株式会社LeachがIPAにWebサービスの弱点（脆弱性）を報告し受理、日本の情報セキュリティ強化に貢献

株式会社Leachは、Webサービスに潜む弱点（脆弱性）を発見し、独立行政法人情報処理推進機構（IPA）に報告しました。この報告は正式に受理され、『脆弱性関連情報届出受理証明書』が発行されています。これは、責任ある情報開示（Responsible Disclosure）という方法で、日本の情報セキュリティ向上に貢献する取り組みです。

この取り組みについて、Leachのブログで詳細が公開されています。

IPAに正式受理された脆弱性報告の実録

IPAの脆弱性届出制度とは

IPAの脆弱性届出制度は、ソフトウェアやWebサイトに弱点を見つけた人が、IPAを通じて開発者や運営者に安全に情報を伝えるための仕組みです。弱点を発見した人は、法的なリスクを心配することなく報告できます。IPAは、受け付けた情報を調整し、開発者や運営者に修正を促します。修正が完了すると、JPCERT/CCと連携してJVN（Japan Vulnerability Notes）で情報が公開される流れです。

この制度は2004年に始まり、これまで数万件の報告があり、日本のサイバーセキュリティ強化に大きく貢献しています。しかし、報告者の多くは個人のセキュリティ研究者であり、企業として正式に報告し、その活動を公開している例は多くありません。

Responsible Disclosure（責任ある情報開示）とは

Responsible Disclosureとは、弱点を見つけてもすぐに公開するのではなく、まずサービスを作った人や運営している人に秘密で伝え、修正する時間を与える方法です。修正が完了したことを確認してから、安全に情報を公開します。こうすることで、悪意のある人に弱点が利用されるリスクを最小限に抑えられます。GoogleやMicrosoft、Appleといった世界的なIT企業もこの方法を推奨しており、セキュリティの基本的な取り組みとされています。

脆弱性発見の経緯

Leachの代表である冨永拓也氏は、日頃から最新のクラウド技術を学んでおり、オンラインのコンテナ演習環境を使っている際に、システムの動作に違和感を覚えました。これがきっかけで調査を開始しました。

冨永氏は、東芝ソフトウェア技術センターで9年間研究開発に携わり、HDDのファームウェア開発からクラウド基盤設計、データ分析、セキュリティ対策まで幅広い経験を持っています。また、AWSのすべての認定資格（全12冠）を取得するほどの深い知識を持っており、クラウドインフラのセキュリティにも精通しています。

一般の人には気づきにくいことでしたが、セキュリティの専門家としての視点で詳しく調べた結果、潜在的な弱点を発見しました。もし悪用されれば影響が出る可能性があると判断し、公的な機関であるIPAへの届出に踏み切りました。

IPAへの届出プロセスと受理

弱点を見つけた後、LeachはIPAの届出フォームを通じて、以下の情報を提出しました。

影響範囲の概要：どのような条件で弱点が発生するか
再現手順の要点：他の人が確認できる形での再現方法
想定される悪用シナリオ：攻撃者が悪用した場合にどのような被害が起こりうるか
連絡先情報：IPAからの追加質問に対応するための連絡先

情報を送って数日後には受理確認のメールが届き、取扱い番号が付与されて正式な調査・調整が始まりました。その後、数週間で「脆弱性関連情報届出受理証明書」が発行されています。

技術的な詳しい内容は、サービスの運営者とIPAとの間で調整されるため、この発表では公開されていません。

法人が脆弱性届出を行う意義

弱点の報告は個人のセキュリティ研究者が行うことが多いですが、企業が組織として弱点を発見し報告し、その活動を公開することには、以下の3つの点で重要な意味があります。

セキュリティ能力の証明
弱点を発見し、IPAに受理されるレベルの報告を行うには、対象システムの仕組みや通信方法、認証の知識など、深い専門知識が必要です。これは、Leachの技術力の客観的な証明になります。
顧客への安心感の提供
Leachは、生成AI顧問サービスで企業のシステム開発や運用を支援しています。セキュリティの観点から社会貢献する企業であるという姿勢は、顧客にとって信頼できる材料となります。
業界全体のセキュリティ向上への貢献
弱点を放置すれば、被害が広がるリスクがあります。問題を発見した際に、公的な仕組みを使って安全に報告する文化を企業レベルで実践することは、日本の情報セキュリティ全体のレベルアップに欠かせません。

Leach 生成AI顧問のセキュリティ支援

Leachは、システム開発や運用において、生成AIをはじめとする新しい技術の活用とセキュリティ対策の両方を重視しています。Leachの生成AI顧問サービスでは、月額5万円からの顧問契約で、以下のサービスを提供しています。

生成AIをはじめとする最先端技術の導入支援
システム設計のセキュリティチェック
クラウドインフラ（AWS / GCP / Azure / Cloudflare）のセキュリティ設定最適化
脆弱性への対応に関するアドバイス
緊急時のセキュリティ問題対応支援

