2025〜26年にかけて、中南米の産油国で大きな政変と軍事介入が起きました。表向きは「大統領の身柄拘束」というニュースとして報じられましたが、その裏側では、サイバー攻撃・経済制裁・情報戦・軍事行動が、半年以上にわたって組み合わされた「ハイブリッド戦争」が進んでいました。

いわば遠い国の話ですが、そこで使われたやり方は、そのまま日本の重要インフラや金融機関にも当てはまります。本稿では詳細な技術解説は避けつつ、「どうやって相手の社会を“止めた”のか」を、地方金融機関のみなさんの視点からかみ砕いてお伝えします。

1.サイバー攻撃は「一発勝負」ではなかった

現地で最初に目立ったのは、製油所や送電設備の障害、小さな通信トラブル、選挙システムへのDDoS（大量アクセス）など、バラバラに見える事件でした。報道だけを見ると「老朽設備の故障」や「一時的なサイバー攻撃」で片付けられそうな出来事です。

しかし、これらを時系列で並べ直すと、別の姿が見えてきます。攻撃側は、あえて「ギリギリ復旧できる範囲」で障害を起こし、防御側がどの経路で連絡し、誰がどの順番で判断し、どのログが残らずに消えるのかを、時間をかけて観察していました。

つまり、目的は“その時の破壊”ではなく、「本番に備えて、相手の反応パターンと運用のクセを採取すること」だったわけです。金融機関に置き換えると、「システムが少し止まるたびに、その裏で“次の攻撃のシミュレーションデータ”を相手に渡してしまっている」イメージです。

2.狙われたのは「モノ」ではなく、管理するしくみ

軍事介入直前、決定打となったのは、国営石油会社の管理系システムを狙ったサイバー攻撃でした。油田やパイプラインそのものは壊していません。止まったのは、出荷計画、在庫管理、税関手続き、配船指示といった「管理のしくみ」です。

結果として、原油を掘る設備は動いているのに、「どの船に、どの油を、いつ載せるか」が決められない状態が続きました。さらに海上ではタンカーの拿捕や封鎖が進み、「物理的には作れるのに、売れない」「お金に替わらない」状況が意図的に作られていきます。

この構図は、地方金融機関にもそのまま重ねられます。店舗もATMも無事でも、「勘定系と接続する管理サーバ」「決済・為替・バックアップを制御するシステム」が麻痺すれば、実質的には“止まっている”のと同じです。攻撃者は、派手なビル破壊よりも、「管理系を静かに止める」方を好むようになっている、という視点が重要です。

3.「監視システム」が逆に狙われる時代

現地の政権は、国民を監視するためのスマホアプリやデジタル身分証を広く使っていました。ところが外部の専門家や諜報機関は、この“監視インフラ”そのものを解析し、逆に要人の行動パターン（どこで寝て、どこで食事をし、誰と会っているか）を把握する材料として利用していました。

この「パターン・オブ・ライフ（Pattern of Life）」と呼ばれる情報が十分にたまると、指導者を短時間でピンポイントに拘束することが可能になります。

日本の金融機関でも、ログや監視カメラ、勤怠システム、各種アプリは「守るための道具」です。しかし一歩間違えると、「内部の重要人物の行動パターンを外部に晒すデータの宝庫」にもなり得ます。

「監視を強化する＝デジタル排気（足跡）を増やす」という表裏の関係を意識し、

• どの情報をどこまで残すか
• 誰がアクセスできるか
• 侵害された場合に何が推測されてしまうか

を、あらためて設計し直す必要があります。

4.早期警戒のポイントは「点ではなく、相関を見ること」

筆者が本業で作成した、この状況認識レポートでは、こうした一連の出来事を「早期警戒インジケータ（EWI）」として整理し、個々の事件ではなく、複数領域の“同時発生”や“反復”に注目すべきだと提案しました。

金融機関向けに引き直すと、次のようなサインが重なり始めた時は、「偶然のトラブル」ではなく「条件設定が進んでいる」可能性を疑うべきです。

• ここ数カ月、基幹システムやネットワークで「説明しづらい小さな障害」が続いている
• バックアップやログまわりで、削除・世代破壊・保存失敗がポツポツと起きている
• 給与・人事・決裁など、“士気や統制”に関わるシステムで不整合や遅延が出ている
• そのタイミングで、外部からの標的型メールやフィッシングが増えている

どれか一つでは「よくある話」です。しかし、複数が同時期に重なったときに、きちんと危険信号だと認識し、社内で共有できるかどうかが、2026年の防御側に問われている点だと思います。

5.遠い戦場を「自分たちのストレステスト」として読む

以上のような中南米の産油国へのハイブリッド戦は、特殊な国だけの話ではありません。サイバー攻撃、制裁、情報戦、軍事行動が組み合わされた極端なケースは、「デジタル社会が最大限ストレスをかけられたとき、どの順番で壊れていくか」を示す“縮図”でもあります。

地方の金融機関にとって重要なのは、ここから「自分たちならどこが急所になるか」を逆算してみることです。

• 管理系が止まったとき、最小限どこまで業務を続けられるか
• 停電や通信断の中でも、連絡と意思決定をどう維持するか
• 監視・ログ・各種アプリが、攻撃側から見たときどんな“地図”になるか

戦争そのものを真似る必要はありません。しかし、この極端な事例を「自分たちのBCP・インシデント対応のストレステスト」として読み替えることで、紙の上のルールから一歩進んだ、現実的な備えが見えてくるはずです。

※本内容の引用・転載を禁止します。