我々はすでに第三次世界大戦のなかにいる Black October 2026
English version: Read in English ▸
10月に起きたこと
まずは今般の騒ぎで被害に遭われた方に、心よりお見舞いを申し上げます。
また、今も現場で奮闘している皆様、たいへんお疲れ様です。
とくに、バックエンドエンジニアの皆様はおそらく疲労困憊でしょう。フロントとバックの中間にいる私ですらそうなのですから。今は地獄を抜けたどころか、地獄の三丁目くらいまで来て大渋滞で待たされている、みたいな状況かもしれません。「本番はこれから」という気がします。なにしろ、PHPだけではないわけです。
10月21日、「PHP2Shell」1と呼ばれる重大な脆弱性が公表されました。
PHPは、世界のウェブサイトのおよそ7割を動かしているプログラミング言語です。その土台そのものに、ログインしなくても外からサーバーを乗っ取れてしまう穴が、長いあいだ眠っていたのです。
見つけたのは、AIを駆使したセキュリティ研究者たちでした。
事態の重さを何より物語るのは、米国家安全保障局（NSA）の関係部門が「すぐに修正できないサイトは、いったんオフラインにするように」と呼びかけたことでしょう。
ウェブサイトを止めろ、と。
実際の被害も報告されています。
個人情報の流出、サイトの中身の改ざんなど。
ひどいケースでは、復旧が不可能あるいは極めて困難なため、ウェブサイトの再開を断念したというケースも見聞きします。私が15年来ずっと見てきたWebサイトも閉鎖されてしまいました。今後、二度とその中身を見ることができません。大袈裟かもしれませんが、これは文化の喪失でもあると思います。
幸い、私のウェブサイトおよび目の届く範囲の皆様には、実害は報告されていません。
実を言うと、10月20日の段階で、公表前の情報が漏れ出していたことを受けて「何かありそうだ」と察知していました。
そのため予定を繰り上げたり、ドタキャンになってしまった約束もあります。
その点については、この場を借りて、深くお詫び申し上げます。
すでに第三次世界大戦のなかにいる
いきなり不穏なことを書いて申し訳ないのですが、私は、もうすでに我々は第三次世界大戦の渦中にいるのだと思っています。
突飛な考えではないはずです。
故・教皇フランシスコは、2014年ごろから「断片的な第三次世界大戦」2という言葉を繰り返していました。
軍事力、サイバー攻撃、偽情報、経済的な圧力を組み合わせる「ハイブリッド戦争」3という言葉も、すっかり定着しました。
宣戦布告もない。塹壕もない。けれど、戦いは確かに起きている。
というのも、ここ数年のサイバー攻撃の件数の増加速度には、尋常ならざるものがあります。
とくに2022年のロシアによるウクライナ侵攻以後、目に見えて増えています。
情報通信研究機構（NICT）の観測網「NICTER」4では、サイバー攻撃関連の通信が、1IPアドレスあたり年間約183万パケット（2022年）から約250万パケット（2025年）へと増え、観測開始以来の最多を更新しました。10年前の2016年は約47万でしたから、およそ5倍です。
もっとも、時を同じくしてChatGPTの市場投入など、生成AIの民生化が重なりました。これによる影響も少なくないでしょう。
物事は複合的に絡み合って進みますから、何かひとつの原因にたどり着くことは稀です。
この10年間は、国家の諜報機関がサイバー攻撃に関与していることが、次々と明るみに出た10年間でもありました。
乱暴にまとめれば、ロシアは破壊と攪乱、中国は長期潜伏と情報窃取、北朝鮮は金。それぞれに「作風」があります。
日本も無縁ではありません。
主なケースを、各国政府による公式な名指し（アトリビューション）5や起訴が出ているものを中心に挙げておきます。
ロシア（GRU・SVR）
- ウクライナ電力網への攻撃（2015・2016年）：GRU6の「サンドワーム」（74455部隊）の仕業とされ、冬の停電を引き起こしました。サイバー攻撃で電力網が止まった、史上初の例です。
- NotPetya（2017年）：ウクライナを狙ったデータ破壊型のマルウェアが世界中に広がり、被害額は100億ドル規模とされます。米英はGRUの仕業と名指ししています。
- 平昌五輪・東京五輪：英国政府は、GRUのサイバー部隊が平昌五輪の妨害を試み、北朝鮮や中国のハッカーの仕業に見せかけたと発表しました。東京五輪の組織委員会への偵察活動も指摘されています。
- SolarWinds事件（2020年）：SVRの仕業とされ、米政府機関に深く潜り込んだ大規模なスパイ活動です。
- Viasat衛星通信への攻撃（2022年2月24日）：侵攻当日、ウクライナ軍も使う衛星通信網が麻痺しました。
- 日本関連：2022年9月、親ロシアのハクティビスト集団「Killnet」が、e-Govなど日本の政府系サイトにDDoS攻撃7を仕掛けました。
