ホワイトハッカーとは？意味とブラックハットとの違い、仕事の中身・法律の線引き・資格と学び方をやさしく解説

01この記事でわかること（3行まとめ）

• ホワイトハッカーとは、持ち主の許可を得て、攻撃者と同じ目線で弱点を探し、守りに役立てる人です。許可を得ているかどうかが、悪意のあるハッカーとの一番の違いです。
• 仕事は主に4つ。脆弱性診断、ペネトレーションテスト、バグバウンティ（脆弱性の報奨金制度）、インシデント対応です。
• 許可のない検査は、善意でも不正アクセス禁止法違反になりえます。目指す人は自分の環境や公式の練習の場で学び、見つけた弱点はIPAの届出制度などの正しい窓口に伝えます。

02ホワイトハッカーとは：意味と言葉の成り立ち

ホワイトハッカーとは、コンピューターやネットワークの深い知識を、守るために使う人のことです。システムの持ち主から許可をもらい、攻撃者ならどこを狙うかという目線で弱点（脆弱性）を探します。見つけた弱点は持ち主に報告し、直す手助けをします。英語では「ホワイトハット」（白い帽子）、または「エシカルハッカー」（倫理的なハッカー）と呼ばれることもあります。

もともと「ハッカー」は、コンピューターの仕組みに深く詳しい人を指す言葉で、インターネットの用語集RFC 1983も、許可なく入ろうとする人は「クラッカー」と呼んで区別しています。今は許可なく入り込むことも「ハッキング」と呼ぶため、守る側をはっきり分けて「ホワイト」を付けて呼びます（言葉の意味と手口の全体像はハッキングとは）。

03ブラックハット・グレーハットとの違い

ハッカーは、帽子の色にたとえて3つに分けて説明されることがよくあります。どれも法律上の分け方ではなく、通称です。

大事なのは、「いい人か悪い人か」ではなく「許可を得ているか」で線が引かれる点です。グレーハットは「悪いことには使わないから」と考えがちですが、日本の法律は目的のよしあしではなく、持ち主の承諾なく入ったかどうかを問題にします（後の「法律の線引き」で説明します）。また、IPAの届出制度の案内も、必要以上に調べると運営者とのトラブルになったり、不正アクセス禁止法などに触れたりするおそれがある、と注意しています。

04ホワイトハッカーの仕事1：脆弱性診断

脆弱性診断は、会社のWebサイトやスマホアプリ、サーバー、ネットワーク機器に、既に知られている弱点や設定のミスがないかを調べる仕事です（脆弱性診断の用語ページ）。専用のツールで広く確かめる方法と、専門家が手作業で一つずつ確かめる方法があり、組み合わせて使うのが一般的です。

結果は報告書にまとめられ、「どこに」「どのくらい危ない」弱点があり、「どう直せばいいか」が書かれます。会社にとっては、攻撃される前に穴をふさぐための健康診断のようなものです。新しいサイトを公開する前や、大きな改修のあと、定期的な点検として頼まれます。

経済産業省は「情報セキュリティサービス基準」を定めており、IPAはこの基準に合うサービスの一覧を公開しています。一覧の区分には「脆弱性診断サービス」があり、2026年10月9日に更新されています。頼む先を探すときの手がかりになります。

05ホワイトハッカーの仕事2：ペネトレーションテスト

ペネトレーションテスト（侵入テスト）は、脆弱性診断より一歩踏み込み、実際の攻撃者のように振る舞って、決めた目標までたどり着けるかを確かめる仕事です（ペネトレーションテストの用語ページ）。たとえば「社外から入り込んで、顧客データのあるサーバーまで届くか」「1台のパソコンが乗っ取られたら、どこまで広がるか」といった目標を、依頼主と前もって決めます。

脆弱性診断が「弱点の一覧を作る」仕事だとすると、ペネトレーションテストは「弱点をつなげると、実際にどこまでやられるか」を確かめる仕事です。見張りの仕組み（監視やEDR）が侵入に気づけるかを試す目的で行われることもあります。IPAの基準適合サービスの一覧では、ペネトレーションテストは脆弱性診断サービスのオプションとして扱われています。

どちらも、依頼主との契約で「どこを、いつ、どこまで調べてよいか」を書面で決めてから行います。この取り決めがあるからこそ、同じ技術を使っていても犯罪ではなく正当な仕事になります。

06ホワイトハッカーの仕事3：バグバウンティ（脆弱性の報奨金制度）

バグバウンティは、会社が自社のサービスの弱点を外部の人に探してもらい、見つけて報告した人に報奨金を払う仕組みです。この仕組みを取り入れている会社があります。会社にとっては、社内だけでは見つけきれない弱点を、たくさんの専門家の目で探してもらえる利点があります。

