資産探索
ドメイン、サブドメイン、証明書、クラウド、管理画面、APIを洗い出し、外部から到達できる攻撃面を可視化します。
外部から見える範囲まずは無料で確認したい方へ：無料チェックリスト「FX自動売買VPS 侵害前提チェック10項目」を見る →
WHY NOW
AIを使う攻撃者により、
情報漏洩は急増している。
2026年7〜9月に公表された国内Webシステムの情報漏洩は68件。1〜3月の5.7倍で、10月時点で2025年1年間を超えています。
68件2026年Q3の情報漏洩公表
5.7倍2026年Q1比
2025年超10月時点で年間件数を超過
WHAT WE CHECK
攻撃者と同じ目線で、
会社の外側から見る。
資産探索、侵害検証、漏洩調査を、書面許可の範囲で非破壊に。VPS・Web/API・AIエージェントまで。
侵害検証
認証回避、アクセス制御、インジェクション、SSRF、権限昇格、横展開を、合意済みの範囲で非破壊に検証します。
本番は合意済みの範囲のみ漏洩調査
GitHub等の公開情報から、パスワード・APIキーの漏洩候補を調査。見つけた情報でのログイン検証は行いません。
公開情報のみ対象: VPS・FX自動売買 / Webアプリ・API / AIエージェント・RAG / クラウド設定
BEFORE START
ご準備いただくこと
本番環境を含む場合は、影響・停止条件・復旧手順を先に合意します。予告なしの侵入はしません。
01
本番環境への影響のご了承
本番環境を含む場合でも、非破壊・合意済みの範囲・停止条件・バックアップを前提にします。予告なしの侵入検証は行いません。
02
対象範囲のご承認
当方が洗い出した資産一覧を確認し、テストしてよい範囲を承認してください。自社資産でないものは除外できます。
PRICING
固定価格で、
範囲を絞る。
初回は1環境に限定。追加環境はオプション。見積り前に、対象と禁止事項を合意します。
29.8万円〜
5営業日 / 1環境 / 税別
- 外部露出・パッチ・アカウント
- MT4/MT5・EA・保存パスワード
- 永続化・侵害痕跡
- 修正チェックリスト
- チャットでの報告・質疑応答 + 再確認1回
49.8万円〜
7営業日 / 1アプリ or 1 API / 税別
- OWASP Top 10
- 認証・認可・セッション
- API・クラウド設定
- 再現手順・証拠
- 修正後再テスト
59.8万円〜
7営業日 / 1エージェント / 税別
- プロンプトインジェクション
- 機密情報の漏えい
- ツール悪用・RAG汚染
- 攻撃プロンプト集
- 修正後再テスト
外部攻撃面 抜き打ち診断（58万円・税別）は準備中（相談・見積のみ対応）です。30日間の監視・速報・証拠管理フローを整備してから受注を開始します。
月額セキュリティパートナー 9.8万円/月（税別・継続支援）、インシデント初動 50万円〜（税別・初動調査の範囲は事前に合意します）もご用意しています。追加VPS 1台 +10万円、土日対応 +30%。追加費用はすべて税別です。 資格・提携・保険・法務の状況は実施体制にまとめています。現時点では、書面許可の範囲での非破壊の確認のみをお見積りします。
MONITOR
実績作りモニター募集（先着3枠）
Habilis Securityの診断実績を蓄積するため、「VPS・FX自動売買 緊急診断」をモニターパイロット価格で3件限定で提供します。
GMOお名前.comのVPS事案を受け、「自分の環境は大丈夫か」を確認したい方に向けた枠です。
モニターパイロット価格：9.8万円（税別・単発）／1環境
※通常提供価格は29.8万円〜です。本枠は実績作りを目的とした期間・件数限定のパイロット提供です。
診断内容（通常提供と同じ範囲）
- 対象環境：MT4/MT5・EAが稼働するVPS 1環境
- 確認項目：侵害痕跡、永続化の有無、保存パスワード等の到達情報（持ち出しは行いません）
- 成果物：確認結果と修正チェックリスト
- チャットでの報告・質疑応答＋修正後の再確認1回
- 納期目安：5営業日
- 進め方：書面許可・NDA・実施条件（RoE）を締結のうえ、非破壊の範囲で実施します。メール・チャットのみでの進行も可能です。
モニターの条件
- 匿名での事例公開にご協力いただけること（伏せる範囲は事前にすり合わせます）
- 診断後に感想を一言いただけること
- 書面許可・NDAの締結にご同意いただけること
モニター枠で相談する
枠が埋まり次第、予告なく募集を終了します。
FLOW
許可なく、触らない。
相談から再確認まで、書面と連絡体制を整えて進めます。
01
申込・相談
フォーム or チャット。ビデオ不要。対象と目的を整理します。
02
対象の共有
対象に必ず含めたいドメイン・VPSを共有。資産探索の起点にします。
03
対象範囲の承認
見つけた資産一覧を確認し、テストしてよい範囲を承認。除外も可能。
04
書面合意（NDA・RoE）
書面許可・NDA・実施条件（RoE）を締結。停止条件と連絡体制もここで固定します。
05
検証（合意済み範囲）
合意済みの範囲で、非破壊に検証します。
06
速報＋最終報告
