本稿は、セキュリティイベント「NDC Security 2026」において、独立系コンサルタントのジェームズ・バーニー氏が登壇したセッション「Lessons from the World’s Biggest Heists」を基に、大規模ハッキングの具体的な手口と、セキュリティ担当者が取るべきコミュニケーション戦略を解説する。

　バーニー氏によると、Sky Mavisが運営するAxie Infinityに関連したハッキングでは、ゲーム内経済を支える独自のブロックチェーンネットワーク「Ronin」と、ブロックチェーンシステム「Ethereum」をつなぐ「Ronin Bridge」が狙われた。Lazarus Groupは、ビジネス特化型SNS（ソーシャルネットワーキングサービス）であるLinkedIn（リンクトイン）を通じて開発者に架空の求人を持ちかけ、選考課題に見せかけたマルウェアを仕込む手法を用いた。これによって開発者の端末を侵害し、取引の承認に必要な9つのノードのうち、Sky Mavisが保有する4つのノードの乗っ取りに成功している。外部組織が管理するもう一つのノードの認証情報も過去の設定不備によって奪取され、結果として約6億2500万ドルの暗号資産流出を招く事態となった。

　暗号資産取引所のBybitへの攻撃では、サプライチェーンを通じた手口が用いられている。Bybitはオフラインで資産を管理する「コールドウォレット」と、日常的な取引に使用する「ホットウォレット」間の資金移動に、外部ベンダーであるSafe Walletのソフトウェアを利用していた。この資金移動には、1人の提案者と3人の承認者による合意を必要とする厳格な承認プロセスが存在する。

　攻撃者はSafe Walletの開発者を標的にマルウェアを感染させ、Bybitの担当者が提案した正常な取引データを、悪意のあるスマートコントラクト（ブロックチェーン上で契約を自動実行する仕組み）にすり替えた。承認プロセス自体は「Ledger」などのハードウェアウォレット（暗号資産を物理的に管理する端末）を利用し、複数の担当者による署名を必要とする堅牢（けんろう）なものだった。しかし、提示されたプログラムのソースコードが極めて難解であり、承認者は内容が改ざんされていることに気付かないまま不正な取引を承認してしまう。

　結果として、15億ドル相当の暗号資産がLazarus Groupの手に渡ることとなった。奪われた資金の一部は、匿名性を高める暗号資産ミキシングサービス「Tornado Cash」を通じて資金洗浄が試みられている。Tornado Cashはスマートコントラクトのみで自律的に稼働する分散型自律組織（DAO）であり、米国政府による制裁対象となった後もシステム自体を完全に停止させることは困難な状態が続く。

　これらの一連の事件に共通するのは、最新の脆弱性を悪用した高度な攻撃というよりは、フィッシングを通じた開発者端末の侵害、特権アクセスの放置、サプライチェーンの弱点、人間がミスをしやすいユーザーインタフェース（UI）といった基本的な管理の隙が狙われた点にある。

　バーニー氏は物理的なセキュリティの事例として、フランスのルーブル美術館における強盗事件にも言及した。この事件では、外部からのサイバー攻撃が原因と報じられた時期もあったが、実態は警報システムや監視体制の陳腐化など、運用上の明らかな不備が被害を招いている。美術館内では旧式OSである「Windows 2000」や「Windows XP」が稼働し続け、セキュリティシステムのパスワードが「louvre」（ルーブル）に設定されていたという。過去に複数回にわたって専門機関からの警告や現場スタッフからの改善要求があったにもかかわらず、経営層がそれらを軽視した結果が巨額の盗難被害につながった。

経営層の投資判断を引き出す「ストーリーテリング」の活用

　企業がこうしたインシデントを防ぐためには、多要素認証（MFA）の導入や特権アクセスの最小化、サプライチェーンのリスク監査など、技術面および運用面の対策を徹底することが前提となる。しかし、ジェームズ氏が強調するのは、これらの対策を実行に移すための「経営陣との合意形成」の重要性だ。

　セキュリティ担当者は、ゼロデイ脆弱性（パッチ未配布の脆弱性）のリスクやシステム上の欠陥といった技術的な専門用語を並べるだけでは、経営陣から十分な関心や予算を引き出すことはできない。経営陣が理解できるビジネス上のリスクや具体的な被害シナリオに翻訳して伝えるストーリーテリングの能力が不可欠だ。ある企業におけるペネトレーションテストでは、子ども向け玩具の通信仕様の脆弱性を指摘するだけではなく、実際に玩具を過熱させて発火させるという物理的な被害のデモンストレーションを実施した。これによって経営陣の危機感が一変し、即座にセキュリティ対策が実行に移されたという。

　サイバーセキュリティの領域において、技術的な知見のアップデートや新たなツールの導入は当然求められる。しかし、予算や人員を獲得し、組織を根本から強固にするためには、セキュリティ担当者自身がビジネスリーダーと同じ目線に立たなければならない。技術的なリスクを具体的な事業損失に結び付け、経営課題として語るストーリーテラーへの転換を図ることが、今後のセキュリティ戦略における要衝となる。

本稿は、NDC Conferencesが2026年3月12日に公開した動画「What we can learn from the World's Biggest Heists - James Birnie - NDC Security 2026」を基に作成しました。