情報セキュリティ on AIによる技術記事備忘録

「パスワードは不正変更されたが漏洩はしていない」という発表の裏にある技術的構造と制度的フィクション

Sat, 31 Oct 2026 05:32:35 +0000

2026年10月22日、カプコンは会員サービス「CAPCOM ID」において不正アクセスが発生し、全世界で合計1177万4247件の情報が漏洩したと発表した。発表された内訳によると、漏洩したのはメールアドレスやアカウント作成日時、最終ログイン時刻、ログイン回数などであり、全体のうち43件では生年月日やニックネームも対象となった。さらに、ログインパスワードの不正変更が196件確認されたものの、パスワードやクレジットカード情報の漏洩はないと説明されている。

この発表には、一見すると奇妙な論理的飛躍がいくつも存在する。第一に、パスワードが不正に変更されたにもかかわらず、なぜパスワード自体は漏洩していないと言い切れるのか。第二に、196件のアカウントでパスワードが書き換えられ、攻撃者がいつでもログインできる状態に陥ったにもかかわらず、なぜ生年月日やニックネームといった詳細情報の漏洩が43件にとどまるのか。この疑問を掘り下げていくと、Webシステムの技術的な仕組みだけでなく、企業がインシデントを公表する際の防衛的なレトリックと、デジタル空間における証拠主義の構造的な限界が浮かび上がる。

パスワードの「漏洩」と「不正変更」が切り離される技術的要因

情報セキュリティおよびデータベースの構造において、パスワードの漏洩がないことと、パスワードが不正に変更されたことはまったく別の事象として定義される。パスワードの漏洩がないという発表は、サーバー内のデータベースに保管されている既存のパスワード文字列やそのハッシュ値が外部に読み取られていない、すなわちデータベースに対する SELECT クエリ等による持ち出しが確認されていない状態を指す。一方でパスワードの不正変更とは、既存のパスワードを攻撃者が知っているかどうかにかかわらず、アカウントの認証情報が新しい別の文字列へと勝手に上書き（UPDATE）された状態を意味する。

元のパスワードを一切知らずに新しいパスワードへと書き換えることが可能な技術的要因は複数存在する。代表的なものは以下の通りである。

パスワード再設定（リセット）機構におけるトークン生成規則の不備や、不適切な直接オブジェクト参照（IDOR）などの脆弱性を悪用し、旧パスワードの入力を伴わないまま任意のパスワードへ強制的に上書きする手法
データベースの読み出し権限を持たないまま、パスワード更新用の内部APIや管理コマンドの実行権限のみを奪取して強制更新を行う手法
セッションを偽装・奪取した際、パスワード変更画面において現在のパスワードの再入力を求めない設計上の欠陥を突く手法
自社からの漏洩ではなく、他社サービスから過去に流出したIDとパスワードのリストを用いたリスト型攻撃によってログインを突破し、その後に変更処理を行う手法

さらに、パスワードが変更された196件のアカウントにおいて、その利用者がマイページ等で閲覧できるすべての情報が取得されたのではないかという疑問が生じるのは当然である。技術的には、パスワードを書き換えてログインセッションを確立すれば、マイページに表示される登録情報はすべて攻撃者の手中に落ちる。それにもかかわらず詳細情報の漏洩が43件とされているのは、パスワードを変更する処理と、プロフィール画面のデータを取得する処理がシステム上は別々の通信リクエストとして扱われるためである。

攻撃スクリプトが機械的にパスワード更新APIのみを連続実行して処理を終了していた場合や、情報取得前に遮断された場合、あるいはそもそも任意のプロフィール情報が未登録だった場合には、画面データの送信は発生しない。そして何より、調査において企業が漏洩と認定するのは、原則としてWebサーバーのアクセスログに該当データの送信レスポンス（HTTP 200 など）が明確に記録されていたケースに限られる。196件のうち、プロフィール参照APIを叩いた客観的なログが残っていたものが43件であり、残りの153件については参照ログが確認できなかったため、漏洩の対象から除外されたと解釈するのが合理的である。

