第2章　正規ログイン

午前五時十一分。

三枝涼真は、会議室の隅でノートPCに向かい、時系列表を更新していた。

画面には、攻撃者の痕跡と会社側の判断が、同じ白いセルの中に並び始めていた。

02:13　SOCより中優先度アラート受信。対象：委託先保守用アカウント。02:21　委託先保守用アカウントによる管理者ロール有効化を確認。02:37　黒崎課長承認のもと、委託先保守用アカウントを停止。03:27　退職者と思われる社員アカウントによるストレージアクセス異常を確認。05:11　山崎行政書士事務所より、事実・推測・未確認事項の分離、ログ時刻と判断時刻の区別について助言。

三枝は、山崎の言葉を反芻していた。

ログの時刻。人間の判断時刻。

攻撃者が何をしたか。会社がいつ気づいたか。会社が何を決めたか。

それらは、同じではない。

今まで三枝は、ログを「原因を探すためのもの」として見ていた。だが山崎は、ログを「会社が説明するためのもの」として扱っていた。

同じログなのに、見え方が違った。

会議室の空気は、倉庫から持ち込まれた湿った作業着の匂いと、誰かが淹れた濃すぎるコーヒーの匂いで重かった。外はもう明るい。ブラインドの隙間から、朝の光が細く差し込んでいる。

だが、誰も朝を迎えた気がしていなかった。

倉庫部長の大石は、スマートフォンを握りしめたまま立っていた。

「東側ラインは手作業に切り替えています。ただ、ラベルが出ません。送り状も一部手書きです。医療機関向けの定温便は、誤配送が怖くて現場が出せません」

望月社長は、すぐに答えなかった。

経営者の顔をしていた。眠っていない顔ではなく、眠ってはいけない顔だった。

「優先順位をつけます。人命や医療提供に影響するものを最優先。大石さん、病院便と研究機関向けの検査試薬を分けてください。食品工場向けは遅延連絡を先に出します」

「了解です」

大石は部屋を出ようとした。

その時、山崎が画面越しに声をかけた。

「大石さん、手作業に切り替えた分について、誰が、何時に、どの伝票を、どの基準で処理したかを残してください」

大石は足を止めた。

「今、それをやるんですか」

「はい」

「現場は人手が足りません」

「一行で構いません。後から分かる形にしてください。手作業切替は正しい対応です。ただ、記録がなければ、後で誤配送や遅延の説明ができません」

大石は一瞬、苛立った顔をした。

だが、言い返さなかった。

「分かりました。紙で残します」

「ありがとうございます。紙で構いません。写真を撮って、時刻が分かるようにしてください」

大石が出て行くと、会議室に小さな沈黙が落ちた。

黒崎が低い声で言った。

「山崎先生、現場に記録を求めるのは分かります。ただ、今は本当にぎりぎりです」

「分かっています」

山崎は即答した。

「だからこそ、最低限にします。記録のために現場を止めてはいけません。しかし、記録がないまま現場だけを動かすと、後で会社が止まります」

「後で会社が止まる？」

望月が聞いた。

「はい。取引先から、なぜ遅れたのかと聞かれます。医療機関から、どの便が影響を受けたのかと聞かれます。個人情報が含まれていたのかと聞かれます。委託先から、御社の判断で止めたのではないかと言われるかもしれません。保険会社から、初動対応の妥当性を確認されるかもしれません」

山崎は、画面の中で少しだけ姿勢を正した。

「サイバー事故では、技術的に正しい対応と、後で説明できる対応を同時に行う必要があります。山崎行政書士事務所が支援するのは、まさにその接続部分です。ログ、契約、責任分界、社内判断、対外説明を、別々の資料にしないことです」

三枝は、その言葉を時系列表のメモ欄に書きかけた。

だが、手を止めた。

これは宣伝文句ではなかった。今この部屋で、必要になっている機能そのものだった。

午前五時二十三分。

外部SOCとの緊急会議が始まった。

モニターには、眠そうな顔のアナリストが二人映った。一人は東京のSOC拠点から、もう一人は在宅勤務らしく、背景をぼかしている。

主担当のアナリストが言った。

「弊社側で検知したアラートは、委託先保守用アカウントによる通常とは異なる管理操作です。初期判定ではMediumでしたが、追加情報を踏まえ、現在はHigh相当に引き上げています」

黒崎が噛みつくように言った。

「なぜ最初からHighではなかったんですか」

アナリストは表情を崩さなかった。

「認証が成功しており、アクセス元も国内で、MFAも通過していました。また、同日二時から四時に保守予定が登録されていたため、自動判定では通常保守の可能性が高いと評価されました」

「つまり、保守予定があったから見逃した？」

「見逃したというより、優先度が下がりました」

黒崎の拳が、机の上で小さく鳴った。

山崎が割って入った。

「確認させてください。SOC側で“通常保守の可能性が高い”と判断した根拠は、保守予定情報との照合ですか」

「はい」

「その保守予定情報は、誰が、どの範囲で登録したものですか」

アナリストは一瞬、手元の資料を見た。

「御社の情報システム課から共有された月次保守予定表です」

山崎は三枝を見た。

「三枝さん、その保守予定表には、作業内容の粒度はどの程度書かれていますか」

三枝はファイルを開いた。

「“物流管理システムのパッチ適用”とだけあります。対象システム、作業者、作業時間、承認者はありますが、クラウド管理権限の利用範囲や、端末管理機能を使うかどうかは書かれていません」

