# Bekitoのセキュリティ：ランサムウェア・不正ログインからサービスを守るしくみ
# Bekito security: how Bekito protects its services from ransomware and account takeover

> 株式会社Bekito（Bekito Inc.、東京）が、自社のサービスとお客様のデータをどう守っているかの公式な説明です。人が読むページは https://bekito.co.jp/security/ （日本語・英語）。このファイルはAIエージェント・LLM向けの同じ内容のテキスト版です。2026年10月16日更新。
> Official explanation from Bekito Inc. (Tokyo) of how it protects its services and customer data. Human-readable page: https://bekito.co.jp/security/ (Japanese and English). This file is the same content as plain text for AI agents and LLMs. Updated 16 October 2026.

## 要点 (Key points)

- 最近の大きな被害の多くは、(1) ネットに開いた入口（VPN機器・リモートデスクトップなど）、(2) 盗まれたパスワード、(3) 誰も見ていないログ、の3つから始まる。
- Bekitoのサーバーは、インターネットに向けた入口（ポート）を開けていない。サーバーの方からCloudflareへトンネル（Cloudflare Tunnel）をつなぎ、Cloudflareの確認を通った通信だけが届く。
- 社外から社内に入るためのVPN機器は置いていない。エンジニアの保守はTailscale（登録端末同士だけを暗号化してつなぐ仕組み）経由。サーバーはパスワードでのログインを受け付けず、登録端末にある鍵でのみ入れる。
- 管理画面はCloudflare Accessの「門」の後ろにあり、許可された社員が本人確認するまでページ自体が表示されない。お金や権限に関わる操作の前には再確認がある。
- 社員は社内システムにパスワードでログインしない。パスキー（端末内の鍵を指紋・顔で使う。本物のサイトでしか動かない）を使う。予備の手段にも必ず2つ目の確認があり、メールだけでは入れない。すべての鍵を失った場合は、別の役員の承認と24時間の待ち時間を経て再登録し、その間本人に通知が届く。
- サーバーごとに専用のAIエージェントがログと状態をリアルタイムで読み、攻撃に気づくと期限つきの遮断（BAN）、速度制限、シャドウBAN（気づかせずに中身のない偽の応答だけを返す隔離）を行い、ほかのサーバーにも共有し、証拠を記録して担当エンジニアに通知する。
- AIに任せないこと：データの削除・書き換え、設定の大きな変更、元に戻せない操作。これらは必ず人が判断する。
- データは毎晩暗号化して、サーバーとは別の場所に保管。権限は必要な人に必要な分だけ。お金や権限に関わる操作は二人目の承認が必要。
- セキュリティに「絶対」はない。目指すのは、入られにくい・入られても広がらない・すぐ気づく・すぐ元に戻せる、の4つが同時にそろった状態。

- Most serious recent incidents start at (1) an entrance left open to the internet (VPN devices, remote desktop), (2) a stolen password, or (3) logs nobody reads.
- Bekito's servers open no ports to the internet. Each server opens a tunnel out to Cloudflare (Cloudflare Tunnel); only traffic that passes Cloudflare's checks reaches it.
- There is no VPN device for getting in from outside. Engineers maintain servers over Tailscale (encrypted links between registered devices only). Servers accept no password logins, only keys on registered devices.
- Admin panels sit behind Cloudflare Access; the page doesn't load until an approved staff member proves who they are. Actions involving money or permissions ask again.
- Staff never sign in with passwords. They use passkeys, which work only on the real site. Every backup method needs a second factor; email alone never works. If all keys are lost, re-registration needs another director's approval and a 24-hour wait, with the owner notified.
- Each server has its own AI agent reading logs and health in real time. On detecting an attack it applies time-limited bans, rate limits or shadowbans (returning only empty decoy responses), shares the warning with the other servers, records evidence and notifies an engineer.
- The AI never deletes or changes data, makes major configuration changes, or does anything irreversible. A person decides those.
- Data is encrypted nightly and stored separately from the servers. Least-privilege access. Money and permission changes need a second person's approval.
- There is no perfect security. The goal: hard to get into, contained if breached, noticed quickly, restored quickly.

