７月１９日（日）付けネット記事（こちらを参照）でニチレイのシステム障害について取り上げていました。
そこで、今回は、ニチレイのシステム障害から見えてくることについて、チャットＧＰＴで調べた結果をお伝えします。
添付全般の要約は以下の通りです。
一文で総括
👉 サイバー攻撃は、侵入・マルウェア開発・身代金交渉・資金洗浄などが分業された「犯罪産業」へ発展しており、犯人の拘束や完全防御だけに頼らず、侵入経路の解明、情報共有、権限管理、被害の局所化、事業継続、迅速な復旧を組み合わせる必要があります。
要約のポイント
■ ニチレイのシステム障害
- 2026年7月23日時点で、ランサムウェア集団「RansomHouse」が犯行を主張している。
- ただし、ニチレイや警察が同集団を実行犯と正式に確定したわけではない。
- 個人の特定・拘束も公表されておらず、攻撃方法やデータ窃取の事実も外部からは確認できない。
- 現段階では、「RansomHouseが関与を主張しているが、証拠によって正式に確定したわけではない」と表現するのが正確である。
■ サイバー犯罪者が拘束された主な事例
- REvil、LockBit、8Base／Phobos、Emotet、Scattered Spider、Jabber Zeusなどでは、実行役や幹部が拘束・起訴・有罪判決を受けている。
- 国際共同捜査によって、犯罪者の拘束、指令サーバーの押収、暗号資産の没収、復号鍵の回収などが行われている。
- ただし、拘束されるのは実行役や協力者であることが多く、首謀者や組織全体の摘発まで至る事例は限定的である。
- 分業型犯罪では、一部の犯罪者を拘束しても、別のメンバーが名称や体制を変えて活動を再開することがある。
■ 犯罪者が拘束される割合
- サイバー攻撃全体のうち、犯罪者が拘束された正確な割合を示す世界共通の統計は存在しない。
- 被害が発生し、届け出られた重大事件でも、実行犯の一部が拘束される割合は数％以下、首謀者まで拘束される割合は1％未満の可能性がある。
- ただし、これは公式統計ではなく、公開情報に基づく推定である。
- 攻撃の未発見・未届け、国境を越えた捜査、匿名化、暗号資産、犯罪者の分業、所在国による保護や引き渡し拒否などが拘束を困難にしている。
■ 攻撃方法の解明と情報共有
- 侵入経路が解明されなければ、同じ弱点が残り、同一企業への再侵入や他社への横展開につながる。
- ただし、「社会に公表されていない」ことと「専門家にも解明されていない」ことは同じではない。
- 攻撃直後は警察、JPCERT/CC、IPA、調査会社などへ共有し、封じ込め後は同業者や利用企業へ対策情報を伝え、脆弱性修正後に社会へ公表する段階的な情報共有が必要である。
- 攻撃方法の全面公開を急ぐと、未修正の弱点を別の攻撃者へ知らせる危険もある。
■ フォレンジック調査
- フォレンジック調査とは、端末、サーバー、クラウド、VPN、通信・操作記録などを証拠として保全・解析し、攻撃の入口、経路、行動、被害範囲を時系列で明らかにする調査である。
- 主な目的は、侵入経路の特定、情報流出範囲の確認、安全な復旧、再発防止、当局・顧客への説明、警察捜査や裁判への証拠提供である。
- 証拠の改変を防ぐため、ハッシュ値や「チェーン・オブ・カストディ」と呼ばれる管理記録が必要になる。
- 攻撃者がログを削除したり、VPNや他人の端末を利用したりするため、攻撃方法を解明できても個人の特定・拘束まで至らない場合がある。
■ ソーシャルエンジニアリング
- ソーシャルエンジニアリングとは、システムを技術的に破るのではなく、人間の信頼、焦り、恐怖、親切心、権威への服従を利用する攻撃である。
- 攻撃者は社員、経営幹部、取引先、サポート担当者などになりすまし、パスワード変更、認証コードの提供、不正送金、攻撃者の端末登録などを実行させる。
- 生成AIによって、本人らしい文章、音声、映像を作れるため、声や顔、社内情報を知っていることだけでは本人確認として不十分になる。
- 対策は社員の注意力だけに頼らず、別経路での本人確認、複数承認、権限制限、操作記録、パスキーなどをシステムへ組み込むことである。
■ 待機時間という安全装置
- 高額送金、振込先変更、認証端末変更、管理者権限追加、バックアップ削除などを、承認後も直ちに実行せず一定時間保留する。
- 保留中に別経路での本人確認、異常検知、関係者への通知、取消しを行えるようにする。
- 緊急時の例外解除には、複数責任者の承認、理由の記録、自動失効、事後監査などを求める。
- ただし、攻撃端末の隔離など、遅らせることで被害が拡大する操作は即時実行する。
- これは、入力・承認・実行を時間的に分離し、だまされた担当者の操作が直ちに重大被害へ直結することを防ぐ「時間による安全装置」である。
■ 身代金を支払った事例
- Colonial Pipelineは約440万ドル、JBSは1,100万ドル相当の身代金を支払った。
- 企業は、事業停止による損失、復旧の緊急性、情報公開の回避などを理由に支払いを選ぶ場合がある。
- しかし、支払っても復号、完全復旧、データ削除、情報非公開、再攻撃の防止は保証されない。
- 犯罪組織への資金供給や、制裁対象への送金による法的問題も生じ得る。
- ニチレイが身代金を支払ったかどうかは不明であり、支払いを裏付ける情報は確認されていない。
■ 身代金を支払わなかった事例
- Medibankでは約970万人分の情報が盗まれ、支払い拒否後に一部の個人・医療情報が公開された。
- Vastaamoでは心理療法記録が公開され、患者本人にも金銭要求が行われた。
- MGM Resortsは支払いを行わず、約10日間の業務混乱と約1億ドルの営業利益への影響を公表した。
- Norsk Hydroは支払わずにシステムを再構築し、多額の復旧費用を負担した。
- ただし、情報窃取やシステム侵害は身代金要求以前に発生しており、「支払わなかったために最初の被害が起きた」とは言えない。
- 支払い拒否によって情報公開や復旧長期化が起こる場合はあるが、支払っても安全になる保証はない。
■ 同じ企業が再び被害を受けた事例
- T-Mobile、Marriott／Starwood、MGM Resortsなどでは、異なる時期に複数の侵入・情報流出が発生している。
- 再被害の原因には、盗まれた認証情報、残された裏口、未修正の脆弱性、委託先の侵害、異なる攻撃経路などがある。
- 一度流出した組織図、連絡先、認証手続き、社員情報は、別の犯罪者によるフィッシングやなりすましに長期間利用される可能性がある。
- 攻撃後は侵入前の状態へ単純に戻すのではなく、認証、権限、ネットワーク、委託先、監視体制を再設計し、以前より安全な状態へ作り直す必要がある。
■ 侵入経路の売買
- 企業ネットワークへの侵入権限を別の犯罪者へ販売する者は、「初期アクセスブローカー（IAB）」と呼ばれる。
- 販売されるのは、VPN認証情報、管理者アカウント、セッションクッキー、クラウドのトークン、不正アカウント、裏口、侵入済み端末の操作権などである。
- Aleksei Volkov事件では、企業へのアクセス権をランサムウェア関係者へ販売し、購入者が情報窃取、暗号化、身代金要求を行ったことが刑事手続きで確認された。
- 「fxmsp」グループやQakbotも、侵入済みネットワークや感染基盤を他の犯罪者へ提供した事例とされる。
- 同じ侵入経路が複数の犯罪者へ売られ、情報窃取、不正送金、暗号資産採掘、ランサムウェアなどが連続して発生する可能性もある。
■ サイバー犯罪の産業化
現在のサイバー犯罪は、次のような分業構造になっている。
- 侵入担当
- 認証情報の窃取担当
- 初期アクセスの販売担当
- マルウェア開発者
- ランサムウェア実行役
- 身代金交渉担当
- 情報公開サイトの運営者
- 暗号資産の資金洗浄担当
この構造は「Cybercrime as a Service（サイバー犯罪のサービス産業化）」と呼ばれ、高度な侵入技術を持たない犯罪者でも、侵入権限や攻撃ツールを購入して攻撃できる環境を生み出している。
結論
サイバー攻撃は、単独犯による一回限りの侵入ではなく、侵入権限、マルウェア、恐喝、情報公開、資金洗浄を複数の犯罪者が分担する継続的な犯罪事業へ変化しています。
そのため、一度侵入を受けた企業は、最初の攻撃者を排除するだけでは不十分です。盗まれた認証情報や侵入経路が、すでに他の犯罪者へ販売・共有されている可能性を前提として、アカウント、パスワード、認証鍵、セッション、管理者権限を全面的に見直す必要があります。
要するに、今後のサイバー防御で重要なのは、犯罪者の拘束や身代金の支払い判断だけではありません。
👉 侵入を完全に防ぐことだけを目標にせず、侵入経路の解明、証拠保全、権限の最小化、ネットワーク分離、情報共有、事業継続、被害の局所化、迅速な復旧を組み合わせ、攻撃を受けても企業・社会の重要機能を止めない構造を整備することです。
以下は私とチャットＧＰＴとの協力によるコメントです。
上記の要約を更にまとめると：
総括
👉 サイバー犯罪は、侵入・マルウェア・恐喝・資金洗浄などが分業された「犯罪産業」へ発展しており、犯人の拘束や完全防御だけに頼らず、侵入を前提とした被害の局所化、事業継続、迅速な復旧が不可欠です。
要約のポイント
■ 犯人の特定・拘束
- ニチレイ事件ではRansomHouseが犯行を主張しているが、実行犯として正式に確定されたわけではなく、個人の拘束も公表されていない。
- サイバー犯罪者の拘束事例はあるが、多くは実行役や協力者で、首謀者や組織全体の摘発は限定的である。
- 正確な拘束率を示す世界共通の統計は存在しないが、公開された事例を見る限り、重大事件でも身柄拘束に至るケースは限定的であり、特に首謀者や運営中枢まで拘束できる事例は少ない。
- なお、ニチレイは2026年7月24日に受発注制限を解除し、全拠点で通常稼働へ移行したと発表している。一方、攻撃者の正式な特定や攻撃の詳細については、現時点で公表されていない。
■ 攻撃の解明と再発防止
- フォレンジック調査によって、侵入経路、攻撃者の行動、情報流出、被害範囲を証拠に基づいて解明する。
- 攻撃方法が解明・共有されなければ、同じ弱点が残り、同一企業や他社への再攻撃につながる。
- 一度被害を受けた企業は、元の状態へ戻すだけでなく、認証、権限、ネットワーク、委託先、監視体制を以前より安全に再設計する必要がある。
