基盤事業者が狙われた夏――盗まれたのは「取引先との関係」だった

今年の夏は猛暑を覚悟していた。ところが6月は拍子抜けするほど涼しく胸をなでおろしたのもつかの間、7月になるとやはり猛暑が本気を出してきた。そして8月末から9月にかけては線状降水帯発生による記録的な集中豪雨である。多くの被害が出て、心を痛めている。このように、予報が外れ続けた今夏だったが、サイバーの領域でも、これまでの「予報」が当たらなくなる動きが見えている。

私たちの「やりとり」を預かる会社が、次々と侵害された

まず、この夏に何が起きたかを、これでもかというほど並べてみたい。一つひとつは別の会社の別の事案である。だが並べてみると、見えるものがある。

4〜6月

発端は春に遡る。NTTPCコミュニケーションズの法人向けレンタルサーバー「WebARENA」で、大容量ファイル転送機能に4月21日から不正アクセスの痕跡があり、4月29日に停止。5月10日には共用レンタルサーバー「SuiteX」の一部でも攻撃とみられる通信が発生した。6月23日の調査結果公表で、対象はメールアドレス7,446件、アップロードされたファイル4,463件。システム全体を再構築するため、再開は12月頃の見込みとしている。

同じ6月23日、KDDIがISP（プロバイダー）事業者向けメールシステムへの不正アクセスを公表した。@nifty、BIGLOBE、J:COM、コミュファ光、ピカラ、CPIの6社のメールサービスが影響を受け、7月6日に漏えいの事実が確認されたメールアドレスは1,223万3,087件、うちパスワード761万6,173件と確定した。

原因は第三者製ソフトウェアの脆弱性で、KDDIが確認した6月17日時点では、そのソフトウェアベンダー自身もこの脆弱性を認識していなかった。侵入は一部の事業者で5月16日から始まっており、関係各社の続報は、レンタルサーバー「CPI」を運営するKDDIウェブコミュニケーションズによる8月24日の最終報（対象件数125万543件）まで続いた。

6月24日には、SMS（携帯電話間のショートメッセージ）送信サービスを提供するメディア4uの送信システムがサイバー攻撃を受け、管理コンソールに登録された情報の一部が漏えい。同システムを通じて不正なSMSが送信されていたことが判明した（7月14日公表）。メールの次はSMSの送信基盤である。

7月

7月24日、NTTスマートコネクトのレンタルサーバー「スマイルサーバ」の一部設備（2台）で不正アクセスを示すアラートが検知され、不審なファイルの設置が確認された。同日13時に全サービスを停止。当初は「メンテナンス」と案内され、7月26日の更新で不正アクセスの痕跡が公表された。7月27日から代替サーバーを無償提供、8月31日に外部機関の調査が完了し、顧客情報の漏えいや改ざんを示す痕跡は確認されなかったと報告された。停止時点の状態に復元した「復旧環境」の提供は9月中旬の予定である。

7月28日には科学技術振興機構（JST）が外部機関からの情報提供を受け、調査を実施。その結果、第三者の不正アクセスにより、一部役職員のメールボックスに保管されていたメールの一部が漏えいした可能性があると公表した（8月7日）。ここでもメールである。

8月

8月1日、ネットショップ構築サービス「ショップサーブ」を運営するEストアーが、5月21日から8月1日にかけて第三者がサーバー上で不正なプログラムを実行し、購入者情報を外部へ送信していたと公表した。翌8月2日の第2報で件数は延べ885万3,839件。氏名や住所だけでなく、会員のパスワード、クレジットカード番号の一部、そして店舗の管理画面やメールシステム、FTPのIDとパスワード、振込先口座情報まで対象に含まれることが知らされた。ショップサーブは多数の店舗が共用する基盤であり、その後ハリマ化成グループ（8月10日）、キングジム（9月4日）など、利用店舗側の公表が続いている。

8月5日11時頃、独立系SIer・シーイーシーの東京第二データセンターで不正アクセスに起因する障害が発生した。翌6日の第1報でサービスは復旧済みとされ、8月7日にランサム攻撃であることを確認。8月21日の続報でランサム攻撃の種別と侵入経路を特定したとしたが、詳細は非公表である。攻撃を受けた領域は顧客から預かるシステムやデータとは別領域で、影響を受けたサービスは別環境で復旧した。