平時の予防原則と有事の矮小化に見る企業の二重基準

ここで顕在化するのは、企業が平時に語るセキュリティ基準と、実際に侵入を許した有事における被害認定の著しい非対称性である。

平時の脆弱性評価において、企業やセキュリティ業界は予防原則に基づく最悪シナリオの想定を適用する。共通脆弱性評価システム（CVSS）などのスコアリングでは、現実に攻撃された実績があるかどうかは問われず、理論上悪用可能であれば深刻な脆弱性として扱われる。つまり、攻撃者が到達しうる理論上の最大データ集合を $D_{\text{possible}}$ としたとき、平時においては $D_{\text{possible}}$ のすべてが危険にさらされていると評価する。

ところが、実際に不正侵入が発生した有事になると、企業は突如として証拠裁判主義を借用した損害極小化の論理へと舵を切る。ログなどの確実な客観証拠によって流出が確認されたデータ集合を $D_{\text{confirmed}}$ とすると、当然ながら以下の包含関係が成り立つ。

$$D_{\text{confirmed}} \subseteq D_{\text{possible}}$$

有事の企業発表では、法的責任や監督官庁からの行政処分、株価への悪影響を最小化するため、左辺の $D_{\text{confirmed}}$ のみを被害範囲として切り出し、右辺の $D_{\text{possible}}$ に含まれる潜在的被害をすべて切り捨てるポジショントークが展開される。

しかし、不正侵入された環境においてログの記録だけを根拠に被害範囲を限定することには、情報科学およびデジタルフォレンジックの観点から致命的な矛盾がある。ログが証拠能力を持つための絶対条件は、その完全性が担保されていることである。攻撃者がシステムの管理者権限（root や Administrator）を掌握していた場合や、ログ出力デーモンを停止・迂回できた場合、自らの閲覧痕跡を消去するアンチフォレンジックを実行することは造作もない。

侵入されたローカル環境のログに閲覧記録が残っていないという事実は、本当に閲覧されなかった可能性だけでなく、ログが改ざん・消去された可能性や、そもそもシステム設計上の不備でログが記録されていなかった可能性を同時に含んでいる。証拠の不在は不在の証拠にはなり得ない。物理的な現実としては、侵入を許し認証のコントロールを奪われた時点で $D_{\text{possible}}$ のすべてが見られ、ログも破壊されている可能性を排除できないため、企業は「漏洩していない」と断定する責任を逃れつつ被害を矮小化できる「漏洩は確認されておりません」という無敵のレトリックへ逃げ込むことになる。

公害問題をも凌駕するデジタル情報漏洩の立証不可能性

この「確認されておりません」という発表を外部から突き崩し、特定の企業からデータが漏洩したという因果関係を客観的に立証することは、過去の歴史における公害問題の立証よりもさらに困難である。その理由は、物理法則に支配される物質と、デジタル空間におけるビット列の性質の決定的な違いにある。

公害問題における有機水銀やカドミウム、大気汚染物質などは物理的な質量を持つ物質であり、質量保存の法則や流体力学といった自然法則に厳密に従って移動する。工場の排水口から河川、土壌、魚介類、そして被害者の人体に至るまでには、濃度勾配や同位体比といった不可逆的な物理的・化学的痕跡が必ず残る。加害企業がどれほど因果関係を否定しようとも、独立した第三者や研究者が自然界に存在するサンプルを採取し、科学的な分析を重ねることで発生源を特定する余地が物理的に残されていた。

対照的に、デジタルデータは電気信号や磁気記録のパターンに過ぎず、物理的な劣化や痕跡を一切伴わずに寸分違わぬ完全な複製を無限に生成できる性質を持つ。データが外部へ送信されても元のデータが摩耗することはなく、通信経路のログが上書き・消去されれば物理的な移動の痕跡は完全に消滅する。さらに、メールアドレスや氏名、パスワードといった情報は、過去数十年にわたり国内外の無数のサービスから断続的に流出し、ダークウェブ上で結合された巨大なリストとして流通している。ある利用者が不正ログインや詐欺の被害に遭ったとしても、それが今回の企業の侵入事件に起因するのか、数年前に別の場所から漏れたデータに起因するのかを客観的に切り分けることは不可能である。

