論考　サイバーと国の守りを読む　見えない戦争は、始まっているのか

都市伝説を扱う人気チャンネル「コヤッキースタジオ」の動画を見ました。語り手のコヤッキー氏は、この10月に日本で相次いだ出来事を並べてみせます。存在しない巨大地震の警報、クラウドの停止、世界中のサイトを動かすPHPの「穴」、止まらない個人情報の流出。そして、これらは偶然ではなく、日本の守りが整う前に相手の出方を探る「威力偵察」ではないか、と問いかけます。

一つひとつの出来事は、ほとんどが実際に起きたことです。ただ、細かな数字や経緯には報道と食い違う点があり、出来事どうしを結ぶ「計画」の部分は推測です。そこでこれまでと同じく二部に分けます。第一部では、確かめられた出来事を報道や公式の発表と照らして整理します。第二部では、動画で語られた主張を一つずつ、いま手に入る資料でどこまで確かめられるかによって分け、表にしました。

前稿：相次ぐ情報漏洩、その裏で何が起きているのか（10月23日）　― 情報漏洩の中身と、個人でできる三つの対策をまとめました。

第一部　報道と公式の発表で確かめられたこと

一　10月16日、「M9.9」の警報

動画では　10月16日12時40分、北海道から東海まで、スマホから一斉に警報が鳴った。震源は千島列島、M9.9、最大震度7。実際はカムチャツカ半島付近のM6.9で、揺れは函館の震度1だけ。気象庁は8分後に取り消した。警報の取り消しは初めてだ。

事実です。気象庁は10月16日12時40分、北海道から中部地方にかけての広い範囲に緊急地震速報（警報）を出しました。実際の地震は、カムチャツカ半島付近で起きたM6.9、深さ約160kmの地震で、国内の最大震度は1でした。警報は約8分後に取り消されています。一般向けの警報が取り消されたのは、今回が初めてと報じられています。

原因も、気象庁がその日のうちに明らかにしています。遠い地震では規模を大きく見積もりやすいため、2020年からは震源から700km以上離れた観測点のデータを計算に使わない仕組みを入れていました。それが正しく働かず、遠くの観測点のデータで規模を計算してしまったのです。ほかにも、国内向けの計算式を遠い震源に当てはめたこと、計算と予測とで別の震源を使っていたことが重なりました。気象庁は同日21時半ごろに緊急の修正を入れ、同じ地震では警報が出ないことを確かめたとしています。

動画は、この仕組みが「なぜ、いつから」働かなくなっていたのかの説明がないと指摘します。この点は、報道で見る限り、まだ詳しい説明は見当たりません。気象庁は詳しい調査と再発の防止に取り組むとしています。

二　ドコモに届かなかった警報と、Jアラートの弱点

動画では　この警報は、ドコモのスマホにはほとんど届かなかった。気象庁から来たデータがいつもと形式が違ったからだという。2か月前には、Jアラートのデータに暗号も、本物の送り主だと確かめる仕組みもなく、偽の警報を流せるおそれがあると分かっていた。

ドコモの件は事実です。ドコモは翌17日、北海道から東海、伊豆諸島までの範囲で、この警報がドコモの利用者に届かなかったと発表しました。原因は、気象庁から届いたデータの形式が一部いつもと違っていたため、正しい警報と認識できなかったことだと説明しています。新しい形式でも届くよう、システムを改めるとしています。

Jアラートの件も、報道があります。共同通信は8月30日、国の警報を自治体へ届けるJアラートについて、衛星で送るデータに暗号がかけられておらず、送り主を確かめる仕組みもないと報じました。東京のセキュリティ会社の専門家が、自治体が使っていた中古の受信機を調べて分かったもので、政府関係者もこれを認めたといいます。消防庁は「セキュリティーの観点から詳細は明らかにできない」としています。

ただし、Jアラートと、スマホに届く緊急地震速報は別の仕組みです。動画もそのことは断っています。10月16日の警報が偽物だったわけではなく、気象庁の計算の誤りでした。

三　「サイバー攻撃ではない」は、どこまで言えるのか

動画では　気象庁は「外部からのアクセスは確認されていない」と言うが、痕跡が見つからないというだけで、攻撃がなかった証明にはならない。攻める側から見れば、あの8分間で日本の反応がすべて記録できたはずだ。

