26年払い続けた。1行を書かなかった

Ⅰ. あまりにそっけない

2026年7月16日、日産化学株式会社が「当社システムに対する不正アクセスについて」を公表した。

A4一枚。2026年7月1日に不審な活動を検知した。第三者による不正アクセスが行われていた可能性を確認した。外部専門家の協力を得て調査中である。現時点でお客様およびお取引先様への影響は確認されていない。

それだけだった。

対象システムが何かは書かれていない。Webなのか、基幹系なのか、工場の制御系なのか。影響を受けた可能性のあるデータの種類も書かれていない。個人情報保護委員会に報告したかどうかも書かれていない。

そして、取引先が何をすればいいのかも、書かれていない。

2026年7月1日から2026年7月16日まで、15日ある。その15日をかけて、取引先が判断や行動に使える情報は、ほとんど提供されなかった。

どういう会社なのか。コーポレートサイトを開いた。

Ⅱ. 一度目の驚き——看板

お知らせ欄の先頭に、こう書かれていた。

当社役員の名前を騙った詐欺メールにご注意ください

一覧に日付はない。リンク先のファイル名で、ようやく見当がつく。n2018_11_28_01.pdf。開くと、右上に日付があった。2018年11月28日。

8年前の注意喚起が、いまも最上段に掲示されている。

本文はこうだ。2018年11月、何者かにより、当社役員の名前を騙った新規取引に関する詐欺メールが複数の企業に送付されていることが判明した。このメールには、当社役員のものと外観上類似したメールアドレスが使用されている。メールの内容等に不審な点がないか十分ご注意いただきたい——

宛先は「各位」。被害を受けるのは、同社ではない。同社を信用している取引先である。

だから「ご注意ください」以外に、書きようがない。守るべき相手が、自社の外にいる。

問い合わせ先は、経営企画部 CSR・広報室とある。

これを読んだ人は、何に気をつければいいのだろう。どんな件名で、どのドメインから届くのか。いまも来ているのか、8年前に終わった話なのか。何も書かれていない。注意を促されただけで、注意のしようがない。

山道に立つ「落石注意」の看板に似ている。危険は告知した。あとは自分で気をつけろ。だが落ちてくる石を、人はどうやって避けるのか。看板の役割は、実のところ、避けさせることではない。読んだ以上は自己責任だ、と示すことにある。

2026年7月16日の発表も、構造は同じそっけなさだった。何が起きたかは告げる。だが、読んだ人が何をすればいいかは書かない。8年の隔たりを挟んで、同じ形の看板が二枚、並んでいる。

過去のリリースを遡った。

Ⅲ. 二度目の驚き——9年前のほうが具体的だった

2017年7月5日。同社は、不正アクセスを公表していた。

同じ会社が、9年前にも入られている。

そして、その第一報を読んで、二度驚いた。

流出した可能性があるのは、問い合わせフォームに入力された個人情報、約4,500件。含まれるのは氏名、メールアドレス、電話番号、住所、会社名、所属。2017年7月3日に不正アクセスの可能性が発覚し、同日、当該サイトの公開を停止。翌2017年7月4日に個人情報保護委員会へ報告済み。閲覧によるマルウェア感染の恐れはない——

件数がある。項目がある。日付がある。停止したという行動がある。報告先がある。

発覚から公表まで、2日だった。

2026年の発表には、そのどれもない。検知から公表まで15日かけて、対象システムの種別すら書かれていない。

問い合わせ先は、経営企画部 CSR・広報室。看板と、同じ部署である。

少なくとも、第一報の具体性は、9年前より後退している。

ここで見立てを立てた。8年前の看板を貼りっぱなしにし、9年前より雑な発表を出す会社である。メール認証など期待できまい。SPFは書きっぱなし、DMARCは無いかp=noneだろう。日本企業の多数派がそうであるように。

なりすましの警告が出ているのだから、なりすまし対策を見ればいい。DNSを引いた。

Ⅳ. 見立ては、外れた

p=rejectである。自ドメインを騙るメールを、受信側に破棄させる。DMARCで最も強い宣言だ。しかもレポートは商用サービスに課金して集約している。SPFにはフィッシング訓練サービスまで入っていた。演習を回している。

なりすまし対策という一点では、かなり踏み込んだ設定である。8年前の看板は、放置ではなかった。なりすましのリスクを認識し、金をかけて手を打った会社の掲示だった。

見立ては外れた。

だが、外れ方がおかしかった。

Ⅴ. 宛先は、個人だった

DMARCの設定を、もう一度読んだ。

失敗レポートの送信先に、個人名を含むメールアドレスが2つ指定されていた。共有窓口の名前ではない。少なくともDNS上は、個人に紐づく形に見える。

裏側でどう運用されているかは、外からは分からない。転送されているかもしれない。チケットに流れているかもしれない。分かるのは、公開されている宛先が、個人の形をしているということだけだ。

