脅威ハンティングという転換点【前編】～5年間気づかれなかった侵入者と、経営に求められる新しい問い

政府が「脅威」を公式に認めた

まず、事実を確認しておきたい。

2026年7月31日、高市総理は総理大臣官邸で第6回サイバーセキュリティ戦略本部を開催した。この日決定されたのは、「サイバーセキュリティ2026」、「重要インフラのサイバーセキュリティ対策のための統一基準」、そして冒頭に示した「脅威ハンティングの普及促進・実施等に係る基本方針」等である。

基本方針は、脅威ハンティングをこう定義している。

従来のセキュリティ対策では検知が困難なサイバー脅威を自発的に探索する活動

短い一文だが、ここには重大な前提が埋め込まれている。従来の対策では検知が困難——つまり、これまで我々が積み上げてきた壁も警報も、通用しない相手がいる、と政府が公式に認めたということだ。では、その通用しない相手とは何者か。

合鍵と社員証を持った侵入者

基本方針が背景として挙げるのは、「ゼロデイ脆弱性ゼロデイ脆弱性：開発元が把握していない、または修正プログラムがまだ提供されていない未知の脆弱性。詳しく見る →の悪用」と、「LOTL攻撃」と呼ばれる手口である。

このLOTL攻撃というのが、実に厄介だ。元々は軍事用語で Living Off The Land、直訳すれば「現地調達で生きる」、基本方針では「システム内寄生戦術」という日本語を当てている。私は「現地調達攻撃」と呼んでいる。攻撃者が何らかの方法で侵入後、ウイルスや攻撃ツールを持ち込むのではなく、そのシステムに元から入っている正規の管理ツールやコマンドをそのまま使い、認証情報を盗み、内部の情報を集めて回るような手口である。

例えるならば、泥棒はバールを持ち込むのではない。あなたの会社の合鍵と社員証を手に入れ、御社の制服を着て、社内を堂々と歩きまわっているのだ。防犯カメラにもしっかり映っている。警備員も社員も見ている。だが誰も不審に思わない。なぜなら、それがいつもの光景だからだ。

従来のウイルス対策は、いわば「見慣れない道具を持った人を見つける」仕組みだった。バールを持っていればおかしいとわかる。ところがLOTL攻撃の相手は、侵入者とわかるような道具を持ってこない。御社のドライバーを、御社の脚立を、御社の鍵束を使う。何一つ持ち込まないから、入口でも社内でも、侵入を防ぐのが困難になる。

基本方針が引く実例が象徴的だ。中国の支援を受けるとされるサイバーグループ「Volt Typhoon」が、グアム等の米軍・政府機関や重要インフラの機能停止等を目的として、「LOTL戦術」等を用いて情報システム・ネットワークに長期間侵入・潜伏した事案である。

アメリカの政府機関であるサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）等が2024年2月に出した勧告は、こう書いている。

Volt Typhoonの攻撃者が、一部の被害者のIT環境内で、少なくとも5年間にわたりアクセスと足がかりを維持していた兆候を、最近確認した

狙われたのは主に通信、エネルギー、輸送、上下水道の各分野だという。

5年である。5年間、誰も気づかなかった。

しかもこの潜伏は、情報を盗むためだけのものではないとされる。有事の際に社会機能を止めるための、事前準備という見方がある。つまり、まだ何も起きていない。何も起きていないまま、5年分の足がかりが築かれていたということだ。

「短くなっていない」という不都合な事実

これは特別に運の悪い一例なのだろうか。

侵入から発覚までの日数を、業界では「滞留時間（dwell time）」と呼ぶ。アメリカのサイバーセキュリティ専門企業であるMandiantの年次調査「M-Trends 2025」によれば、滞留時間の世界の中央値は2023年が10日、2024年が11日である。1年で1日延びている。

数字そのものより、私は「短くなっていない」という事実のほうが重いと考えている。

この10年、世界中の企業がセキュリティに投資してきた。検知製品を導入し、監視サービスを契約し、体制を組んできた。それでもなお、気づくまでの日数は短くなっていない。同じ調査では、自組織で気づいた場合より、外部から知らされた場合のほうが、滞留時間が長いことも示されている。多くの組織は、いまだに「教えてもらって初めて知る」のである。

