企業の情報漏洩やサービス停止を、個別のトラブルとして受け止めるだけでよいのでしょうか。日本はすでに国家の関与が疑われる攻撃の標的となっており、危機を将来の話として扱う段階は過ぎています。本稿では、この状況を「サイバー戦争」という問いから捉え、企業の経営責任と国の対処体制、被害の連鎖を止めるために必要な転換を考えます。
日本へのサイバー攻撃はすでに安全保障上の現実である
日本は、国家の関与が疑われる情報窃取や資産窃取の標的となっており、サイバー上の脅威はすでに現実の問題です。
サイバー攻撃というと、不審なメールやパスワードの盗難を思い浮かべるかもしれません。しかし、狙われる対象には、国の安全保障に関する情報や先端技術、企業が管理する資産も含まれます。
警察庁と当時の内閣サイバーセキュリティセンターは2025年1月、攻撃集団「MirrorFace」について注意喚起しました。日本への攻撃を、安全保障や先端技術の情報窃取を主な目的とした、中国の関与が疑われる組織的な攻撃と評価しています。
また、警察庁は2024年12月、同年5月のDMM Bitcoinからの暗号資産窃取を、北朝鮮を背景とする「TraderTraitor」によるものと特定したと公表しました。米国の関係機関との共同評価で、被害は約482億円相当とされています。
ここから分かるのは、日本が「いつか攻撃されるかもしれない国」ではないということです。情報や資産を狙う活動はすでに行われており、企業や行政は、自らも標的になり得る前提で判断する必要があります。
被害のニュースが出るたびに驚き、注意を呼びかけるだけでは、この現実に十分対応したとは言えません。攻撃を継続的な脅威と捉え、予算、人材、意思決定の仕組みに反映させているかが問われます。
「サイバー戦争」という言葉で何を問うべきなのか？
本稿でいう「サイバー戦争」は、国家が関わる攻撃などが平時から続く状況を問い直す表現であり、日本の法的な戦争状態を意味しません。
サイバー空間では、情報を盗む活動、身代金目的の犯罪、政治的な妨害などが起こります。これらは目的や主体が異なるため、相次ぐ事件をすべて同じ国や組織による攻撃として扱うことはできません。
サイバーテロという言葉も、社会への威嚇や政治的目的を問題にする場面で使われます。それぞれ重なる部分はあっても同義ではなく、個別の事件は、確認された事実に基づいて評価する必要があります。
そのうえで「サイバー戦争」と問う意味は、被害が企業内部に収まらない点にあります。例えば、決済や医療、物流に必要な仕組みが止まれば、利用者自身の端末に問題がなくても暮らしは影響を受けます。
「やられっぱなしでよいのか」という問いも、報復の有無だけで判断すべきではありません。本稿では、社会が次の能力を持ち、それらを連動させているかを問います。
- 侵入を防ぎ、攻撃の兆候を早く見つける
- 被害を封じ込め、必要な業務を続ける
- 証拠を保全し、捜査や関係機関との連携につなげる
- 改善を検証し、同じ弱点を次の攻撃に使わせない
公表されていない防御や捜査もあるため、何も対処していないと断定することはできません。それでも、被害の連鎖を抑える仕組みが実際に機能しているかを、国民の立場から検証する必要があります。
AIの進化は「被害が出てから考える姿勢」の限界を示す
AIが攻撃の一部を効率化するなか、問題の発見から修正までを先送りする組織の姿勢は、見直す必要があります。
英国政府は2026年6月の議会答弁で、NCSCが2025年5月に公表した評価を紹介しています。その評価は、AIがサイバー侵入活動の一部を効率化し、脅威の頻度や強度を高めるというものです。
これは、AIによってあらゆる防御が無意味になるという話ではありません。本稿が問題にしたいのは、攻撃の変化に対して、組織の判断や修正が追いつく仕組みを持っているかという点です。
警告が届いても動けなければ守れない
仮に、担当者が重要な弱点を発見しても、予算承認や部署間の調整が進まなければ、危険は残ります。技術的な対処方法が分かっていることと、それを実際に実行できることは別の問題です。
もちろん、更新や停止には業務への影響があり、すべてを即座に変更できるわけではありません。だからこそ、危険の大きさを評価し、誰が、どの期限で判断するかを平時から決めておく必要があります。
対策製品を導入したという説明だけでは、その組織が攻撃に対応できるかは分かりません。警告を受け取り、判断し、修正し、結果を確かめる一連の過程こそ、安全性を評価する対象にすべきでしょう。
GMOの事案で問われるのは専門技術を運用に生かす責任である
GMOの事案では、企業が公表した不備を検証するとともに、専門的な知見が実際のサービス運用へ反映されていたかを問う必要があります。
GMOインターネットは2026年10月24日、「お名前.com デスクトップクラウド」のシステムにセキュリティ上の問題が存在したと公表しました。不正アクセスと顧客情報の持ち出しを確認し、一部の利用者から身に覚えのない取引の報告を受けたとしています。
グループ内にセキュリティの専門会社を持つ企業で起きた事案だけに、安全管理の実効性には厳しい検証が必要です。専門家を抱えていることと、個々のサービスで必要な対策が継続されていることは、分けて確認しなければなりません。
同社は政府関係機関に、能動的サイバー防御に関する措置の実施も要請しています。ただし、要請したことは政府による実施決定を意味せず、自社の不備に関する検証を置き換えるものでもありません。
国との連携と企業の責任を両立させる
国境を越える攻撃への対処では、企業だけでは担えない捜査や国際連携があります。一方、企業には、管理していた情報やサービスについて、原因究明と利用者への説明を進める責任があります。