参加するときに守るべきなのは、会社が公開しているルールです。ふつうは「調べてよい対象（ドメインやアプリ）」「してはいけないこと（サービスを止める行為、他人のデータを見る行為など）」「報告のしかた」「公表してよい時期」が決められています。ルールの範囲を外れた調査は、報奨金の対象にならないだけでなく、許可のない行為として扱われるおそれがあります。報奨金の額や条件は会社ごとに違うので、必ずその会社の公式のページで確かめてください。

なお、2026年10月のGMOインターネットグループの件では、会社が犯人の特定につながる情報に懸賞金を出しましたが、これは弱点探しの報奨金とは別のものです。GMOは、侵入して調べるなどの勝手な調査をしないよう呼びかけていました（GMOの件の経緯）。

07ホワイトハッカーの仕事4：インシデント対応とフォレンジック

実際に攻撃を受けてしまったあとに呼ばれるのも、ホワイトハッカーの仕事です。インシデント対応では、被害の広がりを止め、どこから入られたのかを調べ、元に戻すまでを手伝います（インシデント対応の用語ページ）。フォレンジックは、パソコンやサーバーに残った記録（ログ）やファイルを証拠として保全し、何が起きたかを明らかにする調査です。

攻撃者のやり方を知っているからこそ、残された跡から侵入の道筋を読み解けます。GMOインターネットグループの件でも、同社はホワイトハッカーのチームが利用者の端末を解析し、独自の調査で得た情報を警察などに提出すると発表しました。会社が被害を受けたときの最初の動きは、ホームページがハッキングされたときやランサムウェアに感染したら最初の1時間でやることにまとめています。

08診断の仕事はどう進むのか（依頼から報告まで）

脆弱性診断やペネトレーションテストを仕事として受けるときの、よくある流れです。会社ごとに細かな違いはありますが、どの段階でも「依頼主の承諾の範囲で動く」ことが中心にあります。

1. 打ち合わせ：依頼主が何を心配しているか、どのシステムが大事かを聞きます。
2. 範囲と条件の取り決め：調べる対象（URLや機器）、日時、してはいけないこと、緊急時の連絡先を書面にします。本番の環境か、検証用の環境かもここで決めます。
3. 調査：決めた範囲の中だけで、ツールと手作業で弱点を探します。サービスに影響が出そうなときは、すぐに依頼主へ連絡します。
4. 報告：見つかった弱点と危険度、直し方をまとめた報告書を渡し、説明します。
5. 再確認：依頼主が直したあと、本当にふさがったかをもう一度確かめます。

調べている間に知った情報（顧客のデータや社内の仕組みなど）は、依頼主の秘密です。契約で秘密を守る約束をし、報告が終わったら決めたとおりに消すのが、ホワイトハッカーの基本の作法です。

09ホワイトハッカーが働く場所

ホワイトハッカーの働き方は1つではありません。主な例を挙げます。

• セキュリティ会社：ほかの会社から頼まれて、脆弱性診断やペネトレーションテスト、事故の調査を行います。
• 会社の中のセキュリティ担当：自社のシステムを点検し、事故が起きたときに動くチーム（CSIRT）の一員として働きます。
• 監視の現場：ネットワークやパソコンの記録を見張り、攻撃の兆しに気づいて知らせる仕事です（SOC）。
• 製品やサービスの開発：作る段階から弱点が生まれないよう設計やプログラムを見直します。
• 研究や公的機関：新しい攻撃の手口を分析したり、注意喚起を出したりします。

10法律の線引き：許可のない検査は違法になりうる

ホワイトハッカーとブラックハッカーを分けるのは、技術ではなく許可です。日本では、不正アクセス禁止法（正式名は「不正アクセス行為の禁止等に関する法律」）がその線を引いています。

• 不正アクセス行為とは：他人のIDとパスワードを勝手に入力して使える状態にすることや、弱点をついて利用の制限をすり抜けることです（第2条第4項）。条文は、システムを管理する人（アクセス管理者）が自分でする場合や、その承諾を得てする場合を、不正アクセス行為から除いています。
• 罰則：不正アクセス行為をした人は、3年以下の拘禁刑または100万円以下の罰金です（第11条・第3条）。他人のIDやパスワードを不正に手に入れる、保管する、他人に教えるといった行為にも、別に罰則があります（第4条〜第7条、第12条・第13条）。
• ほかの法律：正当な理由なく、人のパソコンで動かす目的でウイルスなどを作ったり渡したりすると、刑法の不正指令電磁的記録作成等の罪（3年以下の拘禁刑または50万円以下の罰金、第168条の2）になります。システムを壊したり誤作動させたりして業務を妨げると、電子計算機損壊等業務妨害の罪（5年以下の拘禁刑または100万円以下の罰金、第234条の2）に問われることもあります。