AWSのすべての認定資格を持つCEOが直接サポートし、クラウドセキュリティに関する豊富な経験と最新の知識を提供します。

サービスの詳細はこちらから確認できます。

Leach 生成AI顧問サービス

株式会社Leachの技術的強みと実績

Leachは2024年11月に設立された、生成AI専門のスタートアップ企業です。代表の冨永拓也氏は、AWS認定資格全12冠を国内最短級の約1ヶ月で取得し、これまでに個人を含め40社以上のAI導入を支援してきました。製造業、物流、建設、小売、金融など、幅広い業種で「現場の業務をAIで自動化」する導入支援を行っています。

2026年3月には、米Y Combinator公認の国際ハッカソンで技術賞「The Biggest Engineering Lift」を受賞。その2週間後には、Digital Garage共催の「Builders Weekend 2026 Tokyo」でVoiceOS賞を受賞するなど、国際的な評価を連続して得ています。また、2025年には日本ソフトウェア科学会（JSSST）のチュートリアル講師として招かれ、生成AIエージェントの最前線を学術界にも発信しました。

代表の冨永氏は、国立奈良先端科学技術大学院大学（NAIST）の修士課程を修了しています。学生時代にはDICOMO2014で最優秀プレゼンテーション賞と優秀論文賞、DPSWS2014で優秀ポスター賞をトリプル受賞しました。東芝ソフトウェア技術センターでは9年間、GoogleやMcKinseyとの共同プロジェクトにも従事しています。研究、開発、セキュリティの3つの分野をすべてカバーできる点がLeachの技術的な強みです。

自社AIサービスと業種特化AIシステム

Leachは顧問サービスの他にも、自社で開発したAIツールを提供しています。

Saturn（サターン）：CORECの受注データからfreeeの請求書を全自動で作成するスプレッドシート形式のAI転記ツールです。1日8時間の転記作業を10分に短縮できます。
突合.com（トツゴウ）：請求書と納品書など2つのPDFファイルをAIが自動で照合し、人間が最終確認するだけで作業が完了します。2時間×2名で行っていた作業を30分×1名に短縮できます。

さらに、特定の業界向けに作られたAI業務システム（OSシリーズ、β版）も展開しており、それぞれの業界の課題解決を支援しています。

サービス名	対象業種	主な効果
FactoryOS	少量多品種製造業	FAX注文書のOCR読取・生産進捗管理・AI図面検索を一気通貫。1日3時間の手入力をゼロに。
FestOS	食のイベント・フェス運営	保健所書類の自動処理・出店者対応・決済照合を自動化。運営工数70%削減。
BuildOS	資材リース業	入庫・出庫・帳票・請求照合を一気通貫で自動化。請求照合を月3日から数時間に削減。
RecruitOS	転職エージェント	AIマッチング・LINE統合・選考パイプライン一元管理。提案文作成工数80%削減。
LogiOS	中小運送会社	受注・AI配車・自動請求・労務管理を統合。2024年問題に対応し年960時間の監視が可能。
WasteOS	産廃業者	マニフェスト期限管理・AI配車・台貫連携・自動請求を一気通貫。紙・Excel・電話FAXからの脱却を支援。
LeachOS	社長・営業・マーケティング担当	日報自動生成・X（旧Twitter）投稿ドラフト・営業メール作成を自動化。毎日3時間の時短を実現。

今後の展望と問い合わせ

Leachの生成AI顧問サービスは、月額5万円から利用できる企業向けのAI顧問契約です。Slackで即時対応を基本とし、生成AI、Web、インフラを一貫してサポートします。

「AIを入れたいが何から始めればよいかわからない」
「開発会社の見積もりが適正か判定できない」
「手作業が多くて現場が疲弊している」

といった課題を持つ企業の相談相手として機能します。高すぎる見積もりや不要な機能を見抜いてコスト削減する役割も果たし、3百万強の見積もりを実質約100万円まで圧縮した事例もあります。

Leachは、今回の弱点報告の経験を活かし、生成AIの安全な利用方法や、LLM（大規模言語モデル）をクラウドサービスでより安全に利用するための研究・情報発信も積極的に行っていきます。AIエージェントが自動で命令を実行する時代では、企業のガバナンス（統治）やセキュリティ対応がこれまで以上に重要となります。Leachは、「生成AIを、まるごと届ける。」を目標に、導入支援と技術的な誠実さの両面から日本の生成AI活用をリードしていく考えです。

お問い合わせ

以下のご相談・お問い合わせを受け付けています。

生成AI顧問サービスの申込み
自社AIサービス「Saturn」「突合.com」の導入相談
業種特化AIシステム（FactoryOS / FestOS / BuildOS / RecruitOS / LogiOS / WasteOS / LeachOS）の試用相談
このプレスリリースに関するメディア取材・ご質問

Leachのウェブサイト（https://leach.co.jp/）のお問い合わせフォームより受け付けています。脆弱性届出の詳細経緯については、Leachのブログ「IPAに正式受理された脆弱性報告の実録」（https://leach.co.jp/ja/news/ipa-accepted）にて公開されています。