旅券の断面 — 旅行会社の六月（長編フィクション）
- 山崎行政書士事務所
- 9月19日
- 読了時間: 7分
— 2016年「国内大手旅行会社への標的型メールを起点とする不正アクセス：遠隔操作型マルウェア→長期潜伏→顧客予約関連DBの到達→氏名・住所・メール等に加え旅券情報の一部（数千件）を含む可能性→数百万人規模の公表→関係各社・所管の通達と対応」という事実関係を骨格にした物語
00｜火曜 06:18 「出していないのに、出ている」
茜（あかね）トラベル・渋谷本社の運用室。夏芽は、深呼吸をするみたいに上下する出口の帯域に違和感を覚えた。監視盤の色は緑。APサーバのログにも、見慣れたバッチや巡回だけが並んでいる。だけど——特定の予約系セグメントから、夜明け前だけ「外」に向かう細い脈が続いていた。
「出していないのに、出ている。」
夏芽は送信元を辿る。煉瓦色の筐体から伸びる一本の線。旅券情報と顧客属性が同居する予約連携箱だ。CPUは低体温のように静かで、アラートは歌わない。静かすぎる。
「山崎行政書士事務所につないで。」夏芽は短縮を押した。
01｜06:42 “止める／伝える／回す”
静岡・山崎行政書士事務所。ホワイトボードの前に**律斗（りつと）**が立ち、太いペンで三行を書いた。
止める／伝える／回す
止める：予約連携セグメントを電源を落とさずネットワーク隔離。証跡（メモリ／ディスクのスナップショット／プロセスリスト）を一方向に吸い上げる。出口は白（許可先のみ）に絞り、解析箱にミラーを張る。常時特権はゼロ化、**必要時だけ（JIT）**貸与へ。
伝える：三文の一次報を経営／広報／所管・連携先に同報。“事実”（夜間の外向き異常／予約連携セグメントの隔離）と**“可能性（仮説）”（標的型メール起点→遠隔操作型マルウェア→長期潜伏→予約連携箱の到達）を段落で分け、正午／17時に時刻で更新する約束。「支払い先変更メールは無効」を一文目**に置く。
回す：本日のチケット発券・旅程変更は電話復唱＋二名承認で手動化。遅いけど確実に回す。
りなが頷く。「72時間の所管報告も回します。“声は鍵”（折り返し＋二名承認）を全窓口に。」
奏汰（そうた）は構成図に赤を走らせる。「三月中旬に添付ファイルで踏まれて、薄い足で内側に来た線だと思う。遠隔操作型が眠って、見回って、夜明け前に外へ。」
悠真（ゆうま）が短く言う。「“便利の近道”——旅券写しを予約箱で仮置きする運用が刃に変わってる。」
ふみかは三文の一次報を置いた。
現状：予約連携セグメントの外向き異常を確認。隔離／証跡保全／出口白化／JIT特権化を実施。対応：発券・旅程変更は電話復唱＋二名承認で継続。正午に一次報、17時に更新。お願い：“返金・送金先変更”などメールだけの依頼は無効。必ず電話で二重確認を。
受付の**白い猫のマスコット（やまにゃん）**が、小さくしっぽ（Type‑C）を光らせた。札には太い字。
「遅いけど確実。」
02｜07:30 「春の置き手紙」
監査ログの底から、三月十五日の薄い跡があがってきた。取引先を装ったメールが添付を抱えて届き、開封から数分後に外へ短い呼吸。数日をおいて、別の端末からも似た呼吸。眠りと見回り。静かで、長い。
夏芽は喉の奥が冷えるのを感じる。
「扉は、春に開いて、梅雨に入れ替わった。」
03｜08:12 四つの数字（第一次）
蓮斗（れんと）が白板に数字を書いた。
MTTD（検知）：24分（出口の脈→相関で特定）
一次封じ込め：51分（隔離／白化／証跡保全／JIT化）
想定影響：氏名／住所／メール等の顧客属性、一部の旅券情報（数千件規模）を含む可能性
基幹決済系：到達痕なし（現時点）
律斗は短く言う。「勝ってはいない。でも、“間に合っている”。」
04｜09:03 旅券という「生活の断面」
サンプルが机に置かれた。断片の組み合わせ。氏名（漢字・カナ・ローマ字）／性別／生年月日／住所／メール。旅券番号の断片と発行日が揃っているものもわずかにある。りなは低く言った。「“番号”だけじゃない。“旅行という生活の断面”が紙から剥がれてしまう。」
奏汰は鍵束を三つに分ける図を描く。
“見る鍵”／“運ぶ鍵”／“署名する鍵”常時特権はゼロ、必要時だけ（JIT）に短く貸す。貸与の記録は消せない箱へ二経路。
05｜正午 一次報（所外）
