CrowdStrike Falcon 障害 ── 史上最大の IT 障害

2024年7月19日、 サイバーセキュリティ企業 CrowdStrike が配信した Falcon Sensor 向けコンテンツ更新（Channel File 291） の不具合により、 世界中の Windows 端末が同時にブルースクリーン（BSOD） に陥った。 影響台数について Microsoft は同月20日、 850万台（全 Windows 機の1%未満）と推計している。 単一の IT 障害としては史上最大規模だと広く評されるが、 世界全体の被害額を確定させた集計は存在しない。

21番目のフィールドは存在しなかった

午前4時09分（UTC）、 CrowdStrike は Falcon Sensor 向けに Channel File 291 と呼ばれる コンテンツ構成ファイル を配信した。 カーネルドライバそのものの更新ではない。 これは Rapid Response Content と呼ばれる、 脅威検知ロジックを日々書き換えるためのデータファイルで、 顧客側にバージョンを選ぶ余地はない運用だった。 CrowdStrike は同日5時27分（UTC）に配信を取り消したが、 その78分のあいだに配信を受けた端末は倒れた。

CrowdStrike が8月6日に公表した外部向け根本原因分析（Root Cause Analysis）が説明する仕組みはこうだ。 Channel File 291 を解釈する IPC テンプレート型 は、 定義上21個の入力フィールドを持つと宣言されていたのに、 実行時には20個しか生成しない。 それまでの内容は21番目をワイルドカードで済ませていたため誰も気づかなかった。 7月19日の更新で初めて21番目に具体的な照合条件が入り、 コンテンツ・インタプリタは存在しない21番目を読みにいって 境界外読み取り（out-of-bounds read） を起こした。 CrowdStrike はこれを任意メモリ書き込みではないと明記している。

Falcon Sensor の中核はカーネル空間で動作するドライバ（CSAgent.sys） であり、 そこで未処理例外が発生すれば Windows は停止する。 結果、 ファイルを受け取った端末は順次 BSOD に入り、 再起動してもまた同じファイルを読み込んでクラッシュする ブートループ に閉じ込められた。

復旧手順は単純だが手動だった ── セーフモードで起動し、 問題のファイルを削除し、 通常起動に戻す。 BitLocker による暗号化済みドライブ環境では回復キーが必要となり、 大企業ではこの手作業を数千〜数万台に対して並列実行する必要があった。

同時に倒れたもの

午前6時 UTC を超えた頃には、 世界中のあらゆる重要システムが同時に止まり始めた。

• 航空: Delta、 United、 American の各社が運航停止。 Delta は5日間で 約7,000便を欠航、 影響を受けた乗客は130万人
• 医療: 米英の病院で電子カルテ・予約・検査機器が停止、 一部で手術延期
• 金融: ATM、 銀行支店端末、 一部の証券取引画面が停止
• 緊急通報: 米国のいくつかの州で 911 システムが断続的に不通
• 小売: POS、 在庫管理、 オンライン決済
• 放送: Sky News、 ABC（豪州）など複数局が放送中断

復旧には組織によって数日から数週間を要した。 リモートワーク端末や、 物理アクセスが必要な店舗端末では特に長引いた。

被害額は誰の数字か

しばしば「100億ドル」「数百億ドル」といった総額が引かれるが、 これらに一次の裏付けはない。 名前の付いた試算として確認できるのは次の2つである。

• 保険テック企業 Parametrix は、 Fortune 500 企業（Microsoft を除く）の直接損失を 54億ドル と試算した。 うちサイバー保険で回収可能なのは10〜20%、 すなわち5.4億〜10.8億ドルにとどまるとしている。 業種別では医療19.4億ドル、 銀行11.5億ドルが大きい。
• 英国については、 サイバーリスク定量化企業 Kovrr が英国経済への影響を 17億〜23億ポンド と見積もっている。

デルタ航空の5億ドルは同社自身の見積もりであり、 SEC 提出書類では逸失収益3.8億ドル・費用1.7億ドルに分解されている。

Delta 訴訟と「カーネル特権」論争

最大の法廷闘争は Delta Air Lines から始まった。 2024年10月25日、 Delta はジョージア州フルトン郡上級裁判所に CrowdStrike, Inc. を提訴（Microsoft は被告に含まれていない。 Delta は David Boies を代理人に立て、 両社に賠償を求める姿勢を表明していた）。 訴状は自社の損害を5億ドル超と述べ、 コンピュータ不法侵入・契約違反・重過失・不作為による詐欺などを主張した。

技術的告発の核心は、 CrowdStrike が Microsoft OS の内部に、 認められていない出入口を意図的に作り、 それを利用した（intentionally created and exploited an unauthorized door within the Microsoft OS）というものだ。 WHQL / ELAM 認証を受けたドライバ開発者として、 カーネルレベルのコードとデータは事前検証に出す義務があるのに、 認証済みのプログラムを未検証のショートカットで書き換えていた、 という主張である。

CrowdStrike は反訴し、 復旧が長引いたのは Delta 自身の対応と IT インフラの問題だと反論した。 訴訟を Delta の不手際から目をそらすための煙幕だとする趣旨の主張も、 CrowdStrike 側の書面と報道で繰り返し伝えられている。 同時に、 株主代表訴訟・連邦証券法違反のクラスアクションも複数提起された。

