※緊急掲載/完全無料※【ファクト×理論で読み解く世界】今、日本のセキュリティに何が起こっているのか？相次ぐ不正アクセス、ランサムウェア攻撃、情報漏えい。なぜ日本は狙われるのか、私たちは何を守るべきなのか～ハッキングの仕組みからAI時代のサイバー犯罪、企業・政府・個人の防衛策まで。誰にでもわかる日本のサイバー安全保障・完全解説～

はじめに：あなたの知らないところで、日本の「デジタル社会」が攻撃されている

2026年10月9日現在。

いま、日本のデジタル社会で何が起きているのだろうか。

大企業への不正アクセス。

顧客情報の流出。

ランサムウェアによるシステム障害。

委託先やクラウドサービスを経由して広がる被害。

こうしたニュースを目にする機会が増えている。

2026年10月7日には、クラウドサービスを提供するIDCフロンティアがランサムウェア攻撃を受け、495の企業や自治体に影響が及んだ。

10月6日には、シチズン時計が、業務委託先への不正アクセスによって約10万人分の顧客情報が漏えいした可能性を公表した。

そして10月8日、国内のサイバー攻撃への対応・調整を行うJPCERT/CCが、不正アクセスによる情報漏えい被害が相次いでいるとして注意を呼びかけた。翌9日には、新たな攻撃の痕跡に関する情報も追加されている。

これらは、すべて直近の公表情報に基づく出来事である。

しかし、こうしたニュースを見ても、多くの人は次のように感じるのではないだろうか。

「最近、サイバー攻撃のニュースが多いな」

「大企業でも簡単にハッキングされるのか」

「自分の個人情報も漏れているのだろうか」

「何となく怖いけれど、具体的に何をすればよいのかわからない」

そして、こう考える人もいるだろう。

「でも、自分には関係ない話だろう」

果たして、本当にそうだろうか。

私たちは日常生活のあらゆる場面で、デジタル技術に依存している。

銀行口座の残高を確認する。

クレジットカードで買い物をする。

病院を予約する。

スマートフォンで家族と連絡する。

ネット通販で商品を購入する。

勤務先のシステムを利用する。

写真や動画をクラウドに保存する。

これらの裏側では、膨大な情報がコンピューターやネットワークによって処理されている。

普段、その存在を意識することはほとんどない。

電気や水道と同じように、使えて当たり前だと思っている。

しかし、もし明日、銀行のシステムが突然停止したら。

病院の診療記録が読み取れなくなったら。

勤務先の受発注システムが使えなくなったら。

あるいは、自分の名前や住所、メールアドレスが犯罪者の手に渡ってしまったら。

サイバー攻撃は、決して画面の中だけで完結する問題ではない。

現実の生活、仕事、財産、そして社会の信頼に直接影響する問題なのである。

今回は、この問題を専門知識のない方にも理解できるように、基本から徹底的に解き明かしていきたい。

そもそもセキュリティとは何なのか。

ハッキングと不正アクセスは何が違うのか。

犯人はどうやって企業のシステムに入り込むのか。

なぜ、大企業ですら攻撃を防ぎきれないのか。

なぜ、日本で被害が相次いでいるのか。

なぜ犯罪者は、これほど大胆な攻撃を繰り返せるのか。

そして、私たちは何をすればよいのか。

本記事では、これらの疑問を「お城を守る戦い」という身近な比喩も交えながら、技術・歴史・社会学・心理学・経済学・国家安全保障という複数の視点から考察していく。

この記事の目的は、サイバー攻撃への恐怖をあおることではない。

危険の正体を理解し、何を守り、何に備えるべきかを考えられるようになることである。

なお、個別事件については2026年10月9日時点の公表情報を基準とし、調査中の原因と一般的な攻撃手法を混同しないように説明する。

第1章　【現状整理】2026年、日本のサイバー空間で何が起こっているのか

1-1．ランサムウェア被害は半期として過去最多

まず、感覚的な危機感ではなく、実際の数字から確認しよう。

警察庁が2026年9月10日に公表した「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等」によれば、2026年1月から6月までに警察へ報告されたランサムウェア被害は123件だった。

