今こそ、デジタルの手綱を離すな――保守を任せる時代でも経営者が離してはならない手綱とは

ひと月半で4つ並んだ「保守経由」の事件

まず、4つの事件を事実として整理する。

1つ目はデジタル庁である。9月11日、同庁は、政府職員らが業務に使う共通の業務基盤「ガバメントソリューションサービス（GSS）」で約24万6,000件の個人情報が漏えいした可能性があると公表した。6月25日、保守運用事業者のアカウントで大量のファイルにアクセスされた形跡が見つかり、7月9日、VPNVPN：インターネットなど公衆ネットワーク上に、暗号化された仮想的な専用通信路（トンネル）を構築する技術。詳しく見る →機器の脆弱性から第三者が侵入していたと判明した。入口はVPN機器の脆弱性だが、中で使われたのは保守事業者の正規アカウントだった。

2つ目はNECだ。さまざまなシステムの保守を受託する同社が10月20日に公表したところによれば、協力会社が9月下旬にサイバー攻撃を受け、その会社の正規アカウントが盗まれて不正アクセスに使われた。NECの顧客企業のサーバーではファイルが暗号化されて複数のシステムが使えなくなり、さらにNECが顧客や協力会社との情報共有に使っていたクラウドストレージからファイルが漏えいした。

3つ目はアルカディアの事件である。同社は自治体や消防、警察が住民や職員に緊急情報を一斉配信するためのサービス「SpeeCAN RAIDEN」を提供しており、9月末時点で875の契約がある。10月11日早朝に侵入が始まり、同日深夜、データベースの異常な負荷から検知、翌12日未明に経路を遮断した。しかし13日未明には仕込まれていた裏口から142万通超のフィッシングフィッシング：実在の企業やサービスを装ったメールやSMSで本物そっくりの偽サイトへ誘導し、ID・パスワードやクレジットカード情報などを盗み取る詐欺手法。詳しく見る →メールが送信された。

入口は同社の添付ファイル用サーバーの脆弱性だったが、攻撃者はそこから設定ファイルを抜き取り、中に書かれていたサービス間の接続用の秘密鍵を使って、顧客のアカウントに次々とログインした。総務省の集計で111の自治体等に影響が及び、報道では20府県警の職員約12万5,000人分と防犯メール登録市民のアドレスが漏えいした可能性がある。同社は最大で約313万件のメールアドレスが対象になり得るとしている。

4つ目が冒頭に記載した、10月21日のMicrosoftの公表が示す事件である。Storm-0940は2021年から情報窃取を目的に活動してきたとされる。2026年9月以降、オープンソースの侵入検査ツールARTEXを悪用して攻撃を自動化し、航空宇宙・防衛から金融、政府、半導体、シンクタンクまで世界の数百の組織を標的にした。

10月10日～14日、8組織327アカウントに15万1,000回超のサインイン失敗があった（ピークは毎分2,900回を数える）。この段階では1件の攻撃も成功していなかったが、10月15日、IT保守会社向けにMicrosoft 365のバックアップ等を提供するConnectWise社のクラウドアプリが侵害されたと報告され、状況が一変する。奪われたのは、そのアプリが顧客企業のMicrosoft 365に入るための認証情報だった。攻撃側は2,250を超える顧客テナント（企業ごとのクラウド上の区画）へ毎分2,900回のペースでサインインを試み、複数の環境で、管理者級の権限を標的に定めてからそれを得るまで3時間未満だった例があった。

断っておくが、MicrosoftのレポートはARTEX悪用の全体像ではなく、同社が自社の顧客環境で観測した一例である。Microsoft自身、複数の地域の攻撃者がこの道具を使っていると述べており、韓国では9月下旬から複数の銀行への攻撃に使われたと報じられている。見えているのは氷山の一角にすぎない。またMicrosoftは、本件に関しては自社製品の脆弱性にはあたらないこと、サインインの成功がただちにデータ流出を意味するわけではないことも明記している。

共通する攻撃の入口「保守用の合鍵」

入口はばらばらに見える。デジタル庁ではまずVPNの脆弱性と保守アカウントの奪取、NECでは協力会社への不正アクセスと正規アカウントの奪取、アルカディアでは自社サーバーの脆弱性と内部の接続用の鍵の奪取、ConnectWiseの件では自身への不正アクセスで提供アプリが使用する保守権限の奪取。どれも、奪取され使われたのは、保守や運用のために渡された正規の権限、いわば「保守用の合鍵」である。