ここで、経営者に一度立ち止まっていただきたい。

「うちは侵入されていない」と言えるのは、侵入されていないからでしょうか。それとも、気づく仕組みを持っていないからでしょうか。

この二つは、外から見ると区別がつかない。どちらも「特に問題は起きていません」という同じ報告になる。区別がつかないまま「大丈夫です」と報告が上がってくる組織を、私は数え切れないほど見てきた。そして、その「大丈夫」が崩れたときに呼ばれるのが、私たちの仕事だった。

脅威ハンティングは「狩り」ではなく「見回り」

さて、ここからが本題である。

私は「脅威ハンティング」という言葉に、率直に言って引っかかっている。

日本語にすると「脅威の狩猟」だ。狩りである。特殊部隊が完全武装で獲物を追い詰めていく絵が浮かぶ。腕利きの専門家が、高価な道具を揃えて、いかにも高度なことをやる——そういう響きがある。

その結果どうなるか。多くの経営者はこう思う。

「なるほど立派なことだ。しかし、うちには関係ない」

これは言葉が引き起こす誤解である。しかも、極めて有害な誤解だ。

思い出したことがある、昔、海外の専門家は、改ざんされたサイトに獲物が来るのを待ち構える攻撃を「水飲み場攻撃」と名付けた。狩猟思考が中心の方々の発想ではないかと思った。水飲み場（オアシス）に潜んで、寄ってきた獲物を仕留める。ところが農耕思考が中心の私たちがこの言葉を聞くと、多くの人は「水飲み場に毒を撒く攻撃」を想像してしまう。獲物を待ち伏せる話なのに、水源を汚染し、水を飲みに来た動物を仕留めるイメージを持つのだ。だから私は当時から「標的待ち伏せ攻撃」と呼んできた。

言葉が違えば、頭に浮かぶ絵が違う。絵が違えば、打つ手が違ってしまう。

「脅威ハンティング」も、少々わかりづらい。では、何と呼べばよいか。私はこう提案したい。

日本らしく「見回り」である。

もう少し丁寧に言えば「常在点検」。あるいは、日々の運用の中で何らかの異変を感じ取るという意味では私は「異変察知の見回り」と言いたい。見回りで、異変まで行かない「ゆらぎ」を察知して芽を摘み取ることである。

工場を思い浮かべていただきたい。ベテランの工場長は、朝、現場に入った瞬間に「今日は音が違う」と気づく。機械は正常に動いている。計器も異常を示していない。生産量も落ちていない。それでも、いつもと違う。だから点検させる。すると、ベアリングがわずかに摩耗していた。

これが、脅威が顕在化する前に狩る、脅威ハンティングの本質である。

壊れてから直すのではない。警報が鳴ってから走るのでもない。平常を知り尽くしているからこそ、平常でないものが見える。 そして、まだ何も起きていないうちに手を入れる。

料理人が仕込みの匂いで魚の鮮度を判断するのも、経理部長が伝票の枚数の微妙な増減に引っかかりを覚えるのも、ベテランの営業所長が朝礼の空気で誰かの不調を察するのも、すべて同じ能力である。どの会社にも、そういう人がいるはずだ。彼らは特殊部隊ではない。日々そこにいて、いつもの状態を知っている人である。

基本方針自身も、実はそう言っている。脅威ハンティングは「システムの通常の挙動を把握する部署と攻撃手法やリスクの分析を担う部署等が緊密に連携することが望まれる」と書かれている。通常の挙動を把握している人が要るのだ。外から呼んできた狩人だけでは、務まらない。

念のため申し添えておくが、これはあくまで私の提案であり、政府が「見回り」や「ゆらぎ察知」と呼んでいるわけではない。ただ、基本方針自身が「我が国の多くの組織においては、脅威ハンティングの概念・活動について十分な理解が未だ浸透していない状況にある」と正直に認めている。浸透しない理由の何割かは、言葉そのものにあると私は考えている。