■ 人間を狙う攻撃への対策
- ソーシャルエンジニアリングは、人間の焦り、信頼、親切心などを利用して、認証情報や不正操作を引き出す攻撃である。
- 対策は注意力だけに頼らず、別経路での本人確認、複数承認、権限制限、操作記録をシステムに組み込むことである。
- 高額送金、認証変更、管理者権限追加などには待機時間を設け、異常検知や取消しができる「時間による安全装置」が有効である。
■ 身代金と再攻撃
- 身代金を支払った企業も、支払わずに情報公開や多額の復旧費用を負担した企業も存在する。
- しかし、支払っても、データの完全復旧、盗まれた情報の削除、再攻撃の防止は保証されない。
- 侵入権限や盗まれた認証情報が他の犯罪者へ販売され、別の攻撃へ利用される事例も確認されている。
■ サイバー犯罪の産業化
現在のサイバー犯罪は、
- 侵入担当
- 侵入権限の販売者
- マルウェア開発者
- ランサムウェア実行役
- 交渉・情報公開担当
- 資金洗浄担当
などが分業する「Cybercrime as a Service」へ変化しています。
ここでいう「サービス」とは合法的な事業を意味するものではなく、犯罪者向けに侵入権限、マルウェア、恐喝、資金洗浄などの機能を商品として提供する違法な犯罪市場を指す。
なお、「Cybercrime as a Service」はサイバー犯罪全般のサービス化を指し、「Ransomware as a Service（RaaS）」はその中でもランサムウェアの提供に特化したかたちです。
結論
サイバー攻撃への対応では、犯人の拘束や身代金の支払い判断だけでは不十分です。
👉 侵入を前提に、早期検知、証拠保全、権限制限、ネットワーク分離、被害の局所化、代替業務、情報共有、迅速な復旧を組み合わせ、攻撃を受けても重要機能を止めないレジリエンスを構築することが最も重要です。
まず、なぜ犯人の拘束が難しいのか ですが、サイバー攻撃では、攻撃を技術的に解明できても、直ちに犯人を拘束できるとは限りません。
犯人の拘束が難しい理由には、複数国のサーバーや他人の端末を経由すること、偽名・暗号化通信・暗号資産を利用すること、犯罪者が侵入・開発・交渉・資金洗浄を分業していることなどがあります。
更に、容疑者の所在国が捜査や身柄引き渡しに協力しない場合や、国家機関が攻撃者を保護・利用している場合には、氏名や所在を特定できても拘束できないことがあります。
要するに、サイバー攻撃者が拘束された事例は着実に増えていますが、多くは犯罪組織の一部にとどまっています。
犯罪組織の幹部や運営中枢が拘束されない場合、攻撃基盤や資金、人脈が残り、組織名や役割を変えて活動が継続される可能性があります。
そのため、一部の実行犯を拘束するだけでは、サイバー攻撃全体を十分に抑止することは困難です。
なお、FBIは、身代金を支払ってもデータが復旧する保証はなく、犯罪組織へ資金を供給して次の攻撃を助長することになるとして、身代金の支払いを推奨していません。
ただし、事業停止が人命や社会インフラへ重大な影響を与える場合もあるため、実際の判断は法務、捜査機関、専門家、経営陣が連携して行う必要があります。
CISAも、初期アクセスブローカーが同じネットワークへのアクセスを複数の犯罪者へ売り、複数回の侵入を可能にする場合があると警告しています。
現在のサイバー犯罪は、侵入、マルウェア開発、恐喝、情報公開、資金洗浄などを複数の犯罪者が分担するサービス型の犯罪産業へ変化しています。
そのため、一部の実行犯を拘束するだけでは、別の犯罪者が残された攻撃基盤や侵入経路を利用して活動を継続する可能性があります。
今後は、犯人を一人ずつ拘束するだけでなく、攻撃基盤、資金、人員、侵入権限の売買、犯罪者間の情報流通を同時に遮断する「犯罪エコシステム全体の解体」が必要です。
同時に企業側も、侵入を完全に防ぐことだけを目標とせず、早期検知、証拠保全、被害の局所化、重要業務の代替手段、隔離されたバックアップ、復旧訓練を組み合わせ、攻撃を受けても重要機能を維持・復旧できるレジリエンスを構築する必要があります。
更に、業務が再開しても事件対応が終わったとは限りません。
攻撃経路、情報流出、残存する裏口、盗まれた認証情報などを継続的に調査し、復旧後も監視と再発防止を続ける必要があります。
ということで、ニチレイのシステム障害から見えてくるのは、サイバー攻撃への対応には、「犯罪エコシステムを解体する社会的な対策」と、「侵入されても重要機能を止めず、より安全な状態へ復旧する企業側のレジリエンス」の両方が必要だということです。
添付１）
ニチレイのシステム障害の犯罪者は確定出来たのか？
ChatGPT:
一文で総括
👉 2026年7月23日時点で、ニチレイへのサイバー攻撃について「RansomHouse（ランサムハウス）」が犯行声明を出していますが、ニチレイや警察が同集団を実行犯と正式に確定したわけではなく、個人の特定・拘束も公表されていません。
現在までに確認できること
- ニチレイは、サーバーがサイバー攻撃を受けたことを確認しています。
- RansomHouseを名乗るランサムウェア集団が、ニチレイのデータを盗んだなどと主張しています。TBS NEWS DIG
- ニチレイは、警察や関係機関と連携して対応を進めるとしています。
- ニチレイは攻撃手法の詳細を公表しておらず、RansomHouseの主張が事実かどうかも正式には確認していません。ITmedia NEWS
なぜ犯行声明だけでは確定できないのか
犯行声明には、次の可能性が残るからです。
- 実際の攻撃者が声明を出している
- 別の攻撃者から盗んだ情報を利用している
- 複数の実行犯や協力者が関与している
- グループ名を借りた提携犯が実行している
- 注目や金銭目的で虚偽の声明を出している
ランサムウェア集団は、マルウェア開発者、侵入担当者、交渉担当者、資金洗浄担当者などが緩やかに分業している場合があります。そのため「RansomHouseの犯行」が裏付けられても、実際に侵入した人物まで特定されたとは限りません。
また、「ロシア系」と報じられていても、それだけでロシア政府の関与や、犯罪者の国籍・所在地が確定したことにはなりません。
現在の正確な表現
現段階では、
「RansomHouseが犯行を主張しており、有力な関与候補として捜査・調査の対象になり得るが、実行犯として正式に確定したわけではない」
と表現するのが最も正確です。
従って、以前より一段階進み、「犯行を主張する集団名」は明らかになりましたが、証拠による裏付け、個人の身元特定、逮捕・拘束までには至っていない、という状況です。
添付２）
これまでサイバー攻撃の犯罪者が拘束された主な事例は？
ChatGPT:
結論から言うと、サイバー攻撃者が実際に拘束・有罪判決を受けた事例はあります。特に近年は、欧米を中心とした国際共同捜査によって、ランサムウェア集団の実行役や関連メンバーを拘束するケースが増えています。
ただし、拘束されるのは実行役や協力者であることが多く、集団の首謀者や開発責任者まで拘束できた事例はまだ限定的です。
主な拘束・摘発事例
|
攻撃集団・事件
|
主な攻撃
|
拘束・処分
|
|
REvil／Kaseya事件
|
約1,500社へ被害が波及
|
実行役を拘束、禁錮13年7か月
|
|
LockBit
|
世界各国の企業・病院等への攻撃
|
複数の実行役を拘束・有罪
|
|
8Base／Phobos
|
世界の企業約1,000社以上への攻撃
|
幹部級4人を拘束
|
|
Emotet
|
世界規模のマルウェア感染網
|
ウクライナで関係者を拘束
|
|
Scattered Spider
|
小売、交通、通信、ホテル等
|
英米で複数メンバーを拘束
|
|
Jabber Zeus
|
銀行認証情報を盗み資金窃取
|
幹部を拘束、禁錮9年
|
|
REvilロシア国内摘発
|
国際的ランサムウェア活動
|
ロシア当局が14人を拘束
|
�� REvilによるKaseya攻撃
2021年、米国のIT管理ソフト会社KaseyaがREvilのランサムウェア攻撃を受け、同社の顧客を通じて世界の約1,500社に被害が広がりました。
ウクライナ人のヤロスラフ・バシンスキーは、ポーランドで拘束され、米国へ引き渡されました。その後、2024年に、
を命じられました。
米司法省によると、同人はREvilを使った2,500件以上の攻撃に関与し、要求された身代金の総額は7億ドルを超えていました。米司法省・REvil実行役への判決
ただし、同人は有力な実行役でしたが、REvil全体の最高指導者だったとは確認されていません。
�� LockBitの実行役拘束
LockBitは、世界でも特に被害規模が大きいランサムウェア集団の一つです。
ロシア・カナダ国籍のミハイル・バシリエフは、2022年にカナダで拘束され、LockBitの実行役として有罪を認めました。カナダでは約4年の刑を言い渡されています。
さらに、ロシア国籍のルスラン・アスタミロフも米国で拘束され、両者は2024年にLockBitへの関与を認めました。米司法省・LockBit事件
一方、米国がLockBitの運営責任者と名指ししたロシア人ドミトリー・ホロシェフについては、少なくとも公表された摘発段階では拘束されていません。
つまり、実行役は捕まっても、運営中枢が残るという典型例です。
�� 8Base・Phobos幹部の拘束
Phobosは、主に中小企業を標的とするランサムウェアです。8BaseはPhobosを利用して攻撃していた有力集団とされています。
2025年、国際共同捜査によって、8Baseの主要メンバーとされる4人がタイで拘束されました。
この集団は、
- 世界の約1,000件以上の被害
- 1,700万ドルを超える身代金要求
- データの暗号化と窃取
- 支払わない企業への情報公開の脅迫
に関与した疑いが持たれました。Europol・8Base幹部拘束
これは単なる実行役ではなく、集団の主要人物をまとめて拘束した比較的重要な事例です。
�� Emotet摘発作戦
Emotetは、偽メールなどを通じて侵入し、認証情報の窃取や、別のランサムウェアを送り込むために使われた巨大なマルウェア基盤です。
2021年、欧米各国とウクライナによる国際共同作戦で、
- 指令サーバーを押収
- 捜査機関が感染端末への通信を制御
- ウクライナで関係者を拘束
しました。
