ゼロデイは「ある」前提で考える――入られた後に強いシステムへ

前回の「バグバウンティをやっていた自分が、今のサイバー攻撃を見て思うこと」では、AI（人工知能）で脆弱性を探す速さが変わることと、侵入された後まで考える必要性を書いた。

今回は、その続きを書きたい。

ゼロデイは「ある」前提で考える
米国防総省、外務省、Binanceでも起きた
買い集められたゼロデイが、今使われているのではないか
入られた後に効くDevSecOps
日本は「直し続ける」体制が弱い
今日から確かめたいこと
参考にした資料

ゼロデイは「ある」前提で考える

ゼロデイとは、まだ修正が用意されていない脆弱性のことだ。そうした弱点が存在すること自体は、以前から知られていた。情報や攻撃技術には高い値段がつき、政府機関が顧客となる市場もある。買い取った脆弱性を開発元へ知らせて修正につなげるか、安全保障などのために非公開で持つかという判断も行われてきた。

参考：ゼロデイ市場の調査「Crash (exploit) and burn」（Atlantic Council・2025年6月25日）

つまり、守りを固めれば絶対に入られない、とは言えない。まだ修正できない弱点もある。どれだけ守りを固めたサイトでも、侵入される可能性は残る。

これは、守ることをあきらめる話ではない。侵入される可能性を最初から設計条件に入れる、という話だ。

侵入を防ぐ対策は続ける。その上で、守りが破られた時にも、被害が一か所で止まり、復旧へ移れるようにしておく。二つは、どちらか一方ではない。

自分が前回書いたレジリエンスは、被害を抑え、立て直す力のことだ。一か所に入られても広げない。早く気づく。すぐ直す。そして、サービスを戻す。防ぐことと同時に、その力を持たせる必要がある。

参考：セキュリティの設計原則（Microsoft・2026年10月24日確認）

米国防総省、外務省、Binanceでも起きた

約1か月前、米国防総省、いわゆるペンタゴンの国防人員データセンターで起きた侵害が報じられた。2025年10月から2026年7月中旬にかけて、ファイル共有システムの脆弱性が悪用された。存命の約276万人と、亡くなった約29万4千人の記録が影響を受け、社会保障番号などを含む記録は暗号化されていなかった。攻撃者は分かっていない。ゼロデイだったかどうかも公表されていない。

参考：Hackers stole millions of US military personnel records（TechCrunch・2026年9月30日）

参考：Pentagon breach exposes Social Security numbers and military records of millions（Malwarebytes・2026年10月1日）

10月30日には、外務省が不正アクセスを公表した。外部とやり取りできるネットワークへの不正アクセスを7月27日に検知し、メールアドレスや氏名など約3,600件が漏えいした可能性があるという。そのうち約900件は外務省員以外の情報だった。機密性の高い情報は確認されず、旅券や「たびレジ」などの領事システムは対象外とされている。侵入の手口は書かれていない。

参考：不正アクセスによる個人情報の漏えいの可能性について（外務省・2026年10月30日）

10月29日には、暗号資産取引所のBinanceから、約63億ドル相当（Binanceの発表）の顧客資産が流出した。暗号資産の盗難として過去最大と報じられている。Binanceは当初、技術者のノートパソコンが侵害され、サービスを動かす領域から不正な出金処理が送られた可能性を説明し、その後、別の侵入箇所も見つかったとしている。調査会社は北朝鮮系の攻撃者によるものとみているが、Binance自身は実行した者を特定していない。これも、ゼロデイによるものとは確認されていない。

参考：Circle and Tether freeze funds impacted by potential Binance security issue（CNBC・2026年10月29日）

参考：North Korea Steals USD 6.36 Billion from Binance（TRM Labs・2026年10月29日）

参考：Binance says $6.3bn stolen in biggest crypto heist in history（Al Jazeera・2026年10月30日）

この三つを、ゼロデイ攻撃が続いている証拠として並べたいわけではない。手口が公表されていないものもあれば、別の説明が出ているものもある。不明な点も残る。

自分が見ているのは、これだけ守りが固いはずの組織でも侵入は起きる、ということだ。ペンタゴンでも起きる。日本のシステムだけが例外だと考える理由はない。日本にあるすべてのシステムにも、侵入の可能性はあると自分は考えている。その前提で備える必要がある。

買い集められたゼロデイが、今使われているのではないか

ここからは、確認された事実ではなく、自分の見方だ。

米国のセキュリティ企業VulnCheckが近く公開する調査では、AIも一因となり、見つかる脆弱性の数が前年の2倍になったという。CloudflareのCEO（最高経営責任者）であるMatthew Prince氏は、ほかの重要なソフトウェアにも深刻な脆弱性が多数あると把握していると、Reutersの取材で話した。同時に、見つかった問題が片づいていくことは、最終的には良いことだとも述べている。