経営の言葉に置き換えるとこうなる。会社は、自社のシステムを守り動かすために、外部の保守会社に合鍵と入館証を渡している。保守会社の担当者のアカウント、保守会社が使うツールの接続権限、保守会社からの再委託先が使う作業用アカウント。いったん渡せば自由に出入りでき、監視カメラには「業者が保守作業をしている」としか映らない。NECの事案では、いつもの接続元から、いつもの正規アカウントで、いつもの作業のように見えたはずで、そこから検知は難しい。デジタル庁の事案でも、6月25日に見つかったのは「保守アカウントで大量のファイルが読まれた形跡」だった。

ConnectWiseの構図は、さらに一段深い。ConnectWiseが鍵を渡した相手は保守会社だが、保守会社はConnectWise製のツールで作業しており、顧客企業のクラウド（Microsoft 365）には「ConnectWiseのアプリに全社員のメールやファイルを読ませてよい」という許可が登録されている。鍵を保管していたのは顧客でも保守会社でもなく、ConnectWiseだった。顧客企業から見れば、合鍵を渡した覚えがある相手は保守会社であって、ConnectWiseの名前は知らないかもしれない。そのConnectWiseの鍵が盗まれ、顧客企業に適用されたのだ。

アルカディアのケースもこれと同じ構図である。自治体や警察は、住民や職員の連絡先を預けてサービスを使っているだけで、鍵を誰かに渡した覚えはない。しかしサービスの内部には、顧客ごとの区画をまたいで通用する接続用の鍵が1本あり、それが設定ファイルに書かれていた。その1本が抜かれた途端、875の契約先すべてが射程に入った。預けた側には、その鍵の存在も、どこに置かれているかも見えない。これもまた、守りの目の行き届かない場所にあった合鍵である。

さらに、厄介なのは入られた後だ。Microsoftは複数の環境で、攻撃側が別のアプリに自分たちの認証情報を追加し、管理者権限等の特権ロールを変更した痕跡を確認した。アプリが自分自身に「全体管理者」を付与した例もある。奪った合鍵で入り、別の合鍵を複製して隠す。元の鍵を交換しても複製は残る。アルカディアでも、経路を遮断した翌日に裏口からメールが送られた。NECが対策として協力会社に自社管理の端末を貸与するとしたのも、盗まれたアカウントだけでは入れないようにするためと考えられる。

任せることと、手綱を離すことは違う

外注をやめろという話ではない。情報システムの保守を外部に委ねるのは、高度な専門性が要求される中、人手の足りない中堅・中小企業にとって合理的な選択であり、今後も変わらないだろう。問題は、任せたときに何を手元に残すかである。

保守を任せるとは、馬の世話を業者に頼むことであって、手綱まで渡すことではない。ところが現実には、4つの事件が示すように、手綱は少しずつ見えなくなる。委託先が再委託し、委託先が使うツールのベンダーが鍵を保管し、サービスの内部には預けた側の知らない鍵があり、作業が終わってもクラウド上のファイルは残り、使わなくなった接続の許可は消されない。手綱は、誰の悪意もなく、業務の都合で一段ずつ外側へ移っていく。

そしてNECの件で発注元の大阪大学が「重大な問題」としたのは、契約にない協力会社が作業に関与し、契約上の根拠なく個人情報がクラウドに置かれ、作業後も残されていたことである。契約で定めた範囲の外で合鍵が使われ、データが置かれていた。これでは大阪大学は手綱の締めようがないのである。

私の見立てを言えば、ここには責任の隙間がある。委託元は「保守会社が見ているはず」と思い、保守会社は「ツールのベンダーが守っているはず」と思い、ベンダーは「権限を付与したのは顧客側だ」と考える。全員が正しく、誰も手綱を握っていない。つまりは、――前稿の言葉を使えば――いつの間にか「常流」から「射流」に移っていたのだ。

AIにより攻撃の「速さ」が変わった

もう一つ変わったことがある。守る側が手綱を握り直す時間が、なくなりつつある。

アルカディアの事件の時間軸を見てほしい。侵入開始が10月11日の朝6時26分、検知が同日の夜23時40分、経路遮断が翌12日の深夜3時。発見から遮断まで3時間余りで、組織の動きとしては速い。それでも、侵入から検知までの17時間で設定ファイルは抜かれ、遮断の翌日には裏口から142万通が飛んだ。ここに自動化された道具が加わると何が起きるか。

ARTEXは、7月に公開されたオープンソースのAI侵入検査ツールで、任意のAIモデルを組み込み、複数のAIエージェント（自律的に判断して作業を進めるAI）が偵察から侵入、権限奪取、データ持ち出しまで人の手をほとんど借りずに進める。10月8日、開発者は悪用を理由に公開を停止した。だが一度公開された道具は手元に残る。国家の秘密兵器ではなく、誰でも手に入れられた道具だったのである。

Microsoftのレポートで最も重いのは次の趣旨だ。AIで自動化された攻撃は大量の通信とログを生み、警報も出る。しかし速すぎて、防御側が警報に対応し、連携して攻撃者のアクセスを断つ時間がほとんど残らない。

これまでの前提は「検知すれば対応できる」だった。毎分2,900回のサインイン試行は静かな攻撃ではない。見ていれば必ず見える。問題は見えてから止めるまでだ。管理者に連絡し、状況を確かめ、どの鍵を止めるか判断し、業者に連絡し、鍵を交換する。人手でこれをやるには平日の日中でも数時間かかる。検知が深夜や休日なら、対応の開始は翌営業日だろう。その間に相手はAIを使って管理者権限を取り、場合によっては、別の裏口を作り終えている。この速さは、今後さらに増すかもしれない。手綱を離していた会社は、握り直す前に馬がいなくなる。こちらでも、静かに「射流」に飲み込まれたのだ。

経営者が離してはならない4本の手綱

経営者が握り続けるべき手綱は4本に絞ることができる。

1本目は「台帳」である。自社のシステムとクラウドに、誰が、何の鍵を、いつまで持っているか。保守会社の担当者アカウントだけでなく、保守会社が使うツールの接続権限、再委託先の作業アカウント、そして預けたデータに届くサービス内部の鍵まで含める。Microsoftは、現在使っていなくても過去に一度でも接続を許可した環境まで点検対象に挙げ、表示名ではなくアプリの識別番号で探せと助言している。使っていない鍵は切る。「それ、まだ使っていますか」に答えられるのは、それを使っている当該部門である。

2本目は「目」である。鍵が使われた記録が残り、見える状態にあるか。保守の時間帯や接続元から外れた使い方、アプリへの新しい認証情報の追加、特権ロールの付与。こうした、正当な業務ではめったに起きない変化があったときに通知が届く仕組みになっているか、委託先に確かめる。10月21日のMicrosoftのレポートに記された緩和・保護策では、少なくとも10月15日、残っているなら10月1日までさかのぼって記録を確認せよと求めている。「残っているなら」という前置きに注意したい。一般に監査ログには保存期間があり、契約によってはさかのぼれる期間が短い。何をどれだけ残すかは、管理と契約の局面で決定されるべきことである。

経営者が握るべき手綱の3本目は、「止める手」である。深夜に警報が鳴ったとき、誰が、誰の承認で、どの鍵を止められるか。委託先の連絡先は誰が持っているか。契約書に、委託元の判断で接続を止められる権利は書いてあるか。そしてこれもMicrosoftのレポートで強調されているとおり、慌てて該当アプリを削除してはならない。証拠が消え、何をされたか分からなくなるためだ。止めて、保全して、権限ある者が不正な鍵を取り除く。この順番を事前に決めておく。

4本目の手綱は「約束」である。再委託の際は、事前に届け出て承諾を得ることとする。作業用の共有ストレージは作業終了後に消し、消した日を記録する。預けたデータの取り扱い規約を定める。サービスの内部で顧客をまたいで通用する鍵を持つなら、その存在と守り方を説明する。受託者には、再委託先のセキュリティ対策を支援しつつ、手綱を握り続けることを求める。こうした約束の遵守を、保守会社との間でしっかりと確認し合うことが重要である。

前述の通り、4件の事件に直接の関係は確認されていない。だが、デジタル庁も、NECの顧客も、アルカディアに連絡先を預けた自治体や警察も、ConnectWiseの顧客の顧客も、任せた相手、あるいはそのまた先で鍵が盗まれた。それでも被害は自社に来る。相手は眠らず、3時間で管理者権限を取る。手綱を握っている会社と離している会社では、その3時間の中身がまるで違う。

社内で一度、こう聞いてみてほしい。「わが社の鍵束のうち、委託先の委託先が握っているものは何本あるか。その動きを今夜止められるのは、誰か」。