Emotetは重要インフラを含む数十万台のコンピューターに感染し、世界で数百万ドル以上の損害を与えたとされています。米司法省・Emotet摘発作戦
ただし、摘発後に類似したEmotetが再び活動したため、サーバーを止め、関係者を拘束しても、マルウェアや技術が残れば復活し得ることを示しました。
�� Scattered Spiderの拘束
Scattered Spiderは、技術的な脆弱性だけでなく、社員やサポート担当者をだます「ソーシャルエンジニアリング」（添付2-1参照）を得意とする集団です。
2025年には英国で、Marks & Spencer、Co-op、Harrodsへのサイバー攻撃に関連して、17〜20歳の4人が拘束されました。英国国家犯罪対策庁・小売企業攻撃で4人拘束
また、ロンドン交通局への2024年の攻撃では、英国人2人が拘束・起訴され、2026年7月にそれぞれ禁錮5年6か月の判決を受けました。攻撃による損害は2,900万ポンドに達したとされています。
この事件は、攻撃者が必ずしも遠い外国にいるとは限らず、若い国内居住者が自宅から重要インフラへ侵入する場合もあることを示しています。
�� Jabber Zeus幹部の拘束
Jabber Zeusは、Zeusマルウェアを使って企業や個人の銀行認証情報を盗み、口座から資金を奪った犯罪集団です。
幹部のビャチェスラフ・ペンチュコフは長期間逃亡していましたが、2022年にスイスで拘束され、米国へ引き渡されました。
2024年には、
を命じられました。
国外に逃亡していた有力メンバーを、入国先で拘束して引き渡した代表例です。
なぜ犯罪者の拘束が難しいのか
サイバー攻撃では、攻撃を技術的に解明できても、直ちに犯罪者を拘束できるとは限りません。
主な理由は次のとおりです。
- 複数国のサーバーを経由する
- 他人の端末を乗っ取って攻撃する
- 偽名と暗号化通信を使用する
- 暗号資産で資金を受け取る
- 開発者、侵入役、交渉役、資金洗浄役が分業している
- 容疑者の所在国が身柄を引き渡さない
- 国家機関が攻撃者を保護・利用している場合がある
そのため、犯罪者が特定されても、ロシアなど身柄引き渡しが難しい国に居住していれば、国外へ出るまで拘束できないことがあります。
「拘束」と「組織壊滅」は違う
近年のランサムウェアは、RaaS（Ransomware as a Service）と呼ばれる分業型です。
- 運営者：攻撃基盤を管理
- 開発者：ランサムウェアを作る
- アフィリエイト：企業へ侵入して実行
- 交渉役：身代金を要求
- 資金洗浄役：暗号資産を現金化
このため、一人を拘束しても別のメンバーが活動を継続できます。さらに、残ったメンバーが組織名を変えて再結成することもあります。
したがって、実効性のある摘発には、
- 実行犯の拘束
- 指令サーバーの押収
- 暗号資産の凍結・没収
- 復号鍵の回収と被害企業への提供
- マルウェア開発者・運営者の拘束
- 攻撃手口の業界内共有
を同時に進める必要があります。
要するに、サイバー攻撃者が拘束された事例は着実に増えていますが、多くは犯罪組織の一部にとどまります。
👉 今後は犯罪者を一人ずつ捕まえるだけでなく、攻撃基盤・資金・人員・情報流通を同時に遮断する「犯罪エコシステム全体の解体」が必要です。
添付2-1）
社員やサポート担当者をだます「ソーシャルエンジニアリング」 とは？
ChatGPT:
一文で総括
👉 ソーシャルエンジニアリングとは、コンピューターを技術的に破るのではなく、人間の心理や思い込みを利用して、パスワードや認証コードを聞き出したり、不正な操作をさせたりする攻撃手法です。
社員やサポート担当者をどうだますのか
攻撃者は、例えば次の人物になりすまします。
- 社員や経営幹部
- 取引先
- 顧客
- システム管理者
- 保守業者
- 困っている利用者
そして電話、メール、SMS、SNS、オンライン会議などで接触し、
- パスワードを再設定させる
- 多要素認証のコードを教えさせる
- 攻撃者の端末を登録させる
- 不正なURLを開かせる
- マルウェアを実行させる
- 送金先口座を変更させる
- 本人確認手続きを例外扱いさせる
といった行動へ誘導します。
典型的な手口
1．サポート窓口へのなりすまし
攻撃者が社員になりすまし、サポート担当者へ、
「スマートフォンをなくしてログインできない。至急パスワードを再設定してほしい」
と依頼します。
氏名、所属、社員番号などを事前にSNSや流出情報から調べておけば、本物の社員のように振る舞えます。
2．経営幹部へのなりすまし
社長や上司を装い、
「極秘案件なので、すぐにこの口座へ送金してほしい」
と経理担当者へ指示します。生成AIを使えば、本人らしい文章や音声、映像まで作れます。
3．認証コードを聞き出す
攻撃者がIDとパスワードを入手しても、多要素認証が残っている場合があります。
そこで本人やサポート担当者に、
「確認のため、スマートフォンに届いた数字を教えてください」
と依頼して認証を突破します。
4．承認通知を何度も送る
ログイン承認通知を繰り返し送り、利用者が面倒になって誤って「承認」を押すのを待つ方法です。これは「MFA疲労攻撃」と呼ばれます。
5．SIMスワップ
携帯電話会社の担当者をだまし、被害者の電話番号を攻撃者のSIMへ移させます。その後、SMS認証コードを受信して各種アカウントへ侵入します。
6．物理的な侵入
配達員や保守業者を装って建物へ入り、
- 社員の後について入館する
- 机上のパスワードを見る
- USBメモリーを接続する
- 社員証や書類を撮影する
といった方法も含まれます。
なぜ成功するのか
攻撃者は、主に次の心理を利用します。
- 緊急性：「今すぐ対応しないと業務が止まる」
- 権威：「社長、役員、警察、取引先からの指示」
- 恐怖：「アカウントが停止される」
- 親切心：「困っているので助けてほしい」
- 秘密性：「極秘案件なので誰にも確認しないでほしい」
- 慣れ：日常的な申請に見せかける
- 疲労：忙しい時間帯や夜間を狙う
技術的に堅牢なシステムでも、担当者が例外的にパスワードを再設定すれば、防御を迂回されてしまいます。
生成AIによって何が変わるのか
生成AIを利用すると、攻撃者は、
- 自然で間違いの少ない日本語メールを作る
- 本人の話し方を再現する
- 音声や顔を偽造する
- SNSから人物関係を分析する
- 相手の反応に応じて会話を変える
- 多数の社員へ個別最適化した攻撃を行う
ことができます。
そのため、今後は「声を聞いた」「顔が映っていた」「社内情報を知っていた」だけでは、本人確認として不十分になります。
有効な対策
最も重要なのは、担当者の注意力だけに依存しないことです。
- パスワードや認証コードを他人に伝えない
- 電話やメールとは別の登録済み経路で本人へ折り返す
- 重要な変更や送金は複数人で承認する
- サポート担当者にも必要最小限の権限だけを与える
- 本人確認の例外処理を禁止・記録する
- 多額の送金や認証情報変更には待機時間を設ける
- フィッシング耐性の高いパスキーやセキュリティキーを使う
- 不審な申請を検知して、一時停止する
- 実践的な模擬訓練を継続する
特に重要なのは、
依頼してきた連絡経路を、そのまま本人確認に使わない
ことです。
例えば電話でパスワード変更を求められたら、その電話番号を信用せず、会社に登録されている番号や上司への確認など、別の経路で本人確認を行います。
結論
ソーシャルエンジニアリングとは、
システムの技術的な弱点ではなく、それを操作する人間の信頼、焦り、親切心、権威への服従を利用して、防御を内側から解除させる攻撃
です。
そのため、対策の基本は「社員が注意する」だけではありません。
👉 重要な操作は一人で完結させず、別経路での本人確認、複数承認、権限制限、記録、待機時間をシステム側へ組み込み（添付2-1-1参照）、人間がだまされても重大被害へ直結しない構造にすることが必要です。
添付2-1-1）
待機時間をシステム側へ組み込む とは？
ChatGPT:
一文で総括
👉 「待機時間をシステム側へ組み込む」とは、送金、パスワード変更、権限追加などの重要操作を、承認されても直ちに実行せず、一定時間保留して、その間に本人確認・異常検知・取消しを行えるようにする仕組みです。
これは一般に、タイムディレイ（時間遅延）やクーリングオフ期間などと呼ばれます。
具体例
1．振込先を変更した場合
取引先から「振込先口座が変わった」と連絡が来ても、システムは直ちに新口座への送金を許可しません。
例えば、
- 担当者が新しい口座を登録する
- 登録済みの取引先担当者へ別経路で通知する
- 上司または経理責任者が承認する
- 24時間は新口座への送金を保留する
- 異常がなければ送金可能になる
という仕組みです。
攻撃者にだまされた担当者が口座を変更しても、保留期間中に取引先本人や上司が気付いて取り消せます。
2．パスワードや多要素認証の変更
サポート担当者が本人確認にだまされ、パスワードや認証用スマートフォンを変更した場合でも、
- パスワード変更後、一定時間は重要操作を禁止する
- 新しい端末からの送金や機密情報閲覧を制限する
- 従来の連絡先へ変更通知を送る
- 本人が「身に覚えがない」と取り消せる
ようにします。
例えば、認証端末を変更してから24時間は、管理者権限の使用や大量データのダウンロードを禁止します。
3．管理者権限を追加する場合
新しい管理者を登録しても、直ちに最高権限を与えません。
- 申請
- 複数人による承認
- 1時間程度の保留
- セキュリティ部門への自動通知
- 問題がなければ権限を有効化
という流れにします。
緊急作業の場合は保留時間を短縮できますが、複数責任者による承認と詳細な記録を必須にします。
4．大量データを持ち出す場合
社員が大量の顧客情報をダウンロードしようとした場合、
- 通常業務の範囲を超えていないか
- 新しい端末や国外からのアクセスではないか
- 深夜・休日の操作ではないか
- 直前にパスワードを変更していないか
をAIやセキュリティシステムが確認します。
異常度が高ければ、即時実行せず、セキュリティ部門が確認するまで保留します。
5．システム全体の停止や本番反映
AIや管理者が、
- 重要システムを停止する
- セキュリティ設定を変更する
- 本番環境へプログラムを反映する
- バックアップを削除する
場合も、原則として一定時間保留します。
