The situation in Japan
ニュースで報じられているとおり、サイバー攻撃による被害は、もう特別な出来事ではありません。警察庁・IPA・東京商工リサーチの最新データから、いまの状況を整理しました。
統計を取り始めた2020年以降、半期として過去最多です。2025年の1年間は226件で、2026年は上半期だけでその5割強に達しています。
警察庁（2026年9月）前年と同様、被害企業の約6割が中小企業です。「うちは小さいから狙われない」は、もう通用しません。
警察庁（2026年9月）公表されたものだけで180件（約2日に1件）。人数は前年比93.1%増で、原因の64.4%がウイルス感染・不正アクセスでした。
東京商工リサーチ（2026年1月）警察庁のセンサーが検知した数で、前年比50.7%増。攻撃の前に、まず弱点が探されています。大部分は海外からのアクセスです。
警察庁（2026年9月）近年は、データを盗んだうえで「払わなければ公開する」と脅す手口（二重恐喝）が、被害の多くを占めています。財務情報や個人情報が、実際にダークウェブ上のサイトに掲載された事例も多数確認されています。
警察庁被害組織へのアンケートでは、侵入経路の約5割がVPN機器でした。攻撃者は、更新されていない脆弱性や、漏えいしたID・パスワードを悪用して入り込みます。
警察庁復旧に総額1,000万円以上かかった組織は6割。1か月未満で復旧できたのは、5割弱にとどまります。
警察庁専門家・実務担当者など約250名の投票で決まる、日本の組織が警戒すべき脅威のランキングです。
シンクトラストは、バグバウンティの最前線で、攻撃者と同じ目で弱点を探してきました。その手法を、AIと組み合わせて、1人日5万円（税込）から。
※数字は2026年10月4日時点で、上記の公開資料で確認しました。「約2日に1件」「5割強」は、公表された数字からの当社計算です。
What is bug bounty
世界の大手企業は、自社のサービスの弱点を、世界中の専門家に探してもらい、見つけた人に報酬を払っています。悪い人に見つかる前に、味方の専門家に見つけてもらうためです。シンクトラストは、この最前線で調査してきた経験を、日本の中小企業向けに使いやすい形にしました。
← 横にスクロールできます →
図1 バグバウンティの流れ
What we check
「セキュリティ診断」と言われてもピンとこない方へ。実際に確認する代表的な項目です。
パスワードの強さの扱い、ログイン試行の制限、なりすましで入られないかを確認します。
ほかのお客様の情報や、管理者向けの画面に、一般ユーザーが入れてしまわないかを確認します。
問い合わせ・検索・会員登録などの入力欄から、不正な操作を紛れ込ませられないかを確認します。
WordPressやプラグイン、サーバーソフトの更新漏れなど、既知の弱点が残っていないかを確認します。
見せるつもりのないファイルや設定情報が、外から見える状態になっていないかを確認します。
金額の書き換えや手順の飛ばしなど、サービスの仕組みそのものの抜け穴がないかを確認します。
Why now
狙いやすく、対策が手薄な中小企業こそ、いま攻撃者のターゲットになっています。
それでも、多くの会社が「何から手をつければいいか分からない」まま止まっています。
ランサムウェア被害の約6割は中小企業（警察庁）。取引先を経由して狙う「サプライチェーン攻撃」も、IPAの脅威ランキングで2位です。
診断・ペンテスト・レッドチーム…用語ばかりで、自社に必要なものが判断できない。相談先も分からない。
専門会社の診断は数十万〜数百万円。相見積もりのハードルが高く、結局あと回しになってしまう。
Our engine
従来は人間がすべて手で調べるから、1日10〜20万円かかっていました。
私たちはAIで調査を自動化し、人間は判断に集中する。さらに、報告書の納品はメール（PDF）または郵送に絞り、訪問や説明の時間も省いています。だから、世界最前線の品質を中小企業の予算で届けられます。
← 横にスクロールできます →
図2 AIと人の分業と、費用の目安
What is red team
通常の診断が「穴がないか」を調べるのに対し、レッドチーム演習は、実際の攻撃者と同じ視点で「入口から大事な情報まで、どこまで到達できてしまうか」を確かめます。大企業向けの高額サービスという印象がありますが、中小企業の規模に合わせて凝縮した形でご提供します。
← 横にスクロールできます →
図3 レッドチーム演習の考え方
Pricing
3日相当（調査2＋報告1）
6日相当
10日相当
