千葉県警が、同業他社のウェブサイトに対してサイバー攻撃を行い業務を妨害した疑いで、IT関連会社代表ら2人を逮捕したという報道がありました。報道によれば、2025年5月に2日間で約8000回の攻撃が行われた可能性があるとされています。いわゆるDDoS（分散型サービス拒否）や、それに準ずる大量リクエスト型の攻撃が疑われる事案であり、攻撃の「手口」以上に、企業間競争の文脈で攻撃が行われ得る点、そして短時間・高頻度の攻撃でも業務影響が現実に発生し得る点が重要です。
事件のポイント：DDoSは「派手なハッキング」ではなく「業務を止める攻撃」
DDoS攻撃は、脆弱性を突いて侵入するタイプの攻撃とは異なり、サーバーやネットワークに大量の通信・リクエストを送りつけ、処理能力や回線容量を枯渇させてサービスを利用不能にすることを目的とします。EC、予約、問い合わせ、会員ログインなど、ウェブサイトが“業務そのもの”になっている企業ほど、短時間の停止でも売上・信用・機会損失が直撃します。
今回の報道にある「2日間で約8000回」という数字は、単純なリクエスト回数としては極端に多いとは言い切れないケースもあります。しかし、攻撃は回数だけでなく、1リクエスト当たりの処理負荷（重い検索、画像生成、ログイン試行、API呼び出し等）、送信元の分散、時間帯（繁忙時間の集中）などで影響が大きく変わります。少数でも“狙いが良い”攻撃は効きますし、逆に大量でもCDNやWAFの設定次第で吸収できることもあります。
なぜ起きるのか：競争環境と「妨害のコスト低下」
同業他社への妨害という観点は、サイバー犯罪が「金銭目的（ランサム、詐欺）」だけでなく、「競争上の優位獲得」「恨み・対立」「威圧」など多様な動機で起きることを示します。DDoSは攻撃の参入障壁が下がっており、ボットネットやストレッサー（DDoS-for-hire）等の闇サービスが問題になってきました。仮に高度な技術がなくても、設定済みツールや外部サービス悪用で攻撃が成立し得ます。
一方で、法人や経営者が関与した場合、単なる「悪ふざけ」では済まず、企業活動の信頼性を根底から揺るがし、契約解除、取引停止、採用難、金融面での不利益など深刻な二次被害につながります。サイバー攻撃は“デジタル上の妨害”ですが、結果は極めて現実的です。
法的リスク：業務妨害は刑事事件になり得る
ウェブサイトへの攻撃は、被害企業の業務を妨害したと評価されれば刑事責任を問われ得ます。日本では、手段や結果により偽計業務妨害・威力業務妨害等が問題となり得るほか、攻撃の態様によっては不正アクセス関連、電磁的記録に関する犯罪、損害賠償（民事）など複合的な責任が生じます。
重要なのは「侵入していないから軽い」という誤解が通用しないことです。サービスを使えなくすること自体が業務妨害として重く評価され得ます。またログや通信記録の保全、クラウド事業者・回線事業者の協力、OSINT等により、発信元や実行者の特定が進むケースも増えています。
被害企業が直面する実務：止血・証拠・再発防止を同時に進める
可用性の確保（止血）
DDoS対策の基本は、アプリケーション前段での吸収と遮断です。具体的にはCDNの活用、DDoS保護サービス（L3/L4/L7）、WAFによるレート制限、ボット対策（チャレンジ、CAPTCHA、挙動分析）、オリジン秘匿、オートスケール設計、キャッシュ最適化などを組み合わせます。オンプレや単一クラウド構成の場合でも、緊急時のトラフィック迂回（スクラビングセンター）や、一時的なアクセス制限（国・ASN単位）といったオプションを事前に検討しておくべきです。
証拠保全とインシデント対応
攻撃時は復旧を急ぐあまり、ログを消してしまう、設定変更の履歴が残らない、といった事態が起きがちです。法執行機関への相談や保険適用、後日の損害賠償請求まで視野に入れるなら、アクセスログ（WAF/CDN/ALB/Webサーバー）、NetFlow、DNSログ、アプリログ、監視アラート、チケット履歴などを時系列で保全し、変更点（いつ、誰が、何を変えたか）を記録することが重要です。
また、DDoSに見えても、裏で侵入やクレデンシャルスタッフィングが並行している「スモークスクリーン（目くらまし）」である可能性もあります。可用性対応と並行して、認証ログ、管理画面アクセス、APIエラー、権限変更の痕跡なども点検し、必要ならパスワードリセットやMFA強制などの措置を取ります。
加害側にならないための企業ガバナンス
今回のように「同業他社への攻撃」が疑われる事件は、セキュリティを“守り”だけでなく“コンプライアンスと統制”として捉える必要性も突きつけます。特にIT企業では、技術的に可能なことと、許されることの境界を明確にしなければなりません。
社内規程の整備：競合調査、負荷試験、脆弱性診断の実施範囲、外部サイトへのアクセス自動化のルールを明文化し、逸脱を懲戒対象として定義する。
権限管理とログ監査：業務端末・クラウド環境・攻撃ツールになり得るソフトの導入を統制し、管理者権限の使用は監査可能にする。
教育：不正競争の文脈や業務妨害の法的リスクを、技術者だけでなく営業・経営層も含めて理解する。
外部委託の統制：マーケティング、調査、テストを外注する場合でも、委託先が違法・不適切な手段を取らない契約条項と監督体制を設ける。
経営者が押さえるべき「可用性リスク」のKPI
サイバー対策は侵入防止に偏りがちですが、DDoSは「稼働率」と「応答性能」を直接狙います。経営としては、以下のような指標を平時から把握し、投資判断につなげるのが有効です。
RTO/RPO：サイト停止時にどれだけで復旧すべきか、データ損失をどこまで許容するか。
ピークトラフィックと許容量：通常時・繁忙期・広告出稿時の上限、オートスケールの限界。
WAF/CDNのブロック率と誤検知率：止めるべき通信を止め、正規ユーザーを落とし過ぎない設計。
運用体制：夜間休日の初動、連絡網、外部ベンダーのSLA。
まとめ：DDoSは「起きる前提」で備える。起こせば刑事責任が現実になる
同業他社サイトへの攻撃が疑われる今回の事件は、DDoSが企業活動に対する直接的な妨害手段として使われ得ること、そして関与すれば刑事事件として立件され得ることを改めて示しました。守る側は、CDN/WAF/DDoS保護の実装と運用、証拠保全を含むインシデント対応、そして攻撃を“受けても止まらない”可用性設計が必要です。同時に、企業は加害側にならないためのガバナンスと教育を整備し、競争をサイバー攻撃に持ち込まない倫理と統制を徹底することが求められます。
参照リンク：