2026 年 8 月 18 日、GTA 6 のものとみられる映像がネット上に現れ、ゲームの完全なマップとされる画像も一緒に出回りました。これらは CyberLeek と名乗るグループによるものとされています。四日間連続で映像が次々と公開されて六本に達し、その中にはストーリーそのもののカットシーンを含むものもありました。ゲームはまだ発売されておらず、発表されている発売時期は 2026 年 11 月です。

ゲーム業界のニュースのように読めます。しかし、そこに含まれる教訓はゲームとは無関係です。業界最大級のスタジオ、莫大な制作予算、何年にもわたる作業。それでも製品は、誰も見張っていなかった扉から発売日前に一般の目に触れてしまいました。はるかに小さな企業でも、まったく同じことが起きています。ただ、もっと静かに起きているだけです。

実際に何が起きたのか

  • 素材は本物とみられる。記者たちが根拠にしたのは画像の分析ではなく、企業の反応でした。Rockstar と親会社の Take-Two は、映像に対して著作権侵害による削除要請を出しました。企業は偽の映像の削除を求めたりはしません。
  • エスカレートは段階的だった。最初は通常のゲームプレイから始まり、その後カットシーンが登場しました。これにより、流出させた人物は録画済みの映像だけでなく、プレイ可能なビルドを持っていると観測筋は結論づけました。
  • 動機は表明されており、入り混じっている。グループはゲームパブリッシャーに対して、デジタル版とパッケージ版に関する要求を公表する一方で、映像の中でミームコインを宣伝し、そのコインで支払って次のリーク内容を選ぶ投票まで実施していました。
  • 企業は流出元を把握していない。Jason Schreier による Bloomberg の報道によると、経営陣は総力を挙げて対応に当たっていますが、流出させた人物は特定できておらず、今後のプレミア公開を延期したりマーケティング戦略を変更したりする予定もないとのことです。

最後の点こそ、ビジネスの観点から最も重要です。何日も調査を続けた後でも、これほどのリソースを持つ企業が、ファイルがどこから出たのかを言えないのです。これは珍しい弱点ではありません。コピーを持つ人の数が、追跡できる人の数を上回ったときの自然な結果です。

御社に当てはめると：まだ公開していない成果物は何か

御社はゲームを作っていなくても、今日公になればお金や取引、信頼を失うようなファイルを持っています。サウジアラビア市場で最もよくあるものは次のとおりです。

  • 入札書類と価格。開札前の入札ファイルは社内で最も機密性の高い文書であり、WhatsApp で最も頻繁に回されている文書でもあります。
  • 顧客リストと特別価格。ある大口顧客に提示した優遇割引が、別の顧客の目に触れること。
  • 発表前の製品やサービス。デザイン、価格、発売日、すでに用意されたキャンペーン。
  • 従業員データと給与情報。一つのファイルだけで、社内を何か月も混乱させるのに十分です。
  • ステージング環境のコードとデータ。顧客のシステムを点検する際に、実際に公開状態になっているのを最もよく見かけるのがこれです。

これらのファイルは実際にどこから漏れるのか

リークと聞いて一般的に思い浮かぶのは侵入、つまり誰かがファイアウォールを突破したという構図です。しかしほとんどの場合、現実はもっと単純で地味です。

  • 必要以上に広いアクセス権。価格とは関係のない部署の人が入札フォルダを開けてしまうのは、そのフォルダが何年も前から全員に共有されているからです。
  • 失効しなかったアクセス権。アカウントがまだ使える委託業者や元従業員、あるいは一年前に送った共有リンクが今でもファイルを開けてしまう状態。
  • システム外のコピー。個人の端末にダウンロードされたり、WhatsApp で転送されたり、「一時的に」個人のクラウドアカウントにアップロードされたりしたファイル。
  • 公開状態のステージング環境。パスワードのないサブドメインに置かれたサイトやシステムのコピー。検索エンジンにインデックスされ、実データが入っていることもあります。
  • 識別情報のないコピー。Rockstar が流出元を特定できないのはこのためです。すべてのコピーが同一だと、流出したファイルは誰が外に出したのかについて何も語りません。

