泥棒をダマして守る？ 攻撃者心理を逆手に取る最新セキュリティ戦略「サイバーデセプション」：半径300メートルのIT

防御側は全ての資産を守り続けなければならないのに、攻撃者は一つの隙を見つければいい。この構造的な不利を覆す手段として、IPAが「サイバーデセプション」の資料を公開しました。攻撃者をだます防御とは何でしょうか。そもそも従来のハニーポットと、どこが違うのでしょうか。

[宮田健，ITmedia]

　先日参加したセキュリティに関する展示会で、あるブースで「デセプション」というキーワードが目に入りました。その時点では私も詳細を把握できておらず、説明を聞くと海外では浸透しつつある技術とのことでした。

　それから数カ月。なんとそのキーワードを再び目にすることとなりました。情報処理推進機構（IPA）の産業サイバーセキュリティセンターは2026年7月、中核人材育成プログラム 卒業プロジェクト 第9期生の成果物として、資料「サイバーデセプションー攻撃者心理を逆手に取る能動的防御戦略ー」を公開しました。これが非常に興味深い内容で、当初私が感じた疑問もクリアになる、有用な資料でしたので、ぜひ紹介したいと思います。

サイバーデセプションー攻撃者心理を逆手に取る能動的防御戦略ー（出典：IPAのWebサイト）

「防御側圧倒的不利」の構造をどう壊すか？

　成果物はホワイトペーパーのサマリー版と本編の2種類が公開されています。

• サイバーデセプションー攻撃者心理を逆手に取る能動的防御戦略ー（IPA）
• 中核人材育成プログラム 卒業プロジェクト 第9期生 | デジタル人材の育成（IPA）

　そもそも「サイバーデセプション」のデセプションとは、欺瞞（ぎまん）、だますこと、という意味です。いったい何をだますのかといえば、サイバー攻撃をする侵入者です。デセプションを「相手の認知・判断・行動に影響を与え、自らに有利な結果を導くための意図的な働きかけ」と定義し、セキュリティ戦略にこのデセプションを組み込み、攻撃者心理を元に実態を隠し、虚像を見せることで攻撃者の判断を誤らせることが狙いです。

　これまで、私たちは防御の壁を高く、厚く、何層にも構築し、いかに侵入を防ぐかという点に注力してきました。しかし攻撃側は、私たちが何重にも設置した鍵のうち、一つでも侵入できる窓を見つければ成功してしまいます。これをして、攻撃側が圧倒的優位、防御側は圧倒的に不利という、非対称性のある構造と表現されることが多かったと思います。

　サイバーデセプションでは、攻撃者の心理に着目します。システム内に本物そっくりの「偽のデータ」や、「偽のサーバー」を配置することで、攻撃者がそれらに侵入した際、アラートを発し管理者が認識できるようになります。攻撃者に対し、「果たしてそれは本物か、それとも罠か」と疑心暗鬼にさせることで、攻撃者の時間、作業の手間を消費させることがポイントです。

　「防御ツールの追加によりシステムを守る」から、「攻撃者の心理を突き効率を下げる」という、攻撃者に着目した手法なのです。

サイバーデセプションの効果

　これにより、私たちを苦しませてきた「アラートの洪水」からも脱却できる、というのがサイバーデセプションのメリットの一つです。おとりシステムを用意する形となりますが、そのおとりシステムは通常、従業員が触れることはないはずです。つまり、ここで発生したアラートは、ほぼ確実に不正アクセスの証拠となります。

　加えて、その内部に偽のサーバーや偽の認証情報といった、本来ならば攻撃者が喉から手が出るほど欲しいものが詰まっています。仮想化技術も発達した今、おとりのシステムを作ること自体はそこまでコストがかかりません。しかし、攻撃側は内容の確認に多大なコストをかけることとなります。これまでの非対称性が逆転する可能性があるわけです。

　同資料では、攻撃者がサイバーデセプションのおとりシステムに触れたときに、どのような認知バイアスを与え、作用するかについても触れています。焦り、思い込み、経験則……これまで脅威だった攻撃者の熟練度が、かえって不利に働き得るのは興味深い点です。「相手をだまして有利に立つ」という考え方をサイバー防御の戦略として体系立てて整理した資料は、国内ではほとんどなかったように思います。

　偽物をばらまき、攻撃者に疑心暗鬼を生じさせる。偽の機密情報を置くことで、攻撃の早期発見、真偽判断での時間稼ぎ、さらに「この会社は手ごわいかもしれない」と思わせ心理的負担を与え、攻撃者の行動を狂わせる。それがサイバーデセプションの狙いです。

従来の「ハニーポット」との違いは？

　私も最初にこの考え方を聞いたとき、「ハニーポットの応用か？」と思いました。しかし、ハニーポットはどちらかというと、監視や情報収集を目的に設置する単体の罠であることに対し、サイバーデセプションは主眼を攻撃者の心理や判断をコントロールすることにおき、攻撃者の自滅を誘う「体系的な防御戦略」であることが、同資料を読むと理解できます。

　監視と情報収集が中心で、受動的に「仕掛けて待つ」のがハニーポットだとすれば、サイバーデセプションは攻撃者心理が中心で、「だまして操る」能動的な仕組みといえます。資料を読むと、「戦略」という言葉も多く登場し、いかに攻撃者をだますかというシナリオこそが重要だということが分かります。ただ罠を置くのではなく、自社の戦略に合わせて設計することで、効果を高めることができるのです。

　加えて、サイバーデセプションは従来の防御手法をそのまま活用し続けることができる点にも注目したいと思います。サイバーデセプションは追加的な防御レイヤーであり、これまでの投資を生かすことが可能です。しかし、これも継続的な評価、改善を実施することが重要です。やはり「運用し続けること」が大きなポイントになることは覚えておくべきでしょう。

　加えて、同資料ではたくさんのコラムが含まれているのも、とてもいいと思いました。デセプションという考え方はこれまで浸透しておらず、身近に感じてもらうための工夫が込められています。

コラムだけでも読むべき！（出典：サイバーデセプションー攻撃者心理を逆手に取る能動的防御戦略ーのホワイトペーパー《サマリー版》）

　今回は、「サイバーデセプションー攻撃者心理を逆手に取る能動的防御戦略ー」の入口を紹介しました。同資料は非常に濃厚で、組織を守るための新しいヒントを与えてくれるはずです。

　サイバー攻撃に対してはピンポイントのソリューションでは足りず、外部からの攻撃、内部不正への対策、デバイスの管理、バックアップ、従業員教育など、複数の面からの対応が必要です。それに加えて、新しい視点での防御を考えたいと思っている組織に、ちょうどいいタイミングで最適な資料が登場したと感じています。終わらないセキュリティ対策のなかで、われわれが有利になれるかもと思える、一筋の光のような仕組みです。

著者紹介：宮田健（みやた・たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門　「木曜日のフルット」と学ぼう！〈漫画キャラで学ぶ大人のビジネス教養シリーズ〉』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる。