「サイバー戦争」は来なかった――14年前の「予測」を振り返る

当時の評価は「星1つ」も

白状すると、あの本のネット書店レビューには「かなりの煽り本」という星1つの評が付いている（笑）。「期待ハズレ」という声もあった。センセーショナルな内幕を期待して開いたら、地味な話ばかりだったというのだ。セキュリティの人間が「煽り」と呼ばれるのは、消防士が放火魔と呼ばれるくらいこたえる。だが14年経って、あのレビューに対してようやく胸を張って言える。外れたのは世間の派手な心配のほうで、当たったのは私の地味な話だった、と。

2012年当時、米国はサイバー空間を陸・海・空・宇宙に続く「第5の戦場」と位置づけ、日本でも三菱重工業や国会へのサイバー攻撃^⋆が連日報じられていた。「いつか国家を丸ごと麻痺させる決定的なサイバー戦争が来る」――そんな空気のなかで、私は水を差す係だった。現場で見ていた実態は、「攻撃」という言葉すら当てはまらなかったからだ。

⋆三菱重工業や国会へのサイバー攻撃：2011年9月、三菱重工業の軍事関係施設がサイバー攻撃を受けたと報道があった。パソコンやサーバーなどがウイルス感染し、情報が流出した可能性がある。同年10月には衆議院、11月に参議院で情報流出の可能性があるサイバー攻撃の報道。国家の安全保障の根幹に関わる事案と話題になった。

壊さない。騒がない。ただ、あらゆる情報を吸い上げる基盤を、静かに敷き続けている。戦争というよりも配管工事である。狙われていたのは防衛機密だけではなく、製造業の設計図、金融の顧客情報、メディア、ゲーム、通信――つまり日本の経済力そのものだった。

そして答え合わせは、私の想像よりずっと早く始まった。拙著の刊行から、わずか半年後である。

民間企業が主戦場になった事案の嚆矢

2012年8月15日、サウジアラビアの国営石油会社サウジアラムコで、約3万台のパソコンが一斉にデータを消された。「シャムーン」と呼ばれるコンピュータウイルスによる、当時としては史上最大級の破壊攻撃である。「正義の切断剣」を名乗る集団が犯行声明を出したが、米政府関係者はイランの関与を指摘した。国家の影がちらつく攻撃が、軍でも政府でもなく、国営だが一企業に振り下ろされた瞬間だった。

アラムコはその後、復旧を急ぐあまり世界中のハードディスクを買い占め、その結果、数カ月にわたり世界のハードディスク価格が上昇したという。もしそうならば、あの年の秋にパソコンの部品を買った世界中の会社が、知らぬ間に中東のサイバー攻撃の「復旧費」を分担させられていたのである。

遠い国の攻撃の請求書は、こうして静かに回ってくる。現在も中東の戦争によって、エネルギーから部品、食料までさまざまなものが不足し、値上がりが続いている。サイバーであれ物理であれ、戦争の費用は遠く離れた私たちの財布から、必ず回収されるのである。「戦場の主役は民間企業」という時代の幕開けが、旧著の刊行と同じ年だったことは、著者として複雑な気分ではあるが。

2つの戦争で顕著になったサイバー攻撃

決定的な答えは、その後の2つの戦争が示している。まず2022年2月に始まったロシアのウクライナ侵攻である。2023年12月12日朝、同国最大の通信事業者キーウスターが突然沈黙した。約2,400万の契約者が通話もネットも使えなくなり、一部地域では空襲警報システムまで止まった。ハッカーは仮想サーバーとパソコン数千台を“消去”し、ウクライナ当局はこれをロシア軍参謀本部情報総局（GRU）系の集団によるものと断定した。

注目すべきは侵入の時期だ。攻撃者は遅くとも2023年5月、破壊の7カ月も前から社内に潜んでいた。壊す前に忍び込み、待つ。目に見える破壊より前の侵入・潜伏段階が重要だったのである。そしてもう1つの注目点は結末だ。あれほどの破壊を受けながら、キーウスターは数日で主要サービスを戻し、12月20日には全面復旧した。国は倒れなかった。被害の長期化を抑えるうえで重要だったのは「防ぎ切る力」ではなく「立ち直る力」だった。

次に中東である。2025年6月13日にイスラエルがイランへの空爆を開始した直後の17日、「プレデトリー・スパロウ」を名乗る集団がイランの国営セパ銀行のデータを破壊したと宣言し、ATMや決済の混乱が広がった。

