はじめに：対策ではなく設計として考える

サイバーセキュリティを「対策の話」ではなく、「設計の話」として考えてみたい。攻撃が高度化したと言われて久しいが、本当に変わったのは何だろうか。このシリーズでは、その構造の変化を整理していく。まずは、世界で起きている現実から見ていく。

侵害は数年で約5倍：増加ではなく量産化

サイバー攻撃は増えている。だが、本当に変わったのは件数ではない。攻撃そのものの「構造」だ。

VerizonのData Breach Investigations Report（DBIR）によれば、2019年のレポートで確認されたデータ侵害は2,013件だった。それが2024年には10,626件へと増加し、2025年には12,195件と過去最多を更新している。数年で約5倍。この数字は単なる増加ではなく、攻撃の“量産化”を示している。

なぜ量産できるのか。背景には自動化と生成AIの進化がある。かつて標的型攻撃は、対象企業を調査し、自然な文章を書き、攻撃コードを準備するという手間のかかる作業だった。いまは違う。企業情報を読み込ませれば部署別にカスタマイズされたメールが生成され、翻訳精度の向上で言語の壁もほぼ消えた。脆弱性探索は自動化され、コード生成は高速化している。さらにRaaS（Ransomware as a Service）のように、攻撃基盤そのものがサービス化され、高度な技術を持たなくても攻撃に参加できる。

攻撃は増えたのではない。量産可能になった。

収益化する攻撃：ビジネスモデルの成立

量産できる構造ができれば試行回数は増える。試行回数が増えれば成功件数も増える。そして成功は収益に変わる。FBIの2023年Internet Crime Reportでは、サイバー犯罪の苦情は880,418件、被害総額は125億ドル。前年比22%増。ランサムウェア関連の損失は前年比74%増と報告されている。攻撃は偶発的な犯罪ではなく、持続可能なビジネスモデルへと変わっている。

258日という現実：見えない侵入

しかし、もう一つ重要な数字がある。IBMのCost of a Data Breach Reportによれば、データ侵害を特定し封じ込めるまでの平均期間は2024年で258日。前年は277日だった。約8か月。侵入は起きても、すぐには気付かれない。

私たちは「侵入＝即被害」という図式で考えがちだが、実際には侵入しても“発症していない”状態が長く続くことがある。人間のウイルス感染に似ている。侵入はしているが、症状が出ていないだけだ。検知されない時間のあいだに、攻撃者は権限を昇格させ、内部を横断し、深く入り込む。

侵入前提へ：設計思想の転換

侵入ゼロを目標にする発想は理解できる。だが、デジタル空間は物理空間とは違う。物理空間では侵入は例外だが、デジタル空間ではスキャンや試行は常時行われている。インターネットは国境を持たない。攻撃は世界規模で行われ、私たちが例外である理由はない。

重要なのは「入られない」ことよりも、「入られた後にどう広がるか」だ。攻撃がスケールする時代において、防御だけを前提にした設計は限界を迎えている。

次回は、侵入後に何が起きているのかを具体的に見ていく。攻撃者は内部でどのように動き、どのように拡大するのか。そこを知らなければ、設計はできない。