8月9日、さくらインターネットが「さくらのレンタルサーバ」のメンテナンス用サーバーで異常を検知した。8月17日の第一報では、第三者が同社の管理環境を経由して一部顧客環境へ不正アクセスし、583アカウントへの不正ログインと一部サーバーへのマルウェア設置が確認されたとした。攻撃者は顧客情報および「通信の秘密」に当たる情報にアクセスできる状態だった。

2日後の8月19日、契約情報を管理する販売管理システムにも不正アクセスの可能性があり、しかもそれは8月9日より前に起きていたとして、影響し得る会員情報を136万563アカウントに改めた。8月26日には「さくらのVPS」の管理者初期パスワードが販売管理システムに保存されていたことを公表し、8月31日には該当する顧客のサーバーパスワードを会社側で変更した。

そして9月10日、調査完了を告げる第三報が出た。レンタルサーバー側の対象は追加調査で368アカウント増え、合計951アカウントとなった。販売管理システムへの不正アクセスは、2023年4月から2026年3月までの間に発生していたことが確認された。実に3年近くである。レンタルサーバー側の事案とのつながりを示す根拠は見つからず、さらに2025年7月以降とみられる別の不審な活動の痕跡も確認されたが、記録の制約から侵入経路や関連性は突き止められなかった。データが外部へ持ち出されたことを裏づける明確な事実も、二次被害も、現時点では確認されていないという。

8月14日には、行政・水道・文教・医療向けにシステムを提供する両毛システムズが社内システムへの不正アクセスを確認した（8月15日公表、8月19日第2報）。

8月にはこのほか、OEM向けホームページ作成サービス（ウェブライフ、最大7,425名）、施工情報を管理する外部クラウド（コロナ、最大3万5,000人）、委託先のサーバーやレンタルサーバー、BIツールなど、「自社の外にある基盤」を経由した漏えいの公表が相次いだ。海外では9月1日、Dropboxが8月の不正アクセスで約5,000アカウントが侵害されたと公表している。入口はLenovoのID連携だった。

9月

そして9月11日、デジタル庁が政府共通の業務基盤「ガバメントソリューションサービス（GSS）」への不正アクセスを公表した。GSSは各府省庁の職員が使う業務用PC、ネットワーク、オフィスソフトなどを共通化する仕組みで、2026年2月時点で18機関・約5万3,000人が利用し、将来は約28万人規模へ拡大する見込みとされていた。

経緯はこうである。6月25日、保守運用担当者のアカウントを使ったサーバー上の大量ファイルへのアクセスを検知し、調査を開始。7月9日、第三者がVPNVPN：インターネットなど公衆ネットワーク上に、暗号化された仮想的な専用通信路（トンネル）を構築する技術。詳しく見る →機器の脆弱性を利用して侵入していたことが判明し、同日、当該アカウントの停止と侵害機器の外部通信の遮断、VPNへのパッチ適用を実施した。7月15日に個人情報保護委員会へ報告。公表は9月11日で、検知から78日後である。

漏えいした可能性がある情報は約24万6,000件。内訳は、各府省庁等の職員と業務に携わった公務員等が約18万9,000件、業務に携わった事業者・個人が約5万7,000件で、氏名約23万6,000件、メールアドレス約23万1,000件、電話番号約9万4,000件など（属性に重複があり、件数は人数ではない）。マイナンバー、金融機関の口座情報、年金番号は含まれず、「一般の方の個人情報は含まれていない」とされる。

松本デジタル大臣は9月11日の会見で、VPN機器の脆弱性は事案の前から把握しており、深刻度の評価に応じて対応を進める中、パッチ適用までの間に攻撃を受けた趣旨を説明した。VPNの製品名や脆弱性番号、保守用アカウントがどのように使われたかは9月14日の本稿執筆時点で公表されていない。

