この5件を並べて最初に気づくのは、4件が「もう起きてしまったこと」の報告だという点である。休眠サーバーへの不正アクセス、2件のランサムウェア感染、そしてランサムウェア界隈の内輪もめ。唯一の例外が3位の Gitea で、これは「米当局が注意喚起した」という形で外から入ってきた情報だ。

1位の事案は特に示唆的だった。「過去に使用していた休眠中のレンタルサーバー」が侵入口になっている。使わなくなったが解約もしていない資産は、監視の対象からも外れ、パッチも当たらない。攻撃者にとっては、正面玄関より裏口のほうが開いていることが多い。この構図は業種を問わず再現する。

5件のうち4件に CVE 番号が付き、4件が「実環境で悪用されている」と明記されている。世界側の上位は、被害の報告ではなく、悪用が始まった脆弱性のリストになっている。これは媒体の性格の違いだけでは説明できない。CISA が期限を切って修正命令を出す、KEV カタログに追加する、といった「行政が動いた」情報が上位を押し上げている。

プラスのギャップは「世界で話題だが日本で手薄」、マイナスは「日本のほうが厚く報じている」を意味する。上下の両端を見ると、この週の性格が一目でわかる。

日本が厚いのは情報漏えい（世界の2.5倍）と境界機器（2.1倍）。どちらも「起きたことの報告」だ。国内には個人情報保護委員会への報告義務があり、上場企業には適時開示があるため、被害公表が制度的に押し出される。この厚みは日本の強みでもある——実際に何が起きたかのデータが揃う。

いっぽう薄いのがフィッシング/AiTM と AI悪用。どちらも「手口」の話で、被害が特定の企業名として表に出にくい。報告義務の網にかからないぶん、報道の動機も弱い。制度が拾わない領域が、そのまま情報のギャップになっているという構図である。

では、何が「上陸」のスイッチを押すのか

ここで今週のデータには、答えのヒントになる対照実験のような組み合わせが含まれていた。Gitea と PaperCut である。

どちらも8月下旬に「実際に悪用されている」と世界で報じられた脆弱性で、規模も深刻度も近い。ところが Gitea は報道された当日のうちに Security NEXT が国内向けに紹介したのに対し、PaperCut は2日経っても日本語の記事が1本も出ていない。この差はどこから来たのか。

収集データを見ると、違いは1点だけだった。Gitea には「米当局（CISA）が注意喚起した」という事実が付いていた。国内の見出しも「米当局、『Gitea』のRCE脆弱性に注意喚起」であり、脆弱性そのものではなく当局が動いたことを報じている。いっぽう PaperCut は、この週の時点でベンダー自身の警告にとどまり、CISAのKEVカタログにも入っていなかった。

この3本のうち、実務上いちばん頼りにされているのは①だろう。CISAのKEVカタログ追加や期限付き修正命令は、国内メディアにとって「報じる理由」になる。実際、今週の日本語媒体TOP5で唯一の海外由来ネタである Gitea は、まさにこの経路で入ってきた。

問題は、①が引かれるまでには時間がかかることである。CISAが動くのは、多くの場合、連邦機関に影響が及ぶと判断されてからだ。ベンダーが警告を出してからKEV入りするまでの数日から数週間、国内は情報の空白に置かれる。今週の PaperCut がまさにその状態にある。

そして②——国内で被害が出てから——は、最も確実に報道されるが、そのときにはもう対処の話ではなく事後対応の話になっている。冒頭に挙げた「日本の情報漏えい報道は世界の2.5倍」という数字は、裏返せば②のルートばかりが太いということでもある。

この記事の数字は、RSSとAPIで収集した記事メタデータを機械的に集計したものである。「日本語で報じられていない」は「日本で起きていない」を意味しない。報道されていないだけで、すでに国内で被害が出ている可能性は常にある。むしろ、報道の空白は検知の空白と重なりやすい。

とくに注意が必要なのは母集団の非対称性である。日本語媒体は7日間で69件、世界版は316件。母数が4.5倍違うため、比率で比べても媒体構成の差が残る。「日本の比率が低い＝関心が低い」と読むのは危険で、実際には国内メディアの本数そのものが少ないという要因が混ざっている。

もうひとつ、週の切り出し方で順位は変わる。ランサムウェアの被害公表は侵入から数週間ずれるため、7日窓では「今週公表された分」しか見えない。攻撃がいつ起きたかは、この方法では追えない。