これは、統計を取り始めた2020年下半期以降、半期として過去最多である。

前年同期は116件だったため、7件の増加となる。

ただし、「過去最多」という言葉だけで、攻撃が突然何倍にも急増したと理解するのは適切ではない。

近年すでに高水準で推移していた被害が、さらに過去最多を更新したという状況に近い。

また、この数字は警察に報告されたランサムウェア被害であって、日本国内で発生したすべてのサイバー攻撃の件数ではない。

未報告の被害、不正ログイン、情報窃取、詐欺、サービス妨害などは別の問題として考える必要がある。

注目したいのは、被害企業の構成である。

123件のうち、中小企業の被害は79件。

業種別では製造業の37件が最多だった。

つまり、サイバー攻撃の標的は、誰もが知っている巨大企業や金融機関だけではない。

地方にある製造業。

町工場。

従業員数十人の企業。

地域社会を支えている事業者。

こうした組織も、現実に被害を受けているのである。

犯罪者にとって重要なのは、企業の知名度ばかりではない。

侵入できる可能性があるか。そして、攻撃から何らかの利益を得られるか。

そこに、組織の規模を問わず狙われる理由がある。

1-2．IDCフロンティアへの攻撃が示した「共有インフラ」の危険性

2026年10月7日。

IDCフロンティアが提供するクラウドサービス「IDCFクラウド」の一部で、不正アクセスによる障害が発生した。

同社の発表によれば、第三者によるランサムウェア攻撃であることが判明している。

10月8日の第3報では、対象環境の一部で仮想サーバーが停止し、再起動できなくなったことが説明された。

影響範囲は495の企業や自治体。

さらに、対象環境に保存されたデータについて、取り出しや復元が困難な見通しとなり、利用者自身が保持するバックアップからの復旧が必要になるとの見解が示された。

ここで重要なのは、495の組織がそれぞれ個別に侵入されたと確認されたわけではないことである。

共通して利用しているクラウドサービスの一部に障害が発生したことで、多数の利用者に影響が広がったのだ。

身近な例で考えてみよう。

ある巨大なオフィスビルに、495の会社が入居しているとする。

それぞれの会社は、自分のオフィスに鍵を掛け、重要書類を保管している。

しかし、ビル全体の電力供給やエレベーターが突然停止したらどうなるだろうか。

各社の部屋に泥棒が直接侵入していなくても、仕事ができなくなる可能性がある。

クラウドサービスへの依存も、これと似ている。

自社で巨大なサーバーを所有しなくても、便利なサービスを利用できる。

一方で、共有する基盤に重大な障害が発生すれば、その影響が多くの企業に波及する。

これを「集中リスク」と考えることができる。

現代のセキュリティ問題は、もはや一社だけの問題ではない。

自分の会社が安全でも、自分の会社が依存する仕組みが止まれば、事業は止まり得るのである。

1-3．シチズン時計の事例：自社が攻撃されなくても情報は漏れる

続いて、2026年10月6日に公表されたシチズン時計の事例を見てみよう。

同社が問い合わせ受付業務で利用していた委託先事業者のシステムに不正アクセスが発生した。

これによって、約10万人分の顧客情報が漏えいした可能性があるという。

対象となる情報には、氏名、住所、電話番号、メールアドレスなどが含まれる。

問い合わせ内容に銀行口座情報やクレジットカード情報を記載していた場合、それらも漏えいした可能性があると説明されている。

一方、シチズン時計自身の社内システムへの不正アクセスは確認されていない。

ここが重要なポイントだ。

大企業が自社のシステムを厳重に管理していても、委託先で情報が保管されていれば、その委託先の管理状況も安全性に関係する。

高級マンションの住人が、それぞれ頑丈な玄関の鍵を持っていたとしても、管理会社が保管する入居者名簿を盗まれれば個人情報は漏れてしまう。

現代企業は、問い合わせ受付、決済、配送、顧客管理、給与計算など、数多くの業務を外部の事業者と連携しながら行っている。

そのため、自社の城壁だけを強化しても十分とは限らない。

この問題は「サプライチェーンリスク」と呼ばれる。

企業同士がつながっているからこそ、便利なサービスが成立している。

しかし、つながっているからこそ、一つの弱点が広い範囲に影響を及ぼす可能性がある。

1-4．JPCERT/CCが10月8日に注意喚起、9日に情報を追加

そして、10月8日にはJPCERT/CCが、国内組織において相次ぐ不正アクセスについて注意喚起を発表した。

JPCERT/CCは、日本国内のサイバーインシデントについて情報収集、分析、対応調整などを行う専門組織である。

今回の注意喚起では、既知の脆弱性を狙う攻撃、APIを通じた不正操作、特定製品の脆弱性を悪用する事例などが取り上げられた。

10月9日には、攻撃に関係する可能性のある通信情報の追加や、Webシェルの設置が確認された事例などが追記されている。

Webシェルとは、攻撃者がサーバー上で不正な操作を行うために使うことがあるプログラムである。

重要なのは、これらの事例がすべて同じ犯人、同じ弱点、同じ攻撃方法によると確認されているわけではないことだ。

むしろ、さまざまな経路から攻撃が行われている可能性があるからこそ、複数の対策が必要になる。

そして、この注意喚起は、普段から発生しているランサムウェア被害とは別に、情報漏えいにつながる攻撃類型を取り上げている。

つまり、私たちが理解すべき危険は、データを暗号化するランサムウェアだけではないのである。

第2章　そもそも「セキュリティ」とは何なのか：お城を守る仕組みから考える

ここからは専門用語を一つずつ整理しよう。

セキュリティという言葉を聞くと、パスワードやウイルス対策ソフトを思い浮かべる人が多いかもしれない。

しかし、セキュリティとは、それらの製品や機能だけを指すものではない。

わかりやすくするために、あなたの大切なデータを保管する「お城」を想像してほしい。

城の中には、重要な財宝が保管されている。

銀行口座の情報。

家族の写真。

仕事の書類。

企業の顧客名簿。

こうした財宝を守るために、お城にはさまざまな設備が用意されている。

高い城壁。

深い堀。

頑丈な門。

通行証を確認する門番。

城内を巡回する兵士。

財宝を保管する金庫。

そして、敵が攻めてきた場合に備えた避難経路や予備の保管場所。

これらを合わせたものが、お城の防衛システムである。

コンピューターの世界で考えるなら、パスワードは鍵、ファイアウォールは通信を管理する門番、アクセス権限は立ち入りを許された部屋の範囲に相当する。

さらに、ウイルス対策ソフト、通信監視、バックアップ、事故発生時の対応計画なども、重要な防衛機能となる。

セキュリティとは、単に侵入者を防ぐことではなく、大切なものを守り、問題が起きても必要な機能を維持・回復するための仕組みなのである。

情報セキュリティの3原則「CIA」

情報セキュリティには、基本となる三つの考え方がある。

「機密性」「完全性」「可用性」だ。

英語の頭文字を取って「CIAの3要素」と呼ばれる。

まず、機密性。

これは、見てはいけない人に情報を見られないことである。

病院の診療記録を、無関係な第三者が自由に読めたら困るだろう。

次に、完全性。

これは、情報が不正に書き換えられず、正しい状態を保つことである。

銀行口座の残高が勝手に変更されてしまったら、重大な問題になる。

最後に、可用性。

これは、必要なときに情報やシステムを利用できることである。

どれほど安全に情報が保存されていても、銀行のシステムが停止してお金を引き出せなければ困る。

お城で考えれば、財宝が盗まれないこと、財宝の中身を勝手に変更されないこと、そして必要なときに城の所有者が財宝を利用できることだ。

ランサムウェアは、このうち特に可用性を破壊する。

情報窃取は機密性を損ない、データの改ざんは完全性を損なう。

一つの攻撃で複数の要素が損なわれる場合もある。

ここで覚えておきたいことがある。

情報を盗まれなければ安全、というわけではない。使えなくなることもまた、重大な被害なのである。

第3章　セキュリティホールとは何か：頑丈なお城にも存在する「抜け穴」

セキュリティホールとは、システムに存在する、攻撃や不正利用につながる弱点を指す言葉である。

専門的には「脆弱性」と呼ばれることが多い。

お城で例えるなら、城壁の見落とされたひび割れや、壊れた窓に相当する。

正門をどれほど厳重に守っていても、裏側の小さな通路が無防備になっていれば、そこから侵入される可能性がある。

コンピューターでも同じことが起きる。

プログラムの設計に誤りがある。

ソフトウェアの処理に欠陥がある。

認証の仕組みに問題がある。

更新されていない古いシステムが残っている。

こうした状態が、攻撃のきっかけになる場合がある。

ただし、厳密にはソフトウェア自体の脆弱性と、管理者による設定ミスは区別される。

壊れた窓と、正常な窓の鍵を掛け忘れた状態は違う。

どちらも侵入の危険があるが、原因と対策は異なるのである。

なぜ、コンピューターには弱点が生まれるのか

「世界的なIT企業が作ったソフトウェアに、なぜ欠陥があるのか」

そう疑問に思う人もいるだろう。

しかし、現代のソフトウェアは極めて複雑だ。

たとえばネット通販を考えてみよう。

商品を検索する。

在庫を確認する。

決済する。

配送会社へ情報を送る。

注文履歴を記録する。

返品に対応する。

これらの処理が、複数のプログラムによって実行されている。

さらに、そのプログラムには、外部で開発された部品が組み込まれることもある。

建物を建てるときに、窓、電気設備、給湯器などを別々のメーカーから調達するのと似ている。

一つひとつの部品に問題がなくても、組み合わせ方によって予期しない問題が生じる場合もある。

だからこそ、システムは完成したら終わりではない。

継続的な点検と修正が必要になる。

「既知の脆弱性」と「ゼロデイ」

ここで二つの言葉を紹介しよう。

一つは、すでに知られている脆弱性。

もう一つは、ゼロデイ脆弱性である。

既知の脆弱性とは、存在や内容がすでに把握されている弱点だ。

修正プログラムが提供されている場合も多い。

しかし、管理者が更新を先延ばしにしていれば、その弱点は残り続ける。

一方、ゼロデイ脆弱性は、製品の提供者などが十分な対処期間を持てない段階で悪用可能になっている弱点を指す。

修正プログラムがまだ存在しない場合もある。

この違いを踏まえると、重要なことがわかる。

ソフトウェアを最新に保つことは非常に重要だが、それだけですべての危険を排除できるわけではない。

だからこそ、複数の防御を組み合わせる必要がある。

一つの城壁が破られても、城全体が陥落しない仕組みが必要なのである。

第4章　インターネットはどのようにつながっているのか：見えない道路網の正体

ハッキングの仕組みを理解するには、インターネットの基本構造を知っておくとわかりやすい。

インターネットとは、世界中のコンピューターやネットワークが接続された巨大な通信網である。

道路網を想像してみよう。

住宅街の道路。

幹線道路。

高速道路。

橋。

交差点。

こうした道路を通じて、人や荷物が目的地へ移動する。

インターネットでも、情報は複数のネットワークや機器を経由して目的地に届けられる。

スマートフォンで通販サイトを開けば、端末からサービスへ通信が送られ、必要な情報が返ってくる。

その処理を担うコンピューターが、サーバーと呼ばれる。

IPアドレスはネットワーク上の住所

インターネットには、IPアドレスという仕組みがある。

これは、通信先を識別するための番号である。

一般的には、ネットワーク上の住所に例えられる。

ただし、IPアドレスは現実の住所や人物の身元と一対一で対応するものではない。

複数の利用者が一つのアドレスを共有したり、利用するアドレスが変わったりする場合もある。

そのため、不正な通信のIPアドレスを調べれば、直ちに犯人が判明するわけではない。

ポートは建物の受付窓口

一つのサーバーでは、ウェブサイト、メール、管理機能など、複数のサービスが動いている場合がある。