圧巻は翌18日だ。イラン最大の暗号資産取引所ノビテックスから9,000万ドル超の暗号資産を流出させ、盗んだ資産を誰も取り出せないアドレスに送金した。つまり、暗号資産を燃やしたのである。ブロックチェーン分析企業は、この取引所が革命防衛隊やハマス関連のウォレットとつながっていたことを裏付けている。

北朝鮮は暗号資産を盗んで「稼ぎ」、ミサイルの原資にする。この集団は盗んで「燃やし」、敵の資金調達基盤への打撃を狙う。同じ手口でも家計簿が真逆だ。お金のデジタル化の果てに、資金の流れそのものが戦場になった。なお、この集団はイスラエルとの関連が広く指摘されているが、同国政府は関与を認めていない。

付け加えれば、サイバーと物理の境界は2019年にすでに消えている。この年、イスラエル軍はハマスのサイバー作戦を阻止した直後、その部隊が働く建物を空爆で破壊した。サイバー作戦と空爆が直接結びついた象徴的な事例である。キーボードの向こうからミサイルが飛んでくる時代は、もう7年前に始まっていたのだ。

予想できなかったこと――狙われるのは「信じる心」

ここまでが私の予想が「的中」したところである。しかし公平を期すため、14年前の私に見えていなかったものも書いておく。それは人の認知――何を信じるか――を狙う戦いだ。旧著の脅威モデルは「情報を盗られる」ことが中心で、「偽の情報を注がれる」方向は主題にできていなかった。言い訳をすれば、後に大規模なSNS工作で知られるロシアのIRAが法人登録されたのは、刊行翌年の2013年だった。私は1年、本を出すのが早すぎた。

この領域の現在地を示すのが、2025年5月に発生したインドとパキスタンの軍事衝突だ。衝突と並行して、インドでは150万件規模のサイバー攻撃が観測されたと報じられた。ところが検証機関の分析では、ハッカー集団が誇る「戦果」の大半は誇張か古いデータの使い回し、いわばサイバー空間での落書きだった。一方でSNSにはさまざまな偽情報や偽動画が拡散された。

そして騒がしい落書きの陰で、パキスタン系の諜報集団「APT36」が、テロ事件を餌にしたフィッシングフィッシング：実在の企業やサービスを装ったメールやSMSで本物そっくりの偽サイトへ誘導し、ID・パスワードやクレジットカード情報などを盗み取る詐欺手法。詳しく見る →で政府・国防網へ静かに侵入するという活動も報告された。騒がしい偽物と、静かな本物。この2層構造は、イランの戦場で観測された「偽ハクティビスト」―（市民運動を装った国家系の活動）とも重なる。SNSに流れる「世論」の中に、制服を着ていない兵士が混ざっている時代なのだ。

生成AIは、この戦いを激安にした。かつて世論操作には数百人規模の「工場」が必要だったが、いまやAIへの指示ひとつで、個人の関心に合わせた「それらしい話」を大量に作れる。以下は私の推測を含むが、方向は疑いようがない。つまり企業で言えば、狙われるのはコンピュータではなく、人の「判断」である。偽の風評が取引を動かし、偽の音声が経理担当者に送金を指示する。技術の話に見えるが、実際には、会社の意思決定がどれだけ「確かめる習慣」に支えられているかという組織運営の問題なのだ。

戦場から学ぶべきこと

14年分の「戦場観測」から見えてくる、経営者の課題は次の3つだ。

第1に、分けて守ること。壊す攻撃、忍び込む攻撃、お金を狙う攻撃、心を奪う攻撃は、防ぎ方が全部違う。「サイバー対策」と一括りにした瞬間、対策はちぐはぐになる。自社が備えるべきはどれなのか、計画会議で区別するだけで質が変わる。

第2に、転んでも起きること。キーウスターの教訓は「侵入されない」ではなく「止まらない・すぐ戻る」の設計だった。アラムコのように世界中のハードディスクを買い占める資金力がない中小企業こそ、バックアップの場所と復旧の手順を、また、最悪のときに人手で回せる範囲を社長が即答できる状態にしておく必要がある。目指すべきは要塞ではなく、「だるま」である。倒されても、起き上がる。

第3に、信じる前に確かめること。偽の世論、偽の声、偽の取引先。「本物か」と一拍おく文化は、認知の戦いに対する最も安上がりで、最も強い防御である。

14年前、私の本は星1つだった。だが「地味な警告ほど、本当になる」ことを、この14年の戦場が証明してくれた。次の14年後に答え合わせをするのは、この文章を読んでいるあなたの会社である。まずは次の経営会議で、こう聞いてみてほしい。「うちがやられたら、何日で戻れる？」――その問いに具体的な答えが返ってくるかどうかが、あなたの会社の現在地を示している。