具体的には、CTFの問題（「チャレンジ」または「問題（プロブレム）」と呼ばれます）には、Webサイトのソースコードの中、暗号化された文章の中、画像ファイルの中、模擬的に用意された「侵入してよいサーバー」の中など、さまざまな場所にFlagが隠されています。参加者はパズルを解くようにヒントを読み解き、ツールを使い、知識を組み合わせてFlagを探し出します。見つけたFlagは「flag{ここに文字列}」のような決まった形式になっていることが多く、これを運営のシステムに提出すると、その場で正解かどうかが判定されてポイントが入ります（Flagの形式や採点の仕組みは第3話で詳しく扱います）。

つまりCTFとは、架空の「事件」や「謎」をセキュリティの技術を使って解き明かす、知的なパズルゲームです。ここで使われる技術は、現実のサイバー攻撃や防御の現場で実際に使われているものと同じです。だからこそ、CTFで腕を磨くことは、そのまま実務に通じるセキュリティスキルの習得につながります。

得点の仕組みにもゲームらしい工夫があります。多くのCTFでは、解けた人が少ない難しい問題ほど高得点になるよう、得点が後から変化していく仕組み（ダイナミックスコアリング）を採用しています。誰でも解ける入門レベルの問題から、ごく一部の上級者しか解けない超難問まで段階的に用意されているため、参加者は今の自分の実力に合った問題を選びながら、無理のないペースでレベルアップしていけます。リアルタイムのスコアボードで自分やチームの順位が確認できるのも、CTFがスポーツのように楽しめる理由の一つです。

もう一つ覚えておきたいのが、CTFの参加者には決まった「肩書き」が必要ないという点です。学生でも、文系出身の社会人でも、独学でプログラミングを学び始めたばかりの人でも、ルールに従って参加すれば誰でも同じ土俵で問題に挑戦できます。情報セキュリティの世界は学歴や経歴よりも「実際に解けるかどうか」が評価される文化が強く、CTFはその文化を体現する代表的な存在になっています。

この連載でも、難しい専門用語が出てきたときは必ずその場で説明を加え、いきなり高度な内容に進まないように構成しています。「自分にもできるかもしれない」と思えた瞬間こそが、CTFの世界に足を踏み入れる一番大切な一歩です。気負わず、ゲーム感覚で読み進めてみてください。

日本には「不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）」という法律があり、他人のID・パスワードを無断で使ってシステムにアクセスしたり、アクセス制御を回避して許可なく情報システムに入る行為などを規制しています。重要なのは、この法律が問題にしているのは「許可なく」という部分であり、セキュリティの知識や技術そのものを禁止しているわけではないという点です（法律の詳しい条文や解釈は、出典に挙げた公的機関の情報を確認してください）。

ここで「CTFに参加するだけで“ハッカー”を名乗っていいのか」と不安に思う人もいるかもしれません。CTFやセキュリティの世界でよく使われる「ホワイトハッカー」という言葉は、攻撃者と同じ知識・技術を持ちながら、それを防御や安全性向上のために使う人を指します。CTFはまさに、ホワイトハッカーとしての考え方を安全に練習できる場だと言えるでしょう。

また、「セキュリティの脆弱性を知ること自体が悪いことなのでは」と感じる人もいますが、これも誤解です。むしろ、脆弱性がどう生まれ、どう突かれるのかを知らなければ、適切な対策を取ることはできません。企業のセキュリティ担当者やシステム開発者の多くは、攻撃者の視点を理解するために、日頃からCTFのような実践的な学習を取り入れています。知ること・学ぶこと自体は中立であり、その知識を「誰の許可のもとで、何のために使うか」が常に問われている、と理解しておくとよいでしょう。

では、なぜCTFは合法に成立しているのでしょうか。理由は大きく3つあります。これらの条件は、企業が実施する「ペネトレーションテスト」（許可を得たうえで自社システムへの侵入を試みる診断サービス）が合法に行われる理由とも共通しています。CTFは個人や学生がこの考え方を低コストで体験できる、いわば入門編のような位置づけだと考えると分かりやすいでしょう。

このように、CTFは「無許可で他人のシステムを攻撃する行為」とは根本的に違う、許可された安全な箱庭の中で技術を試す仕組みです。企業がセキュリティ人材の採用や研修にCTFを活用したり、学校の授業に取り入れたりしているのも、この「合法に・安全に・実践的な技術を学べる」という特性があるからです。次回以降、この連載で登場する「攻撃を体験してみよう」というミニ問題もすべて同じ考え方に基づいています。自作のサンプル環境という安全な箱庭の中だからこそ、思い切って手を動かして試すことができるのです。

