情報処理推進機構（IPA）の産業サイバーセキュリティセンターは2026年7月、中核人材育成プログラム 継続プロジェクト 第9期生の成果物として、資料「サイバーデセプション―攻撃者心理を逆手に取る能動的防御戦略―」を公開した。
「サイバーデセプション」とは何か
「デセプション」は「欺瞞」、つまり「だますこと」を意味する。サイバーデセプションでは、サイバー攻撃を行う侵入者を欺くことを目的とする。システム内に本物そっくりの「偽のデータ」や「偽のサーバー」を配置し、攻撃者がそれらに侵入した際にアラートを発して管理者が認識できるようにする。攻撃者に「果たしてそれは本物か、それとも偽物か」と疑心暗鬼にさせることで、攻撃者の時間や作業の手間を浪費させることがポイントだ。
従来のハニーポットとの違い
従来のハニーポットは監視や情報収集を目的に設置する単体の罠であるのに対し、サイバーデセプションは主眼を攻撃者の心理や判断をコントロールすることに置き、攻撃者の心理を誘う「体系的な防御戦略」である。ハニーポットが受動的に「仕掛けて待つ」のに対し、サイバーデセプションは「だまして動かす」能動的な仕組みといえる。
また、サイバーデセプションは従来の防御手法をそのまま活用し続けることができる点にも注目したい。追加的な防御レイヤーであり、これまでの投資を生かすことが可能だ。ただし、継続的な評価や改善を実施することが重要で、「運用し続けること」が大きなポイントになる。
防御側の構造的不利をどう克服するか
従来の防御は「壁を高く、厚く、何重にも構築し、いかに侵入を防ぐか」という点に注力してきた。しかし攻撃側は、何重にも設置した壁のうち、一つでも侵入できる穴を見つければ成功してしまう。このため、攻撃側が圧倒的優位、防御側が圧倒的に不利という非対称性のある構造と表現されることが多かった。
サイバーデセプションでは、これにより「アラートの洪水」からも解放されるというメリットがある。おとりシステムを用意する形となるが、そのおとりシステムは通常、従業員が触れることはないはずだ。つまり、ここで発生したアラートは、ほぼ確実に不正アクセスの証拠となる。さらに、その内部に偽のサーバーや偽の認証情報といった、本来ならば攻撃者が裏から手が出るほど欲しいものが凝縮されている。仮想化技術も発達した今、おとりのシステムを作ること自体はそこまでコストがかからない。しかし、攻撃側は内容の確認に多大なコストをかけることになる。これまでの非対称性が逆転する可能性があるわけだ。
同資料では、攻撃者がサイバーデセプションのおとりシステムに触れたときに、どのような認知バイアスを与え、作用するかについても触れている。焦り、思い込み、経験則――これまで強気だった攻撃者の手口が、かえって不利に働き得るのは興味深い点だ。「相手をだまして有利に立つ」という考え方をサイバー防御の戦略として体系立てて整理した資料は、国内ではほとんどなかったように思う。
偽物をばらまき、攻撃者に疑心暗鬼を生じさせる。偽の機密情報を置くことで、攻撃の早期発見、真偽判断での時間稼ぎ、さらに「この会社は手ごわいかもしれない」と思わせ心理的負荷を与え、攻撃者の行動を萎えさせる。それがサイバーデセプションの狙いだ。
今回、資料には多くのコラムが含まれているのも、とてもいいと思った。デセプションという考え方はこれまで馴染みがなく、身近に感じてもらうための工夫が凝らされている。
サイバー攻撃に対してはピンポイントのソリューションでは足りず、外部からの攻撃、内部不正への対策、デバイスの管理、バックアップ、従業員教育など、複数の面からの対応が必要だ。それに加えて、新しい視点での防御を考えたいと思っている組織に、ちょうどいいタイミングで最適な資料が登場したと感じている。終わらないセキュリティ対策のなかで、われわれが有利になれるかもしれない、一筋の光のような仕組みだ。