山崎は頷いた。

「つまり、SOCは“保守予定がある”ことは知っていた。しかし、“何をしてよい保守か”までは判定できなかった」

アナリストが小さく頷いた。

「はい。弊社側では、そこまでの作業内容は保持していません」

黒崎が苛立ちを隠さずに言った。

「そんなもの、SOCが分かるわけないでしょう」

山崎は静かに返した。

「その通りです。だから、これはSOCだけの問題ではありません。保守予定、権限、作業範囲、監視ルール、契約が分かれていた問題です」

会議室に、また沈黙が落ちた。

山崎は続けた。

「保守予定がある日は、攻撃者にとっても都合がいい。異常が通常に見えるからです」

その言葉に、三枝は背筋が冷えた。

攻撃者は、ただ深夜を選んだのではない。保守予定のある夜を選んだ。そして、保守用アカウントを使った。

正規の時間。正規のアカウント。正規の画面。

すべてが、会社の仕組みの内側にあった。

午前五時四十一分。

三枝は、退職者アカウントの詳細を開いた。

表示名は、前島 智子。

総務部にいた社員だ。三枝も覚えていた。二年前に退職したはずだった。

アカウント状態は、有効。

最終サインインは、午前三時二十七分。その前のサインインは、三か月前。さらにその前は、八か月前。

妙だった。

退職者アカウントが残っていること自体も問題だが、もっと妙なのはサインインの間隔だった。完全に放置されていたわけではない。時々、何かに使われている。

三枝は、関連するグループを確認した。

General-Affairs-SharedDelivery-Data-ReaderEmergency-Contact-ExportLegacy-App-Access

「何でこんな権限が残ってるんだ」

思わず口に出た。

秋山が顔を上げた。

「前島さんのアカウントですか」

「はい。退職済みですよね」

「退職済みです。二年前に手続きしています」

「無効化依頼は出ていますか」

秋山は手元のフォルダを開いた。

「退職手続き票には、“システムアカウント停止依頼済み”とあります」

「依頼済み……」

三枝は、嫌な予感がした。

依頼済み。完了ではない。

彼はチケット管理システムを検索した。

前島智子。退職。アカウント停止。

古いチケットが出てきた。

件名：前島智子氏 退職に伴うアカウント停止依頼ステータス：保留理由：共有業務で利用中の可能性があるため、総務部確認待ち

更新日は、二年前。

そのまま止まっていた。

三枝は椅子の背にもたれた。

黒崎が画面を覗き込んだ。

「保留のままか」

「はい」

秋山の顔が青ざめた。

「でも、前島さん個人のアカウントを共有業務で使うなんて、そんな運用は認めていません」

山崎が尋ねた。

「実際には、何かの自動処理や共有作業に使われていた可能性はありますか」

三枝はログを追った。

「三か月前と八か月前のサインインは、総務部の旧配送管理ツールからです。おそらく、古いマクロか連携処理に前島さんの認証情報が残っていた可能性があります」

秋山が額を押さえた。

「そんな……」

山崎は責めなかった。

「よくあることです。だからこそ、退職者アカウントは人事手続きだけで終わらせてはいけません。システム上の無効化、連携処理の確認、例外の期限設定、完了確認が必要です」

三枝は、自分の胸に小さな棘が刺さるのを感じた。

それをやるべきだったのは、情報システム課だ。

だが、退職者対応は毎月何件もある。アカウント停止依頼はメールで届く。共有アカウント化されているものがある。古いシステムが止まると現場から怒られる。そして、保留チケットは増えていく。

すべてに理由はあった。

だが、攻撃者は理由を斟酌しない。

山崎が言った。

「三枝さん、そのチケットの画面、時刻入りで保全してください。責任追及のためではありません。なぜ退職者アカウントが残っていたのか、会社として説明するためです」

三枝はスクリーンショットを撮り、ファイル名を付けた。

evidence_退職者アカウント停止保留_前島智子_0523.png

保存先を一瞬迷った。

いつもの共有フォルダでは駄目だ。侵害範囲が分からない。クラウドストレージも安全とは限らない。

黒崎が言った。

「証跡保全用の隔離領域を作る。アクセス権は対応チームだけに限定する」

山崎が補足した。

「保全先、アクセス権設定、作成時刻、管理者を記録してください。後で“誰が見られたか”も説明対象になります」

三枝は頷いた。

作業は増えていく。だが、今度は闇雲ではなかった。

午前六時十二分。

委託先MSPの担当者が、オンライン会議に参加した。

名前は、日向システムサービス株式会社　高瀬。

画面に映った高瀬は、三十代後半に見えた。ネクタイは曲がり、髪は少し濡れている。急いで出社したのだろう。

高瀬は、開口一番、こう言った。

「まず、弊社としても状況を調査中です」

その言葉で、会議室の温度が一段下がった。

黒崎が言った。

「御社の保守用アカウントで、予定外の操作が行われています。二時十七分以降の操作は御社ではないと聞きました。では、誰が使ったんですか」

高瀬は唇を結んだ。

「現時点では断定できません」

「MFAは成功しています。御社の誰かが承認したのでは？」

「それも確認中です」

「確認中、確認中って、倉庫はもう止まってるんですよ」

黒崎の声が荒くなった。

望月が片手を上げた。

「黒崎さん」

黒崎は黙った。

山崎が静かに切り出した。

「高瀬さん、山崎行政書士事務所の山崎です。本件について、現時点で御社に求めたいのは、責任の認否ではありません。まず、事実確認に必要な情報の提供です」

高瀬は、少し警戒した顔になった。

「行政書士の先生ですか」

「はい。駿河メディカルロジスティクス様のインシデント対応において、事実整理、契約・責任分界、行政報告や対外説明に関わる資料整備を支援しています。紛争判断ではなく、現時点では事実確認です」

