セキュリティの専門家による
攻撃演習・弱点診断

ホワイトハッカーが攻撃者の視点で御社のシステムを検証する、脆弱性診断とペネトレーションテストのサービスです。外部公開サーバー、Webアプリケーション、クラウドの設定、生成AIアプリ、社内ネットワークに対して、事前に合意したルールのもとで攻撃者と同じ手順で侵入を試み、報告書・弱点の点検・修正後の再テストまで一気通貫で提供します。オプションで、ディープフェイクなどAIを使ったソーシャルエンジニアリング訓練も実施できます。

ホワイトハッカーは、攻撃者と同じ技術と知識を、組織を守るために使うセキュリティの専門家です。依頼を受けた範囲と事前に合意したルールのもとで、実際にシステムへの侵入を試みて弱点を見つけ、修正の方法を提案します。無断で他人のシステムに侵入する攻撃者とは、同意とルールの有無がまったく異なります。

脆弱性診断は、システムに既知の弱点や設定の不備がないかを網羅的に洗い出す検査です。ペネトレーションテストは、攻撃者と同じ手順で実際に侵入を試み、弱点をつなげるとどこまで到達できるかを検証します。ホワイトハッカー攻撃演習・弱点診断では、脆弱性診断で入口を広く洗い出し、ペネトレーションテストで現実に起こりうる侵入経路と被害の範囲を確かめます。

まず「攻撃者に見えている入口」を知ることです。外部に公開しているサーバーやVPN機器、Webアプリケーション、クラウドの設定、流出したアカウントを洗い出し、脆弱性診断とペネトレーションテストで実際に侵入できる経路を確かめます。そのうえで、深刻度と影響の大きい順に修正し、再テストで直ったことを確認します。ホワイトハッカー攻撃演習・弱点診断では、この流れを修正の優先度まで含めて報告します。

ISC2認定のセキュリティスペシャリストが実施します。ISC2 は国際的なサイバーセキュリティ資格の認定団体です。あわせて、東京大学でのAI研究、防衛省サイバーコンテストでの満点、100社を超えるAI導入支援で得た知見を、診断計画の設計・ペネトレーションテスト・報告書の作成に活用しています。

外部に公開しているサーバー・ネットワーク機器、WordPress などで作られたホームページ、Webアプリケーション、社内で自作したツール、AWS・Azure・Google Cloud などのクラウドや Microsoft 365 の設定、社内外に公開している生成AIアプリやチャットボット、侵入後を想定した社内ネットワークが対象です。どこまでを対象にするかは、ヒアリングのうえで御社のシステム構成に合わせて決めます。

実施前に、対象範囲・期間・時間帯・使ってよい手法・禁止事項を書面で合意します。本番環境に影響を与える手法は合意なしに使わず、必要に応じて検証環境や業務時間外に実施します。万一、想定外の挙動が見られた場合は直ちに中断し、ご担当者に連絡します。

はい。社内外に公開している生成AIアプリやチャットボットに対して、プロンプトインジェクションによる指示の乗っ取り、機密情報や個人情報の引き出し、想定外の操作の実行といった攻撃を試み、対策の有無と影響を報告します。

見つかった脆弱性と設定の不備、それぞれの深刻度と修正の優先度、ペネトレーションテストで到達できた範囲と攻撃経路、具体的な修正の方向性です。ソーシャルエンジニアリング訓練を組み合わせた場合は、その結果も同じ報告書で点検します。報告会では、経営層と担当部門に向けて、次に何から直すべきかを説明し、修正後には再テストで確認します。

OSINT（オープンソース・インテリジェンス）は、Webサイト、DNSや証明書の情報、SNS、求人情報、過去に流出したアカウント情報など、誰でも入手できる公開情報を集めて分析することです。攻撃者は攻撃の前にこれを行います。ホワイトハッカー攻撃演習・弱点診断では、同じ調査で「攻撃者に見えている御社」の入口を明らかにし、診断・テストの計画に使います。

はい、オプションとしてご依頼いただけます。メール・SMS・電話（AI音声）・ビデオ会議（ディープフェイク）を組み合わせ、公開情報から部門・役職ごとに作った攻撃シナリオで、社員が「確認する・報告する」行動をとれるかを確かめます。診断・テストと組み合わせると、システムと人の両方の入口をひとつの報告書で点検できます。