その間に、別の担当者や監査システムが変更内容を検証します。
なぜ「人間が待つ」のではなくシステムに組み込むのか
単に社内規則で、
「重要な操作はしばらく待ってください」
と決めるだけでは、緊急時や繁忙時に省略される可能性があります。
システム側で、
- 直ちに実行できない
- 待機時間を勝手に解除できない
- 関係者へ自動通知される
- 取消し操作が用意されている
- 誰が例外解除したか記録される
ようにすれば、担当者がだまされた場合でも被害を防げます。
すべての操作を遅らせるわけではない
待機時間は、操作の危険度に応じて設定します。
|
操作
|
待機時間の例
|
|
一般的な社内文書の更新
|
なし
|
|
少額の既存口座への送金
|
なし〜数分
|
|
新規口座への高額送金
|
数時間〜24時間
|
|
認証端末の変更
|
12〜24時間
|
|
管理者権限の追加
|
30分〜数時間
|
|
大量の個人情報の出力
|
承認完了まで保留
|
|
バックアップの削除
|
24〜72時間
|
|
システム全体の停止
|
原則複数承認。緊急時は即時対応
|
ただし、サイバー攻撃を受けた端末の隔離など、遅らせると被害が拡大する操作には待機時間を設けません。
緊急時にはどうするのか
待機時間には、例外経路も必要です。
例えば、
- 2人以上の責任者による承認
- 登録済み端末からの本人確認
- 理由の入力
- 自動的な操作記録
- 事後監査
- 一定時間後の自動失効
を条件として、緊急時だけ即時実行を認めます。
ただし、攻撃者が「緊急だから例外にしてほしい」と迫るのは典型的な手口です。そのため、一人の判断だけでは待機時間を解除できないようにします。
結論
「待機時間をシステム側へ組み込む」とは、
重要な操作について、入力・承認・実行を時間的に分離し、その間に異常検知、別経路での本人確認、関係者への通知、取消しを行えるようにすること
です。
これは単なる処理の遅延ではなく、攻撃者が社員をだますことに成功しても、その勢いのまま送金、権限奪取、情報流出、証拠やバックアップの削除まで完了できないようにする**「時間による安全装置」**です。
添付３）
これまでのサイバー攻撃事件で、犯罪者が拘束された割合は？
ChatGPT:
結論から言うと、これまでに発生したサイバー攻撃のうち、犯罪者が拘束された正確な割合は分かっていません。世界共通の統計は存在しません。
ただし、公表資料から大まかに推測すると、
👉 被害が確認・届け出られた重大なサイバー攻撃のうち、実行犯の一部でも拘束される割合は、おそらく数％以下
👉 首謀者まで拘束される割合は、1％未満の可能性が高い
とみられます。
これは公式な検挙率ではなく、公開された被害件数、拘束事例、捜査上の困難さからの推定です。
攻撃の数え方によって割合が変わる
|
母数とする攻撃
|
拘束割合の見方
|
|
自動スキャンや侵入未遂を含む全攻撃
|
0.1％を大きく下回る可能性
|
|
被害が発生した攻撃
|
数％以下と推測
|
|
警察へ正式に届け出られた事件
|
国・犯罪類型によって大きく異なる
|
|
大規模ランサムウェア事件
|
実行役の拘束は一部ある
|
|
集団の首謀者まで拘束
|
1％未満の可能性
|
例えば、同じ攻撃者が1,000社を攻撃した後に1人拘束された場合、
- 事件基準では1,000件中1件
- 人物基準では犯罪者1人を拘束
- 犯罪集団基準では集団の一部だけ摘発
となり、どの基準を採用するかで割合が全く変わります。
なぜ正確な割合を出せないのか
�� 被害が届け出られていない
企業が、
- 信用低下を恐れる
- 被害範囲を把握できない
- 軽微な攻撃として処理する
- 身代金交渉を公表したくない
- そもそも侵入に気づいていない
などの理由で届け出ない場合があります。
INTERPOLのアフリカ地域に関する2025年報告では、サイバー犯罪のうち正式に届け出られるのは推計約35％とされています。ただし、これはアフリカ地域に関する推計であり、世界全体にはそのまま適用できません。INTERPOL・2025年アフリカ地域報告
�� 「攻撃」と「サイバー犯罪」が混在する
公的統計には、
- ランサムウェア
- 不正アクセス
- フィッシング
- ネット詐欺
- 不正送金
- 児童ポルノ
- 犯罪収益の移転
などがまとめて「サイバー犯罪」として計上されることがあります。
そのため、サイバー犯罪の検挙件数を、企業へのサイバー攻撃件数で割ることはできません。
日本の警察庁によると、2025年のサイバー犯罪検挙件数は1万5,108件でしたが、その中には詐欺や犯罪収益移転防止法違反なども含まれます。警察庁「2025年におけるサイバー空間をめぐる脅威」
したがって、この1万5,108件を「サイバー攻撃の犯罪者を拘束した件数」と解釈することはできません。
�� 犯罪者特定と身柄拘束は別である
技術的な調査によって、
- 攻撃集団
- 使用されたマルウェア
- 通信元
- 暗号資産の送金先
- 容疑者の氏名や所在国
まで分かっても、所在国が協力しなければ拘束できません。
特に国家の保護下にいる攻撃者の場合、
- 氏名を公表する
- 起訴する
- 国際手配する
- 資産を凍結する
ところまではできても、身柄拘束に至らないことがあります。
�� 分業化されている
ランサムウェア攻撃では、
- マルウェア開発者
- 侵入経路を販売する者
- 実際に侵入する者
- 身代金交渉をする者
- 暗号資産を洗浄する者
- 組織を運営する者
が別々です。
一人を拘束しても「事件の犯罪者全員を拘束した」とはいえません。
米国の数字からも割合を出せない
FBIのIC3には、2025年に約100万件のインターネット犯罪の申告が寄せられました。しかし、FBIはこれと直接対応する「拘束された犯罪者数」を公表していないため、検挙率を計算できません。FBI・2025年インターネット犯罪申告
また、申告1件が一つの攻撃とは限らず、一つの攻撃集団に数千件の申告が結び付く場合もあります。
現実的な推定
正確な統計ではありませんが、全体像は次のように整理できます。
- 攻撃未遂を含む全サイバー攻撃
犯罪者拘束はほぼゼロに近い割合
- 被害が発生して届け出られた事件
実行役の一部が拘束されるのは数％以下と推測
- 国際的な大規模ランサムウェア事件
関係者を特定・起訴できても、拘束できるのはその一部
- 組織の首謀者まで拘束
1％未満の可能性が高い
したがって、最も誤解の少ない表現は、
👉 「正確な割合は不明だが、重大なサイバー攻撃でも犯罪者の身柄拘束まで至るのは例外的であり、首謀者まで拘束される割合は極めて低い」
となります。
これは、サイバー防衛を犯罪者拘束だけに依存できないことも意味します。犯罪者の追跡と並行して、攻撃基盤の停止、暗号資産の凍結、情報共有、侵入を前提とした被害局所化、早期復旧を進める必要があります。
添付４）
今後ともサイバー攻撃の攻撃方法が解明されなければ、増々被害の度合いは重くなっていくのではないか？
ChatGPT:
結論から言うと、その懸念は基本的に正しいです。
攻撃経路や被害拡大の仕組みが解明・共有されないままでは、同じ弱点が他社にも残り続けます。その結果、攻撃者は成功した方法を横展開し、企業単体の障害から、物流・食品・医療・金融などを巻き込む社会的な連鎖障害へ発展させる可能性があります。
ただし、重要なのは、
👉 世間に公表されていない＝専門家の間でも解明されていない、とは限らない
という点です。
ニチレイの場合
現時点でニチレイは、「サーバーがサイバー攻撃を受けた」とだけ公表し、攻撃の詳細は被害拡大防止のため開示していません。
実際には社内や専門調査会社が、
- どこから侵入されたか
- どの認証情報が悪用されたか
- どの端末・サーバーを経由したか
- どのような不正プログラムが使われたか
- データが持ち出されたか
- 攻撃者が管理者権限を取得したか
などをフォレンジック調査（添付4-1参照）している可能性があります。
したがって、現段階では「攻撃方法が解明されていない」と断定することもできません。正確には、調査結果がまだ公表されていないため、外部からは分からないという状態です。
解明されなければ被害が深刻化する理由
�� 同じ侵入口が残る
侵入経路が分からなければ、その箇所を完全に修正できません。一時的にシステムを復旧しても、攻撃者が再び侵入する可能性があります。
�� 他社も同じ攻撃を受ける
企業は同じネットワーク機器、業務ソフト、クラウドサービスを利用しています。一社で成功した攻撃方法は、同じ製品を使う別の企業にも転用できます。
IPAも、一社の被害が取引関係やネットワークを通じて他社へ波及するため、被害情報の共有が「早期警報」として重要だとしています。IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版」
�� 攻撃者だけが知識を蓄積する
攻撃者は地下フォーラムなどで、
- 侵入しやすい製品
- 攻撃に成功した手順
- 盗み出した認証情報
- 身代金を支払いそうな企業
- 停止させると影響が大きい業務
を共有・売買します。
一方、被害企業が風評被害を恐れて情報を抱え込めば、攻撃側だけが学習し、防御側は同じ失敗を繰り返すという非対称性が生じます。
�� システムの相互接続が進んでいる
ニチレイのような企業は、単なる食品メーカーではありません。
- 受発注
- 冷凍食品の製造
- 冷蔵倉庫
- 配送
- 小売店
- 外食産業
がデジタルシステムで接続されています。
そのため、一つの認証情報やサーバーが突破されるだけで、食品供給網全体に影響が広がる恐れがあります。
�� ITから現実空間へ影響が広がる
今後はサイバー攻撃が、パソコンやデータだけでなく、
- 工場の生産設備
- 冷蔵・冷凍設備
- 倉庫の自動搬送装置
- 電力・温度管理
- 配送車両の運行管理
など、OT（制御・運用技術）にも及ぶ可能性があります。
そうなると被害は情報漏洩にとどまらず、食品廃棄、供給不足、価格上昇、安全性の低下へ波及します。
すべてを一般公開すればよいわけではない
攻撃の詳細を直ちに全面公開すると、
- 未修正の脆弱性を他の攻撃者に教える
- 復旧中のシステムが再攻撃される
- 捜査や犯罪者追跡を妨げる
- 顧客や取引先の情報をさらに危険にさらす
可能性があります。
したがって、情報共有は段階的に行う必要があります。
- 直後