気象庁は16日の会見で、攻撃があったという情報は受けていないと説明しました。そのうえで原因を前の節のように特定し、修正しています。痕跡がないことと、攻撃がなかったことは別だという動画の指摘は、論理としてはそのとおりです。しかし、この件で攻撃を示す資料もまた、示されていません。原因が具体的に分かり、修正で再発しないことまで確かめられている以上、いま手に入る資料からは、計算の不具合と読むのが自然です。

「攻める側が8分間の反応を記録した」という見方は、動画の推測です。とはいえ、動画が伝えるように、誤った警報でも列車が止まり、学校では子どもたちが机の下に潜りました。偽の警報が出たときに社会がどう動くかが外から見えてしまう、という心配そのものは、Jアラートの弱点とあわせて考える意味があります。

誤報だったとしても、警報を受けて身を守った行動は正しいものです。次に警報が鳴ったときも、まず身を守り、そのうえで気象庁や自治体の発表で確かめてください。「偽物かもしれない」と待つことのほうが危険です。

四　一社のクラウドが止まり、495の企業と自治体に

動画では　10月7日午前3時40分ごろ、IDCフロンティアのクラウドが止まり、495の企業と自治体のシステムが使えなくなった。原因はランサムウェアと言われるが、6回の発表のどこにも身代金の要求の話が出てこない。お金が目的でないなら、日本のどこまでが止まるかのテストではないか。

停止そのものは事実です。IDCフロンティアは、10月7日午前3時40分ごろからクラウドの一部の区域で障害が起き、原因は第三者による不正なアクセス（ランサムウェア）だと発表しました。影響を受けた利用者は495の企業・自治体です。JR東日本の「えきねっと」などのメール配信、いくつかの市の窓口の仕組み、冷凍食品などを運ぶ日水物流の17拠点の出荷が止まりました。日水物流は20日に全面的に復旧しています。

動画の説明と違う点もあります。JR東日本の会員情報は「流出のおそれ」とされましたが、15日には、委託先が個人情報の漏洩はなかったと結論しています。IDCフロンティア自身も、14日の発表でデータが外に持ち出された形跡はないとしました。

身代金の要求が発表に出てこないのは、そのとおりです。ただ、ランサムウェアの被害を受けた企業が、要求の有無や中身を公表しないことは珍しくありません。SNSには、攻撃者が「7分で区域全体を暗号化した」と誇る画像も出回っており、IDCフロンティアは画面に似た画像が出たとして調べています。目的が「テスト」だったことを示す資料は、見当たりません。

五　PHPの「穴」と、一晩の緊急メンテナンス

動画では　世界のサイトの約7割が使うPHPに、ログインせずに外からサーバーを乗っ取れる穴が2つ見つかった。2012年からあった穴で、見つけたのはハンドル名だけの4人。修正版の公開前に掲示板に情報が漏れ、6時間ほど前には攻撃が始まっていた。狙われるサーバーは世界で2260万台。日本では、保育園の連絡システムやゲーム、レンタルサーバーが次々に緊急メンテナンスに入った。

大筋は事実です。10月21日、PHPに認証なしで外から命令を実行できる、深刻度の高い穴が2件あると公表されました。PHPは世界のウェブの約7割で使われています。修正版は日本時間21日の23時に出す予定でしたが、実際には22時半すぎに前倒しで公開されました。日本では、IPAや国家サイバー統括室、首相までが事前の準備を呼びかけ、省庁、自治体、銀行、鉄道、レンタルサーバーなど、確認できただけで240を超える組織が更新やサービスの一時停止を告知しています。高市首相も、自身の公式サイトを一時止めて対応したと述べました。

細部には違いがあります。報道で挙がっている発見者は、ハンドル名の4人ではなく、セキュリティ会社のWizとCalif、それにOpenAIです。WizはAIを使って穴を見つけたと説明しています。「2012年からあった」という年は、報道では確かめられませんでした（土台の弱さは何十年も前からあった、とする見方はあります）。公開前に漏れたのは、穴の番号と、報告者が誤って公開して消した実演の動画でした。悪用の試みは公開前から観測されていましたが、多くの機関は、攻撃が成功した例は確認していないとしています。狙われるサーバーの数は、アンラボの推定で世界に100万台以上、日本に15万台以上で、動画の2260万台という数字は見当たりませんでした。

六　「非常事態」と、2027年度へ向かう国の守り

動画では　与党でサイバー対策を率いる平将明議員は「非常事態」と言った。10月1日、日本はようやくサイバー攻撃を止める力を持ち始め、その直後に攻撃が始まった。2026年3月には熊本と静岡に長射程のミサイルが配備され、4月には武器輸出の制限が外れた。守りがそろう2027年度の前の今が、相手にとって最後の窓だ。