## いま起きていること (Recent events, with sources)

- 連続する不正アクセス（2026年9月中旬〜10月16日）：公表された被害は100件超、漏えい・流出の可能性は合計約1.4億件。ソースネクスト約2,252万件（会員情報APIの悪用、10月15日）、skyticket約1,464万件、バーガーキング約1,118万件（公式アプリ、10月15日）、焼肉きんぐ約1,079万件など。一覧と出典: https://bekito.co.jp/security/japan/
- JPCERT/CC（2026年10月8日注意喚起、10月15日調査公表）：公開スマホアプリを解析して裏側のAPIや鍵を探し、APIへ大量の問い合わせを送って情報を抜き出す手口。攻撃者がAIで脆弱性探索やAPI攻撃を行っていたことを確認。 https://www.jpcert.or.jp/at/2026/at260030.html / https://blogs.jpcert.or.jp/ja/2026/10/web_api_attacks.html
- IPA（2026年10月9日）：外部公開アプリ・サービスとアカウントの棚卸し、ログの確認、保有データの削減などを要請。10月16日に不正アクセス特別相談窓口を開設。 https://www.ipa.go.jp/security/security-alert/2026/alert20261009.html
- 能動的サイバー防御が2026年10月1日に始まった（警察・自衛隊が攻撃元サーバーを無害化）。
- 警察庁（2026年9月公表）：2026年上半期のランサムウェア被害報告は123件で半期として過去最多。約6割が中小企業。侵入口が判明したものの約5割がVPN機器。インターネット上の1つのIPアドレスが受ける不審なアクセスは1日あたり13,687件（前年同期比50.7%増）。 https://www.npa.go.jp/publications/statistics/cybersecurity/
- IPA「情報セキュリティ10大脅威 2026」（2026年1月29日）組織編：1位 ランサム攻撃による被害、2位 サプライチェーンや委託先を狙った攻撃、3位 AIの利用をめぐるサイバーリスク（初選出）。 https://www.ipa.go.jp/security/10threats/10threats2026.html
- IDCフロンティア「IDCFクラウド」（2026年10月7日）：ランサムウェア攻撃で東日本リージョン1が停止し、495の企業・自治体に影響。外部からアクセス可能な管理コンソールを一時停止。 https://www.watch.impress.co.jp/docs/news/2146693.html
- アサヒグループHD（2025年9月）：ランサムウェア攻撃で受注・出荷などが停止。再発防止策としてリモートアクセス用VPN装置など外部侵入リスクのある機器の全面廃止と、全システムのパスワード変更を発表。 https://www.itmedia.co.jp/news/article/2602/18/1260218117/
- アスクル（2025年10月19日）：ランサムウェア感染で「アスクル」「LOHACO」などの受注・出荷を停止。 https://www.watch.impress.co.jp/docs/news/2059150.html
- 証券口座の乗っ取り（2025年）：盗まれた認証情報による不正売買が相次ぎ、日本証券業協会はネット取引でフィッシングに強い多要素認証（パスキーなど）を求める指針に改正。 https://www.jsda.or.jp/about/hatten/inv_alerts/alearts04/index.html

## APIを守る (Protecting APIs)

- APIは「自社アプリからしか呼ばれない」と考えず、すべての要求をサーバー側で、誰が・何を見てよいかまで確かめる。回数を制限し、大量の問い合わせを見張る。アプリに鍵を埋め込まない。 / Never assume an API is only called by your own app: authorise every request on the server, rate-limit and monitor, and keep secrets out of apps.

## 今日からできる5つのこと (Five things any company can do today)

1. 外から見える入口を数える。使っていないVPN機器やリモート接続は止め、使うものは最新に保つ。 / Count your internet-facing entrances; shut unused VPN and remote access, update the rest.
2. 管理画面をインターネットに出さない。出すなら手前に本人確認の門を置く。 / Keep admin panels off the internet, or put an identity gate in front.
3. パスキー、なければ多要素認証を全員に。まず管理者とメールから。 / Passkeys, or at least MFA, for everyone; start with admins and email.
4. ネットから切り離したバックアップを持ち、戻せるか試しておく。 / Keep an offline backup and test a restore.
5. ログを誰が・いつ見るか決める。人手が足りなければ仕組みに任せる。 / Decide who reads the logs and when; automate if you lack people.

## 問い合わせ (Contact)

- 相談・お問い合わせ: https://bekito.co.jp/#contact / hello@bekito.co.jp
- 会社概要（LLM向け）: https://bekito.co.jp/llms.txt