担当者の異動や退職の際に引き継がれなければ、仕組みだけが残り、レポートが読まれなくなる。それでもDNSの記述は変わらないので、外から見れば「対策済み」のままだ。

もう一つ、無いものがあった。

SPF・DKIM・DMARCは、同社を名乗って送られたメールについて、受信側が本当にそのドメインから送られたものかを確認する仕組みである。差出人の詐称を防ぐ。

だが、同社宛てに送られるメールが、配送の途中で平文通信に落とされないようにする仕組みは、別の層にある。

その一つが MTA-STS だ。対応する送信サーバーに対し、「当社宛ては正規のメールサーバーへ、検証可能なTLSで配送せよ。条件を満たさなければ配送するな」と宣言する。2018年に標準化された。

観測時点で、その宣言は確認できなかった。

MTA-STSが無いことだけで、メールセキュリティ全体が保守されていないとは言えない。別の方式もあるし、リスクを評価したうえで導入しない判断もあり得る。

ここで、調べる側の限界について書いておく

DNSは、いまの状態しか教えてくれない。

p=rejectがいつ設定されたのか。レポートの宛先がいつから個人なのか。過去にMTA-STSがあって外されたのか、最初から無いのか。外部からは、分からない。

証明書には履歴が残る。証明書透明性ログという公開の記録があるからだ。有価証券報告書にも履歴が残る。7年分、誰でも並べられる。

だがDNSには、履歴が残らない。いま引いた結果が、いつからそうなのかを確かめる手立てが、外部にはない。

これは、この記事が最後にたどり着く話と、同じ形をしている。

いつ、誰が、何をきっかけに敷設したのか。

Ⅵ. 2000年10月13日、13分間

なりすまし対策の話をしているのだから、類似ドメインを探した。2018年の看板が警告していたのは、まさにそれだ。

見つかったのは、類似ドメインではなかった。同社自身のドメインだった。

13分間で、4本。

レジストラは MarkMonitor。大企業向けのブランド保護とドメイン管理で知られる事業者である。

そして、削除、移管、登録情報の変更を禁止する、三つのロックが掛かっていた。 誰かが手違いで消すことも、乗っ取って他社に移すこともできないようにする設定で、ブランド保護を重視する企業が、重要なドメインに掛けるものである。

勝手についてきたのではない。26年前、誰かが真剣に考えて、金を払って取得した。そして26年間、失効させず維持している。

その設定を見た。

SPF   : なし
DMARC : なし

何もなかった。

DMARCのないドメインは、誰でもFrom欄に名乗ることができる。 受信側の迷惑メール判定やレピュテーションで排除されることはある。だが、ドメインの持ち主自身が「認証に失敗したメールは拒否せよ」と宣言することは、できない。本体ドメインでp=rejectまで振り切った、あの宣言が、こちらには無い。

そして海外の取引先にとっては、.com が日本企業の正規ドメインに見えても、不思議ではない。

2018年の看板には、こう書かれていた。「当社役員のものと外観上類似したメールアドレスが使用されています」。

類似ドメインを警戒する看板を出しながら、26年持っている自社のドメインには、その宣言が無い。

消えていた資産ではない

ここで、WHOISの別の欄に目が留まった。

Updated Date : 2026-04-26

4本とも、同じ日である。

この日付だけから、誰が何を変更したのかは分からない。登録者が操作したとは限らず、レジストラ側の一括処理や登録情報の更新で記録された可能性もある。

ただし、失効したまま放置された資産でないことは確かだ。現在も有効で、専門レジストラの管理下にあり、削除・移管・更新を制限するロックが維持されている。

ドメインとしては、いまも管理されている。

それでも、観測時点でDMARCは無い。

問題は、単純な忘却とは限らなかった。

ドメインの維持管理と、メール認証の管理が、繋がっていない。

契約の管理には載っているのだろう。更新日が来れば、処理が走る。だが、ドメインを維持する管理と、本体ドメインへメール認証を適用する管理は、少なくとも結果として、一つの統制にはなっていない。

なぜ4本が対象外なのか。メールを送らないドメインだから不要だと判断されたのか。担当の範囲が違うのか。別の台帳で管理されているのか。理由は、外からは分からない。

だが、いまも維持されている4本にDMARCが無いという結果だけは、DNSに残っている。

時系列を並べると、こうなる。

本体ドメインのDMARCが、いつ設定されたのかは分からない。DNSに履歴は残らない。分かるのは、いま、片方にあって、もう片方に無いということだけだ。

26年払い続けた。DMARCレコードは、1行である。

Ⅶ. 証明書が記録していた、9年

証明書透明性ログ（Certificate Transparency）には、公開認証局が発行した証明書の記録が残る。誰でも見られる。この会社の記録は、2008年から始まっていた。

