Case 08：穴の空いた財布（The Leaking Wallet）
第1部：消えた1億ポイント
1
「……どういうことですか！ 補償できないって！」
アイギス・ジャパンの応接室に、**守凪**の悲痛な声が響いた。
対面に座っているのは、国内最大級のポイントサービス「Z-POINT」の担当者だ。顔面蒼白で震えている。
「守凪さん……我々も被害者なんです。昨夜未明、会員のポイントが勝手に使われ、ギフト券に交換される被害が急増しました。被害総額は、一晩で**1億ポイント（換算1億円相当）**を超えています……」
「だからって、ユーザーに『管理責任』を押し付けるんですか！？」
守凪は机を叩いた（営業としてはあるまじき行為だが、彼は本気で怒っていた）。
「おばあちゃんがコツコツ貯めたポイントなんですよ！ それを『パスワードが弱いから盗まれました』で済ませるなんて、あんまりじゃないですか！」
「し、しかし、システム上は『正規のログイン』なんです。パスワードも合っている。アイギスのBot Managerも、これを『人間』と判定している……。我々には止める手立てがないんです！」
守凪は言葉に詰まった。
確かに、アイギスのBot Managerは優秀だ。だが、今回の敵はそれをすり抜けている。
守凪は担当者の手をガシッと握った。
「……分かりました。僕が、アイギスの技術全部ぶっ込んで、犯人を止めます。だから……ユーザーへの補償、検討してください。お願いします！」
2
「安請け合いしないでくださいよ、特攻野郎」
SOC（監視センター）に戻った守凪を、亀之助が冷ややかに迎えた。
「『正規のログイン』で入ってきてるなら、それはもうセキュリティの問題じゃなくて、パスワード管理の問題です。アイギスの管轄外だ」
「でも亀之助さん！ 犯人は『API』を使ってるんでしょ？ なんかこう、裏口みたいなやつ！」
「……よく知ってるな」
亀之助は少し感心した。
今回の攻撃は、Webサイトの画面（UI）を操作しているのではない。スマホアプリが裏で通信する**「API（アプリケーション・プログラミング・インターフェース）」**を直接叩いている。
しかも、犯人は日本国内の家庭用ルーターを踏み台にし、正規の端末固有IDまで偽装している。これではボット判定をすり抜けるのも無理はない。
「カメ、これを見て」
ケアラがモニターを指差す。
「Z-POINTのAPIへのアクセスログ。……奇妙なの」
ケアラはツナマヨおにぎりを置き、波形データを拡大した。
「普通、パスワードリスト攻撃なら、もっと雑に数万回叩いてくるわ。でも今回のボットは、『当たり』のIDだけをピンポイントで狙ってる」
「……どこかから、確度の高いリストが漏れてるのか？」
「いいえ。このボット、攻撃の直前に、必ず**『在庫確認API』**を1回だけ叩いてるの。意味のない行動よ。ギフト券の在庫なんて減ってないのに」
亀之助はログを覗き込んだ。
GET /api/v1/stock_check
確かに、ポイント交換のリクエストを送る直前に、必ずこの無意味な通信が入っている。
これでは攻撃効率が落ちるだけだ。なぜこんな無駄な動作を？
「……まるで、『ここにいるぞ』って手を振ってるみたいだな」
第2部：青き狼の合図
3
その日の午後。
守凪は、Z-POINTの本社がある品川のカフェにいた。
クライアントとの打ち合わせ前、少し時間が空いたのでコーヒーを飲んでいると、隣の席に座っていた男が、不意に声をかけてきた。
「……君、アイギスの守凪さんだね？」
守凪は驚いて振り向いた。
そこには、深く帽子を被ったアジア系の青年が座っていた。
疲れた目。少し猫背。手には古びたノートPC。
どこにでもいるエンジニアに見えるが、その纏っている空気が、**十凍**のそれに似ていた。
「ええ、そうですけど……お客さんですか？ なぜ僕の名前を？」
守凪が警戒すると、青年は寂しげに笑った。
「君がZ-POINTに足繁く通っているのは、こちらの界隈でも有名だからね。……僕は超。ただの通りすがりだ」
チョウと名乗った男は、小さな紙切れをテーブルに滑らせた。
「Z-POINTを襲っているボット……『在庫確認』のヘッダを見てくれ。User-Agentの末尾に、モンゴルの詩の英訳が隠されている」
「え？ 詩？」
守凪は呆気にとられた。
「君は……犯人の知り合い？」
「……犯人は、作りたくて作ってるわけじゃない」
チョウは遠くを見る目をした。
「彼には守らなきゃいけない故郷がある。そのために、意に沿わないコードを書かされている。……でも、彼はわざと『足跡』を残した。アイギスなら、気づいてくれると信じて」
その時。
カフェの入り口に、鋭い眼光の男が立った。
仕立ての良いスーツ。隙のない立ち振る舞い。
シェンと呼ばれる、あの男だ。
チョウの顔色がサッと変わる。
「……“狐狩り”が来た。大陸の公安だ。もう行かなきゃ」
「ちょ、ちょっと待ってください！ 連絡先とか！」
守凪が引き止めようとすると、チョウは首を横に振った。
「……『赤い盾』の向こう側には、逃げ場なんてないんだ。……君たちの盾で、彼の悲しいコードを止めてやってくれ」
チョウは風のように店を出て、雑踏に消えた。
入り口のシェンが、冷たい視線を守凪に一瞥し、無言でチョウの後を追っていった。
その視線には、人間を「管理対象」としか見ていない、国家システムの冷酷さがあった。
第3部：APIの盾
4
「……『User-Agent』に詩、だぁ？」
SOCに戻った守凪の報告を聞き、**磯部（親方）**が鼻で笑った。
「営業のホラ話もそこまで行くと芸術だな」
「本当なんですって！ チョウって人が、確かにそう言ったんです！」
守凪が必死に訴える。
「……調べてみる価値はあるわ」
ケアラがログを再解析にかける。
User-Agent文字列。通常はブラウザの種類を示すだけの文字列だ。
その末尾にある、無意味に見える16進数の羅列。デコードする。
Blue Wolf cries under the electric sky.
