脆弱性診断の必要性 「気づいていない」だけで100万件の個人情報が漏洩した事例と、CISA・INCDが診断を義務化した根拠

「自社のシステムに脆弱性はない」と言い切れる企業はどれほどあるでしょうか。2026年5月、ホテル向けデジタルチェックインシステム「Tabiq（タビック）」の運営会社は、セキュリティ研究者の外部報告を受けて初めて、Amazon S3バケットが6年以上にわたってパスワードなしで誰でもアクセスできる状態だったことを知りました。100万件超の顔写真・パスポート・運転免許証画像が、社員の誰も気づかないまま外部に公開されていたのです。

これは特殊なケースではありません。クラウド労務管理「WelcomeHR」でも約4年2か月間、S3の設定ミスが気づかれず154,650人分のデータがダウンロードされました。どちらの組織にも共通しているのは「悪意ある攻撃を受けたのではなく、自分たちでは気づけなかった」という事実です。

脆弱性診断は「攻撃されるかもしれない未来への保険」ではありません。「今すでに存在している問題を発見するための手段」です。本記事では、診断を実施しなかった組織に何が起きたか、米国・イスラエルの政府がなぜ診断を義務化したかを根拠として、脆弱性診断が必要である理由を具体的に示します。

なぜ脆弱性診断が必要なのか—診断がなかったために起きたこと

• Tabiq（タビック）：S3設定ミスが6年4か月気づかれず、100万件超のパスポート・顔写真が外部公開。2026年に発覚し発見したのは自社ではなく外部の研究者
• WelcomeHR（ワークスタイルテック）：S3設定ミスが4年2か月気づかれず。154,650人分が実際にダウンロードされた後に発覚
• NauNau：APIの認証・アクセス制御の不備により、230万人超の位置情報・チャット履歴が外部から閲覧可能な状態に。外部からの指摘後、修正完了まで期間を要した
• 3事例の共通点：自社のセキュリティチームではなく、第三者が先に問題を発見した
• CISA BOD 23-01（米国政府指令）：「継続的かつ包括的な資産の可視性は、あらゆる組織がサイバーセキュリティリスクを効果的に管理するための基本的な前提条件である」として7日ごとのスキャンを連邦機関に義務化
• 攻撃者の平均エクスプロイト時間（Mandiant 2026）：脆弱性の悪用がパッチ公開前に発生する「-7日」が現実になっている

整理表——診断なしで起きた3事例

事例	気づかれなかった期間	影響件数	誰が最初に発見したか
Tabiq（タビック）	約6年4か月（2020年1月〜2026年5月）	1,060,338件（顔写真・パスポート等）	外部セキュリティ研究者
WelcomeHR（ワークスタイルテック）	約4年2か月（2020年1月〜2024年3月）	162,830人閲覧可・154,650人分ダウンロード済み	外部からのダウンロードで発覚
NauNau	外部からの指摘後、修正完了まで期間を要した	230万人超の位置情報・チャット履歴	複数の外部関係者からの指摘

事例が示す不都合な事実——「いない」のではなく「気づいていない」だけ

Tabiqの事例を改めて整理します。

2020年にサービスを開始した時点から、S3バケットはバケット名「tabiq」を知る誰もが認証なしにアクセスできる状態にありました。6年以上の間、社内の開発者も運用担当者も、この状態を発見できませんでした。発見したのは外部のセキュリティ研究者であり、TechCrunchとJPCERTを通じて会社に通知されたのは2026年5月でした。

WelcomeHRの事例でも同様です。2020年から4年以上、クラウドの設定ミスが社内で発見されることなく、実際に154,650人分のデータが第三者にダウンロードされた後に発覚しています。

この2つの事例に共通するのは「悪意ある攻撃者に侵入されたのではない」という点です。設定ミスや実装の欠陥が最初から存在していたにもかかわらず、それを見つける仕組みがなかったのです。

重要な問いは

「あなたの組織でも、気づかれていない設定ミスや脆弱性が今この瞬間に存在しているとしたら、何年後に誰が発見するでしょうか。」

外部の研究者に発見されるのか、ダークウェブで情報が売られているのを第三者が見つけるのか、それとも自組織の定期診断で先に見つけるのか。選択肢は脆弱性診断の有無によって決まります。

