アスクルやKADOKAWAはなぜ防げなかった？「サプライチェーン攻撃」の正体と、Windowsの『青い画面』があえて出るツールを配る理由

「セキュリティソフトを入れているから大丈夫」「有名な会社のツールだから安心」

もし、あなたがそう思っているなら、この記事は少し耳が痛いかもしれません。しかし、その「安心」こそが、今、日本の大企業を次々となぎ倒している「サプライチェーン攻撃」の正体です。

私は製造業の現場で15年、泥臭いカイゼンを繰り返し、今はSEとしてシステムを作る側にいます。そこで痛感するのは、「最大のセキュリティホールは、システムではなく『人の油断』である」という事実です。

今日は、最近話題のセキュリティ事故の本質を解説すると同時に、あえて「警告が出る」業務効率化ツールをプレゼントします。さらに、その設計図（ソースコード）も全て公開します。これを使い、あなたの「デジタルリテラシー」をテストしてみてください。

大企業が次々とやられる「本当の理由」

最近、アサヒグループ、アスクル、KADOKAWAなど、名だたる企業でのランサムウェア被害や情報漏洩が相次いでいます。彼らはセキュリティに何億円も投資しているはずです。なぜ防げないのでしょうか？

攻撃者は「正面玄関」からは来ない

今のハッカーは、堅牢なファイアウォール（正面玄関）を無理やり突破しようとはしません。彼らが狙うのは、「信頼されている取引先」や「いつもの業務ツール」です。

これが「サプライチェーン攻撃」です。

「取引先からの請求書メールだから開いた」
「いつも使っているフリーソフトの更新だから実行した」

この「無意識の信頼」につけ込み、正規のルートやツールの中にウイルス（バックドア）を紛れ込ませます。つまり、私たちが「便利だ」「知ってる相手だ」と思って自ら扉を開けるのを待っているのです。

Windowsの「青い画面」は邪魔者か？

ネットからダウンロードしたフリーソフトを実行しようとした時、こんな画面が出てイラっとしたことはありませんか？

WindowsによってPCが保護されました (Microsoft Defender SmartScreen は認識されないアプリの起動を停止しました)

多くの人は、これを「作業の邪魔をするエラー」だと思っています。しかし、それは大きな間違いです。

これは、Windowsが必死にあなたを止めている姿なのです。「ご主人様！このファイル、どこの誰が作ったか分からない（署名がない）上に、インターネットから拾ってきたやつですよ！本当に中身を『検品』しましたか！？」と。

この警告が出た時、何も考えずに「詳細情報」→「実行」を押す癖がついている人は、攻撃者にとって「最高のカモ」です。

過去の記事「CADデータは封筒で管理」アナログ運用で疲弊した先輩でも書きましたが、中身を理解せずに「手順」だけを丸暗記する行為は、業務効率化においてもセキュリティにおいても致命傷になります。

【実験】あえて「警告が出る」ツールを配ります

そこで今回は、ちょっとした実験をしましょう。私が現場の作業効率化のために作った「Smart Tool Pack (STP)」を配布します。これは、あえてデジタル署名なしの「野良アプリ」として公開します。

配布ツールの機能（中身は「ド」効率化ツールです）

機能自体は、私が「めんどくさい」を解消するために作った、至って真面目なものです。

作業バックアップ (Backup.bat)
- ファイルをドラッグ＆ドロップするだけで、設定ファイル（setting.ini）を読み込み、日時付きのバックアップフォルダを自動生成します。
- 「あ、上書き保存しちゃった！」という悲劇をゼロにします。
- さらに、設定した世代数（例：10個）を超えた古い履歴ファイルは、自動で削除してくれる親切設計（世代管理機能）つきです。
日付付与 (AddDate.bat)
- ファイルを放り込むだけで、ファイル名の末尾（Suffix）や先頭（Prefix）に自動取得した日付を付与してリネームします。
- 提出用ファイルの作成作業を一瞬で終わらせます。

あなたへの「踏み絵」：ブラックボックス vs ホワイトボックス

このツールパックには、同じ機能を持つ2種類のファイルが入っています。ここに、DX（デジタルトランスフォーメーション）の本質的な問いがあります。

1. [アプリ版] .exe ファイル（ブラックボックス）

特徴: 高速で動きます。アイコンもついています。
リスク: 中身のコードが読めません。
挙動: 初回起動時、Windowsの「青い警告画面（SmartScreen）」が出ます。

2. [スクリプト版] .bat ファイル（ホワイトボックス）

特徴: Windows標準の機能だけで動きます。
メリット: 右クリックして「編集」を押せば、中身のコードが全て読めます。
安全性: 「変な通信をしていないか」「裏で削除コマンドを打っていないか」を、あなた自身の目で確認（検品）できます。

「中身が見える」ことは、最大の防御である

世の中には「オープンソース（無料公開されたプログラム）は、誰が作ったか分からないから怖い」と感じる人がいます。しかし、私の考えは逆です。

メーカー製ソフト（クローズドソース）： 中身はブラックボックス。「私を信じてください」というメーカーの看板だけが頼りです。もし裏で情報を抜いていても、バレるまでに時間がかかります。
オープンソース： 中身はフルオープン。世界中の何万人というエンジニアが「バグはないか？」「変なコードはないか？」と常に衆人環視（監視）しています。つまり、不正を隠す場所がないのです。

今回配布した「スクリプト版（.bat）」や、後述するGitでのコード公開は、まさにこのオープンソースの思想です。「私が作ったから信用して」とは言いません。「コードを見てください。そこに全て書いてあります。不正のしようがありません」 これが、私が考える本当の「誠実さ」であり、セキュリティなのです。