9月以降、世界で公表された個人情報漏洩は延べ3億人を超えた。
日本経済新聞が10万人以上の大規模漏洩を集計したところ、35件のうち20件が日本。日本だけで延べ5700万人分に上った。これは同じ人物の重複を含み得る延べ件数であり、5700万人の別々の日本人が被害に遭ったという意味ではない。
政府機関も相次いで動き始めた。
10月7日に個人情報保護委員会が大規模漏洩について注意喚起。8日にはJPCERT/CC、9日にはIPAが企業に緊急点検を求めた。
IPAは「大量の個人情報を取り扱うオンラインサービス・アカウントサービス等に関するシステムが不正侵入され、個人情報を含むデータが窃取される事案が相次いでいる」としている。
もはや、個別企業の謝罪メールだけで終わる話ではない。
問題になるのは、同じ弱点が電力、通信、鉄道、港湾、物流、金融、防衛産業にも存在することだ。
平時には情報漏洩として現れる弱点が、有事には国家の戦力を削る可能性がある。
攻撃者は「入れるところ」を探している
JPCERT/CCが10月8日に公表した注意喚起は、普段から発生しているランサムウェアとは別に、大量の個人情報漏洩につながり、特に増加している恐れのある攻撃類型を取り上げている。
一つの製品だけが狙われているわけではない。
複数のソフトウェアについて既知の脆弱性をスキャンし、使える穴を探す。設定ファイルやバックアップファイルが外部から取得できないか試す。
公開されているスマートフォンアプリを解析してAPIの接続先やキーを特定し、通常の画面操作では実行できないAPIへ直接アクセスする攻撃も確認されている。
さらに、一般利用者向けサービスだけでなく、BIツールや従業員向け管理システムなど、本来は不特定多数からのアクセスを想定していないシステムまで被害に遭っている。
一社を時間をかけて攻略する必要はない。
大量のシステムを調べ、入れるところを探す。
さらにAIの利用によって、サイバー攻撃は「量」と「速度」の両面で変わり始めている。
政府システムも既知のVPN脆弱性から侵入された
民間だけの話でもない。
デジタル庁が各府省庁向けに運用する政府共通の業務基盤「ガバメントソリューションサービス（GSS）」は、VPN機器の脆弱性を悪用されて侵入を受けた。
漏洩した可能性がある個人情報は約24万6000件。各府省庁の職員や業務関係者の氏名、メールアドレス、電話番号などが含まれていた。
さらに重いのは、悪用された脆弱性が未知の「ゼロデイ」ではなかったことだ。
松本デジタル相は、脆弱性の存在を攻撃前から把握していたと説明している。緊急度の高い別の脆弱性から対応を進めている間に突かれた。
攻撃側が穴を見つける速度と、防御側が穴を塞ぐ速度。
この競争で負ければ、政府システムでも侵入される。
国際評価では日本は最高ランク
一方、日本のサイバーセキュリティ政策そのものが国際的に低く評価されているわけではない。
国際電気通信連合（ITU）の「Global Cybersecurity Index 2024」で、日本は最高区分のTier 1「Role-modelling」に入っている。
米国、英国、韓国、シンガポールなどと同じグループだ。中国は同指標ではTier 2に位置する。
それでも大量漏洩が続く。
ここで問題になるのが、国家レベルの制度と、企業や組織の現場との距離だ。
中小企業の約7割に組織的な体制がない
IPAが全国4191社の中小企業を調査したところ、約7割で組織的なセキュリティ体制が整備されていなかった。
過去3期に情報セキュリティへの投資をしていない企業は62.6％。
投資しなかった理由で最も多かったのは「必要性を感じていない」の44.3％だった。
技術だけの問題ではない。
誰が責任を持つのか。侵入されたら誰が判断するのか。取引先や委託先まで含めて、どこまで監視するのか。
攻撃者は企業規模を気にしてくれない。
むしろサプライチェーンでは、防御力の低い一社が大企業への入口になる。
人材も足りない。
経済産業省は、民間調査を基に国内でサイバーセキュリティ人材が約11万人不足しているとしている。国家資格「情報処理安全確保支援士」は2025年4月時点で約2万4000人で、2030年までに5万人へ増やす目標だ。
重要インフラにも防御力の「ばらつき」
さらに重要なのが、国民生活を支えるインフラだ。
国家サイバー統括室は、重要インフラについて、これまで政府機関の施策や事業者の取り組みを横断して評価できる具体的・統一的な基準がなく、分野や事業者によって対策水準に「ばらつき」があったと説明している。
そのため2026年10月1日、「重要インフラのサイバーセキュリティ対策のための統一基準」が施行された。
通信。
金融。
鉄道。
電力。
医療。
物流。
港湾。
平時なら生活や経済を支えるインフラだ。
有事には、そのまま国家の継戦能力を支えるインフラになる。
自衛隊だけ無傷でも戦えない
防衛省は2026年版防衛白書で、重要インフラなどへのサイバー攻撃について、武力攻撃と連動する形で「有事以前」から実施される可能性を指摘している。
さらに、
重要インフラなどを防護できなければ、自衛隊は「有事」における任務保証を確保できない
としている。
戦闘機が100機ある。
しかし通信網が止まる。
燃料が届かない。
部品が届かない。
港湾が使えない。
防衛産業の生産システムが止まる。
指揮統制ネットワークが機能しない。
それなら100機を100機分の戦力として使うことはできない。
サイバー防御の弱さは、平時には情報漏洩として見える。有事には、国家の戦力低下として現れる。
