黎明期からインターネット産業に深くコミットしているGMOインターネットグループは、サイバーセキュリティにも力を入れ、グループ内にいくつもセキュリティ会社を持つ。その1社、GMOサイバーセキュリテイbyイエラエは、ホワイトハッカー集団として、企業の情報システムの脆弱性を指摘し続けている。創業者・牧田誠CEOが語る日本の弱点とは。（雑誌『経済界』2026年9月号より）
牧田 誠 GMOサイバーセキュリティbyイエラエのプロフィール
まきた・まこと 群馬大学工学部を卒業後、ソフトバンクおよびサイバーエージェントでセキュリティ診断チームの立ち上げを行う。2010年から、経産省のCTFチャレンジジャパンや、世界最大のハッキングイベント、DEFCON CTFに参加し好成績を収める。11年にイエラエセキュリティ（現GMOサイバーセキュリティ byイエラエ）を創業しCEOに就任。
イエラエによる侵入率は82％
―― 日本のサイバーセキュリティの脆弱性が指摘されています。まずは足元の世界的なトレンドと、今起きている急激な変化について教えてください。
牧田 本当に急激な変化が起きていると私自身も強く実感しています。オープンＡＩのチャットＧＰＴが登場し、それに負けじとアンソロピックやグーグルなどが競い合ってＡＩを進化させていく。そこまでは、通常の技術開発やビジネスの競争でした。
しかし、ミュトスに代表される高度なＡＩモデルが登場したことで、急激にトーンが変わりました。この変化は、私のような専門家から見ても非常に大きなインパクトです。
ＡＩ自体は、ソースコードを書き、それを理解し、セキュリティの脆弱性を発見してパッチを当てるという、ＡＩの進化のロードマップとしては「順当な進化」を遂げたに過ぎません。では、なぜここまで世界、特に米国政府が騒ぎ、規制に動いているのか。
それは、ＡＩの開発競争が、単なる技術の優位性を争うフェーズから、いわば核兵器の保有競争のような国防・安全保障の問題にシフトチェンジしたからです。サイバー攻撃に極めて有効に機能する兵器が誕生してしまい、しかもその性能が驚くほど高い。これにより、サイバー攻撃の脅威はこれまでの比ではない次元に突入しました。
―― これまでの脅威と、何が決定的に違うのでしょうか。
牧田 システムの脆弱性そのものは、この20～30年の間、ずっと存在し続けています。われわれは十数年、企業システムの脆弱性を見つけて対応する仕事をしていますが、脆弱性が全くないシステムなど、昔も今もこの世に存在しません。
決定的な違いは、ＡＩという、眠らず、超高速で働く攻撃者が登場したことです。人間のハッカーであれば、ソースコードを読み、脆弱性を探すのには限界がありますし、休息も必要です。しかしＡＩは、電力さえあれば24時間３６５日、人間の何千倍ものスピードでソースコードを読んでいく。これによって、ひっそりと眠っていた、あるいは見過ごされてきたシステム上の脆弱性が、一瞬にして無差別かつ大量に明るみに出るようになってしまったのです。それがわれわれの直面している大きな課題です。
―― 米国政府がミュトスに対して、輸出規制などの法的な制限をかけているのも、そうした危機感の表れですか。
牧田 その通りです。ただし、これは技術ですから、どれだけ規制しても、数カ月のタイムラグを経ていつかは中国、北朝鮮、ロシアといった国々や、悪意を持った攻撃者グループも同等のＡＩを作れるようになる。技術を完全に独占し続けることは不可能です。米国が今やっているのは、時間稼ぎに過ぎません。情報を公開せず、規制をかけることで敵対勢力の開発を少しでも遅らせる。そして、その稼いだ時間を使って自分たちが攻撃された時に備え、見つかる限りの脆弱性を前もってシラミ潰しに点検している段階なのだと思います。
ＡＩを使った無差別的なサイバー攻撃があちこちから仕掛けられるＸデーは必ず来る。それでも自分たちだけは生き残れるようにと米国は考えている。本来であれば日本のような友好国の政府機関や金融機関に対しても、順次この技術を開放していく計画だったのでしょうが、米国の法規制の強化によって、その門戸が閉ざされつつあるのが今の状況です。
―― 日本の現在地はどこにあるのでしょうか。
牧田 残念ながら、日本は完全に周回遅れになっています。ＡＩの開発力もオープンＡＩやアンソロピックのレベルには達していませんし、セキュリティに対する技術力も、そして何よりマインド的にも大きく遅れています。
われわれはＡＩが登場する以前から、企業のシステムに実際に疑似攻撃を仕掛ける「ペネトレーションテスト（侵入テスト）」を行っていますが、日本企業に対する侵入成功率は82％です。つまり、高度なハッカーが本気を出せば、日本の重要システムや企業の社内ネットワークには、何かしらの方法で必ず侵入できる現実があります。これほど危険な状態であるにもかかわらず、そこに本質的な危機感を持っている日本の経営者やビジネスパーソンは、まだまだ少なすぎます。
セキュリティこそ競争優位性のはず
―― ここ数年を見ても、ＫＡＤＯＫＡＷＡ、トヨタ自動車グループ、アサヒビールなど、日本を代表する大企業が相次いで大規模なサイバー被害に遭っています。これだけ実例が出ているのに、なぜ日本企業の意識は変わらないのでしょうか。