加えて、公害問題では汚染された環境や被害者の身体という証拠が社会の側に存在したのに対し、デジタルインシデントでは証拠となるサーバーやデータベースのすべてが加害企業の管理下に独占されている。外部の人間はサーバー内部を直接検証する手段を持たず、企業が自ら雇ったセキュリティベンダーによる調査結果の要約を受け取るしかない。物理的な痕跡が残らず、代替原因が無数に存在し、証拠空間が当事者に完全独占されている以上、因果関係の客観的立証は構造的に封殺されている。

自己申告と「沈黙のカルテル」に依存する制度的フィクション

結局のところ、現在の情報漏洩の公表制度は、被害を過小に報告する強いモチベーションを持った当事者による自己申告に全面的に依存している。利害関係者の自己申告をそのまま信用してよいのであれば、この世に脱税など存在しないはずである。

しかも、税務行政とサイバーインシデント対応の間には、外部からの強制検証機構の有無という決定的な差がある。税務においては自己申告が虚偽である可能性を前提とし、国家権力による強制調査権や、取引先・金融機関を調べる反面調査が存在する。帳簿を改ざんしても、外部に残る金の流れという物理的・社会的な痕跡から嘘を暴くことができる。しかし、サイバーインシデントにおいては警察や個人情報保護委員会であっても企業のサーバーをゼロから直接解析するわけではなく、企業が切り出して提供したスコープの範囲内で作成された報告書を受理するにとどまる。

ここに「やりすぎれば社内から内部告発が出るのではないか」という期待を抱くことも、組織論およびゲーム理論の観点からは非現実的である。インシデント発生時、責任を問われるのは経営陣だけではない。設定ミスやパッチ適用の遅れ、監視の怠慢を犯した現場のエンジニアや部門責任者にとっても、被害が深刻であればあるほど懲戒処分やキャリアの喪失という直撃を受ける。つまり、企業防衛を図りたい経営陣と、自らの過失を最小化したい現場担当者の間で、被害を小さく解釈して幕引きを図りたいという利害が完全に一致する沈黙のカルテルが自然発生する。

また、従業員個人が内部告発を行う際の期待値 $E$ を、告発が成功する確率 $p$、得られる客観的リターン $R$、および組織からの報復や孤立、法的圧力によって被るコスト $C$ を用いて表すと、以下の関係になる。

$$E = p \cdot R - C$$

日本の労働環境や社会構造において、内部告発者が得られる金銭的・キャリア的リターン $R$ はほぼゼロに等しい一方、負担する社会的・物理的コスト $C$ は極めて甚大であるため、常に $E \ll 0$ が成立する。合理的な判断力を持つ個人であればあるほど、自らを犠牲にしてまで会社の過小報告を告発するインセンティブは働かない。

物理的な自然法則の観点から見れば、一度外部からの不正侵入を許したブラックボックスの内部で何がどこまで盗まれたのかを、事後的に100%の確実性をもって復元・証明することは不可能である。それにもかかわらず、社会が企業の「確認されておりません」という自己申告を受け入れているのは、それが客観的な真実だからではない。外部から検証する物理的手段が存在せず、内部からの自浄作用も期待できない以上、企業が形式的な手続きを踏んで提出した数字を公的な事実として扱うことで責任の範囲を確定させ、経済活動を継続させるしかないという人間社会の主観的な合意形成（制度的フィクション）がそこにあるだけである。

東京が消し飛んでもシステムを復旧させるのか？──現場を凍りつかせる「BCPチェックシート」という名の茶番

Thu, 17 Sep 2026 23:32:10 +0900

イランによるAmazonのデータセンターへの攻撃により顧客データが永久に失われる - GIGAZINE

中東にあるクラウド事業者のデータセンターが物理的な軍事攻撃を受け、単一アベイラビリティーゾーンに配置されていたデータが恒久的に失われたという報せは、インフラエンジニアや企業のリスク管理部門に冷水を浴びせました。どれほど論理的に抽象化されていようと、クラウドの実体は特定の緯度と経度に固定されたコンクリートとシリコンの塊であり、不可逆な物理破壊の前には無力であるという冷厳な事実です。

