ルーヴル美術館も英国図書館も破られた。文化施設のセキュリティが後回しにされる構造

ルーヴルの強盗からBritish Library（英国図書館）のランサムウェア被害まで、文化施設を狙う攻撃が続いている。英議会の報告書は政府の対応を「事後対応型」と断じたが、問題の根はもっと深い。

8分間で消えた王冠宝石

2025年10月19日、パリのルーヴル美術館アポロンの間から、フランス王冠宝石8点が盗まれた。被害総額は推定€8800万（約160億円）。犯行時間は8分足らず。作業員に変装した4人がトラック搭載のリフトでバルコニーに取りつき、窓を切断して侵入。展示ケースを破壊し、逃走した。

強盗そのものは古典的な物理犯罪だ。だが3週間後に公開されたフランス会計検査院の監査報告書が明らかにしたのは、セキュリティを後回しにし続けた組織の実態だった。

報告書の対象期間は2018〜2024年。この間ルーヴルは美術品の購入に€1億540万、展示スペースの整備に€6350万を費やした。合わせて約€1億6890万。対するメンテナンス費用は€2670万にとどまる。6倍以上の差だ。

セキュリティ設備の近代化計画は2018年に検討が始まっていたが、入札が出たのは2024年12月。計画に割り当てられた€8300万のうち、実際に投じられたのは€300万だけだった。

問題はさらに古くまで遡る。2017年の内部監査では、一部のワークステーションがWindows 2000やWindows XPなど、すでにサポートが終了したOSで動いていることが指摘されていた。Windows 2000のセキュリティ更新は2010年に、Windows XPは2014年に終了している。8年前の警告が放置されていた。

会計検査院のピエール・モスコヴィシ（Pierre Moscovici）院長はこれを「轟くような警鐘」と表現した。

British Libraryに残った傷跡

ルーヴルは物理的な強盗に遭った。British Libraryを襲ったのは、目に見えない侵入だった。

2023年10月、British Libraryのシステムがランサムウェアグループ「Rhysida」に侵入された。全ネットワークユーザーがロックアウトされ、20ビットコイン（当時約60万ポンド）の身代金が要求された。図書館は支払いを拒否。盗まれたデータは闇サイトでオークションにかけられ、買い手がつかなかった分は流出した。

2024年3月に図書館自身が公開した報告書は、攻撃が成功した理由を率直に認めている。時代も出所もばらばらなまま継ぎ足されてきたシステム群に、復旧計画がなかった。多要素認証が適用されていない管理者アカウントが突破口になった。

復旧には数ヶ月を要した。最も基本的なオンラインカタログが戻ったのは2024年1月。2026年8月の時点でも、一部のデジタル化資料やアーカイブは「サイバー攻撃の影響で利用不可」と表示されている。攻撃から約3年が経っても、復旧は終わっていない。

報告書が映し出す「溝」

2026年6月24日、英国議会の公会計委員会（PAC）が報告書を公開した。政府が後援する15の博物館・美術館の財務的レジリエンス（回復力）を調査したものだが、セキュリティに関する警告が際立った。

British Libraryのランサムウェア攻撃と、大英博物館からの収蔵品窃盗（2023年に1500点以上の紛失・盗難が発覚）という二つの事件を受け、政府は教訓の共有を促した。だがPACが問いただしたとき、文化・メディア・スポーツ省（DCMS）は「その結果として具体的にどんな対策が取られたのか」を示すことができなかった。

報告書は、DCMSがChief Digital Information Officers（最高デジタル情報責任者）とChief Information Security Officers（最高情報セキュリティ責任者）を集めるフォーラムの設置を進めていることに言及している。物理セキュリティについては、200の博物館が参加する国立博物館セキュリティグループを評価した。

だが、サイバーセキュリティのフォーラムと、物理セキュリティの専門グループの間に対話の場がない。報告書のどこにも、両者をつなぐ仕組みへの言及がない。

カメラがネットワークにつながった瞬間

この「溝」は文化施設に限った話ではない。

2021年5月、米国のコロニアル・パイプライン（Colonial Pipeline）がランサムウェア攻撃を受けた。29の製油所と267の配送ターミナルを結ぶ、全長約8850kmのパイプラインシステムだ。東海岸の燃料供給の約45%を担い、5000万人以上のアメリカ人の生活を支えている。

攻撃されたのはIT系統、具体的には課金システムだった。パイプラインの物理的な制御系統（OT）は直接の被害を受けていない。しかし経営陣はIT系統からOTへの攻撃拡大を恐れて全操作を停止した。

