こんにちは。風読珈琲店のカエデです。
2026年10月、TBS NEWS DIG（news23）が報じたニュースに思わず手が止まりました。アサヒグループホールディングスなどへのサイバー攻撃で知られるランサムウェア集団「Qilin（キリン）」が単独取材に応じ、日本を「世界最悪のコンピュータセキュリティ体制を持つ国のひとつ」と名指ししたというものです。
私は会社でMicrosoft 365やIntuneといった業務IT（PCの管理やクラウドサービス）に日常的に触れている立場です。だからこそ、この発言を「攻撃者の挑発」と笑い飛ばせない気持ちと、「それでも言われっぱなしは悔しい」という気持ちの両方があります。今回はニュースの事実関係を整理したうえで、率直な所感と、個人として今日からできることを書いてみます。
ニュースの概要：Qilinが日本について語ったこと
まずは報道されている事実を整理します（出典はTBS NEWS DIG、2026年10月7日・8日配信）。
- 中心メンバーの拘束：関係者によると、Qilinの中心メンバーとされるロシア国籍の男が大阪市内で日本の捜査当局に身柄を拘束され、その後ドイツ側に引き渡された
- Qilin側の反応：拘束された人物が「同僚であるかは肯定も否定もしない」とし、「世界中の匿名の300人以上と協力関係にあり、捜査当局の圧力で活動を停止した例はない」と主張
- 日本への評価：日本は世界最悪のコンピュータセキュリティ体制を持つ国のひとつで、日本の企業や政府機関への攻撃は今後増える可能性がある。「これは脅しではなく専門家としての見解だ」と強調
あわせて、世界中に囮（おとり）のサーバーを置いて攻撃を分析しているS&J株式会社の三輪信雄代表が、ここ数か月で日本への攻撃が劇的に増えていると指摘。これまで日本語に守られていた面があったものの、AIの利用でその前提が意味を持たなくなった、という見立ても紹介されていました。
同じ週に起きていた被害
報道の中で印象的だったのは、Qilinの発言と同じタイミングで、国内の被害発表が相次いでいたことです。10月7日に発表されたものだけでも次の通りです（いずれもQilinの犯行と報じられたものではありません）。
- ニッスイ：物流子会社が不正アクセスを受けてシステム障害が発生し、商品の出荷・入荷ができない状態に
- 損保ジャパン：外部の委託先が不正アクセスを受け、約6万件の個人情報が漏えいした可能性
- 茨城県：IDCフロンティア（ソフトバンク子会社）のクラウドサービスへの不正アクセスにより、県のホームページが閲覧できない状態に
このブログでも最近、情報漏えいのニュースを毎月のようにまとめていますが、正直「ペースが明らかに上がっている」という実感があります。
所感①「世界最悪」は言い過ぎ、でも反論しきれない
最初に思ったのは、「世界最悪」は攻撃者側の一方的な主張で、検証された評価ではないということです。そもそもQilinは日本企業から身代金を取ろうとしている当事者ですし、メンバーの拘束直後というタイミングを考えれば、日本を挑発して存在感を示したい意図も読み取れます。言葉をそのまま受け取る必要はありません。
一方で、業務ITに関わる身として「全否定はできないな」と感じる部分もあります。社会人3年目の私の目線でも、思い当たる節がいくつかあるんです。
- 古いVPN機器・サーバーが残りがち：「動いているから触らない」文化が根強く、パッチ適用が後回しになりやすい。ランサムウェアの侵入口として繰り返し狙われているのはまさにここ
- 委託先・子会社が弱点になる：今回の損保ジャパンやニッスイのように、本体ではなく委託先や物流子会社から崩れるケースが多い。サプライチェーン全体まで目が届いていない
- セキュリティが「コスト」扱い：何も起きないことが成果なので、予算や人員が削られやすい。専任の担当者がいない中小企業も多い