2008年から2017年まで、問い合わせフォームは9年間、自分専用の証明書を持っていた。ほぼ年に一度、専用証明書が発行された記録が並ぶ。

2017年7月の事故のあと、発行のパターンが変わった。

2017年8月31日、それまで記録になかったホスト名が一つ現れる。9月11日に、さらに二つ。11月2日には、公開されている証明書透明性ログ上、同社で初めてワイルドカード証明書が現れた。それまで年に1枚のペースだった会社が、である。

これらがすべて事故対応だったのかは、公開情報からは確認できない。証明書の名前だけでは、何のシステムかは分からない。

だが、これは記録に残っている。2008年から毎年更新されていた問い合わせフォーム専用の証明書は、2017年2月を最後に途絶えた。 そして事故の4か月後、問い合わせフォームのホスト名は、ワイルドカード証明書でカバーできる構成へ移った。以後、専用証明書は一度も発行されていない。

事故の前と後で、証明書管理の構造が変わったこと。それだけは、確実に記録されている。

そして、その先だ。

以後、記録に残るのは更新だけになる。ワイルドカード証明書は、2017年11月、2018年9月、2019年9月、2020年10月、2021年10月、2022年10月、2023年10月、2024年9月、2025年10月——9年間、一度も切らさずに発行され続けた。

同じ期間、クラウド事業者の証明書を使ったホストが1つだけある。そちらは数か月おきに発行が繰り返され、2023年を最後に、新たな発行記録が途絶えた。ワイルドカードの方には、そうした短周期の自動更新パターンは見られない。

灯りは消さなかった。新しい部屋は、ほとんど増えなかった。

現在、その証明書の対象範囲を見た。

証明書は1枚。その1枚が、親会社とグループ7社にまたがっている。

証明書管理という観点では、事故後の方向は、分離ではなく集約だった。

Ⅷ. 三つの仕事が、繋がっていない

この会社を非難するのは、たぶん筋が違う。

2000年10月13日の13分間、4本のドメインを押さえた仕事がある。当時としては先進的な判断だ。専門レジストラに三重ロックまで掛けている。その仕事は、正しかった。

本体ドメインをDMARCのp=rejectで守っている仕事がある。商用サービスに課金し、訓練まで導入している。かなり踏み込んだ設定だ。その仕事も、正しい。

2018年、なりすましを検知して看板を出した仕事がある。取引先を守ろうとした。その仕事も、正しかった。

問題は、この三つが繋がっていないことである。

一つ目の仕事は、ドメインを失わないようにした。 二つ目の仕事は、本体ドメインを名乗る未認証メールを、拒否するよう宣言している。 三つ目の仕事は、取引先へ危険を知らせた。

どれも、正しい。

だが、2000年に守られたドメインは、メール認証の対象になっていない。2018年に類似メールへの注意を促しながら、自社が26年間保有し、いまも維持している4本のドメインには、「拒否せよ」の宣言が無い。

人が繋がらなかったのか。台帳が繋がらなかったのか。委託先が違ったのか。それは分からない。

繋がっていないという結果だけが、公開情報に残っている。

そして2026年、謝っているのは、2018年に看板を出したのと同じ部署——経営企画部である。9年前も、8年前も、今年も。窓口だけが変わらない。

Ⅸ. 継続があれば、間違いは直せた

セキュリティの議論は、たいてい「どう守るか」から始まる。何を入れるか。EDRか、ゼロトラストか、AIか。

だが、この会社が示しているのは、その手前の話だ。

少なくとも、いま確認すべき点が残っていた。 DMARCのレポート宛先が個人の形をしている。26年持っているドメインが、メール認証の対象に入っていない。2018年に標準化された配送経路保護の仕組みも、公開設定からは確認できない。

どれも、それだけで重大な事故を意味するものではない。だが、定期的に確認し、採否を判断できる類のものだ。1行の追加で改善できるものもある。

だが、観測時点でも、その状態は残っていた。

継続の本当の価値は、守り続けるだけではない。守り続けながら、間違いに気づく機会が繰り返し来ることにある。

ドメイン資産とメール認証を一緒に棚卸しする機会があれば、4本は対象として検討されたはずだ。レポートを定期的に開く担当がいれば、宛先の形は話題になったはずだ。標準を追う役割があれば、2018年の規格は検討されたはずだ。