つまり、「弱点を教えてあげようと思った」という善意があっても、持ち主の承諾なく入れば違法になりうるということです。ホワイトハッカーが仕事をするときは、だれが承諾したか、調べてよい範囲はどこまでかを、必ず書面で残します。他人のサービスを勝手に試すことは、練習のつもりでもしないでください。

11弱点に気づいたら：IPAの脆弱性届出制度

ふだん使っているサイトやソフトで、偶然おかしな動きに気づくこともあります。そんなとき、SNSに書いたり自分でさらに調べたりせず、正しい窓口に伝える仕組みがあります。それがIPAの「脆弱性関連情報の届出」です。

• 受付と調整：届出を受け付けるのはIPA、製品の開発者への連絡と公表の調整をするのはJPCERT/CC（日本の事故対応の調整機関）です。経済産業省の告示「ソフトウエア製品等の脆弱性関連情報に関する取扱規程」などにもとづく制度で、手順は「情報セキュリティ早期警戒パートナーシップガイドライン」に書かれています。
• 対象：国内で使われるソフトウエア製品（OS、ブラウザ、サーバーのソフト、機器の組込みソフトなど）と、主に国内から使われるWebサイトで動いている固有のシステム（ウェブアプリケーション）です。
• 届け方：メール（届出様式）か、Webの届出フォームで届けます。
• 届けたあと：IPAは、ソフトウエア製品では公表されるまで、Webサイトでは修正されるまで、第三者に情報を明かさないよう求めています。公表のときに発見者として名前を載せるかどうかは、届出のときに選べ、ハンドルネームも使えます。

ソフトウエア製品の弱点は、開発者が修正版を用意したあと、JVN（Japan Vulnerability Notes、日本の脆弱性対策情報のサイト）で公表されます。IPAのFAQによると、発見者の名前をJVNに載せるのは、届出のときに「掲載してもよい」を選んだ場合だけです。発見者の情報は、本人が望まなければ開発者や運営者には伝えられません。名前を出さずに届けたい人も、安心して使える仕組みになっています。

IPAは、発見者に情報を秘密にするよう強制はせず、開発者や運営者に修正を強制することもないと説明しています。それでも、届出の窓口を通せば、運営者と直接もめる心配が減り、利用者を守る修正につながりやすくなります。なお、IPAの案内は、届出の前に必要以上の調査をしないよう注意しています。

12ホワイトハッカーを目指す人の学び方

ホワイトハッカーになるのに決まった道はありませんが、土台になるのは次のような知識です。

1. 仕組みを知る：ネットワーク（通信のしくみ）、OS（WindowsやLinux）、Webサイトの作り、プログラミング、暗号の基本です。守るには、まず正しく動く仕組みを知る必要があります。
2. 守り方を知る：脆弱性がどうして生まれ、どう直すかを学びます。IPAは「安全なウェブサイトの作り方」という資料をWebで公開しています。
3. 自分の環境で試す：練習は、自分のパソコンの中に作った検証用の環境や、練習用に公開されている教材の上で行います。他人のサービスは使いません。
4. 公式の育成の場に参加する：IPAが運営する「セキュリティ・キャンプ」は、2004年に始まった若い人材の発掘・育成の事業です。全国大会は、審査に通った13歳以上22歳以下の学生・生徒が合宿形式で学びます。15歳以下向けのジュニア、各地で年10回程度開かれる1日程度のミニキャンプもあります。
5. 倫理を身につける：技術と同じくらい大事なのが、許可の範囲を守る、知った秘密を漏らさない、という姿勢です。

仕事として目指すなら、ネットワークやサーバーの運用、Webサイトやアプリの開発の経験は、そのまま役立ちます。守る仕事では「正しく動く仕組み」を知っていることが土台になるからです。そのうえで、情報処理安全確保支援士の試験で知識を整理したり、CTFで腕を試したりして、診断や監視の仕事に移る人もいます。

技術の腕試しとして、CTF（セキュリティの問題を解く競技）に参加する人も多くいます。CTFは、主催者が用意した問題用の環境だけを対象にするので、ルールを守れば安心して練習できます。

13目指す人が練習でやってはいけないこと

学び始めの人が、知らないうちに法律の線を越えてしまうことがあります。次のことは、練習のつもりでもしないでください。

• 他人のIDやパスワードでログインを試す：家族や友だちのものでも、本人や管理者の承諾がなければ不正アクセス行為になりえます。
• 学校や会社のシステムを勝手に調べる：管理している部署の書面の許可なく、弱点を探す行為はしません。
• 他人のWi-Fiやサービスに勝手につなぐ・試す：公開されているように見えても、使ってよいとは限りません。
• ウイルスなどのプログラムを作って人に渡す：正当な理由なく、人のパソコンで動かす目的で作ったり渡したりすると、刑法の罪になります。
• 見つけた弱点を言いふらす：直る前に悪用されるおそれがあります。届出制度などの窓口を使います。