警察、監督機関、JPCERT/CC、IPA、専門調査会社と共有
- 封じ込め後
同じ製品を使う企業や業界団体へ、侵害指標や暫定対策を限定共有
- 脆弱性修正後
侵入経路、被害範囲、再発防止策を社会へ公表
つまり、
👉 即時の全面公開ではなく、専門機関への早期共有と、安全確保後の社会的共有
が望ましい形です。
攻撃方法の解明だけでも不十分
攻撃手口は絶えず変化するため、すべての攻撃を事前に解明して防ぐことはできません。そこで必要になるのが、侵入を前提とする防御です。
- 多要素認証
- 権限の最小化
- ネットワークの分離
- ITと工場・物流系OTの分離
- 改変されないオフラインバックアップ
- 異常通信の常時監視
- 手作業で受発注・出荷を継続できるBCP
- 被害範囲を限定するゼロトラスト
- 復旧訓練とサイバー演習
国家サイバー統括室も、対策を「予防」だけでなく、検知・対応・復旧まで一体で考えるよう示しています。国家サイバー統括室「STOP! RANSOMWARE」
最終的な見方
要するに、今後の問題は、
👉 サイバー攻撃を完全に防げるかではなく、侵入されても社会機能を止めず、被害を局所化し、短時間で安全に復旧できるか
へ移っています。
これは、これまで検討してきたAI文明OSの「壊れないこと」よりも、壊れても連鎖せず、修正・復旧できる構造を作るという考え方と一致します。
攻撃方法の解明と業界内共有は不可欠ですが、それと同時に、食品・物流などの重要システムには、デジタル系統が停止しても最低限の供給を継続できる代替系統と復旧可能性を制度として組み込む必要があります。
添付4-1）
フォレンジック調査 とは？
ChatGPT:
一文で総括
👉 フォレンジック調査とは、サイバー攻撃や情報漏洩が起きた際に、パソコン、サーバー、スマートフォン、クラウド、通信記録などに残されたデジタル証拠を保全・解析し、「何が、いつ、どこから、どのように行われたか」を明らかにする調査です。
正式には「デジタル・フォレンジック」と呼ばれます。「フォレンジック（forensic）」には、法廷・捜査に関するという意味があります。
何を明らかにするのか
フォレンジック調査では、主に次の点を調べます。
- 侵入された日時
- 最初に侵入された端末
- 使用されたIDやアカウント
- 侵入経路
- 利用された脆弱性
- 実行されたマルウェア
- 攻撃者が閲覧・変更した情報
- 外部へ持ち出されたデータ
- 暗号化・削除されたファイル
- 他の端末やサーバーへの侵入範囲
- 攻撃者が残した仕組み
- 社員による内部不正の可能性
- 攻撃者につながる手掛かり
つまり、「システムを復旧させる」だけでなく、事件の全体像と原因を証拠に基づいて再現します。
どのようなものを調査するのか
対象になるのは、例えば次のデジタル記録です。
- パソコンやサーバーの記憶装置
- メモリー上の実行中データ
- ファイルの作成・変更・削除履歴
- Windowsなどの操作履歴
- メール、チャット、ブラウザー履歴
- ファイアウォールやVPNの通信記録
- 認証・ログイン履歴
- クラウドサービスの操作記録
- スマートフォンやUSBメモリー
- 防犯カメラや入退室記録
- マルウェアのプログラム
- 暗号資産の送金記録
複数の記録を時系列で照合し、攻撃者の行動を再構成します。
基本的な調査の流れ
1．証拠の保全
最初に、関係する端末やログを消失・改変されないように保存します。
- 端末を不用意に初期化しない
- 記憶装置を複製する
- ログを別の安全な場所へ保存する
- データの同一性を確認する値を記録する
- 誰が、いつ、どの証拠を扱ったか記録する
元の証拠を直接操作すると内容が変わる可能性があるため、原則として複製したデータを解析します。
2．証拠の収集
端末、サーバー、クラウド、ネットワーク機器などから必要な情報を集めます。
ただし、攻撃発覚後に電源を切るべきかどうかは状況によって異なります。電源を切るとマルウェアの活動を止められる一方、メモリー上の証拠が失われる可能性があります。
そのため、可能であれば専門家の判断を受けます。
3．解析
収集した情報から、
- 不審なログイン
- ファイルの持ち出し
- マルウェアの実行
- 権限の変更
- ログの削除
- 外部サーバーとの通信
- 攻撃者による横展開
などを調べます。
4．時系列の再構成
複数の端末・サービスの記録を並べ、
侵入 → 権限奪取 → 内部探索 → データ窃取 → 暗号化 → 身代金要求
といった攻撃の流れを作成します。
これを「タイムライン解析」と呼びます。
5．影響範囲の確定
次に、
- どの顧客情報が閲覧されたか
- 実際に外部へ送信されたか
- バックアップまで侵害されたか
- 攻撃者がまだ内部に残っていないか
- 関係会社や取引先へ広がっていないか
を確認します。
6．報告と証拠化
調査結果を、
- 経営者
- 顧客・取引先
- 個人情報保護当局
- 警察
- 保険会社
- 裁判所
などへ説明できる形にまとめます。
通常の原因調査との違い
|
通常の障害調査
|
フォレンジック調査
|
|
システムを早く直すことが中心
|
事実と証拠を残すことが中心
|
|
不具合の原因を調べる
|
攻撃者の行動と被害範囲を調べる
|
|
復旧のため設定を変更することがある
|
証拠保全前の変更を避ける
|
|
社内の技術担当者が対応することが多い
|
専門家、法務、警察とも連携する
|
|
裁判での利用を必ずしも想定しない
|
捜査・訴訟での利用を考慮する
|
緊急復旧のために端末を初期化すると、攻撃の証拠が消えることがあります。そのため、復旧作業とフォレンジック調査を両立させる必要があります。
「証拠として使える」ための条件
裁判や警察捜査に利用する場合は、単にデータをコピーするだけでは不十分です。
- 誰が収集したか
- いつ収集したか
- どの機器から取得したか
- 取得後に改変されていないか
- どのような方法で解析したか
- 調査結果を第三者が再現できるか
を記録します。
証拠を取得してから提出するまでの管理履歴を「チェーン・オブ・カストディ」と呼びます。
また、データが変わっていないことを確認するため、ハッシュ値というデジタル上の指紋を計算・記録します。
フォレンジック調査の限界
調査しても、必ず犯罪者を特定できるわけではありません。
攻撃者は、
- ログを削除する
- 他人の端末を踏み台にする
- VPNや匿名化通信を利用する
- 暗号化された通信を使う
- 他の攻撃集団の手口をまねる
- 盗んだIDで操作する
- 保存期間を過ぎたログを狙う
からです。
そのため、フォレンジック調査で「攻撃方法と被害範囲」は解明できても、実行者の個人名や所在国までは特定できない場合があります。
結論
フォレンジック調査とは、
サイバー事件後に残されたデジタル上の痕跡を、改変しないよう証拠として保全し、攻撃の入口・経路・行動・被害範囲を時系列で再構成する調査
です。
その目的は、単なる犯罪者捜しだけではありません。
- 安全な復旧
- 情報流出範囲の確認
- 再発防止
- 顧客・当局への説明
- 保険・損害賠償への対応
- 警察捜査や裁判への証拠提供
まで含まれます。
したがって、サイバー攻撃を受けた場合は、復旧を急ぐあまり証拠を消さず、「封じ込め・証拠保全・調査・復旧」を並行して進めることが重要です。
添付５）
これまで、サイバー攻撃の犯罪者に身代金を支払った事例はあるか？
ChatGPT:
一文で総括
👉 はい、ランサムウェアなどのサイバー攻撃を受けた企業が、システムの復旧や盗まれたデータの非公開と引き換えに、攻撃者へ身代金を支払った事例は実際にあります。
代表的な支払い事例
コロニアル・パイプライン
2021年、米国最大級の石油パイプライン運営会社コロニアル・パイプラインが、DarkSideと呼ばれる集団のランサムウェア攻撃を受けました。
同社は約75ビットコイン、当時の金額で約440万ドルを支払いました。米司法省はその後、支払われた暗号資産のうち約230万ドル相当を押収・回収しています。米司法省
ただし、攻撃者から提供された復号ツールは処理が遅く、支払ったから直ちに完全復旧できたわけではありません。
食肉大手JBS
2021年、世界的な食肉加工会社JBSは、北米やオーストラリアの事業に影響するサイバー攻撃を受け、1,100万ドル相当の身代金を支払ったと公式に発表しました。
同社は、顧客への潜在的なリスクを避けるための判断だったと説明しています。JBS公式発表
なぜ企業は支払うのか
企業が支払いを選ぶ主な理由は、次の通りです。
- バックアップから復旧できない
- 事業停止による損失が身代金を上回る
- 医療、エネルギー、物流などを早急に再開する必要がある
- 盗まれた顧客情報や機密情報の公開を止めたい
- 取引先や利用者への被害を抑えたい
- サイバー保険や専門交渉会社が関与している
最近は、データを暗号化せず、盗んだ情報の公開を材料に金銭を要求する「ノーウェアランサム」も確認されています。警察庁・ランサムウェア被害防止対策
支払っても解決するとは限らない
身代金を支払っても、次の保証はありません。
- 復号鍵が提供される
- 復号ツールが正常に動作する
- データがすべて復旧する
- 盗まれた情報が削除される
- 情報が公開・転売されない
- 攻撃者が再び侵入しない
- 追加の金銭を要求されない
FBIも、支払ってもデータが戻る保証はなく、犯罪者へ資金を与えて新たな攻撃を促すことになるとして、身代金の支払いを支持していません。FBI・ランサムウェア対策
さらに、支払先が制裁対象の組織などであれば、国や地域によっては法的問題が生じる可能性もあります。
日本企業の支払い実態
日本でも支払いに応じた企業が存在する可能性は高いと考えられますが、企業名と支払額が公式に公表される事例は多くありません。
企業が公表を避ける理由としては、
- 再攻撃の標的になることへの懸念
- 犯罪者との交渉内容が秘密である
- 捜査や被害調査が継続している
- 顧客、取引先、株主への影響を懸念する
- 保険会社や交渉会社との守秘義務がある
などが考えられます。
従って、日本国内で過去に支払われた正確な総額や企業数は分かりません。
ニチレイの場合
2026年7月23日時点では、ニチレイがRansomHouseまたは他の攻撃者へ金銭を支払ったという公式発表や、信頼できる報道は確認できません。
