有名事故・脆弱性
Capital One・Equifax・Log4Shell・Heartbleed・XZ。公開された大きな事故と脆弱性を「原因・影響・初動・再発防止」で分解し、いま効く教訓だけを取り出す。
つるぎ町立半田病院 ランサムウェア事件（2021）— VPNの未パッチCVEとバックアップの落とし穴
侵入口は、外部公開のVPN装置の既知脆弱性（CVE-2018-13379）を未パッチで放置し、流出済みの認証情報が使えた点だと有識者会議報告書は指摘している。加えて、短いパスワード・アカウントロックなし・利用者が管理者権限という内部の弱さで横展開が容易だった。決定的だったのは、本番とバックアップが同一ネットワークにあり両方が暗号化されたこと——バックアップが『隔離・オフライン』でなければ、いざというとき復旧の頼りにならない。電子カルテ復旧まで約2か月。あなたの環境では、外部公開VPNの迅速な更新、流出認証情報の失効と使い回し廃止、そして3-2-1＋オフラインのバックアップで守る。
大阪急性期・総合医療センター ランサムウェア事件（2022）— 委託先VPNから侵入、医療のBCP
侵入口は病院本体ではなく、給食委託事業者のリモート保守用VPN機器の脆弱性放置と、流出済み認証情報の悪用だったと調査委員会報告書は指摘している。病院と委託先が常時接続していた構成、サーバ/PCで共通のパスワード、全ユーザーへの管理者権限、電子カルテ系のアンチウイルス未導入、ネットワーク分離不足が重なり、被害が電子カルテ全体に波及。外来・手術・救急が制限され、完全復旧まで2か月強を要した。あなたの環境では、委託先の接続を『自分の攻撃面』として扱い、外部公開VPNの更新、認証情報の使い回し廃止、最小権限、分離、そして医療BCP（紙運用と復旧訓練）で守る。
7pay 不正利用事件（2019）— 二段階認証なしの決済アプリはなぜ乗っ取られたか
公開翌日にはアカウント乗っ取りが始まり、約808人・約3,862万円の不正利用が発生。核心は認証設計の欠陥で、①二段階認証が無くID＋パスワードだけでログインでき、②パスワード再設定の新パスワードを『登録外のメールアドレス』にも送れたため、断片的な個人情報だけでアカウントを奪えた。あなたの環境では、重要な操作に二段階認証を必須化し、パスワード再設定は登録済みの経路のみに限定し、リスト型攻撃を想定した検知・ロックを備え、公開前に認証フローを第三者レビューして備える。
ベネッセ個人情報漏洩事件（2014）— 内部不正はなぜ止められなかったか、最小権限と委託先管理
業務委託先（グループ会社）の派遣システムエンジニアが、正規に与えられたデータベースのアクセス権を使って顧客情報を大量に抜き出し、私用スマートフォンへ転送して名簿業者に売却した。監視ソフトはUSBメモリーへの書き出しは防いでいたが、スマートフォンへの転送（MTP）は防げていなかった。最大約3,504万件が漏洩。あなたの組織では、権限を必要最小限にし、持ち出し経路を“全部”ふさぎ、大量アクセスを検知し、委託先・再委託先まで管理を届かせることで備える。
カプコン ランサムウェア事件（2020）— 旧型VPN装置はなぜ突かれたか、二重恐喝への防御
侵入口は、新型に置き換えたのに廃止されず北米子会社に残っていた『旧型の予備VPN装置』。そこから社内ネットに侵入され、データを窃取された後にランサムウェアで暗号化された（二重恐喝）。最大約39万人分の個人情報が漏洩の可能性（カード情報は含まず）。カプコンは支払いを拒否し、バックアップから復旧、透明に開示した。あなたの環境では、使わない機器を廃止し、境界機器をパッチし、窃取と暗号化の両面（セグメント化・検知・バックアップ）で備える。
Coincheck NEM流出事件（2018）— 約580億円が盗まれた原因と、鍵管理の防御
入口は従業員を狙ったスピア型メール/マルウェアと報じられ、そこからホットウォレット（ネット接続）の秘密鍵が窃取され、約523百万XEM（当時約580億円）が一括で不正送金された。核心は、巨額をすぐ動かせる『熱い』状態でマルチシグ無しに置いていたこと＝単一の鍵漏洩で全額が動いた。あなたの環境では、重要な鍵・秘密をオフライン/専用金庫に寄せ、ホットは最小化、単一障害点を作らず、異常な大量操作を検知・停止できるようにして備える。
KADOKAWA・ニコニコ ランサムウェア事件（2024）— なぜ被害が全社に広がったか、ネットワーク分離と事業継続
