こんにちは。高知県高知市で情報処理支援機関として企業さまに伴走支援を提供している、株式会社ICUの川島です。

セキュリティの話です。以前にも一度記事を書きましたが、あれから半年、状況はさらに厳しくなっていると感じています。

今月、セキュリティ企業のProofpointが衝撃的なレポートを出しました。ChromeとWindowsの「ゼロデイ脆弱性」を悪用した攻撃についてです。ゼロデイ脆弱性というのは、ソフトウェアの欠陥が見つかっても修正プログラムがまだ行き届いていない状態のこと。直す猶予がゼロ日、だからゼロデイです。以前の記事でも詳しく書きましたが、今回はその状況がさらに深刻化しています。

「BlueMoon」と名付けられた攻撃ツールキットを、少なくとも4つのハッカーグループがわずか1週間で使い回していた。しかもこのツールの開発には、AIが使われた痕跡があると報告されています。

こんなご相談をいただきます。

「ゼロデイ攻撃って、修正が出る前に狙われるんですよね？　だったら一般の会社にはどうしようもないんじゃないですか？」

率直に言えば、ゼロデイそのものを完全に防ぐのは無理です。ただ、被害の大きさは「侵入されたかどうか」だけでは決まりません。侵入された後に、どこまで広がるか、何を持っていかれるかで決まります。防ぎきれない攻撃がある前提で、被害を最小限にして早く復旧できる体質を作ること。私はこれが、今の時代の現実的な備え方だと考えています。

攻撃ツールがAIで”量産”される時代

これまで、ChromeやWindowsのゼロデイを突く攻撃ツールは「高い技術力を持つごく一部の攻撃者にしか作れない、希少な能力」とされてきました。Proofpointもそう評してきた存在です。それがBlueMoonでは、AIコーディングツールが開発に関与した可能性が指摘されています。コードの中にAI特有の冗長なコメントや診断ログが大量に残っていたとのことです。

Googleは2026年だけでChromeのゼロデイを6件修正しています。Microsoftも9月の定例更新でWindowsやDefenderのゼロデイを含む脆弱性を修正しましたが、そのわずか数日後には新たなパッチ回避手法が公開されています。私自身も、日頃使っているソフトやAIサービスの更新通知が明らかに増えたと感じています。ブラウザやOSだけでなく、業務で使うAIツールも週に何度もアップデートが入ることがある。その多くにセキュリティパッチが含まれています。それだけ脆弱性が頻繁に見つかり、狙われているということです。

BlueMoonの手口は「パッチギャップ」と呼ばれるものでした。修正コード自体はChromeのオープンソースに存在していたのに、正式な安定版ブラウザへの反映が間に合っていなかった。その数日間のすき間を突かれたわけです。
その後Googleは安定版Chromeの修正パッチをリリースしましたが、パッチが出てもすべてのPCがすぐに更新されるとは限りません。事態を重く見た米国の政府機関は、政府職員に対して2週間以内にこのパッチを適用するよう義務づけました。

“やっているつもり”の落とし穴

一番多い落とし穴は、変わっていません。「更新を後回しにすること」です。更新通知を「今忙しいから後で」と閉じてしまう。BlueMoonが悪用したのは、まさにこの”後で”の数日間です。

次に聞くのが「MFA（多要素認証）を入れたから大丈夫」という思い込みです。多要素認証は確かに有効な防御層ですが、最近ではブラウザに保存されたセッションCookie（ログイン状態を保持する情報）を盗み出して、MFAをまるごとすり抜けるマルウェアも報告されています。今月もGoogleの多要素認証をCookie窃取で回避する手法が確認されました。MFAは大事な壁ですが、それ一枚で安心する時代ではなくなっています。

そして最も根深いのが、「事故が起きたときに何をするか」を決めていないことです。フィッシングメールを開いてしまった社員が、怒られることを恐れて黙っている。その沈黙の時間に、被害が広がります。報告の早さが被害額を左右するという事実は、もっと知られるべきです。

社会人として、経営者として、それぞれの備え

社会人として心がけたいことは、端的に言えば「更新・確認・報告」の3つです。ソフトウェアの更新通知が出たらその日のうちに再起動する。「至急」「未払い」「共有ファイル」と急がせてくるメールほど、リンクを踏まず公式サイトを自分で開いて確認する。そして何かおかしいと感じたら、隠さずすぐ報告する。これだけでも、攻撃者が最初の一歩を踏み出す確率をかなり下げられます。

ゼロデイを完全に防ぐことはできなくても、攻撃の連鎖を途中で断ち切ることはできます。やるべきことは、日々の習慣と会社の仕組みの2層に分かれます。

経営者の役割は、社員に「気をつけて」と言うことではありません。仕組みを作ることです。まず更新を個人任せにしない。どの端末を誰が管理するのかを決め、自動更新を標準にする。次に、一人の端末がやられても全社の顧客データや口座に直行できない設計にする。管理者権限の見直し、フォルダのアクセス権を必要最小限にすること、VPNやリモートデスクトップをむやみに外部公開しないことがここに効きます。

バックアップは「ある」だけでは足りません。「そこから実際に戻せるか」が問題です。年に1回でもいいので、復元テストをしてみてください。バックアップがあっても、攻撃者が同じ管理者権限で消せる状態なら保険になりません。

そして、「事故が起きたら最初の30分で何をするか」をA4一枚で決めておく。連絡先、判断者、端末の隔離手順、外部への連絡先。私はこれが、中小企業にとって最もコスト対効果の高いセキュリティ投資だと考えています。

“侵入を防ぐコスト”ではなく、”事業を守る投資”

セキュリティの考え方そのものが変わってきました。「侵入されないようにする」から「侵入されても事業を止めず、顧客と社員を守れるか」へ。AIで攻撃ツールが量産される時代に、一枚の壁で守りきるのは現実的ではありません。更新、認証、権限管理、バックアップ、初動手順を重ねて、一枚破られても次で止める。この「多層防御」の考え方が、今の標準です。

･･･と、ここまで色々書きましたが、結局大事になってくるのは、経営者や管理者の皆さん一人ひとりの意識です。こうした記事を読んだり、気になったことを調べてみたりするうちに、見えるものが変わってきます。
今日すぐに会社の仕組みを変えられなくても、ちょっとした行動の変化で半年後・1年後は違ってきます。週に一度、セキュリティに関する記事に目を通してみる。そんな小さな習慣をつけるところから始めてみると、いいのではないかと思います。