RansomHouse側はニチレイへ連絡を求める声明を出していますが、これは支払いが行われたことを意味しません。また、ニチレイは警察や関係機関と連携して対応しているとしています。
したがって、現時点では、
ニチレイが攻撃者へ金銭を支払ったかどうかは不明であり、支払ったと判断できる根拠はない
というのが正確です。
結論
企業が攻撃者へ身代金を支払った事例は、実際に複数存在します。しかし、支払いは復旧や情報削除を保証せず、犯罪組織へ資金を供給し、次の攻撃を助長することにもなります。
そのため、基本的な対応は、
- 攻撃者との通信を記録する
- 警察・関係当局へ速やかに連絡する
- 被害システムを隔離する
- 証拠を保全する
- 安全なバックアップから復旧する
- 法務・セキュリティー・経営陣が連携して判断する
となります。
要するに、身代金を支払うかどうかは企業存続にも関わる極めて難しい判断ですが、原則は「支払わなくても事業を復旧できる構造を事前に作っておくこと」です。
添付６）
これまで、サイバー攻撃の犯罪者に身代金を支払わなかったために、個人情報の流出や金銭面での被害に遭った事例はあるか？
ChatGPT:
一文で総括
👉 あります。代表例は豪州の医療保険会社Medibankで、身代金の支払いを拒否した後、約970万人分の個人・医療情報の一部が公開され、対応費も多額に上りました。ただし、情報の窃取やシステム停止は支払い判断より前に起きており、「払わなかったためにすべての被害が発生した」とは言えません。
主な事例
1．Medibank（オーストラリア、2022年）
豪州の大手医療保険会社Medibankでは、攻撃者が約970万人分の顧客情報にアクセスしました。
会社は身代金を支払わないと正式に決定しました。その後、攻撃者は、
- 氏名・住所・生年月日
- 電話番号・メールアドレス
- 医療保険番号
- 一部のパスポート番号
- 病歴や保険請求などの医療情報
の一部をダークウェブへ公開しました。豪州政府機関も、一部の記録が公開されたことを確認しています。豪州サイバーセキュリティセンター
Medibankは2023年度に、事件対応費として4,640万豪ドルを計上しました。Medibank年次報告書
これは「支払い拒否後に情報が公開された」ことが明確な代表例です。
2．Vastaamo心理療法センター（フィンランド、2020年）
攻撃者は約3万3,000人分の極めて機密性の高い心理療法記録を盗み、Vastaamoに身代金を要求しました。
会社が支払わなかったため、攻撃者は、
- 患者の氏名や連絡先
- 心理療法の相談記録
- 家族関係や健康状態
- その他の極めて私的な情報
を公開し、患者本人にも個別に身代金を要求しました。
会社は経営上の打撃を受け、2021年に破産しています。ただし、破産のすべてが身代金拒否だけに起因したとは断定できず、情報管理上の問題や訴訟・信用失墜などが複合的に影響しました。AP通信による事件・裁判の報道
3．MGM Resorts（米国、2023年）
MGM Resortsは攻撃者への支払いを行わなかったと報じられています。攻撃によって、
- ホテル予約
- 客室の電子キー
- カジノ設備
- ATMやカード決済
- 社内システム
などが約10日間にわたって混乱しました。
一部顧客の氏名、連絡先、生年月日、運転免許証番号、社会保障番号なども窃取されました。
MGMは、営業利益への影響を約1億ドル、外部専門家などへの一時費用を1,000万ドル未満と見積もりました。MGMのSEC提出資料
ただし、この損失は「身代金を払わなかったため」だけではなく、攻撃を封じ込めるためにMGM自身がシステムを停止したことによる営業損失も含まれます。
4．Norsk Hydro（ノルウェー、2019年）
アルミニウム大手Norsk Hydroは、ランサムウェア攻撃を受けましたが、身代金を支払わず、バックアップなどからシステムを再構築しました。
工場の一部では手作業による操業を余儀なくされ、最終的な損失・復旧費用は約7,100万ドルに達したとされています。Microsoftによる事例紹介
この事件は大規模な個人情報公開よりも、操業停止と復旧費用の代表例です。
「支払わなかったから漏れた」と単純には言えない
一般的な二重恐喝型攻撃は、次の順序で進みます。
- 攻撃者がシステムへ侵入する
- 個人情報・機密情報を外部へ持ち出す
- システムを暗号化・停止させる
- 「払わなければ公開する」と脅す
- 支払いがなければ情報を公開・売却する
つまり、企業が身代金要求を受けた時点で、情報はすでに盗まれている場合が多いのです。
身代金を支払わないことで生じ得る追加被害は、主に、
- 盗まれた情報の公開・売却
- 復号鍵を得られないことによる復旧の長期化
- 営業停止による売上減少
- 顧客対応・本人通知の費用
- 訴訟、賠償、行政処分
- 信用やブランド価値の低下
です。
支払えば被害を防げるのか
👉 保証はありません。
支払っても攻撃者が、
- 正常に動く復号鍵を渡さない
- 情報の複製を保存する
- 後日データを売却する
- 同じ企業を再び攻撃する
- 別の犯罪者に侵入経路を売る
可能性があります。
また、制裁対象の犯罪組織への送金となれば、法的問題が生じる場合もあります。身代金の支払いが犯罪組織の資金源となり、次の攻撃を促す問題もあります。
結論
身代金を支払わなかった後に、
- 個人・医療情報を公開されたMedibankやVastaamo
- 巨額の営業損失を被ったMGM
- 多額の復旧費用を負担したNorsk Hydro
といった事例は実際にあります。
しかし、これは、
「支払わなければ被害に遭い、支払えば安全になる」
という意味ではありません。
正確には、
攻撃による基本的な被害は身代金要求以前に発生しており、支払いを拒否すると情報公開や復旧長期化という追加被害が起こる場合がある。しかし、支払っても情報非公開や完全復旧は保証されない
ということです。
したがって、最も重要なのは支払うか否かだけではなく、事前の分離バックアップ、権限制限、侵入の早期検知、事業継続計画、情報流出を前提とした対応体制を整えておくことです。
添付７）
これまで、サイバー攻撃で個人情報の流出や金銭面での被害に遭った企業が再び被害に遭った事例はあるか？
ChatGPT:
一文で総括
👉 あります。T-Mobile、Marriott、MGM Resortsなどは、個人情報流出や金銭的損失を伴うサイバー攻撃を受けた後、別の時期に再び侵入・情報流出の被害に遭っています。ただし、再被害が必ず前回と同じ犯罪者・侵入経路によるとは限りません。
代表的な事例
1．T-Mobile――2021年、2022年、2023年
米通信大手T-Mobileは、短期間に複数回の情報流出を経験しています。
- 2021年：約7,660万人に影響
氏名、生年月日、社会保障番号、運転免許証番号などが流出
- 2022年：別の情報漏洩が発生
- 2023年：約3,700万口座に影響
氏名、住所、メールアドレス、電話番号、生年月日、契約情報などが流出
米連邦通信委員会（FCC）は、T-Mobileが2021〜2023年に複数の情報漏洩を起こしたことを確認しています。FCCの調査・和解文書
2021年事件をめぐっては、T-Mobileが集団訴訟の解決として3億5,000万ドルを支払うことで合意した後、2023年に再び大規模な情報流出が発生しました。
さらにFCCとの和解では、
- 1,575万ドルの民事制裁金
- 1,575万ドルのセキュリティ改善投資
が課されました。FCCの発表
2．Marriott／Starwood――少なくとも3件の別事件
米連邦取引委員会（FTC）は、Marriottと子会社Starwoodで、2014〜2020年に少なくとも3件の別々の情報漏洩があったとしています。
- 第1事件：2014年に侵入、2015年に発覚
約4万人分の決済カード情報
- 第2事件：2014年から2018年まで侵入が継続
約3億3,900万件の宿泊者記録
- 第3事件：2018年から2020年までMarriott側ネットワークへ侵入
約520万件の宿泊者記録
流出情報には、
- パスポート番号
- 決済カード番号
- 氏名・住所
- 生年月日
- メールアドレス
- 電話番号
- 会員番号
などが含まれていました。
FTCは、合理的なセキュリティ対策が不十分だったことが、3件の大規模漏洩につながったと指摘しています。全体では世界の3億4,400万人以上が影響を受けました。FTCの発表
Marriottは米国49州などとの和解で、5,200万ドルを支払うことにも合意しました。
ただし、第1・第2事件は一部期間が重なっています。したがって、「前回の事件が完全に終了してから再侵入された」という単純な順序ではありませんが、異なるシステムで複数の侵害が発生した事例です。
3．MGM Resorts――2019年と2023年
MGM Resortsでは、
- 2019年：顧客情報の大規模流出
- 2023年：ソーシャルエンジニアリングを起点とする別の大規模攻撃
が発生しました。
2023年の事件では、
- ホテル予約
- カジノ設備
- 客室の電子キー
- 決済やATM
- 社内システム
などが混乱し、一部顧客の氏名、連絡先、生年月日、運転免許証番号、社会保障番号なども窃取されました。
MGMは2023年事件による営業利益への影響を約1億ドル、外部専門家などへの一時費用を1,000万ドル未満と見積もりました。MGMのSEC提出資料
2019年と2023年では、攻撃者や侵入方法が異なるとみられており、「同じ攻撃の再発」ではなく、同一企業が別の攻撃で再び被害を受けた事例です。
なぜ再び狙われるのか
1．前回の侵入経路が完全に除去されていない
攻撃後に表面上は復旧しても、
- 盗まれたID・パスワード
- 不正に作られた管理者アカウント
- 遠隔操作用プログラム
- 未修正の脆弱性
- 侵害された取引先
- 古い認証情報
が残っていれば、攻撃者は再侵入できます。
フォレンジック調査で侵入範囲を正確に把握できなかった場合、攻撃者が残した「裏口」が見逃されることもあります。
2．盗まれた認証情報が再利用される
最初の攻撃で盗まれた、
- 社員のメールアドレス
- パスワード
- 電話番号
- 組織図
- サポート手続き
- 取引先情報
は、別の攻撃者へ販売される場合があります。