平氏の発言は事実です。10月9日、自民党の国家サイバーセキュリティ戦略本部の会合で、本部長の平氏は「サイバー空間の非常事態と言ってもいいと思う」と述べ、政府を挙げて取り組む必要があるとしました。

国の守りの動きも、報道で確かめられます。政府は3月の閣議で、重大な攻撃やその兆しがあるとき、警察や自衛隊が攻撃元のサーバーに入り込んで無害にする措置を、10月1日から行えるようにすると決めました。関連する制度は、2027年11月までに順に始まる予定です。3月31日には、熊本市の健軍駐屯地に12式地対艦誘導弾の能力向上型が、静岡県の富士駐屯地に島しょ防衛用の高速滑空弾が配備されました。4月21日には、防衛装備の輸出を救難・輸送などの5つの分野に限ってきた制限がなくなり、殺傷力のある装備も輸出できるようになりました。ただし、いま戦闘が行われている国へは、引き続き認めていません。

ここまでは事実です。しかし、「守りがそろう前に相手が急いで試した」という部分は、動画の見立てです。10月1日の直後に起きた出来事は、気象庁の計算の誤り、犯罪者によるとみられるランサムウェア、研究者とAIが見つけたPHPの穴、と出どころがばらばらです。一つの国が計画して動かしたことを示す資料は、見当たりません。

七　過去に日本で起きた「止まった日」

動画では　第1波の日には、携帯が通じず、キャッシュレスでも払えず、銀行の振り込みが止まり、病院が患者を受け入れられず、港の荷が動かず、店の棚から物が消え、夕方には電気が落ちる。ウクライナでは2025年、攻撃する側が電力会社に半年以上潜み、30分で何か所もの電気を止め、22万5000人分が停電した。

動画は、日本で実際に起きた停止を一日に重ねてみせます。2022年のKDDIの通信障害（60時間あまり）、2023年の全銀システムの障害、2022年の大阪の病院へのサイバー攻撃（元どおりの診療まで2か月あまり）、2023年の名古屋港のコンテナ搬出入の停止（2日半）、2025年のアサヒグループへの攻撃による出荷の停止、2018年の北海道の大停電（約295万戸）。いずれも実際にあった出来事です。動画自身が断っているとおり、原因は工事の誤り、地震、攻撃とさまざまです。

ウクライナの例は、年が違います。電力会社に長く潜んだ攻撃者が、30分ほどの間に何か所もの変電所を止め、約22万5000人分が停電し、電話の窓口までふさいだのは、2015年12月の出来事です。米国の当局がサイバー攻撃と断定しています。

八　わが家でできる備え

動画の見立てに賛成するかどうかとは別に、ここ一か月の出来事は、日本の暮らしを支える仕組みが一か所の故障や攻撃で広く止まりうることを示しました。大げさな準備でなくても、次のような備えは、地震や停電にもそのまま役立ちます。

一つ目に、連絡の道を二つ持つことです。携帯の会社を一つに頼らず、固定電話や別の会社の回線、家族で決めた集合場所を用意しておきます。二つ目に、少しの現金と、紙に書いた大切な連絡先です。キャッシュレスや電話帳が使えない日もあります。三つ目に、停電への備えです。懐中電灯、電池、携帯の充電池、数日分の水と食べ物があれば、多くのことは乗り切れます。そして四つ目が、前稿で触れたパスワードの使い回しをやめることと、多要素認証です。流出そのものは防げなくても、二次の被害は防げます。

第二部　主張の見極め表

配信で語られた主な主張を、報道や公式の発表と照らして五つに分けました。これは真偽の最終的な判定ではなく、「いま手に入る資料で、どこまで確かめられるか」を示すものです。調査が進むなど新しい資料が出れば、見直します。

五つの区分
報道で確認　複数の報道や公式の発表で裏付けが取れたもの
一部確認　核心は裏付けが取れたが、細部に言い過ぎや食い違い、裏付けの弱いところがあるもの
確認できず　報道や資料で確かめられなかったもの。資料が動画の説明と違うことを示している場合は、そのことを右の欄に記しました
調査で裏付けなし　公的な機関や検証団体が調べたうえで、裏付けが見つからなかったと結論したもの。誰がどう調べたかを右の欄に記しました
資料が見当たらない　確かめるための報道や資料そのものが見当たらないもの