高瀬は曖昧に頷いた。

山崎は続けた。

「確認したい項目は五つです。第一に、当該保守用アカウントを利用できる御社側担当者の一覧。第二に、MFA端末または認証手段の管理者。第三に、五月六日二時から四時の予定作業の詳細手順。第四に、二時以降の御社側操作ログ。第五に、再委託先の関与有無です」

高瀬の表情が、最後の項目でわずかに硬くなった。

三枝はそれを見逃さなかった。

「再委託先？」黒崎が言った。

山崎は画面から目を離さずに続けた。

「契約書を確認したところ、保守業務の一部再委託が可能になっています。ただし、再委託先のアクセス権限、ログ提出、緊急時連絡、MFA管理についての具体的な記載が薄い。今回の保守作業に再委託先が関与していたかどうかは、初動で確認すべき事項です」

高瀬は、すぐには答えなかった。

その沈黙が、答えに近かった。

望月が言った。

「高瀬さん。再委託先は関与しているのですか」

高瀬は視線を落とした。

「一部、夜間作業の監視を協力会社に依頼していました」

黒崎が立ち上がりかけた。

「聞いてないぞ」

「契約上、再委託は可能と――」

「そういう話じゃない！」

黒崎の声が会議室に響いた。

山崎が、低く言った。

「黒崎さん、今は事実を取りましょう」

その声は強くはなかった。だが、黒崎は椅子に戻った。

山崎は高瀬に向き直った。

「協力会社名、担当範囲、アクセス方法、使用した端末、作業者、当日の連絡記録を提出してください」

高瀬は苦しそうに言った。

「社内確認が必要です」

「いつまでに確認できますか」

「午前中には」

山崎は首を振った。

「遅いです。一次回答は三十分以内にください。“確認済みの事実”と“確認中の事項”を分けてください。未確認なら未確認で構いません。ただし、未確認のまま御社が予定作業だと主張することはできません」

高瀬は、反論しようとしてやめた。

「分かりました」

山崎はさらに言った。

「それから、ログの提出形式についても確認します。CSV、画面キャプチャ、管理画面のエクスポート、いずれでも構いませんが、取得時刻、取得者、対象範囲を明記してください。加工した資料だけではなく、元ログの保全状況も示してください」

三枝は、山崎の言葉を聞きながら、ひそかに驚いていた。

行政書士という言葉から想像していたものとは、まったく違っていた。

山崎はハッカーのように画面を操るわけではない。だが、ログと契約と責任分界を同じ机の上に置くことで、相手が曖昧にできる余地を狭めていく。

それは、別の種類の防御だった。

ファイアウォールではない。EDRでもない。だが、会社を守る防御だった。

午前六時四十九分。

倉庫から、最初の遅延連絡が送られた。

文面は短い。

本日早朝より、弊社一部システムに障害が発生しており、出荷処理に遅延が生じる可能性がございます。現在、影響範囲の確認および代替手段による出荷対応を進めております。個別の納品予定につきましては、順次ご連絡いたします。

サイバー攻撃という言葉は使わなかった。原因を断定しなかった。だが、隠してもいなかった。

秋山は送信前に、何度も文面を読み返した。

「これでいいんでしょうか」

望月が山崎を見た。

山崎は答えた。

「現時点では妥当です。ただし、今後サイバーインシデントであることが確定した場合、説明は更新する必要があります。最初の説明と後の説明が矛盾しないよう、“原因調査中”という表現に留めています」