次の攻撃者は、これをフィッシングやサポート窓口へのなりすましに利用します。
したがって、システムを修復しても、流出した組織情報が長期間にわたって再攻撃へ使われる可能性があります。
3．復旧を急ぎ、根本原因への対応が不十分になる
大規模企業は業務を長期間停止できないため、まず復旧を優先します。
その結果、
- 本当の侵入経路を解明し切れない
- 古いシステムを再び接続する
- 暫定対応が恒久化する
- 全アカウントを再確認できない
- 取引先まで調査できない
といった問題が残ることがあります。
4．大企業は攻撃対象として魅力が高い
一度被害を受けたから狙われるというだけでなく、大企業はもともと、
- 大量の個人情報を持つ
- 支払能力が高い
- 業務停止による損失が大きい
- システムや拠点が多い
- 委託先・取引先が多い
- サポート窓口が多数ある
ため、繰り返し攻撃されやすい標的です。
5．「支払う企業」と認識される場合がある
身代金を支払った情報が犯罪者間で共有されると、
この企業は業務停止に弱く、再び払う可能性がある
と判断されることがあります。
ただし、支払わなかった企業も、保有データや事業規模に価値があれば再び狙われます。したがって、支払いの有無だけで再攻撃の可能性が決まるわけではありません。
6．前回とは異なる弱点が狙われる
1回目がソフトウェアの脆弱性でも、2回目は、
- 社員へのフィッシング
- サポート担当者へのなりすまし
- 委託先からの侵入
- クラウドの設定ミス
- 盗まれた認証情報
など、別の経路になることがあります。
そのため、一つの脆弱性を修正しただけでは、企業全体の安全性が保証されません。
「再被害」を区別する必要がある
再び情報流出が報じられても、必ずしも新たな攻撃とは限りません。
- 前回盗まれた情報が後日公開された
- 調査が進んで対象人数が増えた
- 同じ侵入者が長期間潜伏していた
- 別のシステムへ同時に侵入していた
- 完全に別の攻撃が新たに発生した
という複数の可能性があります。
したがって、報道を見る際には、「新たな侵入」なのか「過去の事件の追加判明」なのかを確認する必要があります。
再発を防ぐために必要なこと
事件後には、単なる復旧だけでなく、
- 全ID・認証鍵・パスワードの再発行
- 不正アカウントや裏口の徹底調査
- 多要素認証・パスキーの導入
- ネットワークの分割
- 管理者権限の最小化
- 委託先を含む調査
- ログの長期保存
- ソーシャルエンジニアリング対策
- 再侵入を想定した継続監視
- 復旧後の独立監査
が必要です。
結論
企業が一度大きなサイバー攻撃を経験しても、安全になるとは限りません。
むしろ、
攻撃者が企業内部の構造・担当者・認証手続き・弱点を学習し、盗まれた情報が犯罪者間で共有されるため、再攻撃のリスクが長期間残る
場合があります。
したがって、サイバー攻撃後に必要なのは、「元どおりに戻す」ことではありません。
👉 侵入前の状態へ戻すだけでは同じ弱点も復元してしまうため、侵入経路、権限、認証、ネットワーク、委託先、監視体制を再設計し、前より安全な状態へ作り直すことが重要です。
添付８）
これまで、サイバー攻撃の犯罪者が別の犯罪者に侵入経路を売り、新たなサイバー攻撃につながった事例はあるか？
ChatGPT:
一文で総括
👉 あります。最初の攻撃者が企業ネットワークへ侵入し、VPNアカウントや管理者権限、裏口などを別の犯罪者へ販売し、購入者がランサムウェアの展開、情報窃取、金銭要求を行ったことが、裁判資料や捜査機関によって確認されています。こうした販売者は「初期アクセスブローカー（IAB）」と呼ばれます。
何を「侵入経路」として売るのか
初期アクセスブローカーが販売するのは、脆弱性の情報だけではありません。すでに侵入可能な状態そのものです。
例えば、
- VPNのID・パスワード
- リモートデスクトップの認証情報
- 管理者アカウント
- 盗まれたセッションクッキー
- クラウドへのアクセストークン
- 不正に作成した利用者アカウント
- 遠隔操作用マルウェア
- Webサーバーに設置した裏口
- 侵入済みパソコンの遠隔操作権
- ネットワーク内の管理サーバーへの接続権
などです。
購入者は侵入作業を最初から行わずに、企業ネットワークの内部から攻撃を開始できます。
事例1：Aleksei Volkov事件
最も明確な事例の一つが、ロシア国籍のAleksei Volkovによる事件です。
米司法省によると、Volkovは企業ネットワークの弱点を見つけ、不正アクセスを確立し、そのアクセス権をYanluowangなどのランサムウェア関係者へ販売していました。
購入者は、その侵入経路を使って、
- 被害企業のネットワークへ入る
- マルウェアを展開する
- データを窃取・暗号化する
- 企業の業務を停止させる
- 数千万ドル規模の身代金を要求する
- 支払わない企業の情報を公開する
という攻撃を行いました。
Volkovは身代金が支払われた場合、その一部を受け取っていました。少なくとも確認された実損は約916万ドル、意図された損害は2,400万ドル超とされています。
Volkovはイタリアで逮捕され、米国へ引き渡された後に罪を認め、2026年3月に禁錮81か月を言い渡されました。米司法省・Volkov事件
これは、
最初の犯罪者が侵入権限を販売し、別の犯罪者がランサムウェア攻撃を実行した
ことが刑事手続きで確認された直接的な事例です。
事例2：「fxmsp」グループ
カザフスタン国籍のAndrey Turchin、別名「fxmsp」とその仲間は、世界40か国以上の企業、教育機関、政府機関などへ侵入したとして米国で起訴されました。
このグループは、
- インターネット上で公開されたRDPを探す
- パスワードを総当たりで破る
- ネットワーク内部へ移動する
- 管理者認証情報を盗む
- 恒久的に侵入できる裏口を設置する
という方法を使ったとされています。
そして、侵入済みネットワークへのアクセス権を犯罪者向け掲示板で販売しました。価格は、被害企業の規模や取得した権限に応じて数千ドルから10万ドル超でした。
購入希望者がアクセスの品質を確認できる「試用期間」や、代金を仲介者へ預ける仕組みまで存在したとされています。
米司法省は、この販売によって被害企業が情報流出、ランサムウェア、詐欺などの追加攻撃にさらされたと説明しています。米司法省・fxmsp事件
ただし、こちらは公表資料上では起訴内容であり、Volkov事件のような有罪判決とは区別する必要があります。
事例3：Qakbotによる侵入基盤の提供
Qakbotは、フィッシングメールなどを通じて多数の企業端末へ感染し、感染端末を外部から操作できる状態にするマルウェアです。
Qakbot運営者は、この侵入済み環境をランサムウェア集団に利用させていました。
米司法省によると、Qakbotは、
- Conti
- ProLock
- Egregor
- REvil
- MegaCortex
- Black Basta
などのランサムウェア攻撃の初期侵入手段として使用されました。
つまり、
- Qakbotが端末へ侵入する
- 企業ネットワークへの足場を作る
- 別のランサムウェア集団がその足場を利用する
- データ窃取・暗号化・身代金要求を行う
という分業構造です。
2023年には国際共同捜査でQakbotの基盤が破壊され、約860万ドル相当の暗号資産が押収されました。米司法省・Qakbot摘発
Qakbotの場合、個別アクセスを一件ずつ「販売」したとは限らず、提携・サービス提供・利益分配などを含む犯罪インフラの提供と見る方が正確です。
初期アクセスブローカーの取引の流れ
一般的には次のように進みます。
- 攻撃者がフィッシング、脆弱性、盗難パスワードなどで侵入する
- 企業名、売上高、端末数、管理者権限の有無を調査する
- 裏口や予備アカウントを設置する
- 犯罪者向け掲示板や暗号化通信アプリで販売する
- ランサムウェア集団などが購入する
- 購入者が情報窃取・暗号化・恐喝を行う
- 売り切り、または身代金の一部を分配する
英国国家サイバーセキュリティセンターによると、アクセス権は被害企業の価値に応じて、数千ドル規模で再販売されることがあります。英国NCSC・ランサムウェア犯罪の分業構造
同じ侵入経路が複数の犯罪者へ売られる場合もある
侵入権限が必ず一人だけに販売されるとは限りません。
悪質なブローカーは同じ認証情報や裏口を複数の犯罪者へ販売できます。その場合、一つの企業へ、
- 暗号資産採掘
- 情報窃取
- 不正送金
- ランサムウェア
- データ公開による恐喝
が異なる犯罪者から相次いで行われる可能性があります。
CISA（添付8-1参照）も、初期アクセスブローカーが同じネットワークへのアクセスを複数の犯罪者へ売り、複数回の侵入を可能にする場合があると警告しています。CISA・遠隔アクセスの安全対策
なぜ分業するのか
サイバー犯罪者にも得意分野があります。
- 侵入担当：弱いVPNやサーバーを探す
- 認証情報窃取担当：パスワードを集める
- アクセス仲介担当：企業の価値を調べて販売する
- ランサムウェア担当：暗号化する
- 交渉担当：身代金を要求する
- 資金洗浄担当：暗号資産を現金化する
- 情報公開担当：流出サイトを運営する
この分業によって、高度な侵入技術を持たない犯罪者でも、アクセス権とランサムウェアを購入して攻撃できるようになりました。
これは「Cybercrime as a Service＝サイバー犯罪のサービス産業化」と呼ばれます。
企業側が取るべき対応
侵入を発見した企業は、見つかった一つの脆弱性を修正するだけでは不十分です。
侵入権限がすでに売られている可能性を考え、
- 全アカウントと管理者権限の確認
- パスワード、APIキー、認証鍵の再発行
- ログイン中セッションの強制終了
- 不審な多要素認証端末の削除
- 不正アカウント、Webシェル、遠隔操作ツールの除去
- VPNとリモートデスクトップの点検
- ネットワーク全体のフォレンジック調査
- 外部へのデータ送信履歴の確認
- 再侵入を想定した継続監視
を行う必要があります。
結論
犯罪者が企業へ侵入し、その経路を別の犯罪者へ売り、新たな攻撃につながった事例は実際にあります。
現在のサイバー犯罪は、
一人の犯罪者が侵入から恐喝まで行う犯罪ではなく、侵入権限、マルウェア、交渉、情報公開、資金洗浄を別々の犯罪者が担当する産業構造