しかし、このニュースに触れたとき、私たちが真に直面させられるのは技術的アーキテクチャの敗北だけではありません。日本の多くの大企業で機械的に配られ、現場のエンジニアが半ば虚無感とともに記入させられている「事業継続計画（BCP）チェックシート」の欺瞞こそが、白日の下に晒されたと言えます。

「基幹インフラだけが無傷」というSF的ご都合主義

教科書的なBCPやクラウドの設計論では、東京リージョン（ap-northeast-1）が被災した際の解として「米国バージニア州（us-east-1）などへのマルチリージョン・フェイルオーバー」が平然と語られます。アーキテクチャ図の上では、太平洋を跨ぐ矢印を一本引くだけで対策が完了したかのように見えます。

しかし、現実の物理世界を少しでも想像すれば、この前提がギャグの領域にあることは明白です。東京が物理的に瓦解するほどの軍事攻撃や巨大災害が発生したとき、なぜ房総半島や茨城沿岸にある海底ケーブル陸揚局（CLS）や、都心のインターネットエクスチェンジ（IX）、超高圧変電所だけが奇跡的に無傷で稼働し続けているのでしょうか。

大動脈である太平洋横断ケーブル網や中継施設への給電が落ちれば、海外リージョンへのデータハイウェイそのものが瞬時に遮断されます。配管が根元から爆破されているのに、蛇口の先の水質を議論しているようなものです。海外拠点でデータが無事であろうと、それを国内の誰も参照できず、操作もできない状態であれば、そのシステムは宇宙空間を漂う無人の人工衛星と何ら変わりません。

「この状況で仕事するわけないだろ」という正常な直感

さらに奇怪なのは、そうした極限状態においても「生身の担当者が平然と職務を遂行する」という前提がチェックシートの裏に忍ばされている点です。

東京が壊滅的な打撃を受け、明日また第2波の攻撃や激しい余震が来るかもしれないという状況下で、人間が真っ先に取るべき行動は一つしかありません。家族の安全を確保し、水と食料を抱えて、生存のために一刻も早く東京から脱出することです。

電気も水道も止まり、通信も途絶えた混乱の都市において、脱出の判断を数時間誤ることはそのまま死に直結します。そんな極限状態に置かれた生身の人間に対して、「担当サービスを他リージョンへ切り替えて持続性を担保できるか」と問うこと自体、破綻した状況認識と言うほかありません。

チェックシートを埋めながら多くのエンジニアが抱く「この状況で仕事するわけないだろ」という吐き捨てるような直感は、職責の放棄などではなく、生命を維持しようとする生物として最も健全で正確な現実認識です。

組織防衛のためのアリバイ工作と責任の所在

では、なぜこのような絵空事のチェックシートが、大企業では全サービスの担当者に向けて一律に強制されるのでしょうか。理由は極めてシンプルで、それが現場の危機管理のためではなく「組織のアリバイ作り」として運用されているからです。

経営陣やリスク管理部門の目的は、実際に国家機能が麻痺したときにサービスを復旧させることではありません。株主総会、監査法人、取引先に対して「当社は全社的にリスクを評価し、統制を図っています」と報告するためのエビデンス、すなわち「記入済みシートの束」を揃えることが自己目的化しています。

そしてこの構造の最も残酷な点は、想定外の破滅が起きた際の泥を現場に被せられる余地を残していることです。「事前に貴方がこの時間で復旧できると書きましたよね」という手続きを踏ませることで、管理側は免責され、破綻の責任は「現場の見通しの甘さ」へと矮小化されます。

欺瞞を捨て、本当の「生存」から逆算する

平時のビジネスやSaaSが提供する価値は、社会インフラと法秩序という巨大な土台が正常に維持されていて初めて成立する二次的な産物に過ぎません。

組織の体裁を保つための書類仕事に大人の対応として付き合うことは、サラリーマンとしての処世術かもしれません。しかし、心の奥底にある「世界が終わっているときに、会社のシステムを心配している場合ではない」という冷徹な感覚だけは手放してはなりません。

物理インフラが国家間の武力衝突や未曾有の大災害に巻き込まれたとき、真に問われるのはSaaSの可用性ではなく、私たち自身がいかに今日を生き延びるかという、剥き出しのサバイバルなのです。

情報セキュリティ on AIによる技術記事 備忘録