秋山が小さく頷いた。

「分かりました」

三枝は、対外連絡の時刻を時系列表に追加した。

06:49　取引先向け一次連絡送信。一部システム障害、出荷遅延可能性、原因調査中と説明。

その下に、山崎がチャットで追加した文を貼り付けた。

外部説明は、判明事実・影響・対応中事項・次回連絡予定を基本単位とする。原因や責任の断定は避ける。

三枝は、少しだけ呼吸が整った気がした。

混乱している。だが、言葉がある。

言葉があるだけで、人は少しだけ動ける。

午前七時二分。

駿河メディカルロジスティクスの一日が始まった。

だが、いつもの朝礼はなかった。

倉庫では、端末の前に作業員が列を作っていた。動かない画面を見つめる者。紙の伝票を持って走る者。電話で納品先に謝る者。ラベルプリンタの電源を何度も入れ直す者。

「こっちの端末、昨日まで動いてたんだけど！」

「バーコードが読めない。手入力でいいのか？」

「定温便の箱、どれを先に出す？」

「病院から電話です。午前中必着の分、どうなってるかって」

現場の声が、会議室まで届いていた。

三枝は、黒崎とともに倉庫東側へ向かった。

空調の音。パレットの擦れる音。誰かの怒号。端末のエラー音。

サイバー攻撃という言葉から想像する、暗い部屋のキーボード音とは違う。

本当のサイバー事故は、現場に音がある。焦げた基板の匂いはしない。だが、人間が焦げつくような匂いがする。

三枝は、端末の一台に触れた。

画面は黒い。電源は入っている。だが、管理エージェントが異常な状態で止まっている。

黒崎が言った。

「全部初期化して戻せるか」

「できる端末もあります。ただ、証跡が消える可能性があります」

「業務優先だ」

三枝は頷きかけた。

その時、山崎の言葉が頭に浮かんだ。

何を残し、何を諦めたかは記録してください。

三枝は端末の番号を見た。

WH-E-014。

「課長、全台は無理ですが、代表端末を数台だけ保全しましょう。残りは復旧に回します」

黒崎は一瞬だけ迷い、それから頷いた。

「分かった。三台だけ残す。大石さんに説明する」

「はい」

大石は不満そうだったが、黒崎が言うと納得した。

「三台残せば原因が分かるんですね」

三枝は正直に答えた。

「分かるとは限りません。ただ、全部消すと、後で何が起きたか分からなくなります」

大石は、疲れた顔で笑った。

「分からないことばっかりだな」

「はい」

「でも、分からないって言ってくれる方がまだいい。昨日まで、うちは大丈夫って言われてたんだから」

その言葉は、三枝の胸に残った。

うちは大丈夫。

その言葉を言ったのは誰だったか。黒崎か。役員か。自分か。

たぶん、全員だった。

午前七時三十八分。

会議室に戻ると、山崎から新しい資料が共有されていた。

タイトルは、一次対応整理表。

項目は、単純だった。

1　止血2　証跡保全3　業務継続4　漏えい可能性判断5　委託先確認6　対外説明7　行政・警察・専門機関連携8　再発防止に向けた未了事項

それぞれに、担当者、期限、現状、未確認事項、必要な判断が並んでいる。

望月は、その表を見て言った。

「これなら、私にも分かります」

三枝は、少し驚いた。

自分が追っているログは、経営者には難しい。だが、この表なら、望月は判断できる。

山崎が言った。

「経営者が判断できない資料は、事故対応では機能しません。技術情報を削るのではなく、判断単位に変換する必要があります」

「判断単位」

「はい。たとえば、“条件付きアクセスが変更された”だけでは、経営判断になりません。“社外からのアクセス制御が一時的に弱まった可能性があり、追加調査まで特定システムを隔離するか判断が必要”と書けば、経営判断になります」

望月は頷いた。

「なるほど」

黒崎が苦い顔で言った。

「我々の資料は、役員に伝わっていなかったということですね」

山崎は首を横に振った。

「伝わらない資料を作った人だけの問題ではありません。伝わる形を定義していなかった会社の問題です」

黒崎は黙った。

三枝は、山崎が誰か一人を悪者にしないことに気づいた。だが同時に、曖昧さを許しているわけでもない。

責めない。しかし、ぼかさない。

それは、事故対応に必要な態度なのかもしれなかった。

午前八時十六分。

日向システムサービスの高瀬から、一次回答が届いた。

三枝はメールを開いた。

添付ファイルは二つ。

保守作業実施記録_一次回答.pdf協力会社確認中事項.xlsx

本文には、こう書かれていた。

当社担当者による予定作業は、午前二時〇二分から午前二時十六分まで実施。午前二時十七分以降、当社担当者は当該アカウントを使用していない認識です。なお、夜間監視業務の一部を協力会社である株式会社ネストリンクに委託しており、同社における確認を進めております。

黒崎が言った。

「やっぱり再委託先がいる」

山崎が静かに言った。

「時刻に注目してください」

三枝はログを見比べた。

日向システムサービスの予定作業終了。午前二時十六分。

異常操作の開始。午前二時十七分。

一分後。

偶然にしては、綺麗すぎた。

望月が言った。

「作業が終わった直後に、何者かが同じアカウントを使ったということですか」

三枝は頷いた。

「ログ上はそう見えます」

秋山が声を潜めた。

「日向システムサービスの担当者が、作業後に何かした可能性は？」

黒崎が言った。

「あるいは、作業中に認証情報が奪われた」

山崎が補足した。

「または、再委託先側の環境で何かが起きた。現時点では、いずれも推測です」

山崎は、三枝に向けて言った。

「この三つを、推測として分けて記録してください」

三枝は入力した。

推測A：日向システムサービス担当者による予定外操作。根拠未確認。推測B：保守作業中または作業後に認証情報・セッション等が不正利用された可能性。根拠調査中。推測C：再委託先ネストリンクの環境または作業者が関与した可能性。根拠調査中。

山崎が言った。

「いいです。次に、それぞれを確認するために必要な証跡を書いてください」

三枝は手を止めた。

「必要な証跡……」

山崎は淡々と続けた。

「日向システムサービス側の作業端末ログ、作業者の入退室または勤務記録、MFA承認記録、再委託先の作業記録、当該アカウントのセッション情報、御社側のクラウド監査ログ。分からない場合は、“必要だが取得可否未確認”で構いません」

