第3回川口 洋と語る！ セキュリティ時事放談

川口氏

そういえば、今日もタクシーの車内CMでＳｋｙさんのCMを見ました。

松本氏

実は私、俳優の藤原竜也さんが出演するSKYSEA Client ViewのCMが好きなんです。具体的な脅威や機能紹介に終始するのではなく、企業が抱える漠然としたITの悩みを一緒に解決していくポジティブな空気感がありますよね。私は30年近くセキュリティ業界にいますが、それまでに見てきたセキュリティベンダーのCMは、どちらかというと玄人向けに自社サービスの機能が優れている点や他社との比較が中心でした。内容もホラーストーリー寄りのパターンが多かったと思います。SKYSEA Client ViewのCMは、商品名と社名にフォーカスを当てた、まっすぐな内容です。このようなCMはセキュリティ業界では他に見当たりません。しかし、CMのインパクトが強すぎて、今では藤原竜也さんを見るとＳｋｙさんを思い出すように（笑） 同じように感じている方は多いのではないでしょうか。当時、知人と「セキュリティ業界に黒船が来た」という会話をしたことを今でも覚えています。

川口氏

現在、松本さんが所属されている株式会社ディー・エヌ・エー（以下：ディー・エヌ・エー）は、プロ野球球団のオーナー企業の印象が強いですよね。

松本氏

スポーツ事業は柱の1つですね。世間一般に認知度が高まりますし、ブランド価値の向上にもつながります。

川口氏

松本さんとは、以前別の会社に所属されていたころからの知り合いです。あれから随分たちましたが、私の中の松本さんのイメージは、「ダークウェブを見ている人」です。当時、日本ではあそこまで詳しくリサーチしている人は少なかったので、とても印象に残っています。ディー・エヌ・エーにはいつから在籍されていますか？

松本氏

2018年から在籍し、現在は2025年に行われた社内体制の変更で、CISO（Chief Information Security Officer）的な立場の上長（本記事では分かりやすくするためCISOと記載） の直下に配属されました。組織横断的に立ち回ってくれるCISOが上長だと、ほかの事業部を巻き込んだ活動がやりやすくなりました。私の業務は少々特殊で、社内のリスク対応、また刑事事件や内部不正なども担当しているため、自らリサーチしてリスクを発掘するだけでなく、他部署の協力が欠かせません。その際、CISOに承認を受けた調査だと伝えれば協力が得やすく、作業がスムーズに進むようになりました。そのほか、インシデントレスポンスや教育などにも関わっています。

川口氏

セキュリティリサーチャーのなかには、身の危険を感じて自宅の最寄り駅は利用しないなどの防御策をとられる方もいます。松本さんもこれまでに身の危険を感じた経験がありますか？

松本氏

誹謗中傷や、脅迫めいたコメントをもらったことはあります。10年くらい前までは、どうやって危険を回避したらいいのか真剣に悩んでいました。そこで、セキュリティ業界で尊敬しているある方に相談することに。その際「これ以上は踏み込まない一線を自分で決めることが大事」とアドバイスをいただきました。確かに、それまでの私は線引きという意識を持っていなかったため、案件によっては踏み込み過ぎていたのかもしれません。それ以来、ここから先は絶対に踏み込まないという一線を決めて対応しています。

川口氏

特別な情報を入手できる立場になるほど、大事なことかもしれないですね。ほかにもやらないと決めていることはありますか？

松本氏

おそらく皆さんが想像される、特定の国々には行かないことです。直接何人かの方に忠告されましたし、昨今の報道を見ていると私自身もリスクを感じています。

川口氏

確かに、日本の法律が及ばない地域は危険ですね。松本さんは、近年のサイバー犯罪の特徴をどのように捉えていますか？

松本氏

近年のサイバー犯罪は、われわれサイバーセキュリティの専門家がこれまで見逃してきた課題のツケを払い始めていると感じています。その最たる例が、フィッシングやインフォスティーラーによる認証情報の大量窃取とその悪用です。これまで、フィッシング被害はサービス利用者の自己責任として済まされてきましたが、これほどまでになりすまし被害が広がっている根本原因は、フィッシング攻撃によってIDやパスワードといった認証情報が盗まれ、それが犯罪者のコミュニティやダークマーケットで広く取引されていることにあります。また、内部不正を含めた内部からの脅威をサイバーセキュリティの分野でまじめに備えてこなかったことも、被害を拡大させた要因です。特に、インフォスティーラーによる認証情報の窃取は、盗まれた情報が犯罪者間で共有された場合、まるで内部犯行のように企業システムへの侵入を許してしまいます。長い間、サイバーセキュリティ対策を外部からの攻撃に限定してきたことが、今日の深刻な被害状況につながっていると思います。