牧田 多くの経営者にとってサイバー攻撃がまだ他人事であり、対岸の火事だからです。そして、日本固有の「のど元過ぎれば熱さを忘れる」という国民性も災いしています。例えば、同業他社がランサムウエアなどで派手にやられた瞬間は、社内の会議で「うちは大丈夫か？」とトップが騒ぐわけです。しかし、数カ月がたってそのニュースが落ち着くと、社内のトーンも一気に下がってしまう。
もう一つの大きな要因は、日本の経営陣がセキュリティを単なるコストとして見ている点にあります。本来、セキュリティが強固であることは、他社との差別化要因であり、顧客から選ばれるための競争優位性そのものであるはずです。しかし、経営者の頭の中では利益を生まないコストと割り振られてしまう。
さらにそこへ、生存バイアスが強烈にかかります。「昨日もサイバー攻撃で潰れなかった。一昨日も大丈夫だった。だから今日も、明日も、わが社は大丈夫だろう」と、根拠のないバイアスがかかってしまう。自分たちのビジネスの存続に関わる問題として、本気で対策をしなければ、自社のサービスだけでなく、顧客の情報や資産を守れないという強い当事者意識を、経営トップ自身が持つことが必要です。
―― 牧田さんは元々、ホワイトハッカーとして最前線で活動されていましたが、最近はイエラエ社長として経営者への啓蒙活動にシフトされている印象を受けます。社会の意識が徐々にでも変わってきているという手応えはありますか。
牧田 本質的な意味では、まだまだ変わっていません。何より、時代の進化とテクノロジーの速度に、人間の意識の変化が追いついていないのです。ＡＩの登場以降、変化のスピードは劇的に加速しました。先週までできなかったハッキング手法が、今週はＡＩによって自動化されて可能になる時代です。つまり先週まで安全だと言われていたシステムが、今週はもう安全ではなくなるという世界観です。
確かに、国や大企業を含めてペネトレーションテストをやりたい、という引き合いは増えています。その意味で確実に変わってきています。しかし、ミュトス級のＡＩによる攻撃のＸデーに間に合うかどうかについては、非常に強い危機感を抱いています。
サイバーセキュリティに自賠責保険の導入を
―― この膠着した状況を打破し、日本全体のセキュリティ意識を一気に変えるには、どのような施策が必要だとお考えですか。
牧田 当社の取締役でもある元陸将の廣恵次郎さんが話していたことですが、自動車の自賠責保険のような強制的な仕組みをサイバーの世界にも導入するのは合理的だと思います。法律で、企業の売り上げの一定割合（例えば１～２％）をサイバーセキュリティ予算として計上することを義務付けるようなルール作りです。
なぜそこまでする必要があるかというと、サイバー空間において、対策を怠っている企業は、被害者であると同時に、重大な「加害者」になり得るからです。ハッキングされると、そこに含まれる連絡先データが悪用され、取引先や顧客に対して、その会社の名をかたったフィッシングメールが大量に送信されることになります。だからこそ、国レベルでの強制力を持ったガイドラインやルールの策定が必要です。
―― 海外、例えば欧州や米国ではどのように企業を動かしているのでしょうか。
牧田 欧州はＧＤＰＲ（欧州一般データ保護規則）のように、個人情報を流出させたら、企業のグローバル売り上げの数％という、天文学的な額の罰金を科す。経営者からすれば、そのリスクを背負うくらいなら、その何十分の一のコストで済むセキュリティ対策に投資した方がはるかに合理的です。
一方、米国企業は経済的合理性で動いています。彼らは非常にドラスティックです。このビジネスは１００億円の価値がある。ハッキングされて止まったら１００億円の損失になる。だからこれを守るために数億円をセキュリティに投資するという計算が成り立っています。逆に言えば、まだ利益を生まないスモールビジネスなら割り切って投資しない、という判断も徹底しています。
日本の場合は、こうした欧州のような強烈なムチもなければ、米国のような徹底した経済的合理性の割り切りもない。結果として、誰も決断しないまま放置されているのが現状です。理想を言えば、セキュリティ対策を徹底している企業の製品やサービスが、市場やユーザーから優先的に選ばれるというようになれば、日本企業も自発的に変わっていくはずなのですが。
―― そうした社会になるために、イエラエの果たす役割はなんでしょう。
牧田 日本中のシステムの脆弱性を、徹底的に可視化することです。日本の経営者がセキュリティ投資をしないのは、悪意があるからではなく、単に「自分たちのシステムに問題があることを知らないから」です。自分たちは安全だと思い込んでいるから、投資の必要性を感じない。そこでわれわれは、ＧＭＯのインフラを利用している約６００万弱のドメインを対象に、自動でセキュリティ状態をスキャンし、「あなたのサイトには、今これだけの脆弱性がありますよ」と無料で通知する「ネットで診断」というサービスを展開しています。
まずは無料で簡単な健康診断をしてあげて、「あなた、実は全然健康じゃないですよ」という事実を突きつける。課題が明確に可視化されれば、正常な経営陣であれば「これはまずい、予算をつけて直さなければ」という思考に変わるはずです。この問題意識の可視化こそが、日本全体を周回遅れから救うための、最も強力なステップだと信じて活動しています。