三枝は入力した。

必要な証跡。取得状況。保有者。提出依頼先。契約上の根拠。未確認事項。

そこまで書いて、彼は気づいた。

これは単なる調査リストではない。責任分界表の原型だ。

誰が何を持っているか。誰に何を求められるか。何が契約で決まっていて、何が決まっていないか。

攻撃者を追うほど、契約の空白が見えてくる。

午前八時五十一分。

三枝は、退職者アカウントのストレージアクセスをさらに追っていた。

アクセスされたフォルダは、配送履歴の一部だった。ファイル名には、医療機関名、納品日、担当者コードが含まれている。

個人名が含まれているかは、まだ分からない。ただ、顧客情報であることは間違いない。

三枝は、ストレージの操作ログをエクスポートしようとした。

エラー。

権限不足。

「嘘だろ」

彼は管理者権限で入り直した。

再度エクスポート。

またエラー。

黒崎が後ろから言った。

「どうした」

「詳細ログのエクスポート権限がありません。閲覧はできますが、出力できません」

「グローバル管理者でも？」

「ログ出力は別ロールです。監査担当用に分けてあります」

「誰が持ってる」

三枝は権限一覧を開いた。

監査ログ出力ロールの保有者。

小田切 拓

三枝は画面を見つめた。

知らない名前ではなかった。

小田切拓。日向システムサービスの元担当者。駿河メディカルロジスティクスのクラウド移行初期に、かなり深く関わっていた人物だ。

だが、小田切は半年前に担当を外れていたはずだった。

黒崎が呻くように言った。

「なんで小田切さんがまだ持ってるんだ」

三枝は答えられなかった。

山崎が声をかけた。

「三枝さん、その画面を保全してください。小田切さんは御社の社員ですか、委託先の方ですか」

「委託先、日向システムサービスの元担当者です」

「現在の契約上、作業者として登録されていますか」

秋山が契約関連資料を確認した。

「今年度の作業者名簿には……ありません」

会議室の空気が変わった。

登録されていない委託先元担当者が、監査ログを出力できる権限を持っている。

それは、ただの設定ミスでは済まない響きを持っていた。

望月が言った。

「小田切さんは、今回の件に関係しているのですか」

山崎がすぐに答えた。

「現時点では断定できません。権限が残っていることと、不正操作をしたことは別です」

三枝は、山崎のその言い方に救われた気がした。

疑わしい。だが、疑わしいことと、犯人であることは違う。

事故の現場では、その境界が簡単に崩れる。

山崎は続けた。

「ただし、説明不能事項としては重大です。委託先元担当者が、現在も監査ログ出力権限を保持していた。契約上の作業者名簿にはない。この二点は、事実として記録してください」

三枝は入力した。

08:51　監査ログ出力ロールの保有者に、委託先元担当者 小田切拓氏を確認。今年度作業者名簿には記載なし。権限残存理由は未確認。

その一行を書いた瞬間、物語の中に人間の名前が現れた。

アカウントではない。ロールではない。小田切拓という、誰か。

三枝は嫌な気分になった。

システムの不備を追っていたはずなのに、いつの間にか人を疑う作業になっている。

午前九時二十分。

日向システムサービスの高瀬に、小田切の件を確認した。

高瀬の顔から血の気が引いた。

「小田切は、半年前に弊社を退職しています」

黒崎が言った。

「退職？」

「はい。現在は在籍していません」

「では、なぜ御社の元担当者が、うちの監査ログ出力権限を持ったままなんですか」

高瀬は言葉に詰まった。

山崎が確認した。

「高瀬さん、小田切氏の退職に伴い、駿河メディカルロジスティクス様に対して、権限削除依頼または作業者変更通知は出していますか」

「確認します」

「確認中ではなく、一次回答をお願いします。記憶ベースで構いません。正式回答は後で結構です」

高瀬は目を伏せた。

「私の把握では、作業者変更通知は出ています。ただ、個別権限の削除依頼までは……」

黒崎が机を叩いた。

「そちらの担当者が辞めたら、そちらが言うべきでしょう」

高瀬も声を強めた。

「御社のテナント内の権限管理は、御社の管理範囲です」

「保守のために作った権限だ！」

「最終的な管理者は御社です」

二人の声が重なった。

山崎が低く言った。

「ここで責任の結論を出しても、ログは増えません」

その一言で、二人は黙った。

山崎は続けた。

「今必要なのは、小田切氏の権限がいつ付与され、誰が承認し、なぜ削除されなかったのかを確認することです。高瀬さんは、御社側の退職手続きと顧客通知記録を確認してください。黒崎さんと三枝さんは、御社側の権限付与申請、承認記録、棚卸し記録を確認してください」

望月が言った。

「山崎先生、これは委託先の問題ですか。それとも当社の問題ですか」

山崎は、すぐには答えなかった。

数秒置いてから言った。

「両方の可能性があります。そして、契約と運用がずれていた問題でもあります」

「ずれていた？」

「契約では、作業者名簿で管理しているように見える。しかし実装上は、クラウドの個別権限が残っていた。契約書の世界では退職・担当変更が終わっていても、クラウドの世界では終わっていなかった」