14ホワイトハッカーに役立つ資格と試験

ホワイトハッカーになるのに必須の資格はありません。ただ、知識を証明したり、学ぶ順番の目安にしたりするのに、IPAの国家試験が役立ちます。

情報処理安全確保支援士（登録セキスペ）

2016年10月の「情報処理の促進に関する法律」の改正で生まれた国家資格です。情報処理安全確保支援士試験に合格するなどして登録すると名乗れます。登録した人だけが資格の名前を使える「名称独占資格」で、登録していない人が名乗ると法律の罰則の対象になります。

登録した人には、信用を傷つける行為の禁止（法第21条）、業務で知った秘密を守る義務（法第22条、資格がなくなったあとも続く）、IPAが行う講習を受ける義務（法第23条）があります。登録は更新が必要で、更新までに決められた講習をすべて終える必要があります。IPAによると、秘密を守る義務に違反すると、1年以下の懲役または50万円以下の罰金が科されます。

頼む側の会社から見ると、秘密を守る義務が法律で決まっていて、講習で知識を更新し続けている人であることが、この資格の意味です。登録した人の一部の情報は、IPAの検索サービスで誰でも調べられます。

試験（略号SC）は、2026年度はCBT方式（パソコンで受ける方式）で前期と後期に行われます。科目A-1（50分・30問）、科目A-2（40分・25問）は四肢択一、科目B（150分）は4問から2問を選ぶ記述式です。IPAは、2027年度から新しい試験制度へ移る予定としています。受ける前に、IPAの試験のページで最新の情報を確かめてください。

情報セキュリティマネジメント試験

会社の部署で情報セキュリティのリーダーを担う人を対象にしたIPAの国家試験です。CBT方式で随時行われ、試験時間は120分です。技術者でない人も対象にした試験です。

このほか、民間の団体や海外の団体が出している資格もあります。内容や更新の条件はそれぞれ違うので、目指す仕事に合わせて公式の情報で比べてください。

15会社がホワイトハッカーに頼むときに確認すること

• 何を頼みたいかを決める：既知の弱点を広く調べたいなら脆弱性診断、実際にどこまで入られるかを確かめたいならペネトレーションテスト、被害を受けたあとなら事故対応・フォレンジックです。
• 調べる範囲と日時を書面で決める：対象のサイトや機器、調べてよい時間帯、止めてはいけない業務、緊急時の連絡先を契約書や作業計画書に書きます。
• ほかの会社の持ち物が含まれていないか：サイトがレンタルサーバーやクラウドの上で動いているときは、その事業者の利用規約で検査の決まりがないか確かめます。
• 報告書の中身を前もって確かめる：危険度の付け方、直し方の提案、直したあとの再確認が含まれるかを見ます。
• 公的な一覧で確かめる：IPAの「情報セキュリティサービス基準適合サービスリスト」に載っているかは、選ぶときの手がかりになります（掲載はIPAの保証ではありません）。
• 担当者の資格や経験：情報処理安全確保支援士かどうかは、IPAの検索サービスで調べられます。

頼む時期の目安は、新しいサイトやアプリを公開する前、大きな改修をしたあと、取引先からセキュリティの確認を求められたとき、そして同じ業界で事件が続いたときです。一度だけで終わらせず、直したあとの再確認と、定期的な点検を組み合わせると、弱点が残ったままになるのを防げます。社内に詳しい人がいなくても、診断の会社は結果の読み方や直す順番まで説明してくれます。分からないことは遠慮せずに質問し、報告書の内容を自社の言葉で説明できる状態を目指してください。

図鑑では、脆弱性診断を提供する会社を脆弱性診断の分類で比べられます。料金は見積りになることが多いので、2〜3社に同じ条件で聞くと比べやすくなります。

16困ったときの相談先

• 弱点に気づいた：IPAの「脆弱性関連情報の届出受付」。運営者が専用の窓口を設けていれば、そこへ直接伝える方法もあります。
• 会社が攻撃を受けた：JPCERT/CCのインシデント対応依頼、最寄りの警察署やサイバー犯罪の相談窓口に相談します。調査を頼む会社は事故対応・フォレンジックで探せます。
• 情報セキュリティ全般の相談：IPAの「情報セキュリティ安心相談窓口」があります。
• 資格や試験のこと：IPAの試験と登録セキスペのページで確かめます。

17よくある質問