今週やるべき五つのこと

これは予算をかけたセキュリティプログラムではありません。費用を上回る効果がある、小さな管理上・技術上のステップです。

  • 守る前に分類する。社内で最も機密性の高いファイルやフォルダを十個リストアップしてください。すべてを同じように守ることはできず、それを試みると結局何も守れません。資産の分類とアクセス管理は、国家サイバーセキュリティ庁（NCA）が発行した必須サイバーセキュリティ管理策 ECC 2-2024 の基本事項です。
  • 誰が何を開けるかを見直す。今日、機密フォルダの権限設定を開き、リストを一人ずつ名前で確認してください。基準は「必要とする人」であって、「必要になるかもしれない人」ではありません。
  • すべてのアクセスに有効期限を設ける。委託業者、取引先、インターンのアクセスは、誰かが後で思い出して判断するのではなく、契約の終了とともに自動的に終わるべきです。退職手続きとアカウントの閉鎖を同じ日に結び付けてください。
  • コピーを追跡可能にする。機密性の高い提案書や文書には受領者の名前入りの透かしを入れ、誰が開いたか、誰がダウンロードしたか、いつだったかを示すダウンロード記録を残してください。これでリークを防げるわけではありませんが、謎だったものを流出元が分かるインシデントに変えることができ、その存在自体が抑止力になります。
  • ステージング環境を閉じる。テスト用コピーにパスワードをかけ、インデックスをブロックし、実際の顧客記録の代わりにダミーデータを使う。この一つのステップだけで、私たちが最も頻繁に遭遇する穴をふさぐことができます。

第二の教訓：初日の計画

記者たちは、リークが始まった後、Rockstar が何日も自社アカウントでの投稿を止めていたことを指摘しました。沈黙は法的には理解できる選択ですが、たいていは物語の主導権をすべて相手側に渡してしまいます。

実務上重要なのは、必要になる前に三つの問いへの答えを文書にしておくことです。誰がエスカレーションを決め、誰が会社を代表して発言するのか。最初の二時間で取るべき最初の技術的な手順は何か、つまりアクセスを遮断し、ログが上書きされる前に保全することです。そして、いつ当局に通知するのか。特に流出した素材に顧客や従業員の個人データが含まれている場合、サウジアラビアではそれはコミュニケーション上の選択ではなく、規制上の義務です。

インシデントにうまく対処できる企業とは、一度も被害を受けない企業ではありません。平時のうちにこれらの答えを書いておいた企業です。

Origami の見解

私たちはこの出来事を、ほぼすべてのシステム点検で伝えていることの裏付けだと受け止めています。多くの企業にとっての主なリスクは外部からの侵入ではなく、一度付与されたまま二度と見直されない社内の権限です。高度な攻撃者はまれですが、2021 年から全員に共有されているフォルダはほとんどどこにでもあります。

だからこそ、私たちが顧客のためにシステムを構築するときは、権限を「開放」からではなく「ゼロ」から始めます。各ロールは業務に必要なものだけを閲覧でき、一時的なアクセスにはすべて有効期限があり、機密性の高い操作はすべてログに痕跡を残します。これは別売りのセキュリティ追加機能ではなく、最初からシステムを構築する正しい方法です。最初にやるか後から改修するかの違いは、前者が設計に数時間かかるのに対し、後者は取り返しのつかないものを代償にするという点です。

まとめ

すべてのリークを防ぐことはできません。しかし、わずか一週間で、最も機密性の高い素材が何かを把握し、それに触れられる人を絞り込み、すべてのコピーに保有者の識別情報を持たせ、初日の計画を書くことができます。予算のいらない四つのステップが、誰が流出させたかを把握している企業と、暗闇の中で探し回る企業とを分けます。何年もかけて作られたゲームに、今まさに起きているように。

出典

  • IGN、2026 年 8 月 18 日から 21 日 — 映像とマップに関する継続的な報道、CyberLeek によるものとされた経緯、本数が六本に達したこと、ミームコインとの関連。
  • Metro / GameCentral、2026 年 8 月 19 日 — 真正性のサインとしての Rockstar による著作権削除要請と、流出グループの要求。
  • Bloomberg、Jason Schreier、2026 年 8 月 21 日（Insider Gaming 経由）— 総力を挙げて対応する経営陣、特定されていない流出者、今後のプレミア公開を延期する予定はないこと。
  • 国家サイバーセキュリティ庁（NCA）— 必須サイバーセキュリティ管理策 ECC 2-2024：資産の分類、ならびにアイデンティティとアクセスの管理。