山崎は、静かに言い切った。

「サイバーセキュリティでは、この“終わったはず”が最も危険です」

三枝は、その言葉を聞いて、小田切の名前から目を離せなかった。

終わったはずの担当者。終わったはずの権限。終わったはずの退職者アカウント。終わったはずの保守作業。

終わったはずのものが、深夜にログインしている。

午前十時五分。

外部フォレンジック会社、北斗DFIRの久我真琴が到着した。

黒いリュックを肩にかけ、髪を後ろで雑に束ねた女性だった。白衣の研究者でも、ドラマに出てくる天才ハッカーでもない。疲れた目をした、現場の人間だった。

受付で入館証を受け取ると、久我は挨拶もそこそこに言った。

「保全対象端末はどれですか」

三枝が案内した。

倉庫東側の端末三台。管理者用ノートPC一台。委託先作業用の接続記録。クラウドログ一式。

久我は端末を見るなり、作業員に言った。

「この端末、電源を切らないでください。触らないでください。再起動もしないでください。付箋で“保全対象”と貼ってください」

作業員が戸惑った。

「邪魔なんですけど」

「邪魔です。でも、これがないと、後で何が起きたか分からなくなります」

三枝は、大石に同じことを言われたのを思い出した。

分からないことばかり。

久我は三枝を見た。

「時系列表、あります？」

「はい」

「助かります。誰が作りました？」

「僕です。ただ、山崎先生に整理方法を教えてもらって」

久我は会議室のモニターに映る山崎を見た。

「ああ、山崎先生。お久しぶりです」

山崎が軽く頭を下げた。

「久我さん、今回も技術保全をお願いします。こちらでは契約、責任分界、報告資料側を整理します」

「了解です。じゃあ、私は端末とログを見ます。山崎先生は紙と人間をお願いします」

三枝は、そのやり取りに少し驚いた。

二人は、役割分担を理解している。

久我は攻撃の痕跡を追う。山崎は会社が説明するための骨組みを作る。

技術と法務が、初めて同じ方向を向いた気がした。

久我は三枝に言った。

「攻撃者を追う時、まず大事なのは、正規操作に見えるものを疑うことです」

「正規操作に見えるもの」

「はい。今回みたいに、アカウントも正規、MFAも正規、管理画面も正規だと、機械は迷います。だから人間が文脈を見る。なぜこの時間か。なぜこの権限か。なぜこの端末か。なぜこの作業日に重なったか」

三枝は頷いた。

久我は端末を見ながら続けた。

「攻撃者は、壁を壊すとは限りません。鍵が落ちていれば、鍵で入ります」

その言葉は、山崎の言葉と響き合っていた。

正規の鍵。正規の入口。正規の権限。

だからこそ、会社は自分自身を疑わなければならない。

午前十時四十三分。

久我の初期確認で、新しい事実が見つかった。

条件付きアクセスの変更は、全社的な無効化ではなかった。特定の保守用アカウント群だけを、追加の制御から除外する設定変更だった。

つまり攻撃者は、派手にセキュリティを止めたのではない。

小さな穴を広げていた。

三枝は、その巧妙さに吐き気を覚えた。

派手な破壊なら、誰でも気づく。だが、小さな例外は、通常運用に紛れる。

久我が言った。

「これ、前から準備されていた可能性があります」

「前から？」

「はい。今朝いきなり思いついてやったというより、どのアカウントが例外で、どの作業日に何が通るかを知っていた感じがします」

黒崎が言った。

「内部の人間ということですか」

「内部か、委託先か、過去に内部情報へアクセスできた人間か。まだ断定できません」

山崎がすぐに言った。

「断定しない形で記録しましょう。“攻撃者は、保守予定、例外アカウント、権限構成を事前に把握していた可能性がある”」

三枝は入力した。

10:43　条件付きアクセス変更は全社無効化ではなく、保守用アカウント群の例外拡大。攻撃者は保守予定・例外アカウント・権限構成を事前把握していた可能性。

書きながら、三枝は気づいた。

この一文は、技術メモであると同時に、経営への警告だった。

誰かが、会社の内側を知っている。

午前十一時十七分。

最初の顧客から、強い抗議の電話が入った。

県外の大学病院だった。

午前着予定の検査関連資材が届かない。代替品はあるのか。いつ届くのか。患者への影響は出るのか。

秋山が電話を受け、望月にメモを渡した。

望月は、そのメモを読んで、目を閉じた。

サーバが止まっている。端末が止まっている。ログが足りない。契約が曖昧。委託先は確認中。退職者アカウントが動いていた。元担当者の権限が残っていた。

それだけでも十分だった。

だが、現実の被害は、会議室の外に広がっていく。

望月は山崎に聞いた。

「顧客には、どこまで説明すべきでしょうか」

山崎は答えた。

「まず、相手が必要としている情報を分けます。原因説明、納品見込み、代替手段、影響範囲、次回連絡時刻。この五つです」

「サイバー攻撃の可能性は？」

「現時点で、内部ではサイバーインシデントとして扱っています。ただ、外部には“調査中”でよいと思います。ただし、相手先の業務や安全に関わる場合は、障害の影響を過小に見せてはいけません」

望月は頷いた。

「分かりました。秋山さん、大学病院向けの個別回答を作ってください。大石さんと配送状況を確認して、納品見込みを入れて」

秋山が頷いた。

山崎が言った。

「文面には、“現時点で判明している範囲”と入れてください。新しい事実が分かれば更新する前提にします」

三枝は、その言葉を聞いて、説明とは一度で終わるものではないのだと思った。

説明は更新される。ログが増えれば、説明も変わる。ただし、最初の説明と矛盾しないように、事実と推測を分ける。

それは、技術調査と同じだった。

正午。

山崎行政書士事務所から、正式な支援範囲のメモが共有された。

三枝は、昼食代わりのゼリー飲料を片手に、その文面を読んだ。

山崎行政書士事務所 支援範囲メモ

一　インシデント時系列表の整理支援二　委託先・再委託先との事実確認事項の整理三　クラウド構成・権限・ログ保存期間と契約書の対応関係確認四　個人情報漏えい等報告の要否判断に必要な事実整理資料の作成支援五　取引先説明文、社内説明文、経営会議資料の作成支援六　再発防止に向けた責任分界表、権限棚卸し、ログ保全方針、委託契約見直し案の整理

末尾には、注意書きもあった。

紛争性のある法的判断、損害賠償請求、訴訟対応等については、必要に応じて弁護士その他専門家と連携する。技術的フォレンジックについては、専門事業者の調査結果を前提に資料化を支援する。

三枝は、その慎重さに安心した。

できることを大きく見せない。できないことを隠さない。

今の会社に必要なのは、まさにそれだった。

望月がメモを読み、静かに言った。

「山崎先生、当社は今、何を一番間違えてはいけませんか」

山崎は少し考えた。

「隠さないことです」

会議室の空気が止まった。

「ただし、急いで断定もしないことです」

山崎は続けた。

「隠すと信頼を失います。断定を急ぐと、後で矛盾します。だから、分かっていること、分かっていないこと、対応していることを分けて説明してください。これは広報テクニックではありません。事故対応の基本です」