それらの通信を適切なサービスに振り分ける仕組みが、ポートである。

大きな役所に、住民票、税金、相談などの受付窓口が存在するイメージに近い。

しかし、すべての窓口を誰でも利用できるようにしてよいわけではない。

特に管理者専用の機能は、利用できる人を制限しなければならない。

この制限が不十分だと、攻撃者に狙われる可能性がある。

ファイアウォールは通信を確認する門番

ファイアウォールとは、決められたルールに従って通信を許可・遮断する仕組みである。

お城の門番のようなものだ。

ただし、正規の通行証を盗んだ人物や、許可された通信経路を悪用する攻撃まで、必ず防げるとは限らない。

門番がいくら優秀でも、盗まれた通行証だけで本人を確認していれば、なりすましを見抜けない場合がある。

だからこそ、通信の制御と本人確認、権限管理、監視などを組み合わせる必要がある。

第5章　ハッキングとは何か：技術そのものと犯罪行為の違い

ニュースで「ハッカー」という言葉を聞くと、暗い部屋でパソコンを操作する犯罪者を想像する人もいるだろう。

しかし、本来のハッキングは、必ずしも犯罪行為を意味しない。

コンピューターの仕組みを深く理解し、解析や改良を行うことも含む、広い概念である。

企業から依頼を受けてシステムの弱点を調査する専門家もいる。

こうした人々は、ホワイトハットハッカー、倫理的ハッカーなどと呼ばれる。

お城で考えてみよう。

城主が防衛の専門家に依頼し、門や城壁に弱点がないか調査してもらう。

これは、城を強くするための正当な行為だ。

一方、城主の許可なく城に侵入し、財宝を盗み出す行為は犯罪行為である。

つまり、重要なのはコンピューターに詳しいかどうかではない。

その技術を、誰の許可のもとで、何の目的に使っているのか。

ここに、正当なセキュリティ調査と不正アクセスを分ける大きな境界線がある。

5-1．「不正アクセス」は、必ずしも高度な技術を必要としない

ここで、意外に思われるかもしれない事実を紹介したい。

不正アクセスは、必ずしも複雑なプログラムを駆使して、システムの弱点を突破する行為とは限らない。

たとえば、ある会社の従業員が使用しているIDとパスワードを、犯罪者が何らかの方法で手に入れたとする。

犯罪者がその情報を使って、本人になりすまして社内システムにログインした場合、システムは正常に動いている可能性がある。

パスワードも正しい。

ログイン画面も正常。

サーバーにも故障はない。

しかし、操作している人物は正規の利用者ではない。

お城で例えるなら、門を破壊したわけでも、城壁を乗り越えたわけでもない。

本物の鍵を盗み、何食わぬ顔で正門から入ったのである。

このような攻撃が厄介なのは、正規の利用と不正な利用の区別が難しくなることだ。

当然、盗まれた認証情報を使えば必ず侵入できるというわけではない。多要素認証やアクセス制御などによって、不正利用を防げる場合もある。

それでも、私たちがセキュリティを考える際には、重要な認識の転換が必要になる。

「鍵が正しいこと」と「使っている人が正しいこと」は、同じではない。

5-2．「マルウェア」と「ウイルス」は同じものなのか

もう一つ、混同されやすい言葉がある。

それが「マルウェア」と「コンピューターウイルス」だ。

マルウェアとは、悪意のあるソフトウェアを広く指す言葉である。

コンピューターウイルスは、その一種だ。

ウイルスは、一般にほかのファイルやプログラムなどに感染し、自己複製する性質を持つ。

一方、マルウェアには、それ以外にもさまざまな種類が存在する。

情報を盗み取るもの。

利用者の操作を監視するもの。

遠隔操作を可能にするもの。

ファイルを暗号化するもの。

あるいは、感染した機器を外部から操るために利用するもの。

ランサムウェアも、マルウェアの一種である。

ただし、最近のサイバー攻撃は、必ずしもマルウェアを使うとは限らない。

盗んだ認証情報でクラウドサービスにログインし、情報を持ち出す攻撃もある。

正規の管理機能を悪用するケースもある。

つまり、ウイルス対策ソフトを導入しているからといって、すべての不正アクセスを防げるわけではないのである。

第6章　【攻撃の仕組み】犯罪者はどのようにして企業の内部へ侵入するのか

ここからは、サイバー攻撃がどのように進行するのかを見ていこう。

ただし、実際の攻撃はさまざまであり、これから説明する順番を必ずたどるわけではない。

一度の不正ログインだけで情報が流出する場合もあれば、長い時間をかけて内部へ侵入する場合もある。

ここでは、企業ネットワークに侵入して被害を拡大させる典型的な流れを理解することが目的である。

6-1．第1段階：偵察：攻撃者は最初に何を調べるのか

戦国時代、敵の城を攻める武将は、何も考えずに正門へ突撃したわけではない。

城の位置。

周囲の地形。

兵士の人数。

物資の運搬経路。

城壁の弱い場所。

こうした情報を集めてから、攻撃方法を考える。

サイバー攻撃でも、似たようなことが行われる。

攻撃者は、標的となる企業について、外部から確認できる情報を調べることがある。

どのようなサービスを提供しているのか。

どのようなシステムが外部に公開されているのか。

従業員はどのような業務を担当しているのか。

どの企業と取引しているのか。

こうした情報の一部は、企業の公式サイトや公開資料にも掲載されている。

もちろん、公開情報を調べる行為そのものが直ちに犯罪になるわけではない。

しかし、その情報が攻撃の準備に悪用される場合がある。

ここで注目したいのは、攻撃者にとって、最初から高度な侵入技術が必要とは限らないことである。

企業が何を使い、誰とつながっているかを知ること自体が、攻撃の材料になるのである。

6-2．第2段階：侵入：城門を突破する複数の方法

代表的な侵入経路は、大きく分けて三つある。

まず、認証情報の窃取。

攻撃者がIDやパスワードなどを入手し、正規の利用者になりすます方法である。

次に、ソフトウェアの脆弱性の悪用。

システムに存在する弱点を利用して、本来許可されていない操作を行う方法だ。

そして、ソーシャルエンジニアリング。

人間の心理や行動を利用して、機密情報を聞き出したり、危険な操作を行わせたりする方法である。

ここで具体例を考えよう。

ある従業員のもとへ、次のようなメールが届いたとする。

「社内システムの更新が必要です。本日中に認証手続きを完了してください」

メールにはログインページへのリンクが記載されている。

しかし、そのページは本物そっくりに作られた偽物だった。

従業員がIDとパスワードを入力すると、その情報が攻撃者に渡ってしまう。

これが、フィッシングの典型的な手口である。

お城でいえば、敵が正規の伝令を装い、門番から通行証を受け取るようなものだ。

さらに近年では、メールだけでなく、SMS、SNS、電話、チャットなど、複数の経路が利用される。

つまり、現代の城門は一つではない。

メールも、スマートフォンも、クラウドも、業務システムも、それぞれが新しい出入り口になっているのである。

6-3．第3段階：内部での権限拡大：一つの部屋から城全体へ

仮に、攻撃者が従業員一人のアカウントを不正利用できたとしよう。

そのアカウントで閲覧できる情報が限定されていれば、被害の拡大を抑えられる可能性がある。

しかし、攻撃者がさらに強い権限を獲得すると、状況は変わる。

一般従業員のアカウントでは操作できない管理機能を利用できるようになったり、ほかのシステムへのアクセスを試みたりする場合がある。

これを権限昇格や横展開と呼ぶ。

お城でいえば、外門を通過した侵入者が、兵士の通行証を盗み、さらに城主の部屋へ近づいていくようなものだ。

重要なのは、最初の侵入が小さなものであっても、内部の権限管理が不十分であれば、被害が大きくなる可能性があることだ。

だからこそ、現代のセキュリティでは「最小権限」という考え方が重要になる。

従業員やシステムには、業務に必要な範囲の権限だけを与える。

必要のない管理権限は持たせない。

一つのアカウントが侵害されても、組織全体への影響を小さくする。

これは、お城の中に複数の門や扉を設け、通行できる場所を制限することに似ている。

6-4．第4段階：情報窃取や破壊：最終的な目的は何なのか

攻撃者が内部へ侵入したとしても、その目的は一つではない。

顧客情報を盗みたい場合もある。

企業秘密を持ち出したい場合もある。

システムを停止させたい場合もある。

あるいは、不正な送金や金銭要求につなげたい場合もある。

ランサムウェアを使う攻撃では、業務に必要なファイルなどが暗号化され、利用できなくなることがある。

情報窃取を目的とする攻撃では、システムが正常に動いているように見えても、内部のデータが持ち出されている可能性がある。

ここに、サイバー攻撃の厄介さがある。

建物への侵入であれば、壊された窓や荒らされた部屋が目に入ることもある。

しかし、デジタル情報は複製できる。

元のデータが残っていても、そのコピーが外部へ持ち出されている可能性があるのだ。

6-5．2026年10月の注意喚起が示す、もう一つの侵入経路

ここで、第1章で紹介したJPCERT/CCの注意喚起に戻ろう。

2026年10月8日に公開され、9日に更新された注意喚起では、既知の脆弱性を探す攻撃のほか、APIを通じた不正操作なども取り上げられた。

APIとは、異なるソフトウェアやサービスが情報をやり取りするための仕組みである。

たとえば、スマートフォンのアプリがサーバーから注文履歴を取得する場合、その通信にAPIが利用されることがある。

これもお城で考えてみよう。

城には、人間が通行する正門だけでなく、物資を運び込む搬入口もある。

搬入口には、決められた荷物を決められた相手へ運ぶ役割がある。

しかし、そこに適切な本人確認や権限確認がなければ、本来渡してはいけない物まで渡してしまう可能性がある。

APIのセキュリティも同じだ。

アプリの画面から操作できない機能であっても、サーバー側が適切にアクセスを制限していなければ、安全とはいえない。

9日の更新では、Webシェルが設置された事例も追加された。

Webシェルとは、攻撃者が侵害したサーバーに対して、遠隔から不正な操作を行うために利用することがある仕組みだ。

ただし、ここで改めて強調しておきたい。

今回確認された複数の攻撃手法が、IDCフロンティアやシチズン時計の事案で実際に使われたと断定できるわけではない。

個別事件の侵入原因は、それぞれの調査結果に基づいて判断しなければならない。

一般的な攻撃手法の存在と、特定事件の原因は、明確に区別する必要があるのである。

第7章　【ランサムウェアの正体】なぜ企業はデータを「人質」に取られるのか

ここまで、不正アクセスの代表的な仕組みを説明してきた。

では、現在の企業活動に大きな影響を与えているランサムウェアとは、具体的に何なのだろうか。

ランサムウェアの「ランサム（Ransom）」とは、身代金を意味する。

つまり、ランサムウェアとは、データやシステムなどを利用できない状態にしたり、盗んだ情報の公開を脅したりして、金銭を要求する攻撃に使われるマルウェアの総称である。

7-1．暗号化という、本来は便利な技術の悪用

ここで重要になるのが「暗号化」という技術だ。

暗号化とは、情報を一定の規則に従って変換し、適切な鍵などがなければ元の内容を読み取れないようにする仕組みである。

本来は、私たちの情報を守るために利用されている。

インターネット上の通信。

スマートフォンの保存データ。

オンライン決済。

こうした場面でも暗号技術は重要な役割を果たしている。

しかし、ランサムウェアでは、その暗号化技術が悪用される。

攻撃者がファイルを暗号化し、正規の利用者が内容を読み取れない状態にするのだ。

たとえば、病院で患者の診療記録を開こうとしたとする。

しかし、画面には正常なデータが表示されない。

製造業では、設計図面や生産管理データが使えなくなる。

通販会社では、注文情報や在庫情報にアクセスできなくなる。

ファイルが存在していても、業務に必要な情報を読み取れなければ、仕事は進まない。

お城で例えるなら、財宝が入った金庫の鍵を敵に取り替えられてしまった状態に近い。

