• MOVEit（2023年）：ランサムウェア集団クロップが悪用。エムシソフトの集計では被害組織2,773、影響を受けた人は約9,579万人。

• Log4Shell（2021年）：無数のソフトに組み込まれた部品の欠陥で、自分の製品のどこに入っているかすぐには分かりませんでした。

• シスコ（2026年2月公表）：Cisco Talos によると悪用は2023年までさかのぼり、少なくとも3年間気づかれずに使われていました。

• Active! mail（2025年4月公表）：深刻度9.8。IIJ のメールサービスで約31万件のアカウントとパスワードが漏れ、不正アクセスは2024年8月から始まっていました。

• KDDI（2026年）：7月の報告書によると、一部では5月16日から不正アクセスがあり、確認は6月17日。メールアドレス約1,223万人分、うちパスワード約761万人分の漏えいが確認されました。

なぜ「先に」見つけるのか

1つめの理由は、見つからない限り穴は使われ続けること。2012年のシマンテックの研究者の論文（Bilge & Dumitraş）は、世界中のパソコンの実データから、公表前に攻撃に使われていた脆弱性を18件見つけました。うち11件は、ゼロデイとして使われていたことすら知られていませんでした。ゼロデイ攻撃が公表されるまでの期間は平均312日。著者はこれを少なめの見積もりとしています。

2つめは、公表された瞬間から攻撃が一気に増えること。同じ論文では、公表後に攻撃の量が最大10万倍に増えました。パッチの中身を調べれば穴の場所が分かるからです。代表例が2017年の WannaCry で、マイクロソフトは3月14日にパッチを出していたのに、5月12日に世界中へ広がりました。日本でも工場のパソコンなどが感染しています。WannaCry は厳密にはゼロデイではなく Nデイの事件ですが、公表後の穴の危うさをはっきり示しました。

だから、攻撃者より先に守る側が見つけ、パッチを用意し、公表と同時に当てられる状態にしておく。これがいまの守り方の中心です。

穴には値段がある

ゼロデイの仲介業者クラウドフェンスは、2024年4月、iPhone を乗っ取れる攻撃一式の買い取り上限を500万〜700万ドルと公開しました（2019年は最高300万ドル）。ただし公開された上限額で、実際の取引額は分かりません。一方、メーカーも報奨金を払っています。Google は2025年に747人の研究者へ計1,710万ドル。Apple は2025年11月から最高200万ドル、条件を満たせばボーナス込みで500万ドルを超えます。同じ穴が守る側に渡れば直され、攻撃側に渡れば使われる。値段はその綱引きの結果です。

見つけた穴をどうするか

ま
ずメーカーにだけ知らせ、直ってから公表する「責任ある開示」。Google Project Zero は報告から90日以内に直らなければ詳細を公開するルールです。日本では IPA に届け出て、JPCERT/CC が調整し、JVN で公表します。届け出は2004年から2026年9月末までで計2万553件。米国の CISA は、実際に悪用が確認された脆弱性の一覧（KEV）を公開しており、2026年は10月2日までに249件が追加され、前の年（245件）をすでに超えています。

国の情報機関が穴を見つけた場合、作戦のために秘密にしておく選択もあります。米国はその判断の仕組み（VEP）を持っています。ただ、NSA のものとされる攻撃ツールが盗まれて公開され、WannaCry に使われたことは、穴を隠しておく危うさを示しました。

先に見つける人たち

研究者の力を借りる報奨金や届け出の仕組み、でたらめな入力を大量に流し込むファジング、そして AI です。2025年7月、Google の AI エージェント Big Sleep が、悪用される寸前だった SQLite の脆弱性を見つけました。同年8月の DARPA の大会（AIxCC）では、AI が仕込まれた63件のうち54件を見つけて43件を直し、仕込んでいない本物の脆弱性も18件見つけました。Anthropic や Palo Alto Networks の Unit 42 も、AI で大量の脆弱性を見つけたと発表しています（数字は各社の発表で、数え方も違います）。

AI は攻撃者も使えます。専門家は、攻撃のコストが下がれば、当たる確率が低くても数を撃つ攻撃ができると指摘しつつ、守る側も AI で先に穴を探すべきだと話しています。一方で、curl は AI で作ったような雑な報告が増えたことを理由に、2026年1月末で報奨金をやめました。

穴を作らない・わたしたちにできること

GTIG によると、2025年のゼロデイの約35%はメモリの扱いのミスから生まれたもの。こうしたミスを起こしにくい言語 Rust を Android に取り入れた Google は、メモリの安全性に関わる脆弱性が初めて全体の20%を下回ったと発表しました。

わたしたちにできるのは、自動アップデートをオンにすること、使っていない機器やアプリを消すこと、サポートが終わった古いルーターなどは買い替えを考えること、の3つです。

まとめ

ゼロデイは、守る側に時間が1日も無い攻撃です。見つからなければ何か月も静かに使われ、見つかれば攻撃が一気に押し寄せる。脆弱性を無くすことはできないから、攻撃者より先に見つける。いま、その競争に AI も加わっています。

主な出典：Google Threat Intelligence Group「2025 Zero-Days in Review」、Mandiant「M-Trends 2026」ほか、Bilge & Dumitraş（ACM CCS 2012）、KDDI・IIJ の発表、JVN、IPA・JPCERT/CC 届出状況（2026年第3四半期）、CISA KEV、Cisco Talos、Symantec「W32.Stuxnet Dossier」、Emsisoft、Crowdfense、Google Bug Hunters、Apple Security Research、Google Project Zero、米国 VEP 憲章、Google「Big Sleep」、DARPA AIxCC、Anthropic、Palo Alto Networks Unit 42、日本経済新聞。動画の図やグラフは独自に作成し、生成AIは使っていません。