- 日本語という「壁」への過信：怪しい日本語のメールなら見抜けた時代は終わりつつある
所感②「日本語の壁」が消えたのは肌で感じる
三輪代表の「AIで日本語の壁が意味を持たなくなった」という指摘は、本当にその通りだと感じます。少し前まで、フィッシングメールは「日本語が不自然だからすぐ分かる」のが定番でした。でも最近、会社で報告される不審メールは、文面だけでは本物と見分けがつかないレベルのものが増えています。
見出しの「もし“暴走AI”がハッキングしたら…」というテーマも含めて、攻撃側がAIで効率化・大量化しているのに、守る側の意識が「日本語が変なら怪しい」のまま止まっていたら、それこそ攻撃者から見れば「おいしい国」に映るのかもしれません。
怪しいメールの見分け方については、下記記事も併せてご確認ください。
所感③ 拘束のニュースは希望でもある
暗い話ばかりではありません。今回、Qilinの中心メンバーとされる人物を大阪市内で日本の捜査当局が拘束し、ドイツへ引き渡したと報じられています。国境を越えるサイバー犯罪に対して、日本の当局が国際連携の一端を担ったという意味で、これは大きな一歩だと思います。大阪に住む身としては「こんな身近なところに…」という驚きもありました。
Qilinは「活動を止めた例はない」と強がっていますが、攻撃者にとって「日本は捕まるリスクがある国」になることも抑止力のひとつ。守りの強化と並行して、こうした摘発が続いてほしいと願っています。
会社員・個人として今日からできること
企業のセキュリティ体制は個人ではどうにもなりませんが、「攻撃の入り口」になるのは結局一人ひとりのPCやアカウントです。業務で端末管理に関わる立場から、個人でも効果が大きいと感じるものを挙げます。
仕事のPC・アカウントでやること
- OSやアプリの更新を後回しにしない：会社から配信される更新の再起動を「あとで」で何日も放置しない。管理側から見ると、未適用の端末がいちばん怖い
- 多要素認証（MFA）の通知を無意識に承認しない：身に覚えのない認証リクエストは承認せず、すぐ情シスへ報告
- 怪しいと思ったら「報告」が最優先：開いてしまっても、早く報告すれば被害を最小限にできる。怒られるのを恐れて黙っているのが一番まずい
- 私物のUSBメモリや未許可のクラウドに業務データを置かない：管理の外にあるデータは守りようがない
プライベートでやること
- パスワードの使い回しをやめる：企業から漏れたID・パスワードで別サービスに不正ログインされる被害は今も多い
- パスキーやSMS以外の二段階認証を使う：対応しているサービスはパスキーへの切り替えが手軽で強力
- 漏えいの連絡が来たら公式サイトで確認：「お詫び」を装った二次被害のフィッシングにも注意する
- クレジットカードの利用通知をオンにする：不正利用にすぐ気づける。三井住友カードなど多くのカード会社がアプリで即時通知に対応している
キャッシュレス決済まわりの具体的な守り方は、下記記事で詳しくまとめています。
まとめ
- ランサムウェア集団Qilinが単独取材で、日本を「世界最悪のコンピュータセキュリティ体制を持つ国のひとつ」と発言し、攻撃が今後増える可能性に言及した
- 「世界最悪」は攻撃者側の主張で検証された評価ではない。ただ、古い機器の放置や委託先の弱さなど、反論しきれない課題があるのも事実
- AIで「日本語の壁」は崩れ、ここ数か月で日本への攻撃は急増していると専門家も指摘している
- 中心メンバーとされる人物の大阪での拘束・ドイツへの引き渡しは、国際連携という点で前向きなニュース
- 個人でも、更新の即時適用・MFAの慎重な承認・パスワードの使い回し防止・早めの報告で「入り口」を減らせる
攻撃者に言われて悔しいのなら、言い返す一番の方法は「攻撃しても割に合わない国」になることだと思います。まずは自分のPCの更新ボタンから、今日押していきましょう。