関連

• Tabiq 運営のリクリエ、クラウドストレージ 設定不備で約100万人超の本人確認写真やパスポートなどの画像 情報露出
• WelcomeHRを提供するワークスタイルテックの再発防止策——セキュリティ対策Lab
• モバイルファクトリーがSuishow 株式会社の現代表取締役へ訴訟提起 背景に「NauNau」のセキュリティ管理問題か？

攻撃者はすでにスキャンしている——攻撃側と防御側の非対称性

見落としがちな事実があります。攻撃者はすでに自動化されたスキャンを24時間継続して実施しています。Shodan・Censysなどのツールを使えば、インターネットに公開されているS3バケット・VPN機器・公開APIのうち誰でもアクセスできるものを数分で列挙できます。

CISAが2026年7月に発出した水道施設PLCへの緊急警告でも確認されているように、インターネットに公開された工業制御機器・クラウドリソース・古いAPIは、攻撃者のスキャンによって常にリストアップされています。「自社のシステムが攻撃者にスキャンされている」という前提は、もはや「可能性の話」ではなく現実です。

Mandiantの「M-Trends 2026」は、脆弱性のエクスプロイトがパッチ公開から平均「-7日」、つまりパッチが出る前に悪用が始まることを記録しています。CrowdStrikeは2026年の侵害のうち42%がパッチ公開前の脆弱性悪用だったと報告しています。

攻撃者のスキャンが24時間継続する中で、自組織の診断が年1回行われていない状況は、「守る側が圧倒的に視野が狭い状態」を意味します。

米国政府が診断を義務化した理由——CISA BOD 23-01・26-04の論理

米国連邦政府の対応は、「なぜ診断が必要か」に対する政府レベルの答えです。

BOD 23-01（2022年）は「継続的かつ包括的な資産の可視性は、あらゆる組織がサイバーセキュリティリスクを効果的に管理するための基本的な前提条件である」という立場のもと、連邦政府機関に対して7日ごとの自動資産探索と14日ごとの脆弱性スキャンを義務化しました。

Tabiqの事例と重ねると、この指令の意図が明確になります。「自分たちが何を持っているか把握できていなければ、何を守るべきかもわからない」——週1回の資産探索と隔週のスキャンは、6年間気づかれなかったS3バケットの問題を防ぐために設計された頻度です。

BOD 26-04（2026年6月）はBOD 23-01をさらに発展させ、「資産の可視性」だけでなく「リスクに基づく優先順位付け」を義務化しました。「米国は公共・民間セクターおよびアメリカ国民の安全とプライバシーを脅かす、執拗でますます巧妙化するサイバー攻撃に直面している」という文言から始まるこの指令は、脆弱性管理を組織の自主的な取り組みではなく、リスク管理の基盤として法的に位置づけています。

CISAはさらに、連邦機関向けに無料の外部スキャンサービス（Cyber Hygiene Services）を提供し、ランサムウェア脆弱性警告パイロット（RVWP）では被害が出る前に脆弱な組織へ直接警告を発しています。こうした仕組みが整備された背景には「診断なしでは自力で気づけない」という現実認識があります。

イスラエルINCDとNCSC-UKが示す診断の位置づけ

イスラエル国家サイバー局（INCD）は、ISM（Israel Security Model）の枠組みにおいて脆弱性評価を「基本要件」として分類しています。特に高リスクシステム（インターネット公開・個人情報を扱うWebアプリ・認証基盤）に対しては年2回以上の外部診断を推奨しており、重要インフラについては年次の外部評価が義務化されています。

INCDがこの要件を設けた背景には、イスラエルが実際に国家レベルのサイバー攻撃を継続的に受けてきた経験があります。「自分たちには攻撃者が来ない」という前提を持てない国が、最低限の防衛として定期診断を義務化しているのです。

英国NCSC（国家サイバーセキュリティセンター）のCyber Essentials Plusは、第三者機関による独立した脆弱性テストを認証の要件としています。自己申告では上位認証が取得できない仕組みは、「外部の目なしには問題を発見できない」という現実をそのまま制度に反映しています。