侵入口は従業員を狙ったフィッシングで認証情報が盗まれたことと説明されている。そこから社内ネットに侵入されランサムウェアが実行され、ニコニコを含むグループの多くのサービスが長期停止し、約25万人分の個人情報が漏洩した。被害が全社に広がった背景としては、重要度の異なるシステムが同じネットワークに同居し、十分に『分離（セグメンテーション）』されていなかった点が報道・分析で指摘されている。あなたの環境では、ネットワークを重要度で分け、フィッシング耐性のある認証を用意し、事業継続(BCP)と復旧を備えることで守る。
宅ふぁいる便 情報漏洩事件（2019）— パスワード平文保管はなぜ致命的か、ハッシュ化の防御
サーバーの脆弱性を突かれて不正アクセスされ、退会済みの顧客を含む約481万件の氏名・メール・ログインパスワード・生年月日などが漏洩した。決定的だったのは、ログインパスワードが暗号化されず『平文』で保管されていたこと＝漏れた瞬間にそのまま悪用でき、使い回し先での二次被害（なりすまし）に直結した。あなたの環境では、パスワードを一方向ハッシュ＋ソルトで保管し、そもそも不要なデータを持たず、脆弱性を塞ぎ、使い回しに備えることで守る。
MOVEit 大規模情報漏えい（2023）— SQLインジェクションのゼロデイが2,700社超に波及した原因と防御
入口はインターネット公開のファイル転送製品MOVEit TransferのSQLインジェクションのゼロデイ（CVE-2023-34362）。Web shell（LEMURLOOT）が仕込まれ背後のDBからデータが一括窃取され、2,700社超・約9,330万人分が流出。多くの被害者は委託先・取引先がMOVEitを使っていたことで間接的に巻き込まれた。あなたの環境ではKEV即時パッチ・公開面の最小化・Web↔DBの最小権限と分離・委託先の棚卸しとデータ最小化で備える。
Capital One 情報漏えい事件（2019）— SSRFから1億人分が漏れた原因と防御
入口はたった1つのSSRF。そこからメタデータ提供先→過剰権限のIAM一時鍵→S3一括コピーへと連鎖し、約1億600万人分が漏えい。各ホップで止められた。あなたの環境ではIMDSv2・IAM最小権限・送信先の許可リストで再発防止する。
Codecov 改ざん事件（2021）— CIの“信頼するツール”が乗っ取られ秘密情報が流出した原因と防御
原因は『CIで信頼して実行するツール（curl|bashのBash Uploader）が上流で改ざんされた』こと。自分のコードは無傷なので約2か月気づけず、CIの秘密情報が流出。検知はチェックサム照合だった。あなたのCIでは取得物の完全性検証・秘密の最小権限・ローテーション・egress監視で再発防止する。
Equifax 情報漏えい事件（2017）— 未パッチのApache Strutsで1.47億人が漏れた原因と防御
原因は『修正パッチが出ていた既知CVE（CVSS 10.0）を公開システムに当てなかった』こと。監視装置の証明書失効で76日間も持ち出しに気づけず被害が拡大。あなたの環境では資産の棚卸し・パッチSLA・機械監視・検知の健全性で再発防止する。
Heartbleed（CVE-2014-0160）— 暗号通信の土台から記憶が漏れた事件
OpenSSLのメモリ過読み取りで、秘密鍵やセッションまで漏れうる事件。要求した長さより多くメモリを返してしまう実装ミスが原因。教訓は『漏れた前提で動く＝証明書再発行・鍵と秘密の総入れ替え』と、土台ソフトの監視・メモリ安全性の価値。
Log4Shell（CVE-2021-44228）— 世界中が一晩で“使っているか分からない”脆弱性に震えた日
Log4jの脆弱性(CVSS 10.0)。本質は『間接的な依存（推移的依存）で、知らないうちに使っている』怖さ。ログ出力という受け身の処理が攻撃経路になった。SBOMと依存の機械監視、迅速なパッチ、追随CVEの追跡が教訓。
XZ Utils バックドア（CVE-2024-3094）— 信頼そのものが狙われたサプライチェーン事件
圧縮ライブラリxzに、信頼を得た維持者がバックドアを仕込んだ供給網攻撃。安定版到達寸前で一技術者の『遅い』という違和感が食い止めた。コードでなく『人と信頼』が狙われた。依存の最小化・版固定・再現性・違和感の追跡・維持者支援が教訓。