一回きりの対応は、間違いを含んだまま固まる。そして正しかったものは、正しいまま化石になる。

証明書の記録が、それを9年分、残していた。灯りは消さなかった。新しい部屋は、ほとんど増えなかった。更新という作業だけが、毎年、正確に繰り返された。

契約は継続しやすい。更新日があり、請求書が来るからだ。 統制は継続しにくい。次に誰が見るかを、決め続けなければならないからだ。

対策を導入した記録は残る。資産を維持した記録も残る。

だが、それらを毎年繋ぎ直した記録は、公開情報には残っていない。

Ⅹ. 有価証券報告書という証拠

これが個社の怠慢ではなく構造の問題である証拠は、有価証券報告書にある。

7年分の「事業等のリスク」を並べて、変更は2箇所だった。研修の一句と、「外部攻撃」を「外部からのサイバー攻撃」に言い換えた4文字。

体制の記述はない。CSIRTもCISOも出てこない。投資額も出てこない。そして、自社で起きた流出事故が7年間一度も言及されていない。

なぜか。具体的に書くことを、制度上、明示的に求められていないからである。

有価証券報告書には、サイバーセキュリティの体制や成熟度を、共通の指標で具体的に書かせる仕組みがない。人的資本は開示が求められた。気候変動も求められた。だからそこは毎年、書き換えられている。求められていない項目は、7年間、ほぼ同じ文章が引き継がれた。

一方、その同じ書類が、7年間まったく変えずに宣言し続けている一文がある。工場にIoT、AIなどのデジタル技術を導入し、生産性の引き上げを進めている——

攻撃面を毎年広げる宣言だけが、毎年そのまま残っている。

攻めのDXには予算がつく。KPIがある。中期経営計画に書ける。だから継続する。守りには、続けたことを評価する仕組みがない。だから続かない。

これは日産化学の問題ではない。日本の上場企業に、セキュリティを「継続している」と証明させる仕組みが無いという問題である。

7年で唯一足された実質的な文言が「定期的な研修を実施して」だった。体制でも、責任者でも、検知・対応の能力でもなく、外部サービスとしても調達しやすい施策だけが、文章に加わった。

買えるものは残る。買えないものは、残らない。

Ⅺ. 落石注意

同社のデータ保護方針には、こう書かれている。

万一情報セキュリティ事故が発生した場合には、CSIRTを立ち上げ

立ち上げる、と書いてある。

同社には、契約すれば継続的に動く仕組みがある。Microsoft 365も、メールセキュリティも、訓練サービスも、そうだ。

そして2026年7月1日、同社は何らかの不審な活動を検知した。何が検知したのかは、公表されていない。

鳴った後は、買えない。どこから入られ、どこまで行かれ、何を持ち出されたか。それを切り分け、顧客に伝える言葉に変えるのは、組織の仕事である。

15日後の発表にも、対象システムも、影響を受け得る情報の種類も、取引先が取るべき行動も、無かった。そして発表は、経営企画部から出た。9年前も、8年前も、そうだったように。

「わからないのか、隠しているのか」は、外からは判別できない。

今回わからなかったのか。以前から、わかる仕組みがなかったのか。それも、外からは区別できない。

侵入がなかったのと、侵入に気づく仕組みが無かったのは、外から見て同じ顔をしている。7年分の有価証券報告書が「情報セキュリティ」の項をほぼ書き換えなかったのは、7年間何も起きなかったからかもしれないし、そうでないかもしれない。

その二つを区別できる材料を、いまの開示制度は、投資家にも取引先にも渡していない。

コーポレートサイトのお知らせの先頭には、8年前の看板が立っている。落石注意、と書いてある。読んだ人は、何をすればいいのだろう。

2026年7月16日の発表を読んだ取引先も、同じ場所に立っている。

そして、この山道に立っているのは、この会社の取引先だけではない。

---

MFAだ、EDRだ、ゼロトラストだ、AIだと言う前に、やることがある。

去年入れたものが、今年も生きているか。5年前に買ったものが、いまの台帳に載っているか。それを見る人が、来年もいるか。

継続だけが、間違いを直す。

---

本稿について

本稿で用いた情報は、すべて公開情報です。DNSレコード、証明書透明性ログ、WHOIS、EDINET提出書類、同社公表資料。能動的なスキャンや、権限のないアクセスは一切行っていません。

侵入経路の特定につながる情報、および稼働中システムを識別する具体的な情報は記載していません。本稿は個社の批判ではなく、日本企業に広く共通する「対策は買えるが、継続は買えない」という構造の記録です。

本稿の記述は、外形から観測できた結果に限っています。社内で何が起きたか、誰が何を判断したかは、外からは分かりません。分かるのは、DNSと証明書ログとEDINETに残った、結果だけです。

なお、筆者自身、この調査の過程で二度、事実を誤って読んでいます。

一度目は、DNSのワイルドカード設定を検証せずに「7つのドメインで同一の設定ミス」と判断しかけました。二度目は、WHOISの更新日を「誰かが3か月前に確認した証拠」と読みかけました。どちらも、確認して撤回しています。

どちらも、劇的に読める方へ飛びついた結果です。敷設したものを検算しないと間違える、という話を書きながら、二度やりました。

継続的な検証が要る、というのは、そういう意味です。