財宝は目の前にある。

しかし、城主自身が取り出せない。

そこで攻撃者が金銭を要求する。

「元に戻してほしければ、金を払え」

これが、ランサムウェアによる恐喝の基本構造である。

7-2．現代のランサムウェアは「二重の脅迫」を行う

さらに厄介なのが、二重恐喝と呼ばれる手口だ。

従来型のランサムウェアは、主としてファイルを暗号化して復旧を妨害するものだった。

しかし、攻撃者の中には、暗号化する前後に機密情報を持ち出す者もいる。

そして、被害企業に対して次のように脅迫する。

「金を払わなければ、盗んだ情報を公開する」

こうなると、被害は二つに分かれる。

一つは、システムが使えなくなる被害。

もう一つは、情報を公開される可能性による被害だ。

これは、単に城の金庫に鍵を掛けるだけでなく、財宝の一部を盗み出し、その中身を世間にさらすと脅している状態である。

さらに、攻撃者が取引先や顧客に直接接触するなどして、圧力を強める場合もある。

つまり、ランサムウェア攻撃は、単純なコンピューターの故障ではない。

企業が失いたくないものを把握し、その価値を利用して金銭を引き出そうとする犯罪なのである。

7-3．なぜ、バックアップがあっても安心できないのか

「データが使えなくなっても、バックアップがあれば元に戻せるのではないか」

そう考える人もいるだろう。

基本的には、その考え方は正しい。

しかし、問題はバックアップの保管方法にある。

たとえば、重要なデータを毎日コピーしていても、そのコピーが元のシステムと同じ認証情報で管理されていればどうだろうか。

攻撃者が管理権限を奪った場合、元のデータだけでなく、バックアップまで削除・暗号化される可能性がある。

お城で例えるなら、財宝を二つの金庫に分けて保管していても、両方の金庫を同じ鍵で開けられる状態だ。

その鍵を奪われれば、両方とも危険になる。

そのため、重要なデータについては、通常のシステムから隔離されたバックアップや、不正な削除・変更を防ぐ仕組みが重要になる。

そして、もう一つ忘れてはいけない。

バックアップを保存していることと、実際に復旧できることは別である。

定期的に復旧のテストを行っていなければ、いざというときに必要なデータが欠けていたり、復旧に想定以上の時間がかかったりする可能性がある。

さらに、バックアップからシステムを復旧できても、すでに外部へ持ち出された情報を取り戻せるとは限らない。

ここに、現代のランサムウェア対策の難しさがある。

7-4．身代金を支払えば、本当に解決するのか

被害に遭った企業の経営者は、極めて苦しい判断を迫られることがある。

システムが止まれば、売上が失われる。

取引先への納品も止まる。

従業員の仕事も進まない。

一刻も早く復旧したい。

そんな状況で、攻撃者から金銭を要求される。

しかし、支払ったからといって、安全に復旧できる保証はない。

復号に必要な情報が提供されない可能性もある。

提供されたとしても、すべてのシステムを正常に復元できるとは限らない。

盗まれた情報が完全に削除されたと、確認することも難しい。

さらに、金銭の支払いが犯罪組織の活動資金となる可能性もある。

だからこそ、JPCERT/CCなどの専門機関は、攻撃者の要求に応じることを前提とせず、被害範囲の把握、侵入経路の封鎖、バックアップからの復旧を重視している。

お金を払えば必ず元に戻るという保証がないことこそ、ランサムウェアの恐ろしさなのである。

第8章　【犯罪の経済学】なぜサイバー攻撃は、これほど大きな「産業」になったのか

ここから、少し視点を変えてみたい。

サイバー攻撃を理解するうえで、技術と同じくらい重要なのが経済学だ。

なぜなら、金銭を目的とするサイバー犯罪は、犯罪者側から見れば、一種の収益活動として組織化されているからである。

8-1．犯罪者も「費用」と「利益」を計算する

一般的な企業は、利益を得るために商品やサービスを提供する。

売上を増やす。

費用を削減する。

業務を効率化する。

投資に対する利益を高める。

残念ながら、金銭目的のサイバー犯罪組織にも、これに似た発想が存在する。

標的を探す費用。

攻撃に必要な人員。

侵入に成功する確率。

金銭を得られる見込み。

犯罪が発覚し、摘発される危険性。

こうした要素が、攻撃者の判断に影響する。

ここで重要なのは、被害者が受ける損失と、攻撃者が負担する費用が大きく異なる可能性があることだ。

攻撃者にとっては比較的小さな費用でも、被害企業では数日間の事業停止につながる場合がある。

製造ラインが停止する。

物流が混乱する。

顧客対応が遅れる。

復旧費用が発生する。

企業の信用が傷つく。

一度の攻撃によって、複数の損失が連鎖するのである。

攻撃する側の費用が小さく、守る側の損失が大きい。

この非対称性が、サイバー犯罪を深刻な問題にしている。

8-2．RaaS：ランサムウェアまで「サービス化」される時代

近年のサイバー犯罪を理解するうえで、RaaSという言葉は欠かせない。

「Ransomware as a Service」の略である。

直訳すれば、「サービスとしてのランサムウェア」だ。

一般のIT業界では、ソフトウェアやコンピューターの機能をサービスとして利用する仕組みが広がっている。

犯罪の世界でも、これに似た分業が行われる場合がある。

攻撃に使うソフトウェアを開発する者。

侵入経路を見つける者。

侵入済みのシステムへのアクセスを売買する者。

実際に攻撃する者。

金銭の要求や交渉を担当する者。

すべてを一人で行う必要はない。

お城で例えるなら、武器を作る職人、城の弱点を調べる偵察役、実際に侵入する兵士が、別々に存在しているようなものだ。

こうした分業は、犯罪者側の参入障壁を下げ、攻撃を繰り返しやすくする要因になり得る。

ただし、すべてのランサムウェア事件がRaaSによるものではない。

攻撃組織の構成や役割は事案によって異なる。

それでも、犯罪が個人の技術だけでなく、組織化された仕組みによって支えられている点は重要である。

8-3．なぜ、犯罪者は大企業だけを狙わないのか

ここで、第1章の統計を思い出してほしい。

2026年上半期に警察へ報告されたランサムウェア被害123件のうち、中小企業は79件だった。

なぜ、小規模な企業も標的になるのだろうか。

もちろん、大企業には大きな資金や価値の高い情報が集まっている。

しかし、大企業は専門のセキュリティ部門を持ち、監視や対策に予算を投じている場合も多い。

一方、中小企業では、IT担当者がほかの業務を兼任していることもある。

更新しなければならない機器が把握できていない。

古いシステムを使い続けている。

バックアップは取得しているが、復旧テストは行っていない。

こうした状況があれば、攻撃者にとって狙いやすい対象になる可能性がある。

ただし、「中小企業のほうが必ず侵入しやすい」というわけではない。

大企業でも深刻な弱点を抱える場合があり、小規模でも優れた対策を行っている企業は存在する。

重要なのは企業規模そのものではなく、防御状況、保有する情報、外部との接続関係などである。

犯罪者は必ずしも最も大きな城を狙うのではない。攻撃が成功しそうな城を狙うこともあるのだ。

8-4．「守る側の費用」と「攻撃する側の費用」は対称ではない

防御側は、数多くのシステムを継続的に管理しなければならない。

ソフトウェアの更新。

従業員教育。

認証管理。

ログの監視。

バックアップ。

委託先との連携。

事故対応訓練。

これらは一度実施すれば終わるものではない。

一方、攻撃者は、攻撃可能な弱点が一つでもあれば、それを利用できる場合がある。

もちろん、攻撃者が常に簡単に成功するわけではない。

高度な攻撃には、多くの時間や資金、専門知識が必要になる。

それでも、防御側が広範囲を守らなければならないことは変わらない。

この問題を解決するには、単純に防御費用を増やすだけでは不十分だ。

被害を小さくする構造を作ることが必要になる。

一つのシステムが侵害されても、ほかのシステムへ被害が広がらない。

一つの事業者が停止しても、重要な業務を継続できる。

そうした設計によって、攻撃者が得られる利益そのものを減らすことができる。

ここに、セキュリティを経済学から考える意味がある。

第9章　【人間の心理】なぜ、知識のある人でも詐欺メールにだまされるのか

サイバーセキュリティというと、コンピューター技術の問題だと考えられがちだ。

しかし、多くの攻撃では、人間の判断も重要な要素になる。

そして、人間の判断は常に合理的とは限らない。

疲れているとき。

仕事に追われているとき。

不安を感じているとき。

権威のある人物から指示されたとき。

私たちは、普段なら疑問を持つ内容にも、十分な注意を向けられないことがある。

犯罪者は、こうした心理的な傾向を悪用する。

9-1．「緊急性」は、人間の判断を鈍らせる

次のようなメールを受け取ったとしよう。

「お客様のアカウントに不審なログインがありました。30分以内に確認しない場合、利用を制限します」

読んだ瞬間、不安になる人もいるだろう。

「自分の口座が危険なのではないか」

「すぐに確認しなければならない」

こうした感情が生まれると、リンク先が本物かどうかを十分に確認する前に操作してしまう可能性がある。

ここで働いているのは、緊急性によって慎重な判断が後回しになる心理だ。

人間は、時間的な余裕があるときと、強いプレッシャーを受けているときで、同じ判断をするとは限らない。

詐欺のメッセージが「今すぐ」「本日中」「至急」といった言葉を多用するのには、理由がある。

考える時間を奪うこと自体が、攻撃の一部なのである。

9-2．「権威」が、人間の疑う力を弱める

次に、上司から次のようなメッセージが届いたとする。

「至急、取引先への支払いを処理してほしい」

送り主の名前は社長。

文章も普段の社長に似ている。

さらに、業務内容について具体的な情報まで記載されている。

こうした状況では、疑問を持ちにくくなる場合がある。

人間には、社会的な役割や権威を持つ人物の指示を重視する傾向がある。

もちろん、組織を円滑に運営するうえで、指示系統は必要だ。

しかし、その仕組みが悪用されることもある。

これが、ビジネスメール詐欺などの背景にある心理の一つだ。

重要なのは、上司を疑うことではない。

重要な指示については、送信者が本物かどうかを別の経路で確認する仕組みを設けることである。

たとえば、振込先口座の変更はメールだけで確定しない。

高額な送金は複数人で承認する。

急な変更は、登録済みの電話番号などを使って確認する。

こうした仕組みがあれば、個人の注意力だけに依存しなくて済む。

9-3．「慣れ」と「正常性バイアス」

人間は、同じ環境に長くいると、その状態を当たり前だと感じるようになる。

毎日同じシステムを使っている。

これまで問題が起きたことはない。

多少古くても業務は動いている。

だから、今日も大丈夫だろう。

こうした考え方が、更新の先延ばしにつながることがある。

心理学では、危険を自分に都合よく小さく見積もる傾向を、正常性バイアスという観点から説明することがある。

ただし、セキュリティ対策を先延ばしにする理由が、すべて心理的な問題とは限らない。

更新によって既存システムが動かなくなる危険性。

予算の不足。

専門人材の不足。

業務停止を伴う作業の難しさ。

こうした現実的な制約も存在する。

だからこそ、必要なのは精神論ではない。

危険性を見える化し、更新計画や代替手段を用意することだ。

9-4．「人間が最大の弱点」という言葉の危うさ

セキュリティの世界では、ときどき次のように言われる。

「最大の弱点は人間だ」

確かに、操作ミスや判断ミスが被害のきっかけになることはある。

しかし、この言葉だけで問題を片づけるのは危険だ。

たとえば、従業員一人が誤って不審なリンクを開いただけで、会社全体が停止する仕組みだったとしよう。

その場合、問題は本当に従業員一人だけにあるのだろうか。

権限の制限が不十分だったのかもしれない。

監視体制が機能していなかったのかもしれない。

侵入後の被害を抑える仕組みがなかったのかもしれない。