中国（国家安全部・人民解放軍）
- APT10（2018年）：日本政府が初めて中国を名指しで非難しました。国家安全部8と関係する集団が、日本企業を含む世界中のITサービス企業を通じて情報を盗んだとされています。
- MirrorFace（2025年1月公表）：警察庁が、外務省、防衛関係者、シンクタンク、政治家などを狙った攻撃を、中国系の集団によるものと公表しました。日本の警察が国家の関与に踏み込んだ、珍しい例です。
- JAXAへの侵入：これも中国系の集団の仕業と報じられています。
- Volt Typhoon・Salt Typhoon（2023〜24年）：米国のインフラや通信会社に潜伏していたとされます。有事の際の破壊工作の準備ではないかと警戒されています。
北朝鮮（朝鮮人民軍偵察総局）
- ソニー・ピクチャーズへの攻撃（2014年）：金正恩を風刺した映画への報復とされます。
- バングラデシュ中央銀行（2016年）：約8100万ドルが盗まれました。
- WannaCry（2017年）：世界中で大流行したランサムウェアです。
- DMM Bitcoin（2024年）：約482億円相当の暗号資産が流出し、警察庁とFBIが北朝鮮の「TraderTraitor」9によるものと公表しました。
こうして並べてみると、先ほどの「作風」がよくわかります。
ロシアは壊し、中国は潜み、北朝鮮は稼ぐ。
こうした攻撃は、これまで民間レベルにまでは及んできませんでした。それに、もちろん「西側（民主主義陣営）」も同じことをやっていると思います。
両方とも、われわれ一般市民の見えないところでの戦いです。物理的破壊は伴わずとも、資産に損害が出てきたわけです。
ただし、基本的には「国対国」「プロ対プロ」の戦いであったわけです。
攻撃が「おりて」きた
怖いのは、こうした国家レベルの攻撃技術が、AIによって個人ハッカーのレベルにまで「おりて」きていることです。それにより突如「見える化」されたようなかたちになりました。
PHP2Shellは、その象徴のような出来事でした。
守る側は、厳重に管理された最先端のAIで穴を見つけました。
ところが攻める側の手元にも、それに迫る性能のAIが、誰でも無料でダウンロードできる形で出回り始めています。
実際、今月はじめには、AIツールを使った素人とみられるハッカーが、韓国の銀行から顧客情報を盗み出したと報じられています。
かつては国家の諜報機関にしかできなかったことが、個人の手に届きつつあるのです。「軍事レベルで高度に組織化されたプロ集団による攻撃」と同じくらいのインパクトをAIによって再現できるのです。これまでの素人ハッカー単体あるいは少数グループによる攻撃とは比べものになりません。
ここで強調しておきたいのは、狙われるのは「誰か」ではない、ということです。
攻撃者の多くは、標的を選んでいません。
脆弱なサイトを機械的に探し回り、鍵の開いている家を見つけたら入る。それだけです。
改ざんされたサイトに、そのサイトとは何の関係もない政治スローガンが掲げられていたり、見覚えのない外国語のページが大量に埋め込まれていたりするのは、よくある話です。
犯人は、サイトの中身など見ていません。「開いていたから、入った」。それだけのことです。
つまり、「うちは小さいし目立たないから大丈夫」は通用しません。
小さくても、鍵が開いていれば入られる。
むしろ、手入れの行き届かない古くて小さな家ほど、入られやすいのです。
（私はそういう家が好きです）
淡々とやるべきことをやる人たち
以前、あるトラブルの対応で、契約しているサーバー会社に助けを求めたことがあります。
深夜に相談をもちかけたにも関わらず、速やかに対応してくれました。
そればかりか、平時であればおそらく「ふつうに販売できる商品」のレベルであろう対策を、無償で提供してくれたのです。
開発には相当な費用がかかったことでしょうが、それをすっ飛ばして、無償提供に踏み切ってくれました。
「ちゃんとやるべきことを淡々とやっている企業」に、深く感銘を受けました。
今回もきっと、同じように黙々と手を動かしている人たちが、あちこちにいるはずです。
いっぽうで、他の場所で対応を見ていると、あまりにも危機意識が欠如していると感じる場面が少なくありません。
社会全体が弛緩しきっているとすら思えます。
そのツケを払うのが、真面目に商売をしている個人商店や中小企業であってはならないと思います。
鍵をかける、という抑止
安全保障の世界には、抑止についてふたつの考え方があります。
ひとつは「懲罰的抑止」。攻めてきたら手痛い反撃をするぞ、と示して思いとどまらせるやり方です。
もうひとつは「拒否的抑止」10。攻めても目的を果たせない、割に合わない、と相手に思わせるやり方です。
個人や中小企業にできるのは、後者です。
反撃はできなくても、鍵はかけられる。
攻撃者に「ここは面倒だ、隣へ行こう」と思わせることはできます。
