MITRE ATT&CKとATLAS：攻撃者の手口の体系

セキュリティの報道やベンダーの報告書には、「T1566」「T1078」といった番号が当たり前のように出てきます。MITRE ATT&CKという、実際の攻撃で観測された手口の体系の番号です。この章ではATT&CKの構造を読み、自分のアプリに関係の深い技術を抜き出します。あわせて、AIシステム向けの姉妹版であるMITRE ATLASを読み、応用編で学んだAI特有の論点がどこに位置づくかを確かめます。攻撃の手順を学ぶ章ではありません。防御側の「共通語」を学ぶ章です。

ATT&CKとは：観測された手口の体系

MITRE ATT&CK（Adversarial Tactics, Techniques, and Common Knowledge）は、米国の非営利組織MITREが維持している、攻撃者の行動の知識ベースです。特徴は「実際の攻撃で観測されたもの」だけを載せていることです。理論上あり得る攻撃ではなく、実際に誰かがやった手口が、2つの軸で整理されています。

戦術（Tactic）

攻撃者が「なぜ」その行動をするのか。目的の段階。「最初に入り込む」「権限を上げる」「データを持ち出す」など。IDはTAで始まります（例：TA0001 Initial Access）。

技術（Technique）

その目的を「どうやって」達成するか。IDはTで始まります（例：T1566 Phishing）。技術の下に、さらに細かいサブ技術（例：T1566.001 Spearphishing Attachment）があります。

経理の不正リスク評価に置き換えると、戦術は「資産の流用」「財務報告の改ざん」といった不正の目的の分類、技術は「架空仕入」「売上の前倒し計上」といった具体的な手口です。監査基準が手口を類型化しているのと同じように、ATT&CKは攻撃の手口を類型化しています。

2026年4月28日公開のATT&CK v19では、Enterprise版（企業システム向け）に15の戦術、222の技術、475のサブ技術があります。v19の大きな変更点として、それまでの「Defense Evasion（防御回避）」の戦術が「Stealth（隠密、TA0005）」と「Defense Impairment（防御の無力化、TA0112）」の2つに分割されました。少し前の資料に「14戦術」と書かれているのはこのためです。本稿執筆時点の最新版は2026年8月のv19.2です。

自分のアプリに関係の深い技術

222の技術をすべて読む必要はありません。個人が公開しているWebアプリに関係が深いものを、attack.mitre.orgで実在を確かめたうえで5つ挙げます。

T1078が4つの戦術にまたがっていることに注目してください。正規のアカウントは「入る」にも「居座る」にも「権限を上げる」にも「隠れる」にも使えます。だからこそ、第10章で見た認証と権限の点検、第12章の二要素認証が、多くの段階を同時に塞ぎます。論文で「認証の不備」が176件（14.84%）あったことの重さは、ATT&CKで見るとより具体的に分かります。

非エンジニアの使い方：防御側の共通語

ATT&CKは攻撃を学ぶためのものではなく、防御側が「何について話しているか」を揃えるための共通語です。使い方は3つあります。

• 報道と報告書を読む。情報漏えいの公表資料やセキュリティ会社の報告書は、「初期侵入はT1190、その後T1078で永続化」のように書かれます。番号を読めれば、「公開アプリの穴から入り、正規アカウントで居座った」と理解できます。
• 自分の守りの抜けを見る。戦術の表を上から下へたどり、「この段階で自分は何を置いているか」を書き出します。何も置いていない段階が、空白として見えます。
• 専門家に聞く。「T1552への対策は第9章の棚卸しで足りますか」と番号で聞けば、専門家は番号で答えられます。

攻撃の連鎖と、どこで止めるか

戦術が左から右へ並んでいるのは、攻撃がたいてい連鎖だからです。調べて、入って、権限を上げて、集めて、持ち出す。この「鎖」の考え方をKill Chain（キルチェーン）と呼び、どこか1か所で鎖を断てば、その先の損害は起きません。1か所に頼らず、複数の段階に守りを置く考え方が多層防御（defense in depth）です。

個人開発で現実的なのは、左側の2段（初期侵入と認証情報）に力を注ぐことです。ここで止まれば、右側は起きません。ただし右端の「操作の記録」は、止めるためではなく「何が起きたかをあとで説明する」ための守りです。第3章で見た個人情報保護委員会への報告（速報はおおむね3〜5日以内）は、記録が無ければ書けません。

MITRE ATLAS：AIシステム向けの体系

ATT&CKは企業システム全般の体系ですが、AIシステムに特有の手口は載っていません。そこでMITREは、AIシステムに特化した姉妹版MITRE ATLAS（Adversarial Threat Landscape for Artificial-Intelligence Systems）を公開しています。IDはAMLで始まり、戦術はAML.TA、技術はAML.Tです。

公式のデータリポジトリ（github.com/mitre-atlas/atlas-data）によれば、2026年9月版（v2026.09）には1つのマトリクス、16の戦術、120の技術、88のサブ技術、40の緩和策、73の事例研究が収められています。戦術の多くはATT&CKと同じ名前ですが、AI固有の2つが加わっています。「AI Model Access（AIモデルへのアクセス、AML.TA0000）」と「AI Attack Staging（AI攻撃の準備、AML.TA0001）」です。

応用編の第16章（slopsquatting）と第17章（プロンプトインジェクションとLLM Top 10）で扱ったAI特有の論点は、ATLASでは次のIDに位置づきます。すべて公式データで実在を確認したものです。

ATLASの原文は、AML.T0110の説明で「Model Context Protocol（MCP）接続を通じてエージェントが使える道具」を明示的に挙げています。2026年9月版では、エージェントに関わる技術（AML.T0080 AI Agent Context Poisoning、AML.T0086 Exfiltration via AI Agent Tool Invocation など）が多数追加されています。AIエージェントの時代の脅威が、すでに「観測された手口」として体系に入り始めているということです。この話は第26章で続けます。