人間が間違える可能性を前提として、被害を小さくするのが優れたセキュリティ設計である。

飛行機の安全性が、操縦士一人の集中力だけで成立しているわけではないのと同じだ。

人間に絶対に間違えるなと要求するのではなく、人間が間違えても致命傷にならない仕組みを作ることが重要なのである。

第10章　【日本社会の構造問題】なぜ、日本でも被害が相次いでいるのか

ここで、記事の中心となる疑問に向き合いたい。

なぜ、2026年の日本で、不正アクセスやランサムウェア被害が相次いでいるのだろうか。

最初に明確にしておきたいことがある。

国内で被害が相次いでいるという事実だけで、日本がほかの国よりも特別に攻撃されやすいと結論づけることはできない。

国際比較には、報告制度、統計の対象、企業数、被害の公表基準などをそろえた分析が必要だからだ。

また、被害の公表が増えた場合でも、実際の攻撃件数が同じ割合で増加したとは限らない。

しかし、日本社会が抱える構造的な課題を考えることで、なぜ被害が深刻化し得るのかを理解することはできる。

10-1．デジタル化の進展によって、攻撃される場所が増えた

かつて、多くの企業の業務は、紙の書類や社内の専用システムを中心に行われていた。

もちろん、当時も情報漏えいや不正行為は存在した。

しかし、現在は状況が大きく異なる。

社内システムとクラウドを接続する。

従業員が自宅から業務システムを利用する。

取引先とデータを共有する。

スマートフォンから顧客情報を確認する。

工場の設備をネットワークで管理する。

こうした変化によって、業務効率は大きく向上した。

一方で、管理しなければならない接続経路や認証情報も増えている。

お城の例に戻れば、昔は正門と裏門を守ればよかった。

しかし、現在は、地下通路、搬入口、通信設備、外部の倉庫など、多数の経路が存在するようになった。

便利になるほど、守るべき範囲も広がる。

これが、デジタル化に伴う重要な課題である。

10-2．古いシステムを簡単に捨てられない

日本企業に限った問題ではないが、長く利用してきた業務システムを更新することは容易ではない。

なぜなら、そのシステムが日々の仕事を支えているからだ。

たとえば、工場の生産管理システムを考えてみよう。

古いソフトウェアを使っていても、現在の設備と連動して正常に動いている。

ところが、新しいシステムへ変更すると、設備との互換性に問題が出るかもしれない。

移行中に生産が止まるかもしれない。

導入費用も必要になる。

こうした事情があれば、更新を先延ばしにしたくなるのも理解できる。

しかし、時間が経過するほど、古いシステムの保守が難しくなる場合がある。

製造元のサポートが終了する。

修正プログラムが提供されなくなる。

システムを理解している担当者が退職する。

その結果、業務上は必要なのに、安全性を維持することが難しい状態になる。

これが、レガシーシステムをめぐる問題の一つだ。

大切なのは、古いものを無条件に危険だと決めつけることではない。

どのシステムに、どのような弱点があり、どの程度の被害につながる可能性があるのかを把握することだ。

10-3．中小企業と大企業は、一本の鎖でつながっている

日本の産業構造を考えるうえで、サプライチェーンは重要なテーマとなる。

大手メーカーが製品を完成させるまでには、多くの企業が関わっている。

部品を作る会社。

材料を供給する会社。

物流を担当する会社。

設計業務を請け負う会社。

ITシステムを管理する会社。

こうした企業の協力によって、製品が完成する。

しかし、そのうちの一社がサイバー攻撃によって停止したら、どうなるだろうか。

必要な部品が届かない。

出荷情報を確認できない。

工場の生産計画に遅れが出る。

一つの企業の障害が、ほかの企業の活動に影響する可能性がある。

この問題を理解するには、鎖を想像するとわかりやすい。

鎖全体の強さは、一つひとつの輪の状態に左右される。

ただし、すべての企業に、大企業と同じ予算や体制を要求するのは現実的ではない。

そこで必要になるのが、企業同士の協力だ。

重要な取引先への支援。

共通の安全基準。

セキュリティ情報の共有。

事故発生時の連絡体制。

サイバーセキュリティは、単なる一企業の努力から、取引関係全体で管理する課題へと変化しているのである。

10-4．セキュリティは、投資効果が見えにくい

企業経営の観点からも、重要な問題がある。

新しい機械を導入すれば、生産能力が上がるかもしれない。

広告費を増やせば、売上が伸びるかもしれない。

しかし、セキュリティ対策はどうだろうか。

適切な対策を実施した結果、何も起きなかった。

これは本来、望ましい結果である。

ところが、何も起きなかったことの価値は、数字として示しにくい。

「その費用を使わなくても、事故は起きなかったのではないか」

そう考えられてしまうこともある。

経済学では、実際に起きなかった結果を評価することは難しい。

事故を防いだ効果は、事故が発生した場合の反事実的な結果との比較になるからだ。

それでも、セキュリティ投資を単なる無駄な費用と考えるべきではない。

事業停止による損失を抑える。

顧客情報を守る。

取引先との信頼を維持する。

早期復旧を可能にする。

こうした価値を持つ投資なのである。

セキュリティは、利益を生まない支出ではなく、事業を継続する能力への投資として考える必要がある。

第11章　【AI時代の新たな脅威】人工知能はサイバー犯罪をどう変えるのか

2026年のサイバーセキュリティを考えるうえで、人工知能の存在は無視できない。

実際、IPAが公表した「情報セキュリティ10大脅威 2026」では、組織向けの脅威として「AIの利用をめぐるサイバーリスク」が初めて選ばれ、3位となった。

ただし、これはAIを利用したサイバー犯罪だけを意味するものではない。

AIの不適切な業務利用による情報漏えい、生成された情報の誤用、攻撃への悪用など、複数の問題を含んでいる。

11-1．AIによって、詐欺の文章が自然になる

従来のフィッシングメールには、文章が不自然なものもあった。

日本語の表現がおかしい。

敬語の使い方が間違っている。

日本企業らしくない文章になっている。

こうした違和感が、詐欺を見抜くきっかけになることもあった。

しかし、生成AIを利用すれば、自然な文章を短時間で作成できる。

企業の案内文に似た表現。

丁寧な日本語。

業務内容に合わせた文面。

こうした文章を作るための負担が、小さくなる可能性がある。

重要なのは、AIによってすべての詐欺が高度化するということではない。

一方で、「日本語が自然だから本物だ」という判断は、以前にも増して危険になり得るということである。

文章の自然さは、送信者が信頼できる人物であることの証明にはならない。

11-2．ディープフェイクは「声への信頼」を揺るがす

さらに、AIによって音声や映像を生成する技術も発達している。

これによって、本人に似せた声や映像を悪用する危険性が生じている。

たとえば、ある会社の経理担当者が電話を受けたとしよう。

相手の声は、普段から話している上司に似ている。

「急ぎの送金が必要だから、すぐ対応してほしい」

こうした状況で、声だけを根拠に本人だと判断するのは危険になる。

もちろん、実際にすべての詐欺電話で高度な音声生成が使われているわけではない。

しかし、技術の進歩によって、声や映像だけで本人確認をすることの信頼性が揺らいでいるのは確かだ。

だからこそ、重要な手続きでは、本人確認の方法を複数用意する必要がある。

登録済みの連絡先へ折り返す。

別の承認者が内容を確認する。

通常とは異なる送金先への変更を厳格に審査する。

こうした方法は、AIを使ったなりすましへの対策にもなる。

11-3．AIを使う側の企業にも、新しい情報漏えいリスクがある

AIのリスクは、外部から攻撃される場合だけではない。

企業自身がAIを利用する場合にも注意が必要だ。

たとえば、従業員が業務効率化のために、顧客情報が含まれる資料を外部のAIサービスへ入力したとする。

そのサービスの契約条件やデータの取扱いが、企業の情報管理方針に適合していなければ、情報管理上の問題が生じる可能性がある。

これは、AIが自動的に情報を盗むという話ではない。

どのような情報を、どのサービスへ、どの契約条件で提供しているのかという管理の問題だ。

さらに、AIが出力した情報が常に正しいとは限らない。

存在しない法律や資料を引用する。

誤った判断をもっともらしく説明する。

外部の文書に含まれる悪意ある指示の影響を受ける。

このような問題もある。

特に、外部から取得した文章などに紛れ込んだ指示によって、AIの動作を意図しない方向へ誘導しようとする攻撃は、プロンプトインジェクションと呼ばれる。

AIを企業システムや機密情報と連携させる場合、その影響は単なる回答の誤りにとどまらない可能性がある。

そのため、AIに与える権限や、AIが扱う情報の範囲を適切に管理する必要がある。

11-4．AIは攻撃者だけの道具ではない

ここまで読むと、AIは危険な技術だと感じるかもしれない。

しかし、そのような理解も正確ではない。

AIは、防御側にとっても有用な道具になり得る。

大量のログから不審な傾向を見つける。

膨大なセキュリティ情報を整理する。

ソフトウェアの弱点を発見するための分析を支援する。

事故発生時の情報整理を効率化する。

こうした用途が考えられる。

ただし、AIの分析結果にも誤りはあり得る。

誤検知や見逃しを前提に、専門家が結果を確認する仕組みが必要だ。

ここで重要なのは、AIが攻撃者と防御側の双方に利用される技術であることだ。

AIの発達によって、攻撃も防御も変化する。しかし、安全性が自動的に高まるわけでも、犯罪が必ず成功しやすくなるわけでもない。

技術をどのように組み込み、運用するかが問われるのである。

第12章　【国家安全保障】サイバー攻撃は、なぜ国と国の問題になるのか

ここまで、主に金銭目的の犯罪について説明してきた。

しかし、サイバー攻撃の目的は金銭だけではない。

国家の安全保障に関わる情報を盗もうとする攻撃もある。

社会の重要な機能を混乱させようとする攻撃もある。

政治的な主張を広めるために行われる攻撃もある。

ここからは、サイバー空間が国家安全保障とどのように関係しているのかを考えてみよう。

12-1．現代社会では、重要なインフラもデジタル技術に依存している

私たちの暮らしは、多くの重要インフラによって支えられている。

電力。

通信。

金融。

医療。

交通。

水道。

物流。

こうした仕組みには、さまざまな情報システムが利用されている。

もちろん、すべての設備がインターネットから直接操作できるわけではない。

重要な制御設備が外部ネットワークから隔離されている場合もある。

しかし、業務管理、情報連携、保守などのために、多様なデジタル技術が利用されていることは事実だ。

したがって、関連するシステムに重大な障害が発生した場合、現実のサービスにも影響が及ぶ可能性がある。

ここで考えてほしい。

ある地域で、通信と物流と金融のシステムに同時に大規模な障害が発生したとしたら。

たとえ直接の物理的破壊がなくても、社会生活には大きな混乱が生じるだろう。

つまり、国家の安全保障は、もはや軍事施設の防衛だけでは成立しない。

社会を支える情報システムの安全性も、重要な要素になっているのである。

12-2．サイバー攻撃は、誰が行ったのか判断しにくい

サイバー空間の大きな特徴の一つは、攻撃者の特定が難しい場合があることだ。

あるサーバーから不正な通信が確認されたとする。

しかし、そのサーバーが攻撃者本人の所有物とは限らない。

第三者によって侵害されたサーバーが、攻撃に利用されている可能性もある。

複数の国や地域の通信経路を経由している場合もある。

そのため、通信の発信元が特定の国にあるというだけで、その国の政府が攻撃を行ったと断定することはできない。

国家が関与した攻撃かどうかを判断するには、技術的な痕跡だけでなく、攻撃の目的、活動の継続性、組織の特徴、収集された情報など、複数の証拠を総合的に評価する必要がある。