防衛産業はすでに攻撃対象になっている
これは仮定だけの話でもない。
2026年版防衛白書は、2021年に中国軍が関与している可能性が高いとされたサイバー攻撃集団が、防衛関連企業を含む日本国内約200の企業・研究機関などに大規模な攻撃を行った事例を挙げている。
警察庁も「MirrorFace」と呼ばれる攻撃グループについて、中国の関与が疑われ、日本の安全保障や先端技術に関する情報窃取を主目的とする組織的な攻撃だと評価している。
顧客のメールアドレスを盗む犯罪と、防衛技術を盗む国家系攻撃は目的が違う。
しかし、侵入口になる企業ネットワークやクラウド、VPN、委託先は同じインターネットにつながっている。
戦争が始まる前に入っておく
米国では、中国政府系とされる「Volt Typhoon」が通信、エネルギー、交通、水道などの重要インフラへ侵入していたことが明らかになっている。
米政府は、単なる情報窃取ではなく、米中間で重大な危機や紛争が発生した場合に重要インフラを妨害するための事前配置（pre-positioning）だったと分析している。
一部の環境では、数年間潜伏していた。
有事になってから侵入するのでは遅い。
平時に入る。
見つからないように残る。
必要になった時に止める。
これが現代の国家レベルのサイバー戦になる。
日本も「受けてから守る」から変わった
日本政府も対応を変えている。
10月1日、サイバー対処能力強化法などが施行された。国家サイバー統括室は同日から新制度を動かしている。
重大なサイバー攻撃について、従来のように被害を確認してから復旧するだけでなく、攻撃に使われるサーバーなどへアクセスし、攻撃能力を無害化する仕組みが導入された。
自衛隊のサイバー関連部隊も2027年度をめどに約4000人へ拡充し、防衛省・自衛隊全体のサイバー要員を約2万人体制とする計画だ。
日本政府自身が、サイバー領域を軍事力の外側ではなく、軍事力を成立させる基盤として扱っている。
その先には量子コンピュータがある
さらに先には、現在の暗号そのものをどう守るかという問題がある。
十分な性能の量子コンピュータが実現すれば、現在広く使われている公開鍵暗号の一部は安全性を失う可能性がある。
中国では2026年4月、中国電信と興業銀行が福州、成都、上海を結ぶ金融業界初の省をまたぐ量子OTN専用環状網を開通した。
中国電信は、量子安全通信が都市内での利用から、地域をまたぐ商用利用へ移ったとしている。
福建では市・県・鎮までを覆う量子城域網も整備され、金融や行政で実運用が始まっている。
ただし、中国が量子コンピュータ対策を完了したわけではない。
中国国家暗号管理局も2026年、RSA、ECC、SM2、SM9など量子計算に弱い公開鍵暗号を検出し、耐量子暗号へ移行する技術の研究開発を進めている。
中国が先行している量子鍵配送などの量子安全通信と、ソフトウェア中心で移行できる耐量子暗号（PQC）は別の技術だ。
それでも、金融や行政の実インフラへ次世代の防御技術を入れ始めている事実は重い。
日本は2035年を見据えてPQCへ移行
日本も2026年3月、量子計算機に耐える鍵共有方式「ML-KEM」をCRYPTRECの電子政府推奨暗号リストへ追加した。
政府機関などのPQC移行は原則2035年までを目標とし、2026年度に具体的な工程表を策定する方針だ。
これは日本だけが2035年まで待つという意味ではない。
量子コンピュータが現在の暗号を実際に破れる段階になる前に、巨大な政府・企業システムを少しずつ新しい暗号へ交換していく必要がある。
怖いのは、量子コンピュータが完成してから始まる攻撃だけではない。
現在盗んだ暗号化データを保存し、将来の量子計算機で解読する「Harvest Now, Decrypt Later」が想定されている。
今日盗まれた情報が、10年後の安全保障問題になる可能性がある。
「軍事的弱者国」とは兵器が少ない国ではない
日本が現在すでに軍事的弱者国だ、と断定する話ではない。
問題は、これから軍事力を何で測るかだ。
戦闘機の数や艦艇の数、ミサイルの射程だけでは足りない。
通信を維持できるか。
電力を維持できるか。
港湾と物流を動かせるか。
防衛産業を止められないか。
敵が平時からネットワーク内部に潜伏していないか。
攻撃されながら軍を動かし続けられるか。
保有している軍事力を、有事に実際の戦力として使えるか。
そこまで含めて軍事力になる。
情報漏洩は警告灯かもしれない
日本では今、企業から大量の個人情報が漏れている。
表面に見えているのは氏名、住所、メールアドレス、免許証画像などだ。
しかし侵入原因をたどれば、VPN、古いソフトウェア、API、クラウド、委託先、管理体制、人材不足といった問題に行き着く。
それらは、民間企業だけの問題ではない。
政府にもある。
重要インフラにもある。
防衛産業にもある。
その一方で攻撃側はAIによって速度を上げ、国家レベルでは平時から重要インフラへ潜伏する戦略が現実に確認され、その先では量子コンピュータを見据えた暗号の競争まで始まっている。
日本も能動的サイバー防御を開始し、重要インフラの統一基準、自衛隊のサイバー体制強化、耐量子暗号への移行を進めている。
問題は、攻撃側の進化に防御側の速度が間に合うかだ。
サイバー防御の遅れは、個人情報が漏れるだけでは終わらない。
有事に通信、電力、物流、防衛産業を止められれば、どれだけ高性能な兵器をそろえても、その能力を十分に使えない。
いま続いている情報漏洩で見るべきなのは、漏れた件数だけではない。
その弱点が、有事には何を止めるのか。
そこまで考える必要がある。