事実：予約連携セグメントで外向き異常を検知。隔離／白化／証跡保全／JIT特権化を実施し、標的型メール起点の可能性を踏まえ調査を継続。影響（現時点）：顧客属性のアクセス痕と、一部旅券関連情報の断片を確認。基幹決済系の不正到達は確認なし（継続精査）。対応：関係各社ならびに所管と連携し、通知と案内の準備を開始。17時に更新。
怒号はない。時刻が不安の終わりをつくる。
06｜午後 “二つの島”のあいだ
本来、旅券情報は決済・資格確認の島に閉じている。しかし、業務効率の名の下に、予約箱へ**“仮置き”されることがあった。便利の近道は刃になる。悠真は二つの島の橋を焼き切り**、“仮置き”の禁止を技術で強制する案を図に落とす。奏汰はOutboundを白に、DNSの未知の連鎖を即死に落とす。
やまにゃんの札が光る。
「速さは、戻れるときだけ味方。」
07｜夕刻 “主語”を入れる広報
りなは広報台本の主語を太くした。
「当社は、いつ、何を、どう変えるか」「当社は、どの時刻に、どの事実を更新するか」
“誰がやったのか”は私たちが言わない。公的発表に歩調を合わせる。私たちが言うのは、**“何が起き、何を止め、どう戻すか”**だけだ。
08｜翌朝 08:15 遠隔操作の手癖
解析箱に残った靴跡は、国内で繰り返し観測されてきた手癖に似ていた。プロセス注入、サービス名の偽装、夜にだけ息をするC2。眠らせて、見回って、燃やす。奏汰はふるまい検知を別の目（ETW／Sysmon）で常設する案を置く。悠真は予約箱の更地再建——空の箱を立ち上げ、既知良品で最小復帰を設計する。
09｜二日目 正午 段落で言う
封じ込め：隔離／白化を維持。更地の新環境に予約連携を最小復帰。仮置き運用は技術で封鎖。影響：顧客属性（氏名・住所・メール 等）と旅券関連情報の一部（断片）のアクセス痕。旅券番号＋発行日が揃うのは少数（数千件規模）。次：関係各社と案内文言を調整し、詐欺被害の注意喚起を同時に展開。
旅券そのものは偽造の鍵にならない。だが、名寄せの断面にはなる。言葉を選び、時間で切り分ける。
10｜三日目 11:40 “72時間”の線
所管への報告が二段落で確定する。
確認された事実：標的型メール起点の不正アクセス、予約連携セグメントの外向き異常、隔離／白化／証跡保全、更地への最小復帰。顧客属性と一部旅券関連情報のアクセス痕。
未確定（継続調査）：外部送出の最終範囲、第三者提供の有無、関係各社との連携結果。
講堂に三つの時計が並ぶ。
現場の時間（発券・旅程・顧客案内）
規制の時間（72時間と継続報告）
経営の時間（信頼・費用・再発防止）
りなは三行で締める。
言い切る（事実と可能性を混ぜない）期限を付ける（例外は48時間で自動失効）二重に確かめる（自動の前後に**“人の10分”**）
11｜数日後 「誰の旅だったか」を守る
コールセンターが開く。紙の台本は一行目に**「当社からATM操作・支払い案内はしない」を置き、二行目に「旅券はICで守られているが、詐欺には注意」を書いた。夏芽はログの海に糸を垂らし、夜明け前の脈が止まったのを確認する。港ではなく空港へ向かう旅行者の列が、少しだけ早足**に戻った気がした。
12｜一巡後 「便利」と「戻れる速さ」
茜トラベルの箱は新しくなった。鍵束は三つに分かれ、常時特権はゼロ、JITの貸与には押印がいる。予約箱に**“仮置き”はない。必要最小だけが署名付きで運ばれる**。Outboundは白だけ、DNSは未知を即死に落とす。バックアップはWORMで二経路、更地復帰の演習は四半期に一度。
やまにゃんの札は今日も変わらない。
「速さは、戻れるときだけ味方。」
夏芽は窓の外を見る。観覧車がゆっくりと回り、朝の便が雲に消えていく。旅は続く。だから、旅券の断面は守らなければならない。彼女は机の上の紙に時刻を押し、静かな呼吸に耳を澄ませた。
—— 完
参考リンク（URLべた張り／事実ベース・一次情報／主要報道・技術整理）
※物語はフィクションですが、骨格（2016年の国内大手旅行会社に対する不正アクセス、標的型メール起点、顧客関連約793万人規模、旅券番号の一部（約4,300件）、関係事業者への波及、公的機関の周知）は以下に基づいています。
主な点：外務省の周知（約793万人・旅券関連は約0.1%／うち番号と発行日が揃うのは約4,300件）、dトラベル等への波及と標的型メール（3/15）を示す事業者発表、piyologの時系列整理、Japan Times／The Register等の報道、PlugXなどの遠隔操作型マルウェアに関する技術解説を参照しました。
コメント