7月24日から8月9日までの17日間に、NTTスマートコネクト、シーイーシー、さくらインターネットの3社。春から数えれば、メール、SMS、レンタルサーバー、ネットショップの基盤、データセンター、ID連携、そして政府共通の業務基盤と、顔ぶれはそろっている。手口も規模も違い、同一犯とは考えにくい。だがこれらの会社はいずれも、私たちが自分の会社のこととして意識しない「裏側」で、私たちの日々のやりとりと関係を預かっている会社だと言える。

狙いは「お金」から「意味」へ動いている

ここからは主に私の推測である。

これまでのサイバー犯罪は、金銭に直結するものを狙ってきた。クレジットカード番号、銀行口座、そしてシステムを暗号化して身代金を要求するランサム攻撃。わかりやすく言うと、盗んだものをそのまま換金するような手口であった。

それに比べ、今年の夏に盗まれたものは少し違うように感じる。メールアドレスとパスワード、メールボックスの中身、店舗の管理画面の鍵、取引先とのやりとりの記録、契約情報、そして公務員と行政の業務に携わった事業者の氏名・メール・電話番号。これらは単体では換金しづらいのではないか。だが、大量に集めて読み解けば、「誰が誰と取り引きし、誰が支払いを決め、どんな言葉遣いで、いつ請求書が動くか」が見えてくる。それは人と組織の生々しいつながりであり、その生々しいつながりの中に、ある種の隙を見いだせるのではないか。

これまで、盗んだメールを読み犯罪の筋書きを組み立てるのは、人間が一通ずつ目を通し、組織や関係性を理解し、たくらむしかなかった。だから手間がかかり、狙える相手も限られていた。進化した生成AIはこの制約を取り払う。何百万というメールボックスから「経理担当者は誰か」「未払いの請求書はあるか」「上司はどんな文体で指示するか」「どういう業務プロセスになっているのか」などを理解し、標的とそこへつながる人間関係をもとに筋書きを数値化して立案することは、技術的にはもう難しくない。しかも最近では、最先端に迫る性能のAIをローカル環境で動かすことも可能になってきているのである。

つまり、盗んだデータの価値の源泉を単なる「換金」から「意味の抽出」に変えることで、犯罪者は新たな収益基盤を手に入れることができる状況になったのではないか。データを分析して犯罪の機会を見つけ出し、それを筋書きの形で実行役に売る商売も成り立つ。「犯罪プロデューサー」が暗躍する時代かもしれないと危惧している。盗む者、分析する者、実行する者が分かれ、真ん中に犯罪プロデューサーが座る構図である。基盤事業者への侵害が続くのは、その原料が最も効率よく手に入る場所だからだ、というのが私の懸念である。

支払われることの少ない身代金要求が定石化している理由

この見立てに立つと、私が長く抱いてきたランサム攻撃での違和感も説明がつく。なお、この夏の基盤事業者の事案は、シーイーシーを除けばランサム攻撃ではない。ここで扱うのは、ランサム攻撃一般の話である。

ランサム攻撃の定石は「二重恐喝」と呼ばれる。システムを暗号化して身代金を要求し、あわせて事前に盗み出したデータを「払わなければ暴露する」と脅す。だが私はこの「定石」がずっと腑に落ちなかった。真っ当な会社は、暴露を理由に金を払うはずがないのである。払ってもデータは消えない。漏えいした事実も、法律上の報告義務も変わらない。払えば犯罪組織への資金供与になる。経営者がまともに考えれば、暴露の脅しは支払いの理由にならない。

それなのに、犯罪者はなぜわざわざ盗む手間をかけるのか。暗号化だけなら侵入して鍵をかければ済む。データを探し、選び、外へ運び出す作業は、時間もかかり、発覚のリスクも増える。しかも、盗んだのに暴露しないケースが実際に少なくない。暴露しないのなら、盗む意味はどこにあるのか。

答えは1つしか思いつかない。暴露するとの脅しで金銭を要求するのは手口の一つであり、窃取した情報自体が本命なのである。データは脅迫の材料であるだけではなく、商品であり原料でもある。暴露サイトはショーウィンドウにすぎず、本当の商売は裏で行われる。真っ当な会社が暴露で払わないことは、犯罪者の側も先刻承知で、それでも盗むのは、盗んだデータに恐喝とは別の使い道があるからだ。まずは、そのデータの売却である。有名企業であれば、それを欲する輩はいるだろう。