望月は、ゆっくり頷いた。

「分かりました」

三枝は、山崎の言葉を見ながら思った。

セキュリティ製品を入れることと、説明できる会社になることは違う。

その意味を、会社全体が身をもって学び始めていた。

午後一時二十二分。

久我が、会議室に戻ってきた。

顔が険しかった。

「三枝さん、黒崎さん。バックアップ管理画面のログ、見ました？」

三枝の胃が沈んだ。

「一部は見ました。ポリシー変更がありました」

久我はノートPCを接続し、画面を映した。

「変更はポリシーだけじゃありません。復元ポイントの一部に削除予約が入っています」

黒崎が立ち上がった。

「削除予約？」

「はい。即時削除ではないですが、保持設定が変わっています。猶予期間内に止めれば助かるものもあります。ただし、どれが安全な復元ポイントかは確認が必要です」

三枝は、喉が渇くのを感じた。

バックアップはある。だが、戻せるとは限らない。

その恐怖が、現実の形を取り始めていた。

望月が言った。

「復旧はできますか」

久我は、すぐには答えなかった。

技術者の沈黙は、時に最も正直な回答だった。

「可能性はあります。ただし、今の本番環境にそのまま戻すのは危険です。攻撃者がいつから入っていたか分からない。侵害後の状態を戻せば、攻撃者の足場ごと戻すことになります」

黒崎が額を押さえた。

「では、どうすれば」

久我は言った。

「隔離した復旧環境を作って、復元ポイントを検証します。安全確認できたものから業務に戻す。ただ、時間はかかります」

大石が苦い声で言った。

「時間はないんです」

久我は大石を見た。

「分かっています。でも、焦って戻すと二度止まります」

会議室が静まり返った。

一度止まるだけでも、会社は悲鳴を上げている。二度止まれば、信頼が折れる。

山崎が、静かに口を開いた。

「ここで経営判断が必要です。全面復旧を急ぐのか、重要業務から段階復旧するのか。技術的には久我さんの検証が必要です。業務的には大石さんの優先順位が必要です。法務・対外説明としては、秋山さんと私の方で、復旧見込みの表現を整理します」

望月は、机の上で両手を組んだ。

「重要業務から段階復旧します。病院便、定温便、既に遅延している顧客を優先。全面復旧の時刻は約束しない。安全確認できた範囲から戻す」

山崎が頷いた。

「その判断を記録してください。理由は、“再侵害および証跡毀損を避けるため、安全確認済み範囲から段階復旧する”です」

三枝は入力した。

13:27　経営判断：全面復旧ではなく、重要業務から段階復旧。理由：再侵害および証跡毀損を避けるため。判断者：望月社長。技術助言：久我。資料整理助言：山崎行政書士事務所。

その一行を見て、三枝は思った。

これは、単なる記録ではない。

会社が、混乱の中で自分の足場を作っている。

午後二時四分。

高瀬から、再委託先ネストリンクに関する追加回答が届いた。

ネストリンクの夜間監視担当者は、保守作業中に日向システムサービスの担当者と同じオンライン会議に参加していた。直接クラウド管理画面を操作する権限はない。だが、画面共有で作業を確認していた。

三枝は、読みながら眉をひそめた。

画面共有。

山崎が言った。

「高瀬さん、画面共有中に認証情報、セッション情報、管理URL、アカウント名、承認画面などが表示された可能性はありますか」

高瀬は苦しそうに答えた。

「確認中です」

久我が低く言った。

「画面録画は？」

「残っている可能性があります」

「提出してください」

高瀬は即答しなかった。

「社内とネストリンク社の確認が必要です」

山崎が言った。

「では、提出可否ではなく、まず保全要請をしてください。削除されないように。提出条件は後で協議できます」

高瀬は頷いた。

「分かりました」

山崎は、秋山に向けて言った。

「再委託先に対する保全要請文を作ります。強い表現にしすぎず、しかし対象と期限を明確にします」

秋山が頷いた。

「お願いします」

三枝は、また思った。

攻撃者は技術の隙だけを突いたのではない。

契約の隙。会議の隙。画面共有の隙。例外運用の隙。退職処理の隙。保守予定の隙。

すべての隙が、一本の通路になっている。

午後三時十六分。

久我が、退職者アカウントのストレージアクセスについて初期所見を出した。

「外部への大量転送は、現時点では確認できていません」

その言葉に、会議室の全員が少しだけ息を吐いた。

だが、久我は続けた。

「ただし、閲覧および一部ファイルの取得操作はあります。転送量は大きくありませんが、対象ファイルに顧客情報が含まれる可能性があります。個人情報に該当するかは、データ内容の確認が必要です」

秋山が言った。

「つまり、漏えいしたとは言えないが、可能性はある」

「はい」

望月が山崎を見た。

「行政への報告は必要ですか」

山崎は慎重に答えた。

「この段階では、要否判断に必要な事実を整理する段階です。個人データの該当性、外部取得の可能性、本人の権利利益を害するおそれ、件数、内容、原因、対応状況。これらを確認する必要があります」