AI詐欺は、生成AIで作った文面・音声・映像を使って人をだます詐欺の総称です。企業を狙うものでは、経営層の声や顔を合成したディープフェイクのビデオ会議や電話で送金を指示する手口、取引先になりすました自然な日本語のメールで支払先の変更を求めるビジネスメール詐欺、AI音声で情報システム部門を装いパスワードを聞き出す手口が代表的です。見た目や声が本物らしくても、既知の連絡先で折り返し確認する行動が基本の対策になります。

声や映像の不自然さで見抜こうとするのは限界があります。生成AIの品質は上がり続けており、本物と区別できない前提で備えるのが現実的です。有効なのは、送金や機密情報の提供を求められたら既知の連絡先に折り返す、合言葉や二人での承認を決めておくといった「確認の手順」です。オプションの訓練で、この手順が実際に守られるかを確かめられます。

生成AIで本人そっくりの声や映像を合成し、経営層や取引先になりすます攻撃です。ビデオ会議や電話で「至急この口座に送金してほしい」「この資料を送ってほしい」と依頼し、相手の判断を急がせます。声や映像が本人らしく見えても、既知の連絡先で折り返し確認する行動が対策の基本です。

システムの脆弱性ではなく、人の心理や業務の習慣を突いて、パスワードや機密情報を聞き出したり、不正な操作をさせたりする攻撃の総称です。情報システム部門や取引先、上司を装った電話・メール・SMSがよく使われ、生成AIによって文面や声が自然になったことで見抜くのが難しくなっています。

訓練の効果を測るため、対象となる社員には実施日時や内容を知らせないのが一般的です。一方で、経営層や情報システム部門、窓口となるご担当者とは事前に計画を共有し、本物の攻撃と混同して社外へ通報が広がるといった事態を防ぎます。誰に、どこまで共有するかはヒアリングの段階でご相談します。

ディープフェイク訓練で使う音声・映像の素材は、ご本人の同意を得たものだけを使います。合成したデータは訓練の目的以外に使わず、訓練の終了後に削除します。同意が得られない場合は、架空の人物や公開済みの素材でシナリオを組み立てることもできます。

報告書は、部門・役職・チャネルごとの傾向と、組織として直すべき弱点を中心にまとめます。個人別の結果をどこまで扱うかは事前に合意し、責任追及ではなく教育と再訓練に使うことを前提としています。訓練でだまされた社員には、その場で理由と正しい対応を伝える自動フォロー教育を行います。

対象範囲と規模によって異なります。単発の脆弱性診断やペネトレーションテストは、ヒアリングから報告書の提出までおおむね数週間から1〜2か月が目安です。フルパッケージは、診断 → 報告 → 修正 → 再テストを一年かけて実施します。具体的なスケジュールはヒアリングのうえでご提案します。

診断・テストの対象範囲、システムの数と規模によって変わるため、個別にお見積もりします。脆弱性診断とペネトレーションテストは単発で、定期的な診断と再テストを組み合わせたフルパッケージは年間プログラムでご提供します。ソーシャルエンジニアリング訓練はオプションです。まずはサービス資料をご請求ください。

AIセキュリティ顧問は、社員が生成AIを安全に使うための判断基準（AIホワイトリスト）と相談窓口を提供する顧問サービスです。ホワイトハッカー攻撃演習・弱点診断は、攻撃者の視点で御社のシステムに侵入を試み、実際に破られる経路と弱点を明らかにするサービスです。守りのルールを整える顧問と、実地で試す診断を組み合わせてご利用いただけます。

ありません。金融・士業・製造・小売・医療福祉・IT など、業種を問わずご利用いただけます。外部からの診断・テストの多くはリモートで全国に対応し、社内ネットワークのテストや報告会はご相談のうえで現地でも実施します。

脆弱性診断・ペネトレーションテストの報告書と、修正・再テストの記録は、ISMS の管理策の運用状況や、取引先・保険会社から求められるセキュリティ対策の説明に活用できます。認証の取得・更新そのものの支援は含みません。