テレビのニュースやネット記事で、「iPhoneにゼロデイ脆弱性が発見、直ちにアップデートを」「Chromeにゼロデイ攻撃を確認」といった緊迫した見出しを見たことはありませんか？
以前の「脆弱性」ってなに？スマホやネットの安全を守る基本とアップデートで再起動が必要な理由という記事では、「プログラムの弱点（脆弱性）が見つかると、メーカーが修正アップデートを配って穴を塞ぐ」と解説しました。
でも、そこで鋭い方はこう思うはずです。
「あれ？メーカーが修正プログラムを作って配るよりも『前』に、悪意あるハッカーがその弱点を見つけたらどうなるの？」
まさにその最悪のタイミングを狙うのが、今回解説する「ゼロデイ攻撃（Zero-day Attack）」です。
この記事では、なぜ「ゼロデイ（0日目）」と呼ばれるのかという語源から、私たちがどうやって身を守ればいいのかまで、初心者向けにわかりやすく解説します！
ゼロデイ攻撃とは？（一言でいうと）
ゼロデイ攻撃とは、ソフトやOSに「脆弱性（セキュリティ上の弱点）」が見つかったのに、メーカーがそれを直す修正プログラム（パッチ）を配布するよりも前に行われるサイバー攻撃のことです。
家に例えるなら、「泥棒があなたの家の裏口のカギが壊れていることに気づき、鍵屋さんが修理に来る前（対策できる日数が『0日』の状態）に侵入してくる」ような状態です。
なぜ「ゼロデイ（0日）」って呼ぶの？
通常、セキュリティの弱点が見つかってから安全になるまでは、以下のような順番で時間が流れます。
| 段階 | 普通の脆弱性対応の流れ | ゼロデイ攻撃が起きる流れ |
|---|---|---|
| ① 発見 | メーカーや善意の研究者が弱点（脆弱性）を発見する | 攻撃者（または一部）が先に弱点を発見する |
| ② 修理準備 | メーカーがこっそり修正プログラム（アップデート）を開発する | まだ修正プログラムが存在しない（対策猶予＝0日！） |
| ③ 公開・攻撃 | 修正アップデートが配布され、「対策してね（1日目、2日目…）」と公表される | 直す方法が世の中にない状態で、いきなり攻撃が始まる（ゼロデイ攻撃） |
| ④ 緊急対応 | ユーザーがアップデートして穴が塞がる | 被害を受けてメーカーが大慌てで「緊急アップデート」を配る |
つまり、メーカーが対策を用意してから数える日数が「0日（Zero-day＝まだ1日も経っていない、対策が存在しない）」のうちに攻撃されるため、ゼロデイ攻撃と呼ばれます。
なぜゼロデイ攻撃はそんなに怖いの？
セキュリティのプロでもゼロデイ攻撃を恐れる理由は2つあります。
- 「アップデートを毎回ちゃんとしている人」でも被害に遭う可能性がある:
普段からWindowsやiPhoneのアップデートを真面目に適用している人でも、「そもそもメーカーからまだアップデートが出ていない期間」は穴が開いたままになってしまいます。 - 従来のウイルス対策ソフトで見つけにくい:
まだ世の中に知られていない新しい手口が使われるため、「過去のウイルスの手配書」をもとに探すタイプのセキュリティソフトをすり抜けてしまうことがあります。
そのため、ゼロデイ攻撃に使われる「まだ誰も知らない脆弱性の情報」は、裏社会の闇市場（ダークウェブなど）で数千万円〜数億円という高値で取引されることもあります。
「じゃあどうしようもないの？」私たちが取れる4つの現実的な対策
「対策が出る前の攻撃なら、私たちには防ぎようがないのでは？」と不安になりますが、決して無力ではありません。以下の4つのポイントを押さえておけば、ゼロデイ攻撃の被害に遭う確率をグッと下げることができます。
1. 「緊急アップデート」が出たらその日のうちに更新する！
実は、ニュースで「ゼロデイ攻撃が発生！」と報じられるときは、ほとんどの場合「すでに攻撃が見つかり、メーカーが大急ぎで修正アップデート（パッチ）を公開した瞬間」です。
ニュースが出たあとは、世界中の他の攻撃者たちもその弱点を真似して一斉に攻撃（ワンデイ攻撃・Nデイ攻撃と呼ばれます）を始めます。つまり、「緊急アップデートが出たら放置せず、その日のうちに更新して再起動する」ことが最大の防御になります。
（※最新の脆弱性情報がどこで発表されるか興味がある方は、【保存版】最新の脆弱性情報はどこで見る？主要4サイトの特徴と賢い使い分けやCVSSとCVEの解説記事もあわせて読んでみてください！）
2. サポート期間（EOL）が切れた古い端末を使わない
メーカーが急いで緊急アップデートを作ってくれるのは、「サポート期間中（現役）のOSやスマホ」だけです。サポートが終了（EOL）した古いパソコンやスマホは、ゼロデイ攻撃が見つかっても永遠に穴が塞がれません。
3. そもそも「攻撃の入り口（メール・怪しいサイト）」を踏まない
ゼロデイ攻撃といえども、何もない空間から勝手にスマホが乗っ取られるわけではありません。多くの場合、「怪しい添付ファイルを開かせる」「罠が仕込まれたURLを踏ませる」といったきっかけが必要です。第1回のソーシャルエンジニアリング対策やフィッシングSMS対策を徹底していれば、入り口で回避できます。
4. バックアップ（3-2-1ルール）を取っておく
万が一、ゼロデイ攻撃でランサムウェアなどに感染してしまっても、第8回で解説した「バックアップ（3-2-1ルール）」があれば大切なデータを失わずに復旧できます。
まとめ：「ゼロデイ」のニュースを見たら即アップデート！
- ゼロデイ攻撃は、弱点（脆弱性）を直すアップデートが配られる前（対策猶予0日）の隙を突く攻撃。
- 私たちがニュースで「ゼロデイ」と聞くときは、すでにメーカーから「緊急の修正アップデート」が配られた合図であることがほとんど。
- 「自動アップデートをオンにする」「緊急更新が出たらすぐ再起動する」「怪しいリンクを踏まない」の3つでしっかり身を守ろう！
次回（第11回）は、やはりニュースでよく目にする「サーバーがサイバー攻撃でダウン！」の裏側にある「ボットネットとDDoS攻撃（あなたの家のルーターが加害者にされる仕組み）」をわかりやすく解説します！