ここで「高度な攻撃だった」という説明だけで終わらせてはいけません。防げた部分はなかったのか、発見や遮断を早められなかったのか、必要な投資と判断が行われていたのかを検証すべきです。
個別の技術者の能力だけを責めても、組織の問題は見えません。現場の提案を経営がどう扱い、安全性と費用、利便性の優先順位をどう決めていたかまで確認する必要があります。
海外のビッグテックでも経営責任が問われる理由
海外の大企業にも重大な侵害があり、比較すべきは事故の有無に加えて、検証と改善を経営責任へ結びつける仕組みです。
Microsoftは、2023年のExchange Onlineへの侵入などを受け、2024年6月の米議会向け証言で問題への責任を認めています。同社は、公的な検証委員会から指摘された事項を受け入れ、より強い対策で防げた侵害だったと説明しました。
この事例から、日本だけが攻撃され、海外企業は完全に守れているとは言えません。同時に、海外でも起きているという理由で、日本企業の不備を仕方のないこととして扱うのも適切ではありません。
Microsoftは同じ公表資料で、経営幹部の賞与評価の一部をセキュリティの実績に連動させ、全従業員の評価にも組み込むと説明しています。制度の導入だけで改善が保証されるわけではありませんが、責任を具体化する比較材料になります。
日本のIT業界に「平和ボケはないか」と問うなら、危険を経営課題として扱っているかを確認したいところです。本稿では、その判断材料として次の項目を挙げます。
- 現場が危険を指摘した際、経営へ直接伝わる経路があるか
- 安全性を理由に、公開延期やサービス停止を判断できるか
- 専門人材に必要な待遇、権限、継続的な教育を用意しているか
- 事故後の改善を、担当部署以外の目でも検証しているか
人材不足を理由に対策を先送りすれば、その間の危険は利用者が負うことになります。必要な人材を確保し、能力を生かせる組織をつくること自体が、経営の仕事だと考えるべきです。
能動的サイバー防御を実効性のある体制にできるのか？
国の対処能力は、制度の整備に加え、情報共有、分析、適法な措置、復旧支援を実際に連動させられるかで評価すべきです。
内閣府は2026年10月1日、サイバー対処能力強化法などのうち、「官民連携の強化」と「アクセス・無害化措置」に関する規定が施行されたと説明しています。日本が制度面でも何も進めていないという認識は、正確ではありません。
しかし、法律ができたことで、個々の企業や行政機関の安全が自動的に確保されるわけではありません。現場から必要な情報が届き、分析結果が対策へつながるまでの実務が伴ってこそ、制度は役割を果たします。
また、攻撃に使われるサーバーなどへの対処には、誤認や無関係な第三者への影響を避ける判断が必要です。国の権限を実効的に使うことと、適法性や監督を確保することは、併せて進めなければなりません。
「やり返す」だけでは被害の連鎖を止められない
攻撃基盤への措置が取られたとしても、企業側の弱点や復旧体制がそのままなら、別の攻撃への危険は残ります。国の対処と民間の安全管理を接続し、被害を受けた利用者や事業者を支える必要があります。
本稿では、国と企業の取組を、次のような成果から評価することを提案します。公表が難しい情報を除いても、改善状況を説明できる余地はあります。
- 攻撃の発見から関係機関との共有までを早められたか
- 同じ手口への対策を、他の組織にも展開できたか
- 必要な業務の継続と、安全な復旧を支援できたか
- 利用者への説明と被害者救済を進められたか
これらを確かめず、組織の新設や予算額だけで安心することはできません。「やられっぱなし」を脱するとは、攻撃の成果を小さくし、次の被害を防ぐ力を社会全体で積み上げることです。
まとめ
日本はすでに国家が関わるサイバー上の脅威に直面しており、企業と行政はその認識を日常の経営と業務へ反映させる必要があります。
「サイバー戦争」という言葉は、個別事件の攻撃主体を決めつけるために使うべきではありません。一方で、情報や資産を狙う現実を将来の危機として扱い続ける姿勢も、改める必要があります。
企業には、不備の検証と必要な投資、専門人材が機能する組織づくりが求められます。国には、官民連携と国際協力を通じ、適法な対処、捜査、復旧支援を実効的につなぐ役割があります。
「やられっぱなしでよいのか」という問いに答えるのは、勇ましい言葉ではなく、被害を抑える具体的な行動です。情報と資産、そして生活を守る責任を、誰がどのように果たしているかを問い続けるべきでしょう。
主な参考資料
- 警察庁・内閣サイバーセキュリティセンター「MirrorFaceによるサイバー攻撃について（注意喚起）」（2025年1月8日）
- 警察庁「北朝鮮を背景とするサイバー攻撃グループTraderTraitorによる暗号資産関連事業者を標的としたサイバー攻撃について」（2024年12月24日）
- 英国議会・科学技術イノベーション省答弁「Written question HL699」（2026年6月18日回答、NCSCの2025年5月公表資料に言及）
- GMOインターネット「お名前.com デスクトップクラウドサービスに対するサイバー攻撃について（第4報）」（2026年10月24日）
- Microsoft「Microsoft’s work to strengthen cybersecurity protection」（2024年6月13日）
- 内閣府「サイバー対処能力強化法及び同整備法の施行に関する関係省庁会議」（2026年）
個別事件の説明は、それぞれの公表資料に基づいています。調査中の事案については、今後の原因究明や追加発表を踏まえて評価する必要があります。