（蒼き狼は、電子の空の下で泣く）
「……本当だ」
亀之助が息を飲んだ。
「これは署名だ。犯人は、この文字列を含む通信だけをブロックすればいいと教えてくれている」
「よし、じゃあUser-Agentでブロックだ！」
守凪が喜ぶが、亀之助は首を振った。
「いや、それだけじゃ脆い。User-Agentなんて攻撃側ですぐに変えられる。“詩”はあくまで初動の止血だ。恒久対策を打つぞ」
亀之助はキーボードに向かった。
「**『API Security』**で振る舞いを縛る。『在庫確認』の直後に『ポイント交換』へ飛ぶ異常な連鎖を検知して、レート制限をかける」
「さらにダメ押しだ」
亀之助の目が光る。
「**『App & API Protector』**側で、交換APIへのアクセスには追加認証（ステップアップ認証）を要求する設定を入れる。これなら、詩が消されても、ボットは交換処理に辿り着けない」
亀之助の指がEnterキーを叩く。
Z-POINTへの不審な通信が、一瞬にして遮断された。
数千万円分のポイントが盗まれるはずだった通信が、虚空へと消える。
「……攻撃、停止しました」
ケアラが報告する。
守凪はその場にへたり込んだ。
「よ、よかったぁ……。これでお客さんに、補償の話も強気でいけます……」
5
後日。Z-POINTからは、被害者への全額ポイント返還が発表された。
守凪の「特攻」が、企業の財布ではなく、ユーザーの信頼を守ったのだ。
夜のオフィス。
亀之助は、守凪が持ち帰った「チョウ」という男の話を考えていた。
「……守凪さん。そのチョウって奴、どんな顔をしてました？」
「うーん……。すごく優秀そうでしたけど、なんだか泣きそうな顔でしたね。『逃げ場はない』って」
亀之助は、窓の外の夜景を見た。
この光の向こうに、自分の意志とは無関係に、家族を人質に取られてサイバー攻撃を強要されている人間がいる。
敵は一枚岩ではない。
巨大な管理システムの圧力に押しつぶされそうになりながら、必死にSOSを発している「個」がいる。
「……届いたぞ、蒼き狼」
亀之助は小さく呟いた。
「次はお前自身を、守ってやれるといいんだがな」
（第8話 完）
亀之助の技術日誌（Technology Log）
【今回の使用ウェポン：API Security & App & API Protector】
* これはなに？
* **「API専用の多層防御」**です。
* 最近のWebサービスは、人間が見る「画面」よりも、アプリが裏で通信する「データ窓口（API）」の方が狙われます。
* 第1の盾： 今回の「詩」のような特定の特徴を見て、即座に弾く。
* 第2の盾（振る舞い検知）： 「在庫ばかり見て交換する」という不審な動き（シーケンス）をAIが見抜き、ボットを静かに絞め殺す。
* 亀之助のボヤキ
* 「『API』……便利だけど、穴だらけだ。
* 開発者は『画面にボタンがないから押せないだろう』と思ってるが、ハッカーは画面なんて見ない。裏のAPIを直接叩くんだ。
* 今回は守凪さんが拾ってきたヒントで止血できたが、本当の戦いはこれからだ。……現場の『足』も馬鹿にできねえな」
【 導入あり vs なし 比較】
対策なし（ポイント全損）
* 結果：
* 正規のIDとパスワードを使われているため、システムは「本人」と判断してポイント交換を許可してしまう。
* 気づいた時には数億円分のギフト券が発券され、転売されて資金洗浄完了。
* ユーザーは泣き寝入り、サービスは炎上して終了。
API Security あり（被害停止）
* 結果：
* 「在庫確認APIを無意味に叩く」という不審な挙動を検知。
* 追加認証（Bot判定）を要求し、ボットだけをブロック。
* 正規ユーザーの買い物は止めずに、泥棒だけを追い出した。
ケアラの占い部屋（Security Fortune）
【今回のキーワード：APIの脆弱性と「クレデンシャル・スタッフィング」】
* ケアラの解説
* 「あなたの財布、穴が空いてない？
* 今日の攻撃は『クレデンシャル・スタッフィング（パスワードリスト攻撃）』の進化版よ。
* 昔はログイン画面で総当たりしてたけど、今はAPIを直接狙うの。その方が早くて、バレにくいから。
* 企業も『APIの守り方』を知らないところが多いわ。玄関（Webサイト）には鍵をかけてるのに、勝手口（API）は開けっ放し……みたいなね。
* チョウが言ってた『電子の空』……APIの世界は、人間には見えないけど、そこでは秒間何万回もの『窃盗』が行われているのよ」
* 用語集（Termpedia）
* API（Application Programming Interface）： アプリとサーバーがデータをやり取りする接続口。現代のWebの心臓部。
* 金盾（Great Firewall）： 大陸のインターネット検閲・監視システム。シェンのような監視役が、物理的・心理的にも技術者を囲い込んでいる象徴。
#デジタル庁 #不正アクセス #個人情報漏洩
#小説
#AI
#無料
#セキュリティ
#フィクション
#サイバーセキュリティ
#クラウド
#PC
#脆弱性
#デジタル庁
#ハッカー
#不正アクセス
#ボット
#エッジコンピューティング
#個人情報漏洩
エッジ)⑧ 不可視の防｜sora_op
