接続
記録源 → 1つの改竄不能な記録 → 出力。
記録源
AI 実行の記録エージェント・モデルの実行を改竄不能な証跡に — ISO 42001 / EU AI Act の補助証跡1 件管理 →1つの改竄不能な記録
編集不可・独立検証可能
出力
「気づいた時には遅い」を、 何度も世界は経験しています。
セキュリティの優先順位を後回しにした企業に、何が起きたか。 どれも憶測ではなく、実際に発生した事実です。
実際に起きた被害事例
事業継続
12時間で停止
12時間で会社が消滅した
AWSのルートアカウントにMFAが未設定だったため、フィッシングで盗んだ認証情報だけでクラウド管理画面へ侵入された。身代金要求が拒否されると、本番データ・バックアップ・スナップショットの全てが即座に削除された。復旧手段が完全に失われた状態に追い込まれた同社は、当日中に廃業を宣言。「とりあえず」省略したMFAの設定が、会社そのものを消滅させた。
事業継続
12時間で停止
原因
クラウド管理画面のMFA未設定
影響アカウント
30億件
脆弱な暗号化が、約400億円の評価減を招いた
2013〜2014年の侵入を2016年まで公表しなかったことが致命的だった。パスワードは解読容易なMD5ハッシュで保存されており、攻撃者は流出したDBを使い継続的にアクセスし続けた。最終的に全登録ユーザー30億件が対象となり、Verizonへの売却交渉では「インシデント隠蔽」を理由に買収額が約3.5億ドル引き下げられた。「知っていたのに公表しなかった」という事実が企業価値を直接毀損した。
影響アカウント
30億件
原因
旧式ハッシュ（MD5）の継続利用と検知遅延
影響範囲
顧客 約50万人
わずか22行のコードが、世界的ブランドを揺らした
攻撃グループMagecartが決済ページで読み込む外部JavaScriptに22行のスキマーコードを注入。入力された氏名・カード番号・CVVが送信ボタンを押した瞬間に攻撃者のサーバーへ転送される状態が約2週間続いた。約50万人の情報が流出してGDPRが発動し、当初の制裁金案は約250億円に上った。「自社コードではなく外部スクリプトが汚染された」第三者サプライチェーンリスクの典型例。
影響範囲
顧客 約50万人
原因
決済ページへの不正JavaScript注入（Magecart）
流出個人情報
1.5億人分
パッチ未適用が1.5億人の個人情報流出を招いた
CVE-2017-5638のパッチが公開されてから2ヶ月間、Equifaxは適用を先送りし続けた。攻撃者はその脆弱性を突いて侵入し、発覚まで76日間内部に潜伏しながらデータを持ち出した。社会保障番号・生年月日・住所を含む1.5億人分の個人情報が流出し、和解金・制裁・訴訟費用の合計は約800億円に達した。「パッチを当てるだけで防げた」という事実がCEO・CISOの辞任と議会召喚に発展した。
流出個人情報
1.5億人分
原因
既知脆弱性（CVE-2017-5638）へのパッチ未適用
流出カード情報
4000万枚
空調業者経由で4000万枚のカード情報が漏洩
空調設備業者のVPN認証情報を使って内部ネットワークへ侵入された。本来ベンダー用セグメントと業務システムは分離されているべきだったが、POSシステムと同一ネットワーク上に存在していた。マルウェアが全国4,000店舗以上のPOS端末に展開され、クリスマス商戦中に4,000万枚のカード情報が流出。「外部委託先のアクセス権をネットワークレベルで制限する」という基本原則の不備が直接原因だった。
流出カード情報
4000万枚
原因
サードパーティベンダーのネットワーク分離不備
影響組織数
18,000以上
ソフトウェア更新を通じた史上最大規模の供給網攻撃
攻撃者はSolarWindsのビルドシステムへ侵入し、正規の監視ソフト更新に悪意あるコード（SUNBURST）を密かに注入した。18,000以上の組織が署名済みの正規ファイルとして受け取り、米財務省・国務省を含む政府機関やFortune 500企業が感染。侵入から検知まで約9ヶ月間誰も気づかなかった。信頼できるベンダーの正規更新ファイルそのものが攻撃経路になったサプライチェーン攻撃の代名詞。
影響組織数
18,000以上
原因
ビルドシステムへの不正侵入と悪意あるコード注入
最終損失額
約 4,600億円超
MFA未設定の1アカウントが、全米の医療インフラを数週間停止させた
医療決済大手のシステムへアクセスする社内アカウントにMFAが設定されていなかった。攻撃者はパスワード1つを盗むだけでシステム中枢へ侵入し、ランサムウェアを展開。全米の薬局・病院で処方箋発行や保険請求が数週間にわたって停止し、医療インフラが機能不全に陥った。親会社の最終損失は約4,600億円超に上り、「数分で完了するMFA設定」の省略が招いた代償の大きさを業界全体に刻み込んだ。