【報道で確認】　10月16日、M9.9の警報が東日本に鳴った
→ 気象庁が北海道から中部地方に警報。実際はカムチャツカ半島付近のM6.9、国内の最大震度1

【報道で確認】　8分後に取り消し。警報の取り消しは初めて
→ 約8分後に取り消し。一般向けの警報の取り消しは初めて（予報の取り消しは過去にもある）

【一部確認】　700km以上離れた観測点を除く仕組みが、なぜか働かなかった
→ 気象庁が同日に原因を公表し、21時半ごろに修正。いつから働いていなかったかの詳しい説明は、報道では見当たらない

【報道で確認】　ドコモのスマホにはほとんど届かなかった
→ ドコモが北海道〜東海・伊豆諸島で届かなかったと発表。データの形式が一部違い、警報と認識できなかった

【一部確認】　Jアラートには暗号も送り主の確認もなく、偽の警報を流せるおそれ
→ 共同通信が8月30日に報道。専門家が中古の受信機を調べ、政府関係者も認めた。消防庁は詳細を明かしていない。緊急地震速報とは別の仕組み

【一部確認】　「外部からのアクセスなし」は攻撃がなかった証明にならない
→ 論理としてはそのとおり。ただし原因は計算の不具合として特定され、修正済み。攻撃を示す資料もない

【資料が見当たらない】　攻める側があの8分間の日本の反応を記録した
→ 動画の推測。確かめるための資料がない

【報道で確認】　IDCフロンティアのクラウドが止まり、495の企業・自治体に影響
→ 10月7日午前3時40分ごろから。ランサムウェアによる不正アクセスと同社が発表

【一部確認】　物流会社の全国すべての拠点が止まり、JR東日本の会員情報に流出のおそれ
→ 日水物流の17拠点が停止し、20日に全面復旧。JR東日本は委託先が漏洩なしと結論（15日）。IDCFも外への持ち出しの形跡なしと発表

【資料が見当たらない】　身代金の要求がない。目的は日本がどこまで止まるかのテストだった
→ 要求の有無は公表されていない。公表しない企業は珍しくない。テストだったことを示す資料はない

【確認できず】　この2か月で流出は延べ1億5000万件を超えた
→ 件数を合計した公的な資料は見当たらない。大きな流出が相次いだことは事実（前稿）

【報道で確認】　タイムズカーから免許証の画像160万人分が流出
→ 同社の調査結果で免許証画像約160万件

【確認できず】　今年のサイトからの流出は、世界13か国で99件、日本だけで119件
→ この数字の出どころは見当たらない

【報道で確認】　世界のサイトの約7割がPHPで動いている
→ CNNなど。世界のウェブの約7割で使われている

【報道で確認】　ログインなしで外からサーバーを乗っ取れる穴が2つ見つかった
→ 10月21日公表。認証なしで外から命令を実行できる深刻な穴2件

【確認できず】　穴は2012年からあり、14年間放置されていた
→ 報道では確かめられない。土台の弱さは何十年も前から、とする見方はある

【確認できず】　見つけたのはハンドル名だけの4人
→ 報道ではWiz、Calif、OpenAI。AIを使って見つけたと説明

【一部確認】　公開前に掲示板へ漏れ、修正版の6時間ほど前に攻撃が始まっていた
→ 穴の番号と、報告者が誤って公開した実演動画が漏れた。悪用の試みは公開前から観測。成功した攻撃は多くの機関が未確認

【確認できず】　狙われるサーバーは世界で2260万台
→ アンラボの推定は世界100万台以上、日本15万台以上。2260万台という数字は見当たらない

【報道で確認】　日本では各社が一斉に緊急メンテナンスに入った
→ 省庁・自治体・金融・交通・レンタルサーバーなど240を超える組織が告知。首相の公式サイトも一時停止

【報道で確認】　平将明議員が「非常事態」と述べた
→ 10月9日、自民党の会合で「サイバー空間の非常事態と言ってもいい」

【報道で確認】　10月1日、日本はサイバー攻撃を止める力を持ち始めた
→ 攻撃元のサーバーを無害にする措置が10月1日から可能に。関連制度は2027年11月までに順に開始

【一部確認】　2026年3月、熊本と静岡に約1000km先まで届く国産ミサイルを配備
→ 3月31日、熊本の健軍駐屯地に12式能力向上型、静岡の富士駐屯地に高速滑空弾。射程の数字は防衛省の会見資料では確かめられなかった

