重大システム障害８選

ITmediaさんの「IT史に名を残すシステム障害」8選 (04/17)の要点を、実務視点で簡潔に整理します。

---

① IT史に残る重大システム障害（2015年以降・8事例）

共通点：

• クラウド・ネットワーク中核に集約が進んだ結果、単一点のミスや不具合が社会全体に波及
• 原因の多くは 「人」×「想定不足」

代表的な事例と本質

1. Dyn（2016）
• DDoS攻撃（Mirai）でDNS停止
• SNS・動画・ニュースなど多数のWebサービスに連鎖影響
2. AWS S3（2017）
• 停止期間 約 4時間
• 被害総額： 数百万ドル規模と報道
• 運用コマンドの入力ミス
• 「長年再起動していなかった設計」が復旧遅延を招く
3. Verizon（2019）
• BGPルーティング情報の誤公開
• フィルタリング未実施が世界規模障害に拡大
4. Google（2020）
• 停止期間 約 45分間
• 影響 　Googleアカウントに依存するサービスで障害
• Gmail、Google Drive など
• 認証エラーにより、ログイン不可のユーザーが広範囲で発生
• 影響ユーザー数の具体記載はなし
• クオータ管理システム切替ミス
• フェイルセーフはあったが「想定外パターン」をカバーできず
5. Fastly（2021）
• 停止期間 障害発生から 49分以内にネットワークの95％が復旧
• 潜伏していたソフトウェアバグが設定変更で顕在化
• 復旧は迅速だが影響範囲は極めて広い
6. Facebook / Meta（2021）
• 影響
• 全データセンターの接続断 
• 停止したサービス 　Facebook、Instagram、WhatsApp
• メンテナンス作業で全DC接続断
• 防ぐべき監査ツール自体にバグ
7. Rogers（2022）
• 停止期間
• 約1日間
• 影響
• カナダ全土で 1,200万人以上 に影響
• 利用不可となったサービス
• 携帯電話回線
• インターネット
• 緊急通信サービス
• ACL削除という単純ミス
• 通信・緊急通報含め1200万人超に影響
8. CrowdStrike（2024）
• 停止・影響継続期間
• 不具合更新の公開停止：問題発見から約1時間後 
• センサー 99％復旧宣言：障害発生から10日後 
• 影響
• 影響端末数：
• 約850万台のWindowsデバイス（Microsoft推定）
• 影響業界
• 航空（American / United / Delta など）
• 金融
• 医療 
• 一部企業では数日後も完全復旧に至らず 
• セキュリティ製品の更新不具合
• Windows端末 約850万台がクラッシュ
• サプライチェーン型リスクの象徴事例

---

② システム障害の「よくある3つの原因」

1. ヒューマンエラー
• 設定ミス、運用手順ミス、バグ
• 最も頻発・最も現実的
2. ハードウェア／環境要因
• 故障・停電・災害
• クラウド時代でも消えないリスク
3. 悪意ある行動（サイバー攻撃）
• DDoS、不正アクセス、ランサムウェア
• 完全防御は不可能

---

③ 想定外に備えるための3つの対策（教訓）

1. セーフティネット（冗長性・監視）
• フェイルオーバー
• 継続的モニタリングとアラート
2. 事前テストと全社的コミュニケーション
• 災害・障害対応訓練は IT部門だけで完結させない
• 経営・業務部門を含めた合意形成
3. バックアップの実効性確保
• オフライン参照手段
• 定期バックアップ＋「復旧できるか」の検証

---

④ 全体を貫くメッセージ（超要約）

「障害は起きるもの」
重要なのは “起こさない努力” より
“起きたときに社会的被害を最小化できる設計と運用”

---

アフィリエイターがこぞって勧めるShellの充電器は買うなという話

https://note.com/techk/n/nc885bdbe1764 (2025/12/22)

『 つまり、Shell充電器は、無名メーカーの製品を無名企業が仕入れ、国が名指しで指摘するハイリスクな事業者が認証を行い、Shellのロゴを付けて販売している状況というわけです。 』