「報告期限は？」

「判明した場合には速やかな対応が必要になります。ですから、今から報告資料の骨子を作っておきます。確定してから慌てるのでは遅いです」

秋山が深く息を吐いた。

「文案を作ります」

山崎が言った。

「文案は三種類に分けましょう。行政向け、本人通知向け、取引先向けです。内容は重なりますが、目的が違います」

三枝は、その言葉を聞いて、また新しいシートを作った。

報告文案_論点整理

どんどんファイルが増えていく。

だが、それらは散らかっているのではなかった。一つの事件を、説明可能な形に変えていくための部品だった。

午後四時二分。

山崎が、会議の最後に言った。

「ここまでで、現時点の大きな論点を整理します」

画面に、簡潔な表が表示された。

一　委託先保守用アカウントが、予定作業終了直後に予定外操作へ使われた。二　退職者アカウントが有効なまま残り、顧客情報領域へアクセスしていた。三　委託先元担当者の監査ログ出力権限が残存していた。四　再委託先が夜間監視に関与していたが、アクセス権限・ログ提出・保全義務の粒度が不十分。五　バックアップの一部に保持設定変更・削除予約があり、安全な復旧ポイントの確認が必要。六　顧客影響と個人情報影響は調査中。対外説明は更新前提で管理する。

山崎は、そこで言葉を切った。

「そして、最も重要な点があります」

望月が顔を上げた。

「何でしょうか」

山崎は言った。

「今回の攻撃は、御社の防御を正面から破ったというより、御社が許していた例外、残していた権限、曖昧な契約、未完了の手続きを利用しています」

三枝は、画面の文字を見た。

例外。残存権限。曖昧な契約。未完了の手続き。

未了。

その言葉が、胸に刺さった。

山崎は続けた。

「攻撃者は、御社の外側から来たかもしれません。しかし、通路は御社の内側にありました」

会議室は静まり返った。

誰も反論できなかった。

その時、三枝のPCに通知が来た。

差出人は不明。件名は英語だった。

We are already inside.

本文は短かった。

Your logs are incomplete.Your backups are not clean.Your partners will deny everything.You have 72 hours.

添付ファイルはなかった。リンクもなかった。

ただ、一枚の画像が埋め込まれていた。

青い鳥のシルエット。水面に立つ鷺のようなマーク。

三枝は、息を止めた。

久我が画面を覗き込み、低く言った。

「Blue Heron……」

望月が聞いた。

「何ですか、それは」

久我は、険しい顔で答えた。

「最近いくつかの企業で名前が出ている攻撃グループです。暗号化より先に、ログとバックアップと委託先関係を揺さぶるタイプです」

黒崎が呟いた。

「ランサムウェアか」

久我は首を振った。

「まだ分かりません。ただ、脅し方を知っている」

三枝は、メール本文をもう一度読んだ。

Your logs are incomplete.

あなたたちのログは不完全だ。

それは脅迫であると同時に、事実だった。

Your backups are not clean.

あなたたちのバックアップは安全ではない。

それも、すでに見えていた。

Your partners will deny everything.

あなたたちの委託先は、すべて否定する。

その一文に、会議室の全員が黙った。

山崎が静かに言った。

「三枝さん、そのメールを開いた状態で保全してください。ヘッダー情報も確認が必要です。ただし、リンクや添付は触らないでください」

「はい」

三枝は、手順通りに画面を保存した。

だが、指先は震えていた。

攻撃者は、会社のシステムだけではなく、会社の関係性を攻撃している。委託先との信頼。顧客への説明。経営者と情シスの判断。現場と会議室の距離。

すべてを知っているかのようだった。

山崎が言った。

「ここからは、恐喝対応の可能性も含めて、警察、弁護士、フォレンジック会社との連携を強めます。当事務所では、引き続き事実整理、文書化、責任分界、対外説明資料を支援します」

望月は、ゆっくりと頷いた。

「お願いします」

三枝は、時系列表に新しい行を追加した。

16:07　不明差出人より脅迫的メール受信。“Blue Heron”を示す画像あり。ログ不完全、バックアップ不全、委託先否認を示唆。証跡保全開始。

入力してから、三枝はしばらくその一行を見つめていた。

ログは不完全。バックアップは不確実。委託先は曖昧。退職者アカウントは生きている。元担当者の権限は残っている。

攻撃者が見ているのは、サーバではない。

会社の未了だった。

山崎が、画面越しに言った。

「三枝さん」

「はい」

「ここから先、相手は技術だけでなく、判断を揺さぶってきます。焦らせる。疑わせる。黙らせる。だから、記録を続けてください。事実と推測を分けてください。説明できる状態を失わないでください」

三枝は、ゆっくり頷いた。

「はい」

夕方の光が、会議室の机に斜めに差し込んでいた。

会社はまだ止まっている。攻撃者はまだ中にいるかもしれない。何が漏れたのかも、どこまで壊されたのかも分からない。

だが、三枝は初めて思った。

完全に守れなかったとしても、完全に崩れる必要はない。

説明できるものを、一つずつ増やしていく。それが今、自分たちに残された防御だった。

その時、久我がバックアップ管理画面を見ながら、低い声で言った。

「まずいですね」

黒崎が振り向いた。

「今度は何ですか」

久我は画面を指差した。

「昨日まで成功していたバックアップ、復元テストの記録がありません」

三枝は、すぐに意味を理解できなかった。

久我は続けた。

「バックアップは取れている。でも、戻せることを誰も証明していない」

会議室の空気が、再び重くなった。

山崎が静かに言った。

「次の論点は、そこです」

三枝は、時系列表の最後に新しい未確認事項を追加した。

未確認事項：バックアップが業務復旧に使用可能であることを示す復元テスト記録の有無。

画面のセルが、白く光っていた。

未了ログは、まだ増え続けていた。