診断を実施しなかった場合の実際のコスト

脆弱性診断のコストを惜しんだ結果として発生するコストを整理します。

Tabiqの事例では、フォレンジック調査・外部法律顧問の費用・個別通知のコスト・再発防止策の実装費用が発生しています。100万件超の通知には相当のコストがかかります。WelcomeHRでは、クレジットカード情報の漏洩も後から判明しており、影響を受けた企業各社が順次発表した委託先への報告・対応コストが発生しています。

個人情報保護法に基づく個人情報保護委員会への報告義務が生じた場合、行政指導・命令・勧告の対象になる可能性があります。今年KDDIのISPメール事案ではパスワードの平文保存と公表遅延を問題視した行政指導が出ており、脆弱性への対応体制の不備は法的なリスクにも直結します。

定期的な脆弱性診断のコストと、漏洩後に発生するフォレンジック・通知・法的対応・信頼回復にかかるコストを比較すれば、診断の費用対効果は明確です。

診断の種類——まず何から始めるべきか

脆弱性診断にはいくつかの種類があり、自社の状況に応じて優先順位が変わります。

クラウド設定診断（CSPM）から始める——TabiqとWelcomeHRの事例はどちらもクラウドの設定ミスです。AWS・Azure・GCPを使用している組織にとって、クラウド設定診断は「自社の問題が今すでに存在しているかどうか」を最短で確認できる手段です。CSPMツールやベンダー提供の診断機能（AWS SecurityHub等）を使えば、比較的低コストで設定状況を確認できます。

Webアプリケーション診断——公開しているWebサービス・APIの入力値検証・認証処理・セッション管理をOWASP Top 10に基づいて検査します。インターネット公開のシステムは攻撃者のスキャン対象の最前線であり、最優先の診断対象です。

ネットワーク脆弱性診断——VPN機器・ファイアウォール・ルーターなどに対してスキャナーを使って既知の未修正CVEを検出します。CISAのKEVカタログと照合することで、現在進行中の悪用リスクが高い脆弱性を優先的に確認できます。

ペネトレーションテスト——実際の攻撃者の視点で侵入を試みる高度な診断です。単一の診断では見えない攻撃チェーンの連鎖を検証でき、より現実的なリスクの把握が可能です。

診断の頻度についてはCISA BOD 23-01が「14日ごとのスキャン」を連邦機関に義務化していることを参考に、インターネット公開資産に対しては少なくとも四半期ごとのスキャン、Webアプリ診断は年1〜2回を目安とすることが推奨されます。

当サイトのAI時代の脆弱性診断サービス選び方ホワイトペーパーでは、診断範囲の決め方・外部委託と内製の使い分け・費用感について詳しく解説しています。

診断を始めるための最初の一歩

「何から始めればよいかわからない」という組織へ向けて、最小限の出発点を示します。

まず今日確認できることがあります。自社が利用しているクラウドサービス（AWS・Azure・GCP）の管理コンソールを開き、「パブリックアクセスが許可されているS3バケット・ストレージ」が存在しないかを確認してください。Tabiqの事例と同様の設定ミスが今この瞬間に存在しているとしたら、それは今日確認できる問題です。

次に、インターネットに公開しているシステムのリストを作成します。ドメイン・IPアドレス・API・管理画面——これが診断対象の出発点です。「何があるかわからない」状態では診断の設計すらできません。

そして年内に外部の専門機関による脆弱性診断を一度実施することを計画します。自社チームのスキャンと外部の独立した診断は別物です。NCSCが上位認証に第三者診断を要件としている理由は、「開発当事者の視点では自分たちの問題を発見しにくい」という現実にあります。

脆弱性とは何かについての基礎知識は別記事で詳しく解説しています。脆弱性の種類・CVSSスコアの読み方・CISAのKEVカタログの活用法についてはそちらをご参照ください。

---

出典

• • Public Amazon bucket leaks sensitive guest data from Japanese hotel platform Tabiq——Security Affairs（2026年5月）
  • BOD 23-01: Improving Asset Visibility and Vulnerability Detection on Federal Networks——CISA（2022年10月）
  • BOD 26-04: Prioritizing Security Updates Based on Risk——CISA（2026年6月）
  • Mandiant M-Trends 2026——Google/Mandiant（2026年）
  • NCSC Cyber Essentials Scheme——UK NCSC
  • AI時代の脆弱性診断サービスの選び方（ホワイトペーパー）——セキュリティ対策Lab
  • 脆弱性とは——セキュリティ対策Lab