【報道で確認】　4月に武器輸出の制限が外れた
→ 4月21日、5類型の制限を撤廃。戦闘中の国への輸出は引き続き認めない

【資料が見当たらない】　一連の出来事は、守りがそろう2027年度の前に急いだ「威力偵察」
→ 動画の見立て。出来事の原因は計算の誤り、ランサムウェア、研究者とAIによる発見と、ばらばら。一つの国の計画を示す資料はない

【報道で確認】　過去にも携帯・銀行・病院・港・ビール会社・電気が止まった
→ KDDI（2022年）、全銀システム（2023年）、大阪の病院（2022年）、名古屋港（2023年）、アサヒ（2025年）、北海道の大停電（2018年）。原因はさまざま

【一部確認】　ウクライナで2025年、30分で電気を止め22万5000人分が停電
→ 出来事は事実だが、2015年12月のこと。米国の当局がサイバー攻撃と断定

結び　点を線で結ぶ前に

コヤッキー氏は最後に、「恐怖を煽るだけではなく、聞いて良かったと思えるように」と語っています。動画が拾い上げた出来事は、どれも実際に起き、どれも私たちの暮らしの弱いところを照らしました。警報の仕組み、一社のクラウドへの集中、世界中が頼るPHP、そして相次ぐ流出。こうした弱さを、国の守りの議論と結びつけて考えようとする姿勢には、学ぶところがあります。

ただ、点を線で結ぶと、話は急に分かりやすくなります。分かりやすい話ほど、一度立ち止まって確かめたいと思います。10月の出来事は、それぞれ原因が公表されているか、調べが続いているかのどちらかです。一つの国が裏で糸を引いているという資料は、いまのところありません。逆に、それがないからといって、日本が狙われていないということにもなりません。平氏の言う「非常事態」は、陰謀がなくても成り立つ現実です。

だからこそ、できることは同じです。国には仕組みの穴をふさいでもらい、企業には預かった情報を守ってもらう。そして私たちは、連絡の道を二つ持ち、少しの現金と灯りを用意し、警報が鳴ったらまず身を守る。見えない戦争が始まっているかどうかにかかわらず、その備えは無駄になりません。

◆ 出典
・コヤッキースタジオ｜2026年10月下旬の動画「存在しない巨大地震の本当の狙い」ほか（YouTube）
・気象庁｜令和8年10月16日12時40分に発表した緊急地震速報（警報）について
・ケータイ Watch｜16日の緊急地震速報「M9.9」誤報の原因が明らかに、気象庁は緊急修正
・AdverTimes｜「M9.9」緊急地震速報、初の「警報取り消し」で気象庁が謝罪
・NTTドコモ｜10月16日の緊急速報「エリアメール」についてのお知らせ
・熊本日日新聞（共同通信）｜Jアラート「偽の警報可能」 専門家、発信元保証なし（8月30日）
・piyolog｜IDCFクラウドへのランサムウェア攻撃についてまとめてみた
・日経クロステック｜IDCフロンティアへのランサム攻撃、495の企業・自治体に影響
・gihyo.jp｜PHP、重大な脆弱性2件を修正
・piyolog｜PHPの2件の深刻な脆弱性についてまとめてみた
・マイナビニュース｜PHPの重大脆弱性、情報流出と修正版の先行公開で混乱
・CNN.co.jp｜PHPの脆弱性はAIが発見、影響はインターネットの70％に
・Impress Watch｜「予防的サービス停止」は日本に定着するのか? PHP脆弱性問題が起こした変化
・自民党の国家サイバーセキュリティ戦略本部 平本部長「サイバー空間の非常事態」（10月9日）
・セキュリティ対策Lab｜能動的サイバー防御、2026年10月1日に無害化措置開始
・防衛省｜防衛大臣記者会見（3月10日）
・熊本日日新聞（共同通信）｜高速滑空弾も31日配備 反撃能力、静岡の陸自に
・ビジネス+IT｜防衛装備移転三原則の改定（4月21日）
・CNN.co.jp｜ウクライナの大停電、原因はサイバー攻撃 米当局が断定

姓名科学のページ
牧正人史先生が昭和三十三年に発見された姓名科学の体系を、デジタルの形で遺す仕事を続けています。
▶ 姓名科学の殿堂へ　▶ お名前を解析する

AIと人の創作の関係については、UCA（新しい知財の構想）として提言をまとめています。▶ 提言を読む
この記事の正本は記録の一覧にあります。

#サイバー攻撃　#緊急地震速報　#Jアラート　#IDCフロンティア　#PHP脆弱性　#能動的サイバー防御　#ファクトチェック　#情報の見極め

生かされて今を存在する