このような攻撃主体の特定は、アトリビューションと呼ばれる。

しかし、その判断には不確実性が伴う場合がある。

ここが、国家間のサイバー問題を難しくしているのである。

なぜなら、攻撃者を正確に特定できなければ、誰に責任を問うべきなのか、どのような対応を取るべきなのかという判断も難しくなるからだ。

さらに、誤った判断によって無関係な国や組織を非難すれば、新たな外交問題に発展する可能性もある。

サイバー空間では、攻撃を防ぐ技術だけでなく、誰が何をしたのかを慎重に判断する能力も重要なのである。

12-3．国家が関与するサイバー攻撃と、一般的なサイバー犯罪の違い

ここで、一つの疑問が生まれる。

「国家が関与するサイバー攻撃と、お金を目的とした犯罪者の攻撃は何が違うのだろうか」

最大の違いの一つは、その目的にある。

金銭目的の犯罪者であれば、身代金の獲得や情報の売買など、経済的利益が主な動機となる場合が多い。

しかし、国家が関与する活動では、必ずしも直接的な金銭収入が目的とは限らない。

外交交渉に関係する情報を収集する。

軍事技術や先端技術に関する情報を入手する。

他国の政治・経済情勢を把握する。

有事に備えて重要インフラの弱点を調査する。

こうした活動には、国家安全保障上の目的が存在する可能性がある。

ここで注意したいのは、情報収集を目的とする活動が、必ずしも直ちにシステムの破壊につながるわけではないことである。

攻撃者が長期間、発見されないように内部へ潜伏し、情報を収集することも考えられる。

これは、戦国時代のお城に例えるなら、城を破壊するために攻め込むのではなく、城内に密偵を送り込み、兵力や作戦を調べる行為に近い。

一方、重要インフラを停止させることを目的とした攻撃であれば、その影響はさらに深刻になる。

電力供給が停止する。

通信機能が使えなくなる。

交通機関の運行に支障が出る。

医療サービスの継続が難しくなる。

こうした被害が発生すれば、企業の損失にとどまらず、多数の人々の生活や安全に影響する可能性がある。

ただし、国家が関与する攻撃と犯罪組織の活動を、常に明確に区別できるわけではない。

犯罪組織と国家との関係が疑われる場合もあれば、金銭目的と情報収集目的が重なっている場合もある。

だからこそ、表面的な攻撃手法だけで、その背景にある目的や主体を断定することはできない。

サイバー攻撃を理解するためには、「どのような技術が使われたか」だけでなく、「誰が、何のために、何を狙ったのか」という視点が必要なのである。

12-4．日本が進める「能動的サイバー防御」とは何か

ここで、2026年の日本における重要な政策の変化にも触れておきたい。

2025年5月16日、日本では「サイバー対処能力強化法」とその関連整備法が成立した。

これは、深刻化するサイバー攻撃に対し、国としての対応能力を強化するための法制度である。

さらに2025年7月には、従来の内閣サイバーセキュリティセンターを改組し、国家サイバー統括室が設置された。

この政策を理解するうえで重要な言葉がある。

「能動的サイバー防御」だ。

従来の防御をお城に例えるなら、敵が城壁へ近づき、実際に攻撃してきた段階で迎え撃つというイメージがわかりやすい。

これに対して、能動的サイバー防御では、重大な被害が発生する前の段階から、攻撃の兆候を把握し、被害を防止するための対応能力を高めることが重視される。

具体的な制度には、官民の情報共有、一定の通信情報の利用、法律に定められた条件の下でのアクセス・無害化措置などが含まれる。

ただし、ここには重要な論点が存在する。

国家の安全を守るためであれば、どのような通信でも自由に監視してよいのだろうか。

当然、そのような単純な話ではない。

通信の秘密。

個人のプライバシー。

適正な手続き。

権限の濫用を防ぐ仕組み。

こうした価値も、民主主義社会にとって欠かせないものである。

そのため、制度の運用においては、法律上の要件や監督・統制の仕組みを踏まえた対応が必要になる。

さらに、法律が成立したことと、すべての制度や能力が直ちに完成することも同じではない。

実際の効果は、運用体制、人材、技術、国際連携などによって左右される。

ここで理解しておきたいのは、国家のサイバーセキュリティには二つの課題が存在することだ。

一つは、社会を脅かす攻撃を防止すること。

もう一つは、そのための権限が適切に使われることを確保することである。

安全を守ることと、自由を守ること。その両立こそが、民主主義国家におけるサイバー安全保障の重要な課題なのである。

12-5．サイバー空間の安全は、一国だけでは実現できない

最後に、国際協力について考えてみよう。

インターネットには、国境を越えて通信できるという特徴がある。

日本の企業が利用するクラウドサービスが、海外の設備で運用されている場合もある。

日本国内のサーバーに対する攻撃が、複数の国のネットワークを経由して行われる場合もある。

盗まれた情報が、海外のシステムに保存される可能性もある。

このような状況では、一国の警察やセキュリティ機関だけで、すべての問題に対応することは難しい。

攻撃に利用された設備の調査。

犯罪組織の摘発。

脅威に関する情報共有。

国際的なルールの整備。

こうした取り組みには、国境を越えた協力が必要になる。

しかし、国によって法律や捜査権限、外交関係などが異なるため、連携が容易でない場合もある。

また、他国の主権に関わる問題も存在する。

つまり、サイバーセキュリティは、技術だけで解決できる問題ではない。

法律、外交、国際政治、経済、安全保障が密接に結びついた問題なのである。

第13章　【歴史から考える】サイバー攻撃は、どのように進化してきたのか

ここまで読んで、次のように感じた人もいるかもしれない。

「昔は、これほどサイバー攻撃が問題になっていなかったのではないか」

確かに、現代のサイバー攻撃は、企業活動や社会全体に大きな影響を及ぼすようになっている。

しかし、コンピューターの安全性に関する問題は、最近になって突然生まれたものではない。

その歴史を振り返ると、現在の問題がより理解しやすくなる。

13-1．コンピューターの普及とともに、攻撃の可能性も広がった

かつて、コンピューターを利用できる場所は限られていた。

大学。

研究機関。

政府機関。

大企業。

こうした組織が、主な利用者だった時代がある。

しかし、パーソナルコンピューターの普及によって状況が変わった。

個人がコンピューターを所有するようになり、ソフトウェアやデータをやり取りする機会が増えていった。

その過程で、コンピューターウイルスなども問題となった。

さらに、インターネットの普及によって、世界中の機器が通信できるようになる。

これは、情報社会にとって大きな進歩だった。

離れた場所にいる人と連絡する。

世界中の情報を調べる。

商品を購入する。

金融取引を行う。

こうしたことが、コンピューターを通じて可能になった。

しかし、利便性が高まる一方で、悪意ある第三者が遠隔から攻撃を試みる機会も増えた。

お城で考えれば、かつては周囲の街道からしか近づけなかった城が、世界中の都市と直接つながるようになった状態だ。

物流や交流は便利になる。

しかし、それだけ多くの出入り口を管理しなければならなくなる。

インターネットの発展は、人々の可能性を広げると同時に、新しい安全保障上の課題を生み出したのである。

13-2．攻撃の目的は、単なる技術的な挑戦から金銭・情報へと広がった

サイバー攻撃の歴史を考える際には、攻撃者の動機が一様ではないことにも注目したい。

技術的な能力を誇示したい。

自分の存在を知らしめたい。

政治的な主張を表現したい。

企業の情報を盗みたい。

金銭を獲得したい。

こうしたさまざまな動機が、異なる時代や集団に存在してきた。

重要なのは、時代とともに、金銭目的の攻撃が組織的な犯罪活動として発展してきたことである。

特に、企業が業務システムやデータに大きく依存するようになったことは、攻撃者にとって新たな脅迫の材料となった。

企業は情報システムが使えなければ、業務を継続できないことがある。

そのため、データを暗号化して利用不能にする攻撃が、金銭要求の手段として成立する。

さらに、盗み出した情報の公開を脅すことで、攻撃者は圧力を強める。

これは、第7章で説明したランサムウェアの構造そのものだ。

ここに、歴史的な変化が見えてくる。

コンピューターを壊すこと自体が目的なのではなく、コンピューターに依存する社会の仕組みを利用して利益を得ようとする犯罪が存在しているのである。

13-3．「城壁で守る時代」から「侵入を前提に被害を抑える時代」へ

セキュリティの考え方も、時代とともに変化している。

かつては、組織のネットワークと外部のインターネットとの境界を守ることが、重要な防御方法だった。

社外からの不正な通信を遮断する。

社内の利用者には、必要なシステムを提供する。

これ自体は、現在でも重要な考え方である。

しかし、クラウドサービスやリモートワークが普及すると、社内と社外の境界だけでは安全性を判断しにくくなる。

従業員が自宅からクラウドサービスへアクセスする。

取引先が共同システムを利用する。

スマートフォンから業務データを確認する。

こうした環境では、ネットワークの内側にいるから安全だとは限らない。

そこで重要になるのが、「ゼロトラスト」という考え方である。

ゼロトラストとは、社内外の場所だけを根拠に無条件で信頼するのではなく、利用者や端末、アクセス条件などを確認し、必要な範囲でアクセスを許可する考え方だ。

これは、「すべての人間を犯罪者として疑う」という意味ではない。

一度信頼したからといって、その後のすべての操作まで無条件に安全だと判断しない、ということなのである。

お城で例えるなら、正門で通行証を確認しただけで、城内のすべての部屋へ自由に入れる仕組みを改めることだ。

武器庫へ入るには、武器庫の権限を確認する。

財宝を扱うには、さらに厳しい確認を行う。

不自然な行動があれば、改めて確認する。

こうした多層的な防御が重要になる。

ただし、ゼロトラストという言葉を掲げただけで、安全が実現するわけではない。

適切な認証、権限管理、端末管理、監視などを継続的に運用して、初めて意味を持つ。

現代のセキュリティでは、侵入を防ぐことに加え、侵入されても被害を広げない設計が必要なのである。

第14章　【個人でできる対策】私たちは、何をすれば自分の情報を守れるのか

ここまで、企業や国家のサイバーセキュリティについて考えてきた。

しかし、記事を読んでいる多くの人にとって、最も気になるのは次の疑問だろう。

「結局、自分は何をすればよいのか」

ここからは、専門知識がなくても取り組める対策を具体的に紹介していこう。

大切なのは、すべての対策を一度に完璧に実施しようとすることではない。

危険性の高い部分から、着実に改善することである。

14-1．同じパスワードを使い回さない

最初に確認してほしいのが、パスワードの管理だ。

あなたは、複数のサービスで同じパスワードを使用していないだろうか。

ネット通販。

SNS。

メール。

動画配信サービス。

銀行関連のサービス。

これらに同じパスワードを使っていた場合、一つのサービスから認証情報が漏れることで、別のサービスへの不正ログインを試みられる可能性がある。

これは「パスワードリスト攻撃」などで悪用される問題だ。

たとえば、あるお城の倉庫の鍵が盗まれたとしよう。

もし、その鍵で寝室も金庫も正門も開けられるなら、被害は倉庫だけでは済まない。

パスワードの使い回しも、これと似ている。

対策として重要なのは、サービスごとに異なる、十分に長く推測されにくいパスワードを設定することだ。

そして、すべてを暗記しようとする必要はない。

信頼できるパスワード管理機能やパスワードマネージャーを活用すれば、複数の認証情報を管理しやすくなる。

特に、メールアカウントの安全性は重視したい。

なぜなら、多くのサービスでは、パスワードの再設定にメールが利用されるからだ。

メールアカウントが不正利用されれば、ほかのサービスにも影響が広がる可能性がある。

最初に守るべき重要な鍵の一つは、普段使っているメールアカウントなのである。