← 横にスクロールできます →
図4 プラン別のカバー範囲
How it works
「何をされるのか分からない」不安はいりません。本番環境への影響にも最大限配慮して進めます。
フォームやメールでお悩みと対象をお聞きし、必要なプランをご提案します。
対象と範囲、金額、スケジュールを合意。ここで費用は確定します。
AI＋人手で診断。本番への影響に配慮し、必要に応じ検証環境で実施。
危険度の高い順に、対策方法つきの報告書をメール（PDF）または郵送でお届け。
修正後に再チェック。スタンダードは1回込み。ほかのプランも、オプションで追加できます。
Track record
Why we started
「報告し、修正につなげた脆弱性が5件」と聞いて、少ないと感じた方もいると思います。バグバウンティの賞金を目的とした活動から離れたのには、理由があります。
私たちの実感として、バグバウンティは、AIを大量に回し、お金をかけて膨大な数の調査を行う人が増えました。同じ脆弱性を多くの人が同時に探すので、報告が重複して、報酬にならない可能性も高くなっています。
報告が承認されるには、調査の量を増やして、確率で当てるしかありません。私たちが磨いてきたのは、1つの対象を深く見て、本当に危険な弱点を見つける力です。数で競う戦い方は、それとは別のものでした。
診断なら、見つけた弱点は重複で消えることがなく、すべてお客様の守りになります。AIは数を打つためではなく、お客様のサイトを漏れなく見るために使い、人が深掘りします。
被害が増えているいま、この技術を必要としている日本の中小企業に届けたい。それが、この事業を始めた理由です。
FAQ
バグバウンティでは、報告し、修正につなげた脆弱性が5件あります。その後は、賞金を目的とした活動から離れました。AIを大量に回して数を競う世界になり、同じ脆弱性の報告が重複して報酬にならない可能性も高くなったためです。その経験と技術を、お客様のサイトを深く見る診断に使っています。
影響の大きい検証は、事前に合意のうえ検証環境で行うか、時間帯や手法を調整して本番への影響を最小化します。リスクのある操作を無断で行うことはありません。
問題ありません。報告書は専門用語を避け、経営層にも分かる言葉で「何が危険で、何をすればよいか」を優先度つきでお伝えします。ご不明点はメールでお問い合わせください。
見つかった脆弱性の内容・再現手順・危険度・具体的な対策方法まで報告書にまとめます。レッドチーム・ライトでは経営層向けサマリーも添えます。報告書はメール（PDF）または郵送でお届けします（郵送の送料は料金に含まれます）。
訪問やオンラインでの説明会は、原則お受けしていません。この価格を実現するため、納品はメール（PDF）または郵送に絞っています。郵送の場合の送料は料金に含まれます。報告書は、専門外の方にも読める書き方でまとめ、ご質問は、納品後30日間、メールで2往復まで無料で承ります。
スタンダード診断には、再検証が1回含まれます。納品後30日以内にご依頼いただければ、報告した脆弱性が直ったかを確認し、結果をメールで簡易にご報告します（新規の調査は含みません）。ライト診断とレッドチーム・ライトでも、オプションで追加できます（ライト診断は半日（0.5人日）2万5千円〜（税込）、レッドチーム・ライトは1人日5万円〜（税込）。条件はスタンダードと同じです。報告した項目の数により、事前にお見積りします）。
Webサイト・Webアプリを中心に対応します。それ以外（API・サーバー等）もご相談ください。範囲に応じてお見積りします。
納品後30日間、報告書の内容についてのご質問を、メールで2往復まで無料で承ります（1往復は、ご質問のメール1通と、当社の回答1通です。ご質問は、1通にまとめてください）。回答は、3営業日以内を目安とします（土日祝を除く）。無料の対象は、報告書の内容の確認です（書かれていることの意味、再現の手順、優先度、対策の選び方）。新規の調査、対策の実装・設定の代行、診断範囲の追加は、別途お見積りです（半日2万5千円〜（税込））。訪問・電話・オンライン会議は、原則お受けしていません。
電話でのお問い合わせは受け付けておりません。問い合わせフォーム、またはメールでご連絡ください。フォームからお送りいただければ、必要なプランと概算をメールでお返しします。
「自社サイトが心配」程度で十分です。フォームからお送りください。対象をお聞きし、必要なプランと概算をメールでお返しします。
Contact
しつこい営業はしません。いまのサイトで気になる点をお聞かせください。必要なプランと概算をメールでお返しします。