「対象組織」に含まれない企業こそ当事者である

基本方針は、脅威ハンティングを実施すべき「対象組織」を具体的に挙げている。政府機関、独立行政法人、指定法人、重要インフラ事業者等、基幹インフラ事業者、そして「その他重要情報の漏えい等が我が国に深刻・致命的な影響を生じさせるおそれがある民間事業者等」である。

この一覧を見て、多くの中小企業の経営者は「うちは入っていない」と判断するだろう。制度の建て付けとしては、確かにそのとおりである。

だが、基本方針の本文にはこう書かれている。

民間事業者における脅威の見落としや侵入の放置は、サプライチェーン等を通じて、同業種の組織のみならず、重要インフラ事業者等や政府機関などに波及し、結果として我が国に深刻・致命的な影響を及ぼす可能性もある。

読み替えれば、こうだ。

あなたの会社が気づかないことが、取引先を倒す。

私はかつて、中堅・中小企業がサイバー攻撃にさらされる事情をこう書いた。「将を射んと欲すればまず馬を射よ」。大企業や官公庁の防御が固くなれば、攻撃者はグループ企業や下請け、取引先から回り込む。踏み台にされる側は、重要情報など持っていなくてもいい。攻撃者が欲しいのは、本丸に送り込むための「実在の取引メールのやりとり」だからである。

この構図は10年前から変わっていない。むしろ強まっている。IPAの「情報セキュリティ10大脅威 2026」でも、組織向けの脅威は1位がランサム攻撃、2位がサプライチェーンや委託先を狙った攻撃である。この二つは近年ずっと上位に居座り続けている。

だから私は、こう申し上げたい。

制度の対象になっていない企業こそ、この考え方を先に取り入れるべきである。

理由は二つある。

第一に、規模が小さいほうが「いつもの状態」を把握しやすいからだ。社員300人の会社なら、誰がどのシステムを何時ごろ使うかは、おおむね見当がつく。夜中に動いているサーバーがあれば、それが何のためか誰かが知っている。ところが数万人の組織で「平常」を定義しようとすると、これは途方もない作業になる。

つまり、これは中小企業のハンディではない。むしろアドバンテージである。 高価な分析基盤を持つ大企業が「平常が定義できない」と苦しんでいる横で、社長が現場を歩いて回れる会社のほうが、実は先に気づける可能性がある。

第二に、大企業から求められる日が必ず来るからだ。基本方針は、政府が対象組織にガイドブックや研修、実習機会を提供していくと書いている。対象組織である大手が脅威ハンティングを回し始めれば、次に来るのは「お取引先も同等の水準を」という要請である。年金機構事件のあと、大企業が取引先にセキュリティ対策を求めるようになった流れを、私たちはすでに見てきた。

そのときになって慌てるか、いま自分の意思で始めるか。同じことをやるにしても、やらされる仕事と、自分で決めた仕事とでは、現場の熟練度がまるで違う。 これは経営者なら誰しも経験的にご存じのはずである。

常態を把握することの重大さ

ここまでを整理しておく。

政府は7月31日、脅威ハンティングの基本方針を決定した。背景にあるのは、正規のツールを使って静かに潜伏する手口の拡大である。米国では5年間気づかれなかった事例が報告され、侵入から発覚までの日数は世界的に短くなっていない。

そして、この「脅威ハンティング」という言葉は理解が難しい。実態は特殊部隊の狩りではなく、平常を知る人による日々の見回りである。

制度上の対象は重要インフラ等に限られるが、サプライチェーンを通じた波及を考えれば、中堅・中小企業こそ当事者である。しかも規模が小さいことは、この分野では不利ではない。

後編では、実際に始めようとしたときに経営者が踏みやすい落とし穴と、この地味な活動をどうやって社会全体の資産に育てるかを論じたい。ISACや日本シーサート協議会に期待したいこと、そして「サイバーセキュリティ2.0」とでも呼ぶべき発想の転換についても書く。

その前に、一つだけ問いを持ち帰っていただきたい。次の経営会議で、こう聞いてみてほしいのである。

「うちのシステムの、いつもの状態を知っているのは誰ですか」

名前が挙がるなら、その人が御社の見回りの起点になる。誰も答えられないなら、そこが出発点である。異常を語る前に、正常を知らなければならない。

（後編へ続く）