最終損失額
約 4,600億円超
原因
重要アカウントへのMFA未設定
影響台数
約 850万台
セキュリティ企業自身の更新ファイル1つが、世界規模のIT障害を引き起こした
欠陥アップデートが世界中のWindows PC約850万台を一斉に起動不能にした。航空・銀行・病院・放送局が同時停止し、フォーチュン500企業だけで総損害は54億ドルを超えた。ハッキングではなく、内部の「本番配信前検証の省略」が引き金だった。セキュリティ企業自身が史上最大のIT障害を引き起こした事実は、業界全体への警鐘となった。
影響台数
約 850万台
原因
テスト不足のまま本番配信したアップデート
流出額
約 2,100億円超
マルチシグの「鍵」そのものが奪われ、暗号資産史上最大の2,100億円が流出
フィッシングで管理者のアクセス環境を掌握し、複数人承認が必要なマルチシグウォレットの管理権限を奪取。多重署名の仕組みそのものは機能していたが、鍵を管理する人間側の環境が脆弱だった。イーサリアムを中心に約14億ドルが流出し、暗号資産の単一事件として史上最大の被害となった。「仕組みが堅牢でも運用側に穴があれば無意味」という現実を突きつけた。
流出額
約 2,100億円超
原因
フィッシングによるマルチシグ管理権限の奪取
起きたことすべてを、 書き換えられない記録に。
接続した記録源のできごとを、指紋付きで1つの台帳へ自動追記。編集はできず、開いて中身まで独立検証できます。
- 1つの改竄不能な記録に集約
- 追記のみ・封緘済み
- 私たちを信頼せずに検証できる
右のペインはサンプル記録です。ご自身の記録も同じ画面・同じ手順で検証できます。
Recorder
今月の封緘記録 1,439最終捕捉 3m公開アンカー確定待ち
user.session.start
SPHIOR が扱う監査領域を、 改竄できない“事実”として残す。
セキュリティ診断の結果も、インフラの変更も、自社 AI の実行も——SPHIOR に届いた事実は、そのまま改竄できない記録として保管されます。作った SPHIOR でさえ、あとから書き換えることはできません。
見つかった脆弱性と設定ミス
CC7 · 脆弱性管理
毎月あなたのサイトとクラウド環境を実際に診断し、見つかった弱点や設定ミスを深刻度・影響つきで記録します。いつ何が見つかり、どう直したかが、あとから書き換えられない形で残ります。
クラウド設定の変更差分
CC8 · 変更管理
クラウドやインフラの設定が、いつ・どう変わったかを差分として記録します。中身そのものは預けず、「変わった事実」だけを証跡にできます。
TLS 暗号化と公開ログイン面
CC6 · 論理アクセス（技術面）
通信が正しく暗号化されているか（TLS・証明書）、外部に公開された認証・ログイン面はどうかを記録します。社内の ID 基盤・全社 MFA の管理は対象外です。
自社 AI・エージェントの実行
ISO 42001 / EU AI Act
社内で動く AI や AI エージェントが、どのモデルで・いつ・どんな判断をしたかを記録します。プロンプトや回答の中身は預けず、実行があった事実だけを改竄できない記録として残せます。
あらゆる社内ツール・SaaS の記録
Webhook で連携
SPHIOR が診ない領域でも、社内ツールや SaaS から出来事を送れば、同じように改竄できない記録として残せます。入退社やベンダー審査、アクセス棚卸しなど、残したい証跡を一箇所にまとめられます。
見つかった脆弱性と設定ミス
CC7 · 脆弱性管理
毎月あなたのサイトとクラウド環境を実際に診断し、見つかった弱点や設定ミスを深刻度・影響つきで記録します。いつ何が見つかり、どう直したかが、あとから書き換えられない形で残ります。
クラウド設定の変更差分
CC8 · 変更管理
クラウドやインフラの設定が、いつ・どう変わったかを差分として記録します。中身そのものは預けず、「変わった事実」だけを証跡にできます。
TLS 暗号化と公開ログイン面
CC6 · 論理アクセス（技術面）
通信が正しく暗号化されているか（TLS・証明書）、外部に公開された認証・ログイン面はどうかを記録します。社内の ID 基盤・全社 MFA の管理は対象外です。
自社 AI・エージェントの実行
ISO 42001 / EU AI Act
社内で動く AI や AI エージェントが、どのモデルで・いつ・どんな判断をしたかを記録します。プロンプトや回答の中身は預けず、実行があった事実だけを改竄できない記録として残せます。