へ変化しています。
したがって、一度侵入を受けた企業は、
最初の攻撃者を排除するだけでなく、その侵入経路がすでに他者へ販売・共有された可能性を前提に、認証情報とアクセス権限を全面的に無効化する
必要があるのです。
添付8-1）
CISA とは？
ChatGPT:
CISA（シーサ）とは、
👉 **米国サイバーセキュリティ・社会基盤安全保障庁（Cybersecurity and Infrastructure Security Agency）**の略称です。
一文で総括
👉 CISAとは、サイバー攻撃や物理的な脅威から、米国政府・企業・重要インフラを守るための米国政府機関です。
CISAは、米国国土安全保障省（DHS）に属し、主に次の分野を担当します。
- 政府機関のサイバー防御
- 電力、通信、金融、医療、交通、水道などの重要インフラ保護
- サイバー攻撃や脆弱性に関する警報
- 攻撃手口・侵害指標の共有
- ランサムウェア対策
- 大規模インシデントへの対応支援
- 選挙関連システムの安全確保
- 官民や同盟国との情報共有
CISAが提供する主な情報
CISAは企業や政府機関へ、次のような情報を公開しています。
- 悪用されている脆弱性の一覧
- セキュリティ上の緊急警告
- 攻撃者が使う手口やマルウェアの分析
- 推奨される設定変更や修正方法
- サイバー攻撃を受けた場合の対応手順
- 重要インフラ向けの安全対策指針
代表的なものが、**KEVカタログ（Known Exploited Vulnerabilities Catalog）**です。これは、実際の攻撃で悪用されたことが確認されている脆弱性をまとめた一覧です。
FBI・NSAとの違い
|
機関
|
主な役割
|
|
CISA
|
防御、警戒情報、重要インフラ保護、復旧支援
|
|
FBI
|
犯罪捜査、容疑者の特定・逮捕
|
|
NSA
|
海外情報収集、暗号・国家安全保障、サイバー防衛支援
|
簡単に言えば、
- CISA＝攻撃から守り、被害を抑える
- FBI＝犯罪者を捜査し、拘束する
- NSA＝国家安全保障上の脅威を分析する
という役割分担です。ただし、重大なサイバー事件では複数機関が共同で対応します。
日本との関係
CISAは米国の機関ですが、その警告や技術情報は日本企業にも参考になります。特に、世界共通で使用されるVPN、クラウド、ネットワーク機器などの脆弱性情報は、日本のシステムにも関係します。
日本では、CISAに近い役割を複数の組織が分担しています。
- 国家サイバー統括室
- 警察庁
- JPCERT/CC（添付8-1-1参照）
- IPA（添付8-1-2参照）
- 総務省や経済産業省などの所管省庁
要するに、CISAは、サイバー攻撃を捜査する警察機関というより、攻撃情報を集約して警告し、政府・企業・重要インフラの防御と復旧を支援する米国の中核機関です。
添付8-1-1）
JPCERT/CC とは？
ChatGPT:
JPCERT/CC（ジェーピーサート・コーディネーションセンター）とは、
👉 日本国内で発生するサイバー攻撃や情報セキュリティ事故の情報を収集・分析し、関係組織の対応を調整する専門機関です。
正式名称は、一般社団法人JPCERTコーディネーションセンターです。
一文で総括
👉 JPCERT/CCとは、サイバー攻撃を受けた組織から相談を受け、攻撃情報の分析、被害拡大の防止、関係者への連絡、復旧支援などを行う日本の「サイバー緊急対応調整機関」です。
「CC」の意味
CCは、**Coordination Center（調整センター）**を意味します。
JPCERT/CCは、被害企業に代わって犯罪者を逮捕する警察機関ではありません。被害企業、通信事業者、セキュリティ企業、国内外の対応機関などの間に入り、サイバー攻撃への対応を調整します。
主な役割
1．サイバー攻撃の相談受付
企業や団体から、次のような相談や報告を受け付けます。
- 不正アクセスを受けた
- マルウェアへ感染した
- Webサイトが改ざんされた
- 情報が外部へ流出した可能性がある
- フィッシングサイトを発見した
- 不審な通信が続いている
- ランサムウェアによってデータが暗号化された
2．攻撃情報の分析と共有
報告された情報を分析し、必要に応じて、
- 攻撃元や通信先の情報
- 使用されたマルウェア
- 不審なIPアドレスやドメイン
- 攻撃手口
- 被害拡大を防ぐための対策
などを関係組織へ共有します。
3．インシデント対応の調整
攻撃に複数の企業や国が関係する場合、JPCERT/CCが国内外の組織と連絡し、対応を調整します。
例えば、国外のサーバーを経由した攻撃では、海外の同種機関へ連絡し、悪用されたサーバーの管理者への通知や停止を依頼する場合があります。
4．脆弱性情報の調整
ソフトウェアや機器の脆弱性が見つかった場合、発見者と製品メーカーの間に入り、
- 脆弱性の事実確認
- 修正版の準備
- 公表時期の調整
- 利用者への注意喚起
を行います。
修正前に詳細を公開すると攻撃へ悪用される可能性があるため、安全な公表手順を調整する重要な役割です。
5．注意喚起・技術情報の公開
深刻な脆弱性や攻撃活動が確認された場合に、Webサイトなどで注意喚起を公表します。
- 緊急に更新すべきソフトウェア
- 実際に確認された攻撃手口
- マルウェアの特徴
- 侵害の有無を調べる方法
- 推奨される対応策
などが示されます。
警察・IPAとの違い
|
組織
|
主な役割
|
|
JPCERT/CC
|
技術対応、情報共有、国内外の関係者との調整
|
|
警察
|
犯罪捜査、証拠収集、容疑者の逮捕
|
|
IPA
|
情報セキュリティ対策の普及、人材育成、ガイドライン・脆弱性情報の提供
|
|
国家サイバー統括室
|
国全体のサイバー安全保障政策、政府機関の対策統括
|
重大事件では、これらの組織がそれぞれの役割に応じて連携します。
被害企業との関係
企業がJPCERT/CCへ相談すると、状況に応じて、
- 被害拡大を防ぐための技術的助言
- 攻撃に使われたサーバーの管理者への連絡
- 国内外の関係機関との調整
- 同様の攻撃を受ける可能性がある組織への注意喚起
などが行われます。
ただし、JPCERT/CCが企業のシステムへ直接入り、すべての調査や復旧を代行するとは限りません。フォレンジック調査やシステム再構築には、専門のセキュリティ会社が必要になる場合があります。
要するに、JPCERT/CCは、サイバー攻撃の犯罪者を拘束する機関ではなく、攻撃を受けた組織と国内外の関係者をつなぎ、技術情報の共有、被害の封じ込め、再発防止を支援する日本のサイバー緊急対応の中核的な調整機関です。
添付8-1-2）
IPA とは？
ChatGPT:
IPA（アイピーエー）とは、
👉 **独立行政法人情報処理推進機構（Information-technology Promotion Agency, Japan）**の略称です。
一文で総括
👉 IPAとは、日本のIT・サイバーセキュリティの向上を目的に、企業や国民への注意喚起、人材育成、国家資格の試験、技術・経営の支援などを行う公的機関です。
経済産業省所管の独立行政法人であり、警察のように犯罪者を捜査・逮捕する機関ではありません。
IPAの主な役割
1．サイバーセキュリティ対策
IPAは、企業や個人に向けて次の情報を提供します。
- ウイルス・不正アクセスに関する相談受付
- ランサムウェアやフィッシングへの注意喚起
- 情報セキュリティ対策のガイドライン
- 中小企業向けの安全対策
- サイバー攻撃の被害事例や傾向の分析
- セキュリティ教育用の資料・動画
- 組織の対策状況を確認する自己点検ツール
毎年公表される「情報セキュリティ10大脅威」は、企業や個人が優先して対策すべき脅威を整理した代表的な資料です。
2．脆弱性情報の受付・公表
ソフトウェアやWebサイトの脆弱性が発見された場合、IPAはJPCERT/CCなどと連携して、
- 発見者から脆弱性情報を受け付ける
- 製品開発者やWebサイト運営者へ連絡する
- 修正状況を確認する
- 必要な対策を利用者へ公表する
という調整を行います。
代表的な情報提供基盤が、脆弱性対策情報を公開する「JVN」です。
3．IT人材の育成
IPAは、IT・セキュリティ分野の人材育成を行っています。
例えば、
- 情報処理技術者試験
- 情報処理安全確保支援士試験
- 未踏事業による若手IT人材の発掘・育成
- 企業のDXを進める人材向け指針
- サイバーセキュリティ教育
などです。
「ITパスポート試験」「基本情報技術者試験」「応用情報技術者試験」もIPAが実施しています。
4．DX・デジタル化の推進
企業がデジタル技術を経営や業務へ安全に活用できるよう、
- DX推進指標
- デジタルスキル標準
- ITシステムの近代化
- データ活用・AI導入
- 中小企業のデジタル化
- ソフトウェア開発の信頼性向上
などに関する指針や支援策を提供します。
5．企業・社会のIT安全基盤づくり
IPAは、企業が安全なIT製品やサービスを選べるよう、セキュリティ評価・認証制度などにも関わっています。
また、重要インフラやサプライチェーンの安全性、制御システムのセキュリティ、人材不足への対応なども扱っています。
JPCERT/CC・警察との違い
|
組織
|
主な役割
|
|
IPA
|
セキュリティ対策の普及、人材育成、試験、ガイドライン、DX支援
|
|
JPCERT/CC
|
サイバー事件の技術的対応、情報共有、国内外との調整
|
|
警察
|
犯罪捜査、証拠収集、犯人の逮捕
|
|
国家サイバー統括室
|
国のサイバー安全保障政策と政府機関の対策統括
|
簡単に言えば、
- IPA＝予防・普及・教育・人材育成
- JPCERT/CC＝事故発生時の技術対応と調整
- 警察＝捜査と逮捕
という関係です。
企業がIPAを活用する場面
企業は、例えば次の目的でIPAの情報を利用できます。
- 自社のセキュリティ対策を点検する
- 従業員教育用の資料を入手する
- 最新の脅威や被害事例を確認する
- 中小企業向けガイドラインを導入する
- 脆弱性や不正アクセスについて相談する
- IT・セキュリティ人材を育成する
要するに、IPAは、日本全体のIT活用とサイバーセキュリティの基礎体力を高めるため、予防策・教育・人材・資格・ガイドラインを提供する公的な専門機関です。