その経産省が指摘するハイリスク事業所リスト「連絡不通事業者リスト」も興味深いが、
そもそも何故 販売差し止めしないのか。

SharePointサーバ なりすましの脆弱性 CVE-2026-32201

Microsoft SharePoint Server のなりすましの脆弱性 (04/14)

『攻撃者がこの脆弱性を悪用した場合、機密情報を閲覧し (機密性)、開示された情報に変更を加える (完全性) ことはできますが、リソースへのアクセスを制限することはできません (可用性)。』

Known Exploited Vulnerabilities Catalog にも載っている (04/14)

『Microsoft SharePoint Server contains an improper input validation vulnerability that allows an unauthorized attacker to perform spoofing over a network.』

CVE-2026-5281 Chromiumベースの製品の脆弱性

CVE-2026-5281 (04/01)

『Google Dawn には、レンダリング処理を不正に操作したリモート攻撃者が、細工したHTMLページを介して任意のコードを実行できる可能性がある、Use-After-Freeの脆弱性（解放されたメモリを再使用宣言なく使用する脆弱性）があります。』以上機械翻訳と手直し少々

KEV Catalog (04/01)

『この脆弱性は、Google Chrome、Microsoft Edge、Opera などを含む複数のChromiumベースの製品に影響を与える可能性がある』　以上機械翻訳

「Google Chrome 146」には脆弱性の修正も ～深刻度「Critical」を含む29件に対処 - 窓の杜 (03/12)

『Windows環境ではv146.0.7680.71/72が展開中

　・・・

深刻度の最大評価は、4段階中最高の「Critical」。』

「Microsoft Edge」にゼロデイ脆弱性、WebGPU実装「Dawn」の欠陥を突く攻撃が確認 - 窓の杜 (04/06)

『修正版のv146.0.3856.97が展開中、できるだけ早い適用を

　・・・

　深刻度の最高評価は、4段階中上から2番目の「High」。なかでも、WebGPU実装「Dawn」で発見された解放後メモリ利用（Use after free）の脆弱性 「CVE-2026-5281」はすでに悪用が確認されており、警戒が必要だ。できるだけ早いアップデートをお勧めする。』

FortiClient EMS API認証および認証バイパス

https://fortiguard.fortinet.com/psirt/FG-IR-26-099

「FortiClient EMSの不適切なアクセス制御脆弱性[CWE-284]により、認証されていない攻撃者が不正なコードやコマンドを細工されたリクエストで実行できるようになる可能性があります。

フォーティネットはこれを実際に悪用する点を指摘しており、脆弱な顧客に対して、以下の手順に従って、FortiClient EMS 7.4.5および7.4.6のホットフィックスをインストールするよう呼びかけています。」　以上機械翻訳

Claude Mythos Preview

Anthropicが警鐘を鳴らすAI時代のサイバー脅威　企業が採用すべき対策とは：セキュリティニュースアラート - ITmedia エンタープライズ (04/15)

『

AI加速型攻撃への対抗策　組織が直面する課題と実践的な防御実装とは

パッチ適用の遅延解消（最優先事項）

• 既知の脆弱性は公開後すぐに悪用手法が確立されるため、インターネット公開システムでは24時間以内の対応が望ましい
• 米国の既知悪用脆弱性カタログや確率指標を活用し、適切な優先順位を付ける

脆弱性報告の急増への備え

• 報告件数が桁違いに増えることを見込み、受付・分類・修正管理の仕組みを根本から見直す
• オープンソース依存関係の安全性評価や、ベンダーに対しても同水準の対策を求める
• AIを報告の重複整理、影響分析、修正チケット作成などに役立てる

出荷前の欠陥検出体制の強化

• 静的解析、AIによるコードレビュー、継続的テストの導入によって問題の早期発見を図る
• ビルド工程の保護や安全設計の原則を採用し、新規開発ではメモリ安全性の高い言語を利用する

既存コードの再検証

• 長期間運用されているシステムには未発見の問題が残る可能性が高いため、AIによる再分析を実施する
• 特に外部入力処理や認証関連など、影響の大きい箇所から優先的に調査する