この訴訟が露わにしたのは、 エンドポイントセキュリティ製品が持つ「カーネル特権」の政治性 である。 EDR（Endpoint Detection and Response） 製品は脅威を検知するために OS カーネルで動作しており、 そこにバグがあれば即座に OS 全体を倒す。 セキュリティのために脆弱性を増やしているのではないか、 という根本問題が公の議論の俎上に載った。

その後（2026年8月時点）

CrowdStrike の四半期報告（2026年4月期 10-Q）が示す係属状況は次のとおり。

つまり投資家側の訴訟はほぼ消え、 顧客側の訴訟だけが残っている。

Microsoft の対応 ── Windows Endpoint Security Summit

2024年9月10日、 Microsoft はワシントン州レドモンドの本社で Windows Endpoint Security Ecosystem Summit を開催した。 主要な EDR ベンダーと、 米欧の政府関係者が招かれた。

2日後に公開された総括で、 Microsoft の企業・OS セキュリティ担当コーポレート副社長 David Weston はこう書いている ── 顧客とエコシステムのパートナーの双方が、 カーネルモードの外側でのセキュリティ機能を提供するよう Microsoft に求めてきた（Both our customers and ecosystem partners have called on Microsoft to provide additional security capabilities outside of kernel mode）。 そして、 Windows 11 のセキュリティ既定値の改善によって、 カーネルモード外でより多くの機能をソリューション提供者へ渡せるようになった、 と続ける。 完全な「カーネル禁止」ではなく、 ベンダーに「カーネルに居座らずに済む選択肢」を用意する設計変更である。

その後の実装は次のように進んだ。

• 2024年11月（Ignite）: Windows Resiliency Initiative を発表。 起動不能端末を自動復旧する Quick Machine Recovery を含む
• 2025年6月26日: Weston が、 翌月に Windows endpoint security platform のプライベートプレビューを MVI（Microsoft Virus Initiative）パートナーへ提供すると発表。 対象として Bitdefender、 CrowdStrike、 ESET、 SentinelOne、 Sophos、 Trellix、 Trend Micro、 WithSecure の名が挙がった。 狙いは、 アンチウイルスや EDR をアプリと同様に ユーザモードで動かす こと
• 同年夏: Quick Machine Recovery が一般提供に

なぜ Microsoft はそもそも EDR にカーネル特権を与えていたのか。 障害直後、 Microsoft は Wall Street Journal に対し、 2009年に欧州委員会へ提出した相互運用性の誓約（Microsoft Interoperability Undertaking） があるため、 自社製品と同等のアクセスをサードパーティのセキュリティベンダーに与えざるを得ない、 と説明した。 The Register の見出し「EU gave CrowdStrike the keys to the Windows kernel, claims Microsoft」（2024年7月22日）が示すとおり、 これは Microsoft の主張 であって確定した事実ではない。 欧州委員会はこの整理を否定し、 事業モデルを決めるのは Microsoft 自身であり、 EU 競争法の枠内で自社のセキュリティ基盤を脅威に合わせて適応させるのは Microsoft の責任だと反論している。 委員会はまた、 Microsoft が本件の前後を通じてセキュリティ上の懸念を委員会に提起したことはない、 とも述べた。

CrowdStrike の株価と業績

7月19日 の取引で CrowdStrike 株は -11% で引けた。 下落は8月初頭まで続き、 一時 201 ドルを割る場面があった ── 7月の高値（およそ390ドル）からほぼ半値である。 株価は同年10月には300ドル台を回復した。

同社は顧客慰留のため Customer Commitment Packages（CCP） という優遇プログラム（割引・支払条件の緩和・契約期間の延長など）を導入した。 2024年8月の第2四半期（FY2025）決算で会社が示したガイダンスでは、 CCP の影響により サブスクリプション収益が残る各四半期でおよそ3,000万ドル 押し下げられ、 加えて FY2025 下期のプロフェッショナルサービス収益にも数百万ドル台後半の影響が出る、 とされた。 この重しは2025年6月の決算でもガイダンスに残っていた。

それでも CrowdStrike は倒れなかった。 EDR 市場の代替候補は限られ、 リプレイス工数は巨大で、 顧客の多くは契約を維持した。 だからこそ株価は数か月で障害前の水準へ戻り、 一方で収益への重しは1年以上残った。 業界が示したのは、 寡占化したセキュリティスタックの 乗り換えコスト という別種のリスクだった。

一つのデータファイルで実装された設計思想

CrowdStrike 障害は3つの教訓を残した。

1. ソフトウェアサプライチェーンとしての SaaS セキュリティ: 検証を経ない自動更新は、 サプライチェーン攻撃と区別がつかない事故を起こせる。 段階的ロールアウト（カナリアリリース） の義務化議論が急速に進んだ。

2. カーネル特権の再評価: 「OS のもっとも深い場所で動かしてはじめてセキュリティ製品は仕事ができる」という前提が、 ようやく疑われ始めた。 Windows、 macOS、 Linux のいずれも、 EDR をユーザー空間に押し戻す技術的経路を模索している。

3. 責任の所在をめぐる争い: 「2009年の EU との合意がカーネルを開かせ、 それが2024年の障害を可能にした」という説明は Microsoft のものであり、 欧州委員会は正面から否定している。 どちらが正しいかは決着していないが、 規制設計と15年後の技術現実のあいだに溝がありうること自体は、 この論争が可視化した。

850万台の BSOD は、 単一企業の品質管理ミスでも、 単一 OS の脆弱性でもなかった。 「セキュリティ製品に特権を集中させる」という業界全体の設計思想 が、 ある朝、 単一のデータファイルで実装された ── そういう構造的事件だった。