裏づけになりそうな事実もある。2024年の国際捜査で大手ランサム攻撃グループのサーバーが押収された際、身代金を支払い済みの被害者のデータが消されずに残っていたことが公表された。消されていないのであれば、使われるだろう。また、ある調査会社の集計では、2025年の身代金支払総額は前年より約8％減った一方、暴露サイトなどで主張された被害件数は前年比で5割増えたという。恐喝の単価が下がっているのに攻撃が増えるのは、恐喝以外に収益があると考えなければ説明がつかない。

そう考えると、暗号化も脅迫もしない基盤事業者への侵害と、派手に脅すランサム攻撃は、通る道は異なっても、最終的には同じ原料市場へ流れ込むのではないか。むしろ、生きたアカウントと継続的なアクセスを静かに手に入れる前者の方が、原料としては上質である。

さくらインターネットの販売管理システムに3年近く誰かが出入りしていながら、何が持ち出されたのか、あるいは何も持ち出されなかったのかを裏づける記録すら残っていなかった、という事実は、その「静けさ」を物語っている。GSSでも、端緒は保守運用担当者のアカウントによる大量のファイルアクセスだった。暗号化も脅迫もなく、ただ読まれ、持ち出されたかもしれない。

さらに踏み込めば、この原料の集まる場所を使っているのは、当該の犯罪者だけではないのではないか、と私は推測している。ある種の国家機関やその関係者がサイバー犯罪の市場に、出資者として、仕入先として、あるいは得意先として出入りしていることは、各国の当局が公表してきた事例からもうかがえる。

国家系の攻撃者が侵入して得たアクセス権をランサム攻撃犯に売っていた、という米当局の発表もある。犯罪者と国家が一枚岩で連携しているというより、同じ市場で同じ原料を売り買いしていると考えてもいい。基盤事業者から流れ出たデータの行き先は、残念ながら1つではないと考えておくのが自然である。ただし、これらには証拠などはなく、あくまで私の推測であり危惧であることを改めて念押ししておきたい。

「カード番号は無事です」という安心に疑いの目を

ここで、もう一つ重要なことに触れておきたい。

情報漏えいの公表文には、よく「クレジットカード情報は保持していないため漏えいしていない」という一文がある。それ自体は事実であり、大切な情報である。だが、盗まれた情報が新たな犯罪に悪用される危険性がある現在では、もう少し用心をしておきたい。

GSSの公表文にある「一般の方の個人情報は含まれていない」「マイナンバーや口座情報は含まれない」も、同じ物差しの言葉である。だが漏れた可能性があるのは、公務員と、行政の業務に携わった事業者・個人の氏名・メールアドレス・電話番号――つまり「誰が行政のどの業務に関わっているか」という関係そのものだ。行政と取引のある企業にとっては、自社の担当者の名前と連絡先が、行政側の担当者とセットで漏れたことを意味する。

デジタル庁自身が、なりすましやフィッシングフィッシング：実在の企業やサービスを装ったメールやSMSで本物そっくりの偽サイトへ誘導し、ID・パスワードやクレジットカード情報などを盗み取る詐欺手法。詳しく見る →への注意を呼びかけているが、今年8月末に公開された、ある海外企業のビジネスメール詐欺（取引先や上司になりすまして送金させる詐欺）の分析が、そうしたリスクを端的に示している。

狙われたのは財務担当者1人。攻撃者はまず、その会社に実在する未払い請求書20件の受け取りを確認して信頼を作り、その上で支払先の口座を変えるよう働きかけた。さらに、社内の上席担当者になりすまして経理に口座変更を指示し、外と内の2方向から正当性を装った。取引先からの督促や社内からの確認メールは、自動的に既読にして隠す設定を仕込んでいた。侵入から発覚まで30日。いわゆる不正な動作をするマルウェアは一切使われていない。