あらゆる社内ツール・SaaS の記録
Webhook で連携
SPHIOR が診ない領域でも、社内ツールや SaaS から出来事を送れば、同じように改竄できない記録として残せます。入退社やベンダー審査、アクセス棚卸しなど、残したい証跡を一箇所にまとめられます。
セキュアに設計された、 認証後領域の深層診断。
ログインの先にあるシステム深部の脆弱性を、安全かつ網羅的に診断します。 専用のブラウザ拡張機能を通じたセッションの安全な受け渡しと、隔離されたスキャン環境により、本番環境への影響と情報漏洩リスクを完全に排除します。
拡張機能によるセキュアな連携
SPHIOR Chrome拡張機能を使用し、ローカル環境から安全に認証情報やセッショントークンを同期。平文のパスワードをサーバーに保存する必要はありません。
暗号化されたセッション管理
受け取ったセッション情報は強力に暗号化され、Vault内で厳重に管理されます。診断時のみメモリ上に展開され、安全にアクセスを維持します。
状態を認識する動的スキャン
単なるクローラーではなく、アプリケーションの状態変化を認識。複雑な画面遷移やAPIコールを伴う認証後の処理を、深く正確に追跡します。
完全隔離された診断環境
スキャンは顧客ごとに独立した使い捨てのマイクロVM上で実行。データ境界が物理的に分離されており、診断データが他の環境へ漏れることはありません。
Ref · SPHIOR-RECORDER
封緘された証跡レコード
- 改竄不能なハッシュ連鎖
- 公開/適格タイムスタンプ
- 独立検証可能
Ref · SPHIOR-AIGOV
AI 実行レコード
- ISO 42001 / EU AI Act 対応
- ハッシュのみ・プロンプト/出力なし
- 改竄不能・検証可能
Ref · SPHIOR-AUDIT
月次セキュリティ証跡
- 外部診断を実施
- 所見の優先度付け・追跡
- 監査参照向けに封緘
一度残した証跡は、 SPHIOR にも書き換えられない。
SPHIOR はセキュリティ状態を報告するだけでなく、改竄できない形で封緘します。所見・IaC 変更・AI 実行を、後から書き換えられず第三者が独立検証できる形で記録。何がいつ起きたかを、私たちを信じることなく証明できます（監査支援証跡）。
改竄不能・独立検証
各記録は公開/適格タイムスタンプで封緘。監査人は公開ツールで独立検証でき、SPHIOR を信じる必要はありません。
AI ガバナンス証跡 — ISO 42001 / EU AI Act
自社の AI / AI エージェント実行を、ISO 42001・EU AI Act・SOC 2 の監査支援証跡として改竄不能に記録。保存されるのはハッシュとメタのみで、プロンプトや出力は保存しません。
SOC 2 / ISO 27001 の補助証跡
月次の外部診断記録・実施範囲・是正状況を、封緘して監査担当が引用しやすい形で残します。
料金
改竄不能な証拠基盤。必要になったらセキュリティ診断を追加。
Free
まず記録して始める（無料）
サービスを接続し、改竄不能な監査証跡として記録します。監査の前から「何が起きたか」を証明できます。
年間 $0 請求
- 改竄不能 Recorder — 接続して記録
- 接続 2 · プロジェクト 1
- 保持 90 日
- 検証パックの手動ダウンロード
- 自分で検証
Team
監査で使える最低ライン
監査人に検証可能な証拠を渡すのに必要な一式：1 年保持・検証パック・統制マッピング・監査人 read-only 共有。
年間 $990 請求
- 1 年保持（Type II 期間をカバー）
- 接続 10 · プロジェクト 3 · 上級ソース
- 検証パック（API・一括）
- 統制マッピング（SOC 2 / ISO）
- 監査人 read-only 共有
Business
監査を毎年回す標準
継続監査を回すチームの標準：複数年保持・フル統制マッピング・GRC 連携・監査人ポータル。
年間 $4,990 請求
- 3 年保持
- 接続 無制限 · プロジェクト 20
- フル統制マッピング + コンプラ推移
- GRC 連携（Vanta / Drata / Secureframe）
- 監査人ポータル・フル証跡エクスポート
Enterprise
大規模・長期保持・保証グレード
大規模組織向け：7 年保持・複数監査法人・SLA・優先サポート。すべてセルフサーブ。
- 7 年保持
- プロジェクト・接続 無制限
- 複数の監査法人
- AI ガバナンス込み（無制限）
- SLA・優先サポート
- Business の全機能
ビジネスの未来を守る準備はできましたか？
✓ クレジットカード不要