川口氏

近年、内部不正を契機にした金融犯罪で巨額な損失が発生する事件が頻発しています。金融犯罪は、内部不正とモチベーションが近い隣接した犯罪ですね。

松本氏

暗号資産を悪用した不正送金や身代金請求などの犯罪は、数十億から数百億円規模という、従来の犯罪とは桁違いの収益を生み出します。だからこそ、内部不正を行うモチベーショナルな動機につながるのでしょう。加えて、ダークマーケットでは、フィッシングやインフォスティーラーによって盗まれた情報が流通し続けています。現在サイバー犯罪の主戦場となっているサプライチェーンのセキュリティを狙った攻撃も、まさにこの認証情報の悪用が起点となるケースが頻発しています。今、我々がこれまで本気で対策してこなかったツケが、大きな犯罪となって社会全体に押し寄せているように思います。

川口氏

証券口座の乗っ取りなど、大きく報道される金融犯罪が増えたことで、ようやく本気で取り組む流れができてきましたね。しかし、攻撃の技術的要素だけを考えたら、もっと前に発生していてもおかしくなかったと思います。

松本氏

以前から、例えば金融機関向けなど、ターゲットごとにフィッシングなどの攻撃は洗練されており、なりすましに使用する精度の高いIDやパスワードのリストが業界ごとに作られていました。つまり準備は整い、いつでも攻撃できる状況だったということです。ではなぜ実行されなかったのか。それは、収益化する仕組みがまだ発見されていなかったからです。一昔前であれば、証券口座の乗っ取り被害は、証券口座に紐づく利用者の銀行口座から出金するしかなく、攻撃のハードルが高い割に得られる利益が少ないと考えられていました。ところが、乗っ取った証券口座の株式を売却した資金をもとに相場操縦を仕掛けるという、犯罪者にとって巨額の利益を生む収益手段が発見されてしまったことで、犯罪の被害規模が一気に拡大しました。

川口氏

攻撃者は、収益化の手段が確立されるのを待っていたんですね。

松本氏

海外では、2024年の暮れにまったく同じ手口で相場操縦が行われていましたが、2025年の1月ごろからは日本もターゲットに含まれるように。当初は日本での攻撃方法を確かめるように、発生件数や規模は比較的小さな被害にとどまっていましたが、早々に跳ね上がりました。新たな収益手段を用いた攻撃が海外で発生した際、日本の証券会社がすぐさまそれをアラートとして取り入れ、業界全体でフィッシング耐性の高い認証方法が採用されていれば、その後の爆発的な被害は防げていたと思うと残念です。遅くとも、日本での被害が認知された直後に対策に動けていれば……。初動が遅れた主な原因は、業界として動けなかったことが上げられます。犯罪の手口も対応策もわかっていたにもかかわらず、莫大な被害につながってしまった問題は、相当に深刻です。

川口氏

松本さんの外部での活動は、金融犯罪への対応が中心ですか？

松本氏

そうですね。金融庁では、ブロックチェーンや暗号資産に関わる部門に属しています。不正送金の手段として暗号資産が悪用されるようになったことで、銀行口座を持てない立場の犯罪組織でも簡単に金融資産を入手できるようになってしまいました。それに伴い、金融犯罪に関わる機会は増えています。今、私が目標としているのは、サイバー金融犯罪を撲滅することです。大それた目標だと思われるかもしれませんが、金融犯罪対策に関わる私の友人の一人が、本気でサイバー金融犯罪を撲滅したいと話してくれたことがきっかけで、減らすだけではあまり意味がないと同じ目標を持つようになりました。

川口氏

現在のサイバー金融犯罪の仕組みにフォーカスを当てると、課題は暗号資産だとお考えですか？

松本氏

暗号資産は、良くも悪くもこれからの領域です。私が金融犯罪に関わり始めたころ、トラディショナルな銀行や保険会社などの金融機関では、内部不正も含めて既にセキュリティ対策がかなり固まり、フィッシング対策のノウハウも持っていました。さらに、運用で足りないところは業界全体でノウハウを共有する体制も出来上がっていましたが、当時、暗号資産の領域は何も整備されていない完全な荒れ地でした。

川口氏

登録制度が始まる前の暗号資産は過渡期で、攻撃者にとっては盗み放題でしたね。

松本氏

当時は暗号資産の大規模な盗難が毎年のように起こっていました。暗号資産の交換業者も、どうすればビジネスとして成立するか悩んでいた時期だったと思います。中には、サイバーセキュリティ対策のことは二の次と考えていた事業者もいました。法整備も追いついていない、本当に何もない状況だったんです。