この攻撃に必要だった情報は、カード番号でも口座番号でもない。「誰が支払いを決め、どの請求書が未決で、上司はどう書くか」という、その会社の業務の中身である。その会社の業務のほとんどがメールで完結していたのではないかと、私は推測している。つまり、メールを乗っ取ることができればお金も動かすことができたということである。メールだけで業務指示が完結してしまっている、あるいは非常時の連絡がメールだけで完結可能な組織は、プロセスの見直しが必要であろう。そして今年の夏、日本でそのメールを預かる基盤が、次々と侵害されたのである。

「カード番号は無事です」で安心してよい時代は終わった。漏れたのは番号ではなく、自身の業務プロセスや取引先との関係である。経営の言葉に置き換えれば、盗まれたのは「自社の取引や決裁の手順」だと考えた方がよい。

「関係を知られている」前提で見直すべき3つのこと

では、犯罪者がすでに自社の取引先との関係や業務手順を知っているという前提で、経営者は何を見直せばよいか。3つ挙げる。

第1に、業務がメールにどれだけ依存しているか、よい機会なので確認をしておきたい。電子メールは、サービスが始まった当初は「はがき」のようなもので、第三者に読まれる可能性を抱えたサービスであった。もちろん、通信内容の秘匿や添付書類を安全に運ぶ方法などさまざまな工夫が加えられてきたが、元来はそういうものである。それを前提に、自組織の業務がメールだけに依存しすぎていないかを確認しておきたい。メールが使えないときの代替手段、メールだけでの確認のリスクが特に高い業務のやり方にも想像を膨らませてほしい。

第2に、お金が動く場面での「メールの外」の確認を、プロセスに組み込むことである。振込先の変更や支払い方法の変更は、メールで依頼が来てもメールでは完結させない。あらかじめ登録した電話番号に折り返すなど、オレオレ詐欺への対策と同様に正規のルートで問い直すことが肝要である。どれほど精巧な筋書き、緊急を装った手口でも、最後の一手がメールの外で止まれば成立しない。これは仕組みの問題であり、社員の注意力に頼ってはならない。

第3に、自社がどの基盤に依存しているかを知り、この夏に公表された事案の続報を追い続けること。自社のメールはどこの事業者のどの仕組みで動いているか。ネットショップはどの基盤の上にあるか。

KDDIの事案は6月の公表から8月末まで、関係各社が続報を出し続けた。さくらインターネットの事案は9月10日に調査完了が公表されたが、対象顧客への個別連絡やパスワード変更の依頼など、重要な連絡はなお続いている。GSSの事案では、対象となる可能性がある人にデジタル庁が特定の上で順次連絡するとしており、行政の業務に携わった企業は「自社の担当者が対象か」を確認しておきたい。自社が使う基盤で何かが起きたとき、「自社は対象か」を確認し続ける担当者と手順を決めておく。

最後に、心強い動きも一つ紹介しておきたい。米国の国立標準技術研究所（NIST）が8月、「人間中心のサイバーセキュリティ（Human-Centered Cybersecurity）」に関するコンセプトペーパーを公表し、9月30日まで意見を募っている。

人を「最大の弱点」と見なして訓練で締め上げるのではなく、人の能力の限界を前提に仕組みと組織を設計しよう、という考え方である。同時に、人は不審な動きを察知して報告する優秀な「センサー」であり、周囲を巻き込む「セキュリティチャンピオン」でもあると、人の積極的な役割を明確に位置づけている。言うなれば、職場のセキュリティを盛り上げるムードメーカーである。セキュリティは「やらされる」のではなく「やる」のである。

本稿で述べてきたように人間関係そのものが攻撃面になる時代には、これは極めて重要なメッセージである。人はだまされる。だからこそ、だます行為の芽を摘もう、さらに、だまされても大丈夫な会社にしよう――目指すべきはそこである。この点については、別の記事で改めて論じたい。

まだ、秋の長雨が続きそうである。だが、雨はいつか上がり、爽やかな秋空は必ず広がる。天気を変えることはできないが、澄み渡った青空を楽しみにして、傘を用意し、屋根を直しておくことはできる。

社内で一度、こう問うてみてほしい。「わが社の取引先との関係を犯罪者がすでに知っているとしたら、最初に来る詐欺はどんなことが考えられるか」。その問いに答えられる会社は、次の雨に備えている。