参考：AI-discovered bugs may soon trigger fresh disruptions, cyber experts say（Reuters・2026年10月23日）

AIによって、別の誰かが同じ弱点を見つけるまでの時間が短くなれば、「自分たちだけが知っている」価値は長く続かないかもしれない。これまでゼロデイを買い集めてきた政府や企業が、意味を失う前に使おうとして、一斉に使い始めているのではないか。自分は、そんな可能性もあると思っている。

もちろん、それを示す証拠を自分が持っているわけではない。三つの事件と結びつけることもできない。ただ、攻撃に使うために高い金額で買い、修正に回さず非公開で持つなら、いつかは使うつもりだったはずだ。自分にはそう見える。

そう考えると、今の混乱に紛れて盗む。壊す。あるいは、今はバックドアを仕込み、後で使う。そんな動きもあるのではないかと思う。バックドアとは、後から入り直せるように、こっそり残しておく入口のことだ。

実際、米国の機関CISAなどは2024年、中国の国家支援を受けた攻撃者が、有事に重要インフラを妨害、破壊するため、事前にネットワークへ入り込んでいると評価した。少なくとも5年間、侵入先で足場を保った例もあった。最初の侵入には、既知またはゼロデイの脆弱性を使うことがあるとしている。

参考：PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure（CISAほか・2024年2月7日）

これは、今の事件の裏付けではない。ただ、先に入り込み、必要な時まで足場を残す動きが、想像だけの話ではないことは分かる。

入られた後に効くDevSecOps

そこで必要になるのが、DevSecOps（デブセックオプス）という考え方だ。開発、セキュリティ、運用を別々にせず、一体で回す。入られにくくするだけではない。入られても被害を広げず、すぐ直し、すぐ戻せるようにする。

参考：既存資産を活かす国家サイバー耐性の再設計（苫米地英人博士・2026年10月26日）

苫米地英人博士は、だいぶ前からこの問題に警鐘を鳴らしていた。2019年にはジョージメイソン大学で、サイバー・レジリエンスを扱う講義を行った。

参考：CYBER RESILIENCE, TRANSPARENCY AND MONOTONICITY UNDER ZERO-TRUST（苫米地英人博士・2019年10月1日）

2021年には、「DX時代のセキュリティの本質を見極めろ〜サイバー・レジリエンスとDevSecOps〜」という対談の動画が公開された。DX（デジタル変革）の時代に、サイバー攻撃の脅威とどう向き合うかを語ったもので、題名にもサイバー・レジリエンスとDevSecOpsが入っている。

参考：DX時代のセキュリティの本質を見極めろ（クラブ苫米地・2021年11月28日）

そして2026年10月26日の論文では、開発、調達、配備、運用の仕組みをDevSecOpsとして組み直すことで、攻撃にさらされる面、侵害が成立する可能性、侵害後に届く範囲、修正や復旧までの時間を、それぞれ小さくできると論じている。しかも、その効果は掛け算で効くという。

参考：既存資産を活かす国家サイバー耐性の再設計（苫米地英人博士・2026年10月26日）

大事なのは、製品を一つ入れることではない。開発した後も、運用しながら弱点を見つけ、直し、その修正が本番に届いたかを確かめる。何か起きたら、止めて、切り分けて、戻す。そこまでを同じ流れにしておくことだ。

日本は「直し続ける」体制が弱い

自分は、日本にはウォーターフォール型の考え方がまだ多く、「作って納めたら終わり」になりがちだと感じている。そうなれば、運用中に直し続ける力は弱くなる。侵入された後のレジリエンスも効きにくい。

一方、アジャイルとは、小さく作り、確かめ、直すことを短い単位で繰り返す進め方だ。

IPA（情報処理推進機構）の「DX動向2025」では、日本でアジャイルを「全面的に取り入れている」と答えた割合は、どの部門でも1割以下だった。「一部取り入れている」を合わせても、最も進んでいるIT（情報技術）部門で5割弱だ。米国は各部門で7割前後、ドイツは6割から7割程度で、日本は大きく遅れている。

参考：DX動向2025（IPA・2025年6月26日）

また、従業員100人以下の企業では、34.6％がセキュリティについて「特に対策は実施してない」と答えている。

参考：DX動向2025（IPA・2025年6月26日）

この数字は、ウォーターフォール型の割合を示すものではない。それでも、作って終わりではなく、変化に合わせて直し続ける体制をどう作るかは、日本の課題だと自分は思う。

修正を本番まで届ける時の確認は、「PHPの重大な脆弱性とは」でも整理している。