その結果、フライトの変更、パニック買い、1万1000を超えるガソリンスタンドの燃料切れが起きた。課金システムが止まっただけで、パイプライン全体が止まった。

ルーヴルの監査を担当したApolo Securityも同じ問題を指摘している。カメラ、空調、入退管理がネットワークに接続された瞬間、デジタルの脆弱性は物理的な結果をもたらす。「サイバーセキュリティ」と「物理セキュリティ」は別の予算項目でも、別の問題でもない。

守る側の構造を変えられるか

多くの組織で、物理セキュリティとサイバーセキュリティの両方に目が届く最初のポストがCEOになっている。監視カメラがアナログだった頃、電子錠がスタンドアロンだった頃の組織図だ。

カメラがIP化され、空調も照明もチケットも入退管理もネットワークで動く現在、その間に統括者がいなければ、一方の穴がもう一方に波及する。

2026年2月にはフィレンツェのウフィツィ美術館もサイバー攻撃を受けた。美術館のウェブサイトに関連するソフトウェアの脆弱性から侵入され、ウフィツィ、ピッティ宮殿、ボーボリ庭園のネットワークに横展開。写真部門のアーカイブ全体がサーバーから削除された。バックアップがあったため復旧はできたが、ハードウェアの入れ替え作業は続いている。

現地報道では、攻撃者がパスワード、アラームシステムの設定情報、内部マップ、監視カメラの位置まで持ち去ったと伝えられた。美術館側は地図の盗難については否定し、「カメラの位置は館内を歩いて見上げれば分かる」とコメントした。その言葉自体が、デジタルセキュリティへの危機感の薄さを露呈している。

「予算がない」だけでは説明がつかない

ルーヴルには€8300万のセキュリティ近代化予算が確保されていた。それでも計画は何年も遅延し、6年間で€300万しか使われなかった。足りなかったのは予算ではなく、優先順位だ。

PAC報告書が調査対象にした英国の15の博物館・美術館の状況も似ている。2024-25年度にDCMSが提供した助成金は4億8400万ポンド。自主収入は5億6300万ポンドで、2021-22年度比で実質53%増。資金がまったくないわけではない。

だが助成金は実質16%減少しており、エネルギーや人件費は上昇している。サイバーセキュリティは来館者を増やす展示や美術品の購入と比べて、予算確保の優先度が下がりやすい。

ルーヴルの監査報告書はこのパターンを数字で裏づけた。美術品と展示に€1億6890万、メンテナンスに€2670万。

後回しにした結果は一度に返ってくる。British Libraryの復旧費用は約700万ポンド（約15億円）。ルーヴルの被害総額は€8800万。6年間の節約分は、1回の攻撃で消し飛ぶ。

ネットワークでつながった展示室

日本の文化施設も無関係ではない。チケットは電子化され、監視カメラはIPカメラに置き換わり、空調も照明も入退管理も館内ネットワークで制御されている。情報処理推進機構（IPA）の「情報セキュリティ10大脅威2026」では、ランサムウェア被害が10年連続で1位を占めている。

文化施設だけが特別に脆弱なのではない。限られた予算で運営される公的機関が、レガシーシステムと専門人材の不足を抱えたまま、ネットワーク接続されたインフラを管理している。英国PACの報告書が描いたこの問題は、業種も国境も超えて当てはまる。

カメラがネットワークにつながった瞬間から、美術品を守る仕事の半分はIT部門の仕事になった。その認識と組織図が追いついていないことが、ルーヴルの壊れた窓枠と、British Libraryの「利用不可」の表示に共通する原因だ。

関連記事

• FBIがサイバー犯罪訓練用の「街」を建設。病院も発電所もある
• 社員2000人のパスワードがCEOのデスクトップに。Excelファイル1つで崩れる企業
• ニチレイ攻撃にRansomHouseが犯行声明、暗号化済みと主張
• OpenAIのモデルがHugging Faceを侵害した
• Hugging Face、AIエージェントによる侵入を公表
• Microsoft、Mythos対抗のAIセキュリティ製品を準備
• AIが31秒で攻撃を自己修正した。初のエージェント型ランサムウェア記録
• BlueHammer、ランサムウェアに転用。CISAが警告
• Apple、iOS 26.5.2で29件の修正を前倒し配布
• タタへのサイバー攻撃でApple・Teslaの機密情報が流出か