14-2．多要素認証で、盗まれた鍵だけでは入れないようにする

次に重要なのが、多要素認証だ。

多要素認証とは、パスワードなど一つの要素だけに頼らず、異なる種類の確認方法を組み合わせる認証方式である。

たとえば、パスワードに加えて、認証アプリやセキュリティキーなどを利用する方法がある。

この仕組みがあれば、仮にパスワードが漏えいしても、それだけで不正ログインされる危険性を抑えられる。

ただし、多要素認証も万能ではない。

偽のログイン画面によって認証情報を盗み取る攻撃や、利用者をだまして認証を承認させる手口なども存在する。

そのため、利用できるサービスでは、フィッシングに強いパスキーやセキュリティキーなどを検討することも有効だ。

パスキーは、対応するサービスにおいて、公開鍵暗号などの仕組みを利用して本人確認を行う方式である。

パスワードを毎回入力する必要を減らし、偽サイトへの認証情報の入力を防ぎやすくする利点がある。

しかし、端末の紛失時に備えた回復手段の管理も忘れてはいけない。

重要なのは、新しい技術を使っているという安心感ではない。

その認証方法が、何を防ぎ、何を防げないのかを理解することである。

14-3．不審なメッセージは、リンクではなく公式経路から確認する

続いて、フィッシングへの対策だ。

第9章では、詐欺が人間の不安や焦りを利用することを説明した。

ここで実践してほしいのは、非常に単純な行動である。

「重要なお知らせが届いたから、すぐにメール内のリンクを押す」

この習慣を見直してほしい。

たとえば、銀行から次のようなメッセージが届いたとする。

「不審な取引が確認されました。至急、本人確認を行ってください」

本当に重要な連絡である可能性もある。

しかし、偽物である可能性もある。

そこで、メッセージ内のリンクをそのまま使うのではなく、普段から使用している公式アプリや、あらかじめ登録した公式サイトから確認する。

必要であれば、公式に案内されている問い合わせ先へ連絡する。

これだけでも、偽サイトへ誘導される危険性を減らせる。

そして、もう一つ大切なのが、送信者名だけで判断しないことだ。

メールの表示名。

企業のロゴ。

自然な日本語。

知っている人物の名前。

これらは、正規の連絡であることの決定的な証拠にはならない。

本物らしく見えるかどうかではなく、本物であることを確認できるかどうか。

この違いを意識することが重要なのである。

14-4．ソフトウェアの更新を先延ばしにしない

スマートフォンやパソコンには、定期的に更新の案内が表示される。

しかし、忙しいときには後回しにしてしまうこともあるだろう。

「今は問題なく使えているから大丈夫」

そう感じるかもしれない。

だが、更新プログラムには、使いやすさを改善するものだけでなく、セキュリティ上の弱点を修正するものも含まれる。

つまり、更新を先延ばしにすることで、すでに知られている弱点が残り続ける場合がある。

もちろん、業務システムなどでは、更新前に動作確認が必要になることもある。

しかし、個人が利用する一般的なスマートフォンやパソコンでは、提供元が推奨する更新を適切に適用することが基本的な対策となる。

また、更新が提供されなくなった古い機器やソフトウェアについても注意が必要だ。

使えることと、安全に使い続けられることは同じではない。

「故障していないから大丈夫」ではなく、「安全性を維持できているか」という視点が必要なのである。

14-5．大切なデータは、別の場所にも保存する

ここで考えてほしい。

あなたのスマートフォンが、明日突然使えなくなったとしたら。

家族の写真。

仕事の資料。

大切な連絡先。

保存していた動画。

これらを復元できるだろうか。

サイバーセキュリティは、情報を盗まれることだけを防ぐものではない。

第2章で説明した可用性、つまり必要な情報を利用できる状態を維持することも重要だ。

そのために必要なのが、バックアップである。

ただし、単にコピーを作成するだけでは十分とは限らない。

同じ機器の中にしか保存していない。

元のデータと同じアカウントで、すべてのコピーを削除できる。

バックアップが正常に保存されているか確認していない。

こうした状態では、障害や不正アクセスによって同時に失われる可能性がある。

そのため、異なる保存先を活用し、重要なデータについては通常の操作から隔離されたコピーを確保することが望ましい。

また、クラウドの同期機能とバックアップは、必ずしも同じではない。

ある端末で誤って削除したデータが、ほかの端末にも同期されてしまう場合があるからだ。

保存先の仕組みや復元機能を理解しておく必要がある。

そして、実際に復元できるかを確認することも忘れてはいけない。

バックアップは、保存することが目的ではない。必要なときに取り戻すために存在するのである。

14-6．もし個人情報が漏えいしたら、どうすればよいのか

ここまで読んで、次のような不安を感じている人もいるだろう。

「すでに自分の情報が漏れていたら、どうすればよいのか」

最初に理解しておきたいのは、情報漏えいと、その後に発生する不正利用は別の問題だということだ。

たとえば、メールアドレスが漏れたからといって、直ちに銀行口座からお金が引き出されるわけではない。

しかし、漏えいした情報が、別の詐欺やなりすましに利用される可能性はある。

そのため、何が漏えいした可能性があるのかを確認する必要がある。

メールアドレスだけなのか。

パスワードも含まれるのか。

氏名や住所なのか。

クレジットカード情報なのか。

漏えいした情報の種類によって、必要な対応は変わる。

パスワードの漏えいが疑われるなら、そのサービスの認証情報を変更する。

同じパスワードを別のサービスでも使用していた場合は、そちらも変更する。

不審なログイン履歴がないか確認する。

利用できる多要素認証を設定する。

クレジットカード情報の悪用が疑われる場合は、カード会社へ相談し、利用明細を確認する。

また、不正アクセスの疑いがあるときは、信頼できる別の端末からアカウントの保護を行う必要が生じる場合もある。

ここで重要なのは、慌てて行動しないことだ。

特に、情報漏えいを口実にした偽の案内にも注意が必要である。

「あなたの情報が流出しました。こちらで確認してください」

こうしたメッセージ自体が、詐欺である可能性もある。

被害が疑われるときほど、公式の情報を確認し、状況に応じて適切な対応を取ることが重要なのである。

第15章　【企業・自治体の対策】本当に強い組織は、何を優先しているのか

ここまで、個人が実践できる対策を説明してきた。

では、企業や自治体は何をすればよいのだろうか。

最初に伝えたいことがある。

サイバーセキュリティは、IT担当者だけの仕事ではない。

もちろん、専門的な技術を理解する人材は必要だ。

しかし、何に予算を使い、どの業務を優先的に守り、事故が起きた場合にどのような判断をするのか。

こうした問題には、経営層の関与が欠かせない。

15-1．すべてを同じ強さで守るのではなく、重要なものを見極める

企業には、さまざまな情報やシステムが存在する。

顧客情報。

従業員情報。

設計図面。

会計データ。

生産管理システム。

社内の連絡手段。

これらの重要性は、必ずしも同じではない。

たとえば、製造業で生産管理システムが停止すれば、工場全体に影響する可能性がある。

医療機関で診療に必要なシステムが停止すれば、患者への対応に支障をきたすおそれがある。

一方、利用頻度が低く、代替手段が存在するシステムもあるかもしれない。

そこで必要になるのが、守るべき資産とリスクの把握だ。

何が存在するのか。

誰が管理しているのか。

どのような情報が保存されているのか。

どのシステムと接続しているのか。

停止した場合、何が起こるのか。

こうした情報を整理する。

そして、被害の大きさや発生可能性などを踏まえ、優先順位を決める。

これは、限られた予算を有効に使うためにも重要な考え方である。

お城の防衛でも、すべての部屋へ同じ人数の兵士を配置するわけにはいかない。

財宝がある場所。

食料を保管する場所。

城門を制御する場所。

こうした重要な地点を把握する必要がある。

セキュリティの第一歩は、高価な製品を購入することではなく、自分たちが何を守らなければならないのかを知ることなのである。

15-2．侵入を防ぐ対策と、被害を広げない対策を分けて考える

組織が実施する対策には、複数の役割がある。

一つは、侵入を防ぐこと。

もう一つは、侵入された場合に被害を小さくすることだ。

たとえば、多要素認証や脆弱性の修正は、不正アクセスの危険性を低減するために重要となる。

一方、権限の適切な制限やネットワークの分離は、侵入後の被害拡大を抑える役割を持つ。

さらに、監視やログの保存は、不審な活動を発見し、事故の状況を調査するために役立つ。

そして、バックアップや事業継続計画は、被害発生後の復旧を支える。

ここで理解しておきたいのは、一つの製品ですべてを解決することは難しいということだ。

高性能なファイアウォールを設置しても、盗まれた認証情報による不正利用を完全に防げるとは限らない。

ウイルス対策ソフトを導入しても、クラウドの権限設定が誤っていれば、情報が漏えいする可能性がある。

バックアップを取得していても、復旧手順が整備されていなければ、業務再開に時間がかかるかもしれない。

だからこそ、複数の対策を組み合わせる「多層防御」が必要になる。

侵入させない。侵入されても広げない。異常を発見する。被害から復旧する。

この一連の能力を整えることが重要なのである。

15-3．「事故は起きない」という前提を捨てる

ここで、企業経営者にとって特に重要な考え方を紹介したい。

それは、事故が起きる可能性を前提として準備することだ。

これは、サイバー攻撃を防ぐ努力を諦めるという意味ではない。

どれほど対策を講じても、危険性を完全にゼロにすることは難しい。

そのため、万が一の被害に備えておく必要がある。

たとえば、ある企業でランサムウェアが確認されたとしよう。

このとき、誰が最初に判断するのだろうか。

どの部署へ連絡するのだろうか。

どのシステムを停止すべきなのだろうか。

顧客や取引先へ、いつ、何を伝えるのだろうか。

警察や専門機関へ、どのように相談するのだろうか。

事前に決めていなければ、混乱した状況の中で一つずつ判断しなければならない。

しかも、通常利用しているメールや社内チャットが使えなくなる可能性もある。

そのため、緊急時の連絡先や代替通信手段も考えておく必要がある。

また、事故発生時には、被害拡大の防止と、原因調査に必要な証拠の保全を両立させなければならない。

状況を十分に把握しないまま、すべての機器を初期化してしまえば、調査に必要な情報が失われる可能性もある。

初動対応では、専門家と連携し、状況に応じた判断を行うことが望ましい。

さらに、事業継続計画、いわゆるBCPの整備も重要となる。

システムが利用できなくなったとき、紙の書類や代替手段で継続できる業務はあるだろうか。

重要な連絡先を、通常のシステム以外から確認できるだろうか。

復旧させる業務の優先順位は決まっているだろうか。

こうした準備が、被害の大きさを左右する。

本当に強い組織とは、事故が絶対に起きない組織ではなく、事故が起きても被害を抑え、立て直す力を持つ組織なのである。

15-4．委託先とクラウドサービスを「見えない城壁」にしない

第1章で紹介したIDCフロンティアとシチズン時計の事例を思い出してほしい。

これらの事例は、外部サービスや委託先との関係を考えるうえで重要な示唆を持つ。

企業がクラウドサービスを利用すること自体が危険なのではない。

外部委託そのものが悪いわけでもない。

むしろ、専門性の高い事業者のサービスを利用することで、安全性が向上する場合もある。

問題は、どこまでを委託先が管理し、どこからを利用企業が管理するのかが曖昧になることだ。

クラウドサービスでも、利用者側に一定の設定や管理の責任が残る場合がある。

たとえば、サービス事業者が基盤を適切に保護していても、利用企業がアクセス権限を誤って設定すれば、情報漏えいにつながる可能性がある。

