※ この記事は実験的な趣向でおこなっております。AIに作らせてみたらどうなるかという感じです。そういう意味であまり記事内容を信用しすぎないようお願いします。一応一次資料に基づく裏取りは可能です。
この記事は、2026年6月17日（水）公開の動画「触れずに乗っ取られるスマホの恐怖。AI爆発の裏で、米国が最強AIを隠した理由」の第2章「豆腐店と病院、漏れた信頼」を中心に、特に注目したいポイントをピックアップして解説したものです。
2026年6月中旬、業種も規模も対照的な2件の情報流出インシデントが相次いで公表された。佐賀県の老舗豆腐メーカー「佐嘉平川屋」によるウェブスキミング被害と、愛知県の「藤田医科大学病院」におけるシャドーIT起因の患者情報漏洩だ。
一見まったく無関係に見えるこの2件を構造的に比較すると、攻撃者が一貫して同じ手口を狙っていることがわかる。
「境界の外にデータが出た瞬間、守りは無効化される」 ——本記事ではこの構造を軸に2件を解説し、エンジニアとして押さえるべき観点を整理する。
件1：佐嘉平川屋のウェブスキミング攻撃
何が起きたか
佐賀県武雄市の豆腐製造販売業者「佐嘉平川屋」は、2026年6月15日、自社公式オンラインショップが第三者の不正アクセスを受け、長期間にわたりシステムの一部が乗っ取られていたことを公式に認めた（セキュリティ通知、公式PDF）。
攻撃手法は ウェブスキミング （Magecart手法）だ。決済アプリケーションの脆弱性を突き、攻撃者は管理画面経由で注文完了時の処理プログラムを改ざんした。利用者が正規画面に入力したカード番号・有効期限・セキュリティコード（CVV）を、裏側で攻撃者のサーバーへリアルタイム送信する仕掛けを埋め込んでいた。
被害規模
| 種別 | 被害人数 | 件数 | 対象期間 |
|---|---|---|---|
| クレジットカード情報 | 5,783名 分 | 6,303件 | 2025年3月21日〜2026年3月10日 |
| 会員・顧客情報 | 30,170名 分 | 73,213件 | 2021年4月6日〜2026年3月10日 |
企業ガバナンスの問題：2ヶ月半の公表遅延
特筆すべきは情報開示の遅れだ。同社は 2026年3月9日 にカード会社からの指摘を受けて即時決済を停止し、 3月27日 には調査を完了して被害人数を特定していた。にもかかわらず、公表は 6月15日 と約2ヶ月半が経過している。
この間、被害を受けた可能性のある顧客は二次被害リスクにさらされ続けた。技術的な被害を拡大させないことに成功した一方で、情報開示の遅れという企業ガバナンスの課題を浮き彫りにした事案でもある。
なぜSSL・決済代行サービスを使っていても被害が出るのか
通常のフロー:
ユーザー → 入力フォーム → 決済代行サービス（SSL通信）→ 安全
スキミング後のフロー:
ユーザー → 入力フォーム → 決済代行サービス（SSL通信）→ 安全
↓
改ざんされた処理プログラムが並走
↓
攻撃者のサーバーへリアルタイム送信
SSLや決済代行サービスへのPCI DSS準拠は「正規の通信経路」を守る仕組みだ。しかし フォームへの入力という行為そのものが攻撃対象 になった場合、データが正規の経路に乗る前の段階で横取りされる。管理画面経由で処理プログラムを書き換えられた瞬間、入力値はサーバーのセキュリティ境界の「外」に流出する経路が生まれていた。
件2：藤田医科大学病院のシャドーITとサポート詐欺
何が起きたか
愛知県豊明市の「藤田医科大学病院」が 2026年6月3日 に発表した事案は、組織規定を無視した情報管理と古典的なネット詐欺が最悪の形で結びついた結果だった（ITmedia 報道）。
発端は シャドーIT だ。勤務する看護師が、持ち出し禁止の患者の臨床情報を私物ノートパソコンへコピーして保管していた。 2026年5月25日 、自宅でそのPCを使用中に偽の「セキュリティ警告」が大音量で表示されるサポート詐欺に遭遇。表示された連絡先へ電話したところ、サポートスタッフを装う詐欺グループに誘導され、遠隔操作プログラムを実行させられた。攻撃者はPCの制御権を奪い、PC内の全データが読み取られた可能性が指摘された。
被害規模
漏洩した患者情報は 計1,365名 分。患者ID・氏名・性別・生年月日・病名・転帰・入退院日・検査値など、極めて機微な項目を含む。
境界防御が無力化されるまでの経路
管理境界内（病院ネットワーク）:
電子カルテ → ファイアウォール・アクセス制御・監査ログ → 保護されている
持ち出し後（境界外）:
私物PC ← 患者情報をコピー（ここで境界を突破）
↓
セキュリティ対策ゼロの個人環境でブラウジング
↓
サポート詐欺の偽警告を踏む
↓
攻撃者が遠隔操作でPC内を取得
電子カルテへの攻撃ルート自体は遮断されていた。しかしデータが一度でも私物PCにコピーされれば、病院のファイアウォールも監査ログも一切機能しない。「持ち出した瞬間」が境界突破のタイミングだった。
両件を貫く構造：「境界の外に出した瞬間に負ける」
2件を並べると、攻撃者が狙う本質が見えてくる。
| 佐嘉平川屋 | 藤田医科大学病院 | |
|---|---|---|
| 守っていた境界 | 組織が管理するサーバー・通信経路 | 組織が管理するネットワーク・デバイス |
| 境界の外に出たタイミング | 改ざんされた処理プログラムがフォーム入力を横取りした瞬間 | データを私物PCにコピーした瞬間 |
| 既存防御が無効になった理由 | SSL・PCI準拠は「入力後の通信」を守るもの | ファイアウォール・監査は「境界内」を守るもの |
| 攻撃者のアクション | 外部サーバーで横取りデータを受信 | 遠隔操作で境界外デバイスのデータを取得 |
攻撃者は組織の防衛ラインを正面突破しようとは考えない。 データが境界の外に出る瞬間を待ち、そこに罠を仕掛ける 方が圧倒的に低コストで確実だ。
- ウェブスキミング ：決済フォームの処理プログラムを書き換え、入力値がサーバーに届く前にコピーする
- シャドーIT＋サポート詐欺 ：組織の管理が届かない私物PCを攻撃し、持ち出されたデータを取得する
いずれも組織の正規セキュリティ対策を「迂回」するのではなく、「対策が届かない場所」にデータを誘き出す戦略だ。
エンジニアが取るべき対策
1. ウェブスキミング対策（開発者向け）
Content Security Policy（CSP）の徹底
外部スクリプトの読み込み元と通信先を制限し、想定外のドメインへのデータ送信を遮断する。
Content-Security-Policy: script-src 'self' https://trusted-payment.example.com;
connect-src 'self';
スキミングスクリプトの多くは外部ドメインへのデータ送信が必要なため、CSPは有効な抑止力になる。
Subresource Integrity（SRI）の活用
外部CDNやサードパーティスクリプトを読み込む場合、ハッシュ値で整合性を検証する。これにより、CDN経由でのスクリプト差し替えを検知できる。
<script src="https://example.com/script.js"
integrity="sha384-xxxxxxxxxxxx"
crossorigin="anonymous"></script>
決済処理プログラムへのアクセス制御と監査
管理画面経由でのプログラム改ざんが今回の起点だった。管理画面へのアクセスは多要素認証・IPアドレス制限を徹底し、処理プログラムの変更ログを定期的に監査する体制が必要だ。
2. データ持ち出し対策（組織・システム設計向け）
DLP（Data Loss Prevention）の実装
機密情報を含むファイルの外部メディアへのコピーや持ち出しを、技術的に制御・監視する。「禁止ルール」だけでは不十分で、技術的な強制が必要だ。
ゼロトラスト原則の適用
「社内ネットワークにいるから安全」という前提を捨て、デバイス・ユーザー・アプリケーションを都度認証・認可する設計にシフトする。私物デバイスには原則として業務データへのアクセス権を与えない。
最小権限の原則
業務に必要なデータへのアクセス権のみを付与し、不必要なデータのコピーが技術的にできない状態を作る。
まとめ
豆腐店と病院、業種も被害規模も異なる2件のインシデントだが、その根底にある構造は同じだ。
攻撃者はあなたの防御が届かない場所を狙う。
ファイアウォール、SSL、アクセス制御——これらはすべて「境界の内側」を守る仕組みだ。データが境界の外に出た瞬間、いかに強固な防御も一切機能しなくなる。決済フォームの処理プログラム改ざんも、私物PCへのデータ持ち出しも、攻撃者が狙ったのはまさにこの「境界の穴」だった。
加えて、佐嘉平川屋の事案は 3月の被害特定から6月の公表まで約2ヶ月半 というタイムラグが問題を複雑にした。技術的な対応と同時に、情報開示の速度もガバナンスの一部として設計する必要がある。
設計時に「このデータはどの境界の中にあるか」「境界の外に出る経路はないか」という問いを習慣化することが、今後のインシデントを防ぐ最初の一歩になる。