やるべきことは、実はそれほど派手ではありません。
- システムやプログラムの更新を怠らないこと
- ログインを固めること（使い回さない長いパスワード、二段階認証11）
- 万一に備えて、バックアップを取っておくこと
地味ですが、これだけでも「鍵の開いている家」のリストからは外れられます。
経営者の皆様には、今一度、自社および関係先の防御体制が妥当かどうか、精査をしていただきたいです。
Webサイトも、オンラインサービスも、資産である。そうあらためて捉え直すことが必要だと思われます。
私が本来やりたいこと。それとの葛藤
不穏なことを縷々述べてきておきながら矛盾しているのは承知していますが、本当は、こんなことをしていたくはないと思っています。サイバーセキュリティなど、本来ならやりたくはないのです。
うつくしい観光地のことを、文章と写真で紹介したい。
新潟には、こんなに素晴らしい人がいるのだということを紹介したい。
Webサイトに好きなことを書いていたい。
ときには、カッコつけたデザインに変えてみたりもする。
こうしたことだけをやっていたいのです。
本来やりたいのは、編集と、文章制作をはじめとするコンテンツ制作です。
突き詰めると、自由な情報発信です。
しかし、それには安定した土台が必要です。
家を建てる前に、基礎を打たねばならないように。
だから私は、守ることも、自分が本来やりたいことと同じくらい大切な仕事だと認識しています。
その間で葛藤を繰り返しているのが正直なところですが、どちらも手放すつもりはありません。
前哨戦で終わらせるために
仮に「有事のための準備」だったと仮定すると、おそろしいことです。
これがエスカレートして、実際の戦争に発展することは避けねばなりません。
私は心から戦争を憎んでいます。
戦闘機の写真やプラモデルを愛する一方で、兵器はすべて解体され、兵士など一人残らず居なくなればいいと思っています。が、実際にはそうはならない。
実際の戦争になれば、想像を絶する悲惨なことが自身にも、家族にも起こります。
祖父は海軍にいました。士官でしたが、最終的には特攻艇12で米軍艦艇に突っ込む訓練をしている最中に終戦を迎え、辛くも生き延びました。
大叔父は新発田の連隊に所属していました。ガダルカナル13などの激戦地を転戦したのち、戦死しました。
英国の親友の祖父は、5人兄弟のうち3人が還らぬ人となりました。
同じようなことは起きてほしくないし、決して起きてはならないと思っています。
戦争を知る世代の多くが生きていた頃は、「ここでこう備えねば戦争になる」ということが、肌感覚でわかっていたのではないかと思います。
悲惨さも、共通認識としてありました。ゆえに、戦争が起こりうる場面で抑止が働いていたようにも思います。
いまは、それがごっそり抜け落ちている時代になってきたと思います。
それでも、まだ「歴史に学べる」段階にいると私は思っています。
「戦争反対！」と宣言するだけでは、残念ながら防ぐことはできないと思います。
宣言には、裏付けが要る。攻めても無駄だと思わせるだけの、地道な備えが要る。
F35戦闘機や潜水艦隊の増強も私は必要だと思いますが、同じくらいサイバー防御への備えとも増強していかねばならないと思います。
もっとも、国の守りを論じる立場に私はありません。
けれど、自分の持ち場で鍵をかけることはできます。
一軒一軒の小さな家が、それぞれに鍵をかける。
それが「日本は侵すべからず」と思わせる、いちばん小さな単位の抑止なのだと思います。
前哨戦を、前哨戦のまま終わらせるために。
- PHP本体に見つかった重大な脆弱性2件の通称。2026年10月21日に修正版が公開された。 ↩︎
- 2014年以降、教皇フランシスコが繰り返した言葉。各地の紛争がつながった状態を指す。 ↩︎
- 軍事と、サイバー攻撃・偽情報・経済圧力などを組み合わせる戦い方。2014年のクリミア併合で注目された。 ↩︎
- 情報通信研究機構のサイバー攻撃観測網。未使用のIPアドレスに届く通信を数える。攻撃件数そのものではない。 ↩︎
- サイバー攻撃の実行者を特定し、公表すること。外交上の非難や制裁の根拠になる。 ↩︎
- ロシア連邦軍参謀本部情報総局。軍の情報機関で、破壊的なサイバー作戦で知られる。 ↩︎
- 大量の通信を送りつけ、サイトやサーバーをパンクさせる攻撃。 ↩︎
- 中国の情報機関。国内の防諜と対外諜報を担い、民間の請負ハッカーも使う。 ↩︎
- 北朝鮮の偵察総局配下とされるハッカー集団。暗号資産の窃取を主な仕事とする。 ↩︎
- 攻撃を阻み、目的を果たせなくすることで、相手に攻撃を思いとどまらせる考え方。 ↩︎
- パスワードに加え、スマホに届くコードなど別の手段でも本人確認する仕組み。 ↩︎
- 爆薬を積んで敵艦に体当たりする小型の船。海軍の「震洋」などがあった。 ↩︎
- 1942〜43年、日米が激戦したソロモン諸島の島。補給が途絶え、多くの日本兵が飢えに倒れた。 ↩︎