Jeopardy型は、アメリカのクイズ番組「Jeopardy!」の解答ボードのように、ジャンル別・難易度別に問題が並んでいる形式です。Web・Crypto・Forensicsなど分野ごとにいくつもの問題が用意され、参加者は好きな問題を選んで解き、正解すればその問題の点数が手に入ります。問題ごとに難易度が違うため、初心者は簡単な問題から、上級者は難しい問題から取り組むなど、自分のレベルに合わせて進められるのが特徴です。個人参加でもチーム参加でも楽しめるため、世界中の常設CTFや初心者向け大会のほとんどがこの形式を採用しています。

一方、Attack & Defense型は、参加チームそれぞれに同じ構成の脆弱なサーバーが配られ、一定時間の中で「自分のサーバーの脆弱性を直して守りながら、他チームのサーバーに残る同じ脆弱性を攻撃して得点する」という、より実践的でスリリングな形式です。攻撃と防御を同時に行う必要があるため、チームでの役割分担や高度な技術力が求められ、上級者向けの大会で多く採用されています。

実際にJeopardy型のCTFへ参加するときのイメージはこうです。まず大会のサイトにアクセスして参加登録（個人またはチーム）を済ませると、ジャンルごとに整理された問題一覧（先ほどの図のようなボード形式が多い）が表示されます。好きな問題をクリックすると、問題文・配布ファイル・ヒントなどが表示されるので、あとはブラウザやツールを使って手を動かし、見つけたFlagを入力欄に提出するだけです。最初の1問が解けた瞬間の達成感は、CTFの魅力を理解する一番の近道になります。

CTFは特別な人だけのものではなく、世界中で年間を通じて数多く開催されています。ここでは、CTFという世界を知るうえで欠かせない代表的な3つを紹介します。

世界中のCTF開催情報をまとめてチェックできる「CTFtime」というコミュニティサイトも広く利用されています。今どんな大会が開催されているか、過去の大会の傾向や難易度を調べる際に役立つので、CTFに本格的に取り組み始めたら覗いてみるとよいでしょう。最初は一人で常設CTFを試し、慣れてきたら友人や同僚とチームを組んで大会形式に挑戦する、という段階的なステップアップがおすすめです。

CTFで使う技術は、実際の脆弱性診断やインシデント対応の現場で使われている考え方そのものです。座学で「SQLインジェクションとは○○です」と読むだけの理解と、実際に手を動かして「突破できた」「防げた」という体験の理解には、大きな差があります。この連載でこれから登場するWeb・暗号・OSINT・フォレンジックの各分野も、すべて実際のセキュリティ業務で必要とされる基礎知識ばかりです。読み進めるだけでなく、用意されたミニ問題に必ず自分の手で挑戦してみることを強くおすすめします。

どの立場であっても共通しているのは、「知っている」と「できる」の間にある大きな差を、CTFが埋めてくれるという点です。この連載を最後まで読み終えたとき、セキュリティニュースの見方や、自分が使っているサービスのパスワード設定に対する意識まで変わっているはずです。

近年は、社内のセキュリティ研修や新人エンジニアのオンボーディングに、CTF形式のミニ問題を取り入れる企業も増えています。座学だけの研修よりも受講者の理解度や得意・不得意が見えやすく、受講者自身も「学んだ内容を実際に使えた」という達成感を持ちやすいためです。この連載で体験する5分間のミニ問題も、考え方としては企業研修で使われるCTF形式と同じ仕組みを採用しています。

ここまで読んだ内容を、実際に手を動かして確認してみましょう。下の3つの状況は、いずれも「セキュリティ技術を使う」という行為自体は共通していますが、結果はまったく異なります。今回学んだ「許可の有無」という基準を思い出しながら、合法か違法かを判定してみてください。間違えても大丈夫、🔁ボタンで何度でも挑戦できます。

第1話では、CTFという競技の正体と、なぜそれが合法に成立しているのかという土台部分を解説しました。「ハッキング＝犯罪」という漠然とした不安は、「許可の有無」という1つの軸で考えれば、かなりすっきり整理できたのではないでしょうか。この考え方は、これから先の19話すべてに共通する大前提です。Webサイトの脆弱性を試すときも、暗号を解読するときも、公開情報を調査するときも、常に「これは許可された行為か」を意識する姿勢を持ち続けてください。この軸さえ持っていれば、どれだけ高度な技術を学んでも、安心して前に進むことができます。

よくある質問もまとめておきます。読み進める前に気になる疑問があれば、ここで解消しておきましょう。

セキュリティ技術をより実践的に学びたくなった方は、関連記事「ペネトレーションテスト入門」もあわせてご覧ください。CTFで学ぶ考え方は、許可を得た環境で行う実務のペネトレーションテストの土台にもなります。