そのため、契約時には次のような点を確認することが重要となる。

どのようなデータを預けるのか。

誰がアクセスできるのか。

事故発生時に、どのような連絡が行われるのか。

バックアップや復旧は、誰が担当するのか。

契約終了時に、情報はどのように扱われるのか。

また、委託先に過度な負担を押し付けるだけでは、サプライチェーン全体の安全性は高まらない。

大企業が中小企業に対策を要求するのであれば、必要に応じて情報提供や支援を行うことも重要だ。

自社だけが安全であればよいという時代は、すでに終わりつつある。

つながっている企業同士が、安全性についても協力する必要があるのである。

15-5．2026年のIPAガイドラインが示す、現実的な対策の重要性

ここで、2026年に改訂された公的なガイドラインにも注目したい。

IPAは2026年3月27日、「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開した。

この改訂では、サプライチェーン全体の安全性や人材不足など、現実の企業が抱える課題が重視されている。

また、従来の「情報セキュリティ5か条」にバックアップを取ることが加えられ、「情報セキュリティ6か条」となった。

これは象徴的な変化だ。

セキュリティというと、不正アクセスを防ぐことばかりに目が向きやすい。

しかし、被害に遭った後にデータを取り戻す能力も、重要な対策として位置づけられている。

さらに、企業が実施すべき対策を、経営者向けの考え方と実務的な手順の両方から整理している点にも意味がある。

すべての企業が、大規模なセキュリティ部門を設置できるわけではない。

特に中小企業では、予算や人材に限りがある。

だからこそ、できることから段階的に取り組むことが必要になる。

重要なのは、完璧なセキュリティを目指すという抽象的な目標ではなく、自社の危険性を把握し、改善を積み重ねることである。

第16章　【社会全体の課題】サイバーセキュリティを「自己責任」で終わらせてはいけない理由

ここまで、個人、企業、国家という三つの立場から、サイバーセキュリティを考えてきた。

しかし、最後にもう一つ重要な論点がある。

それは、サイバーセキュリティを、個人や一企業の努力だけで解決できる問題として捉えてよいのかということだ。

16-1．「利用者が気をつければよい」では解決しない

サイバー攻撃のニュースが報じられると、しばしば次のような意見が出てくる。

「怪しいメールを開かなければよかった」

「パスワードをもっと複雑にすればよかった」

「企業の管理が甘かったのではないか」

もちろん、適切な管理や注意は重要だ。

しかし、こうした考え方だけでは、問題の本質を見落とす可能性がある。

たとえば、利用者が不審なメールを開いてしまったとする。

その結果、重大な被害が発生した場合、原因を利用者の判断ミスだけに求めるべきなのだろうか。

偽サイトへのアクセスを検知できなかったのかもしれない。

不正なログインを防ぐ仕組みが不十分だったのかもしれない。

一つのアカウントに過大な権限が与えられていたのかもしれない。

被害の拡大を防ぐ仕組みが整備されていなかったのかもしれない。

もちろん、すべての事故において、これらの問題が存在するとは限らない。

しかし、原因を一つに決めつけず、複数の要因を検討する必要がある。

ここで参考になるのが、安全工学の考え方だ。

航空機や鉄道など、安全性が重要な分野では、人間の判断ミスが発生する可能性を前提に、複数の安全対策を組み合わせる。

一つの失敗だけで、重大事故へ直結しないようにするためだ。

サイバーセキュリティでも、同じ発想が必要になる。

人間の注意力を高めることは重要だが、人間の注意力だけに安全を依存させてはいけないのである。

16-2．情報を預かる企業には、社会的な責任がある

私たちは日常生活の中で、多くの企業に個人情報を提供している。

商品を購入する。

会員登録をする。

問い合わせをする。

サービスを予約する。

こうした場面で、氏名や住所、メールアドレスなどの情報を入力する。

利用者は、その情報を適切に管理してもらえるという信頼を前提にサービスを利用している。

しかし、一度提供した情報が、企業内部でどのように管理されているのかを、一般の利用者がすべて確認することは難しい。

どの委託先へ情報が渡っているのか。

どのようなサーバーへ保存されているのか。

誰がアクセス権限を持っているのか。

どの程度の期間、保管されるのか。

こうした情報は、利用者から見えにくい場合がある。

経済学では、取引の当事者が持つ情報の量や質に差がある状態を「情報の非対称性」と呼ぶ。

個人情報の管理にも、この考え方を当てはめることができる。

企業は内部の管理状況を把握しやすい一方、利用者は十分に把握できない場合がある。

だからこそ、企業には、必要な情報を適切に管理し、事故が起きた場合には事実に基づいて説明する責任が求められる。

ただし、事故を公表した企業が、必ずしも公表していない企業より危険だというわけではない。

適切な調査と情報開示を行うことは、信頼を回復するための重要な行動でもある。

情報を守る責任と、問題が起きた場合に誠実に説明する責任。この両方が、デジタル社会の信頼を支えているのである。

16-3．サイバー攻撃への対策は、社会全体の「防災」に似ている

最後に、少し異なる視点から考えてみたい。

サイバーセキュリティは、防災と似ている部分がある。

地震がいつ、どこで発生するのかを、正確に予測することは難しい。

それでも、私たちは対策を行う。

建物の耐震性を高める。

避難経路を確認する。

非常用の物資を備える。

家族との連絡方法を決める。

被害が発生した場合に備えて、復旧の計画を立てる。

なぜ、こうした準備をするのだろうか。

それは、危険性を完全にゼロにできなくても、被害を減らすことはできるからだ。

サイバーセキュリティも同じである。

不正アクセスを防ぐ。

重要なデータを保護する。

異常を早期に発見する。

被害の拡大を抑える。

必要な機能を復旧する。

こうした一連の取り組みが重要となる。

もちろん、地震とサイバー攻撃には大きな違いがある。

地震は自然現象だが、サイバー攻撃には人間の意図が存在する。

攻撃者は、防御側の対策を観察し、手法を変える可能性がある。

そのため、セキュリティ対策も継続的に改善する必要がある。

しかし、危険性を理解し、被害を小さくするために備えるという点では、防災から学べることが多い。

そして、防災が家庭だけの努力では成立しないように、サイバーセキュリティも個人だけの努力では成立しない。

家庭。

企業。

自治体。

政府。

専門機関。

サービス提供事業者。

それぞれが役割を果たし、必要な情報を共有することで、社会全体の安全性が高まる。

サイバーセキュリティは、一部の専門家だけが取り組む特殊な問題ではなく、現代社会全体で備えるべき課題なのである。

終章　【総括】本当に守るべきものは、コンピューターではなく、私たちの生活そのものだ

ここまで、2026年10月に日本で相次いだサイバー攻撃のニュースを出発点として、セキュリティの基本から、犯罪の仕組み、経済学、人間の心理、国家安全保障、そして具体的な対策まで考えてきた。

最初に紹介したのは、IDCフロンティアやシチズン時計などに関する出来事だった。

一見すると、企業の情報システムに関する専門的なニュースに思えるかもしれない。

しかし、その背景を詳しく見ていくと、問題は決して企業のコンピューターだけにとどまらないことがわかる。

クラウドサービスの障害が、多数の利用者へ影響する。

委託先への不正アクセスによって、別の企業が保有する顧客情報に危険が及ぶ。

古いソフトウェアの弱点が、企業の事業継続を脅かす。

盗まれた認証情報によって、正規の利用者になりすまされる。

ランサムウェアによって、重要なデータが利用できなくなる。

これらは、決して別々の問題ではない。

私たちの社会が、デジタル技術によって深く結びついていることの裏返しなのである。

ここで、本記事を通じて最も伝えたかったことを整理したい。

第一に、セキュリティとは、単に不正アクセスを防ぐことではない。

情報の機密性、完全性、可用性を守り、問題が発生しても必要な機能を維持・回復するための仕組みである。

第二に、サイバー攻撃は、必ずしも高度なプログラムによって行われるわけではない。

盗まれたパスワード。

不十分な権限設定。

更新されていないソフトウェア。

人間の心理を利用した詐欺。

こうした複数の要素が、攻撃のきっかけになる。

第三に、犯罪者の行動には、経済的な合理性が存在する場合がある。

攻撃に必要な費用と、被害者が受ける損失は必ずしも対称ではない。

そのため、防御側は侵入を防ぐだけでなく、攻撃された場合の被害や、犯罪者が得られる利益を小さくすることも考えなければならない。

第四に、現代の企業は単独で存在しているわけではない。

取引先、委託先、クラウドサービス、通信ネットワークなど、さまざまな仕組みに依存している。

自社の対策だけでなく、依存するサービスや取引関係全体のリスクを考える必要がある。

そして第五に、個人が取るべき対策は、決して特別なものばかりではない。

パスワードを使い回さない。

多要素認証を設定する。

公式の経路から情報を確認する。

ソフトウェアを適切に更新する。

重要なデータをバックアップする。

これらの基本的な行動にも、確かな意味がある。

もちろん、こうした対策をすべて実施したとしても、危険性が完全に消えるわけではない。

しかし、危険性を減らすことはできる。

そして、問題が起きた場合の被害を小さくすることもできる。

ここで、改めて最初の「お城」の比喩へ戻りたい。

私たちは、長い歴史の中で、財産や生活を守るために城壁を築いてきた。

高い壁を作る。

門に鍵を掛ける。

兵士を配置する。

敵の侵入に備える。

しかし、どれほど頑丈な城であっても、絶対に陥落しないと保証することは難しい。

だからこそ、人々は城壁の内側にも防御を設け、食料を備え、避難経路を確保してきた。

現代のサイバーセキュリティも、これと同じである。

パスワードは鍵。

ファイアウォールは門番。

アクセス権限は通行証。

バックアップは予備の保管庫。

事故対応計画は避難と復旧の手順。

そして、セキュリティを理解し、適切に行動する人々は、城を守るために欠かせない存在だ。

ただし、現代のお城には、戦国時代とは決定的に異なる特徴がある。

その城壁は、私たちの目には見えない。

銀行のシステムが、どこに設置されているのか。

病院の診療記録が、どのように管理されているのか。

ネット通販の注文情報が、どのような経路を通っているのか。

普段の生活で、私たちが意識することはほとんどない。

しかし、見えないからといって、存在しないわけではない。

そして、見えないからといって、安全性を考えなくてよいわけでもない。

2026年10月の日本で報じられた一連の出来事は、私たちに重要な問いを投げかけている。

便利さを追求する社会は、その便利さを支える仕組みの安全性に、どれほど向き合っているだろうか。

システムが正常に動いているとき、セキュリティ対策の価値は見えにくい。

問題が起きなければ、その重要性を実感する機会も少ない。

しかし、一度大きな障害が発生すると、私たちは初めて、どれほど多くのものをデジタル技術に依存していたのかを知ることになる。

だからこそ、事故が発生してから考えるのでは遅い場合がある。

大切なのは、必要以上に恐れることではない。

危険の仕組みを理解すること。

守るべき情報を把握すること。

できる対策から実行すること。

そして、問題が起きても立て直せるように備えることである。

最後に、この記事を通じて最も伝えたかった言葉を残したい。

サイバーセキュリティとは、コンピューターを守るためだけの技術ではない。

その向こう側にある、人々の暮らし、仕事、財産、そして社会の信頼を守るための取り組みなのである。

私たち一人ひとりが、その意味を理解すること。

そこから、より安全なデジタル社会への第一歩が始まる。