侵入を前提とした設計

• 侵入を完全に防ぐことは困難なため、ゼロトラストの採用、ハードウェア認証、短期間で失効するトークンの利用などで被害範囲を限定する

公開資産の把握と削減

• 接続資産を正確に把握し、不要なシステムを停止して攻撃面を縮小させる
• AIを活用して未使用コードや不要なサービスを特定し、模擬攻撃による検証を実施する

インシデント対応の迅速化

• アラートの初期分析や記録作成をAIに任せ、人間が判断に集中できる体制を構築する
• 複数の同時事案を想定した訓練や、検知能力の可視化を重視する

脆弱性報告の質の確保

• AI生成の報告が増える中で、人間による検証、再現手順、修正案の提示を不可欠とし、信頼性を確保する

専門部門を持たない組織向けの対策

• 自動更新の有効化、マネージドサービスの利用、ハードウェア認証の導入を推奨
• コードホスティングサービスが提供する無料のセキュリティ機能を積極的に活用する

　同社は今後もパートナーとの取り組みを通じて指針を更新するとしており、AI時代における防御戦略の継続的な見直しの必要性を強調している。

』

関連

Claude Mythosの衝撃 (04/11)

Device code attacks #2

Q. 先の記事の"デバイス"と手法を紹介しているビデオはありますか?
A. デバイスコードフィッシングの攻撃手法を、実際の操作画面（デモ）を交えて解説している非常にわかりやすい動画がいくつかあります。

英語の動画が中心ですが、攻撃者がどのようなツールを使い、被害者がどのように騙されるのかという「攻撃の流れ」が視覚的に理解できるものを紹介します。

1. 攻撃と対策の全行程がわかるデモ（おすすめ）

動画タイトル：YOU NEED TO BLOCK THIS (Device Code Auth in M365)

（チャンネル：diecknet EN / 約9分）

この動画では、攻撃者側と被害者側の両方の画面を並べてデモを行っています。

• 攻撃のデモ (01:21〜): 1. 攻撃者がコマンドラインツール（TokenTactics）を実行し、正規の「デバイスコード」と「認証URL」を取得します。

  2. 攻撃者が被害者に「システム確認のためにコードを入力してください」といった偽のメッセージを送ります。

  3. 被害者が**公式サイト（microsoft.com/devicelogin）**にアクセスし、送られてきたコードを入力します。

  4. 被害者が「続行」を押すと、攻撃者の手元にあるツールに「認証済みトークン」が届き、パスワードなしでアカウントが乗っ取られる様子が映し出されます。

• 対策の解説 (04:37〜): * Microsoft Entra ID（旧Azure AD）の設定で、この「デバイスコードフロー」自体をブロックする方法を解説しています。

2. 「MFA（多要素認証）が効かない」ことを強調したデモ

動画タイトル：How to Stop Device Code Flow Attacks in Entra

（チャンネル：Threatscape / 約5分）

この動画のポイントは、被害者が**「物理セキュリティキー（FIDO2）」という非常に強固な認証を使っているにもかかわらず、攻撃が成功してしまう**ことを実演している点です。

• 見どころ (02:01〜): 被害者が指紋認証や物理キーで「正しくログイン」したその瞬間に、攻撃者がトークンを奪取してメールやファイルにアクセスできるようになる流れが非常にスピーディーに示されています。

---

動画で示されている共通の「攻撃の流れ」まとめ

これらのデモ動画を見ると、以下の3ステップがこの攻撃の核心であることがわかります。

1. 「本物のサイト」へ誘導する: 偽サイトではなく、MicrosoftやGoogleの本物のログインページにコードを入力させるため、被害者は警戒心を解いてしまいます。

2. ログイン後の「権限」を奪う: ユーザーがログインを完了すると、その「ログイン済みの状態（トークン）」が攻撃者のマシンに転送されます。

3. パスワード・MFAをバイパス: ユーザーが自分でMFAを突破して「許可」ボタンを押してしまうため、どれほど強固な認証を設定していても防げません。

より専門的・技術的な詳細に興味がある場合は、2025年のハッカーカンファレンスでの講演**「DEFCON33 - Turning Microsoft's Login Page into our Phishing Infrastructure」**も、この手法がどのように悪用されているかを深く掘り下げており、非常に参考になります。