川口氏

扱っている金額の大きさを考えると、とても怖いですね。

松本氏

当時の日本は、暗号資産の取引量が世界一でした。そんななか、次々と盗難事件が起こり、荒れ地の整備が迫られるようになっていきます。当時の私は、砂漠にみんなが使える井戸を掘るような、分かりやすい仕事が公共の仕事だと思っていました。しかし、そんな派手な仕事はほとんどなく、大半が荒れ地を自分の足で踏み固めるようなきつい仕事です。ふと後ろを振り返ると、役人の方々がきれいに整地してくれていて、気がついたときには法整備からガイドラインまで完成して、ビジネスできる環境が整っていました。大変でしたが、めったにできない経験で楽しかったです。

川口氏

長年、攻撃を認知したタイミングで警鐘を鳴らすことの難しさを感じてきました。特に初期段階では「そこまでしなくてもいいのでは？」「その対策、今、実装しなくてもいいのでは？」という声が常に上がってきます。大事なのは、どうアクションにつなげるのかですから、注意喚起しただけでは意味がありません。松本さんは、海外の動向を含め、いわゆる“ヤバい攻撃”を相当数ご覧になってきましたよね。この課題にどう向き合えば、業界・組織にアクションを起こしてもらえるようになると思いますか？

松本氏

難しい問題ですよね。どれだけ教育や啓発を頑張っても、業務の優先順位を変えてまでセキュリティをやるかといえば、多くの組織の答えはNOです。システムやアプリケーションのセキュリティパッチも、皆さんやった方がいいことは理解していますが、ビジネス上の優先順位が高くないと判断され、後回しにされることがあります。それに対し「セキュリティはコストではなく投資と考えるべき」という話もありますが、実際にコストはかかりますから、言葉遊びのように感じてしまうことも。現実問題として考える必要があるのは、そのコストを皆でどう分担するかです。セキュリティの優先順位を上げるためには、事業部に集中するコストを分担すること、これは組織横断でやっていくしかありません。

川口氏

相当な難題ですから、セキュリティご担当者にとっては気が重い作業ですよね。

松本氏

先ほど、CISOの直下になって動きやすくなったとお伝えしたのは、まさにここです。組織横断的に立ち回るCISOへのプレゼンテーションで理解が得られたら、他部門への話が格段に通しやすくなりました。交渉の際には、自分たちである程度のリスクを評価できなければ、すぐにでも被害が発生するかもしれないという説明に加え、リスクを明らかにする作業の一部を私たちが担い、リスクアセスメントにかかるコストを各部署と折半すると伝えて理解を得ています。間接的な関わりでは、現場の理解は得られません。一緒に取り組むことが、何より重要です。

川口氏

CISOの存在に加え、プレゼンテーション力も問われそうですね。

松本氏

影響力の強化には、社内で有名になることも効果的だと感じています。そのために私が取り組んでいるのが、全社勉強会です。世の中で話題になっているサイバーインシデントを取り上げて、かなり詳しく解説しています。参加者は、毎回数百人。満足度も95％以上とかなり好評です。通常、システム部門以外が自発的にセキュリティ対策に取り組むことは難しいと思いますが、このような活動を通して自分事として捉えてもらえるようになり、セキュリティに関して意見が聞きたい、一緒に対策に取り組みたいなど、直接連絡が届くようになりました。社内で名前が知られていることで、業務が進めやすくなったと感じます。

川口氏

社外のさまざまな肩書も、「あの人の言うことなら」という信頼につながりますね。

松本氏

そうですね。外部で講演している人からアドバイスが受けられるというのは、社員の行動変容のモチベーションになっているかもしれません。現在は、本業と金融庁に籍を置く以外に、「JPCrypto-ISAC」という暗号資産事業者の業界団体や、セキュリティベンダーでは金融犯罪のアドバイザーとして専門的な職務も担っています。このように、さまざまな組織で活動して、監督官庁から業界団体、サービス提供事業者など一気通貫での関わりを持つことで、金融犯罪の全体を見通せるようになりました。ただし、監督官庁では準公務員という立場です。新たな職務を引き受ける際には必ず人事に相談し、利益相反を侵さないよう注意しています。

川口氏

一つの組織だけでは解決できない問題や、業界団体に所属していても情報が得られないケースもありますが、監督官庁にいるからこそ見える、わかることも多いですよね。

松本氏

監督官庁には情報が集まってきますから、この事実を事前に公表できていれば、あの事案の被害はもっと抑えられていたと感じることもあります。ただし、監督官庁の業務には厳格なルールがあるので、それができないこともわかっています。「JPCrypto-ISAC」からアドバイザーの就任の要請を受けたのは、そんなモヤモヤした気持ちを抱えていたときです。日ごろから、業界同士の共助が問題解決の支援につながると考えていたので、その支援ができればという思いでお引き受けしました。

川口氏

安心してビジネスが続けられる取り組み、今後もよろしくお願いします。