重大な問題は即共有。最後に報告書、修正チェックリスト、再確認。
COMPARE
一般の脆弱性診断との違い
アプリ単体ではなく、外部から到達できる会社全体を見る。資産探索と漏洩調査を含めます。
| Habilis 抜き打ち診断（準備中・参考） | 一般の脆弱性診断 | |
|---|---|---|
| 資産探索 | あり | なし |
| 機微情報の漏洩調査 | あり | なし |
| 対象範囲 | 1ドメイン配下（最大20資産） | アプリ単体 |
| 本番環境 | 合意済み範囲のみ | 原則デモ環境 |
| 費用 | 準備中（相談・見積のみ対応） | 100〜300万円 × アプリ数 |
| 検証できること | 致命的リスクの有無と到達範囲 | 網羅的なリスクの洗い出し |
※「抜き打ち診断」は準備中のため、上表は参考情報です。現行で受注できるのは、VPS・FX自動売買／Webアプリ・API／AIエージェント・RAGの個別診断です。
個別のシナリオ・範囲・契約調整は、VPS / Web・API / AIエージェントの個別診断で対応します。
DELIVERABLES
経営者が判断できて、
技術者が直せる。
報告書だけで終わらせず、修正の優先度と再確認まで含めます。
01発見資産一覧
資産探索で見つかった、外部から到達できる攻撃対象の一覧。
02到達可否の確認と目的
侵入・情報取得がどこまで到達したかを確認し、結果を整理します。
03キルチェーン
初期侵入から目的達成までの手順を、再現可能な形で整理。
04システム構成図
攻撃経路を図で可視化。経営層・技術者の両方に共有。
05到達情報（持ち出しなし）
到達できた情報の範囲を最小限の証拠で示す。実際の持ち出しはしない。
06漏洩候補・修正チェックリスト
公開情報の漏洩候補と、優先度・担当・期限つきの修正項目。
QUALITY
攻撃の前に、
自分たちで試す。
意図的に脆弱なデモラボで9ケースを検証。8所見を再現し、同一環境で2回連続、同じ結果。外部の実システムは攻撃していません。
9テストケース
8再現した所見
0外部システムへの攻撃
サンプル報告書はデモラボの実測結果です。実在の顧客環境ではありません。GMO事案で報告された「不正プログラム設置→取引口座情報→不正操作」の流れも、公開情報に基づきラボで模擬済みです。独立した第三者再現と実顧客環境の検証は、パートナー契約後に進めます。
GMO事案の記述について
本ページのGMO事案に関する記述は、2026年10月27日時点でGMOインターネットグループが公表した 公式発表（第2報）など公開情報に基づく事例解説です。数値（26,739等）は発表時点のもので、続報で変わることがあります。 当社はGMOインターネットグループおよび本件の被害者・関係者と資本関係・提携関係・委託関係はありません。 記載は「公開情報から確認できる事実」と「当社の見解」を区別しています。
証拠品質基準
調査レポートは、次の6原則に従います。
- 事実と推定を分離する（Observed / Inferred）
- すべての所見に「出典・取得時刻・SHA-256」を付ける
- 再現手順と限界（誤検知・カバレッジ）を書く
- 非破壊・最小証拠（データを持ち出さない）
- 被害者データを取らない（マスクし、件数だけ記録）
- AIは補助、確認は人が行う
確度は High / Medium / Low / Unverified の4段階で表記します。 公開情報だけではウォレットの所有者・ドメイン運営者・犯罪関与は証明できないため、 帰属が必要な場合は取引所・レジストラ・認証プロバイダへの照会を前提とします。
AI利用方針
- AIは探索・整理・一次トリアージ・下書きに限定します。公開情報の突合と、根拠URL・取得時刻の確認は人が行います。
- 顧客データをモデル学習に利用しません。
- 認証情報・APIキー・個人情報・未公開の脆弱性詳細は、外部LLMに送りません。
- AIの出力は人が検証し、誤検知・幻覚を前提に確認します。
情報の取り扱い
| 項目 | 方針 |
|---|---|
| 保存 | 暗号化して保管し、アクセスを担当者に限定 |
| 保持期間 | 見積り不成立は30日以内、契約後は終了後90日以内に削除 |
| 削除 | 依頼に基づき削除し、削除証明を発行 |
| 再委託 | 原則として行いません。実施が必要な場合は事前の書面同意をいただき、委託先の機密保持契約を確認します（提携パートナー契約は現在未締結です） |
実施体制
Habilis は現在、個人事業主として運営しています。次の4点はいずれも未取得または準備中であり、取得済みであるかのような説明は行いません。
- 専門家による判定（情報処理安全確保支援士・OSCP等の資格保有者によるレビュー）: 未実施。資格保有者との提携も未締結です。
- 提携パートナー契約: 未締結。
- 賠償責任保険: 未付保。
- 法務レビュー: 未実施。
現在提供できるのは、ご依頼者から書面で許可された範囲を、非破壊で確認する作業です。範囲は作業前に書面（対象・手法・時間帯・連絡先）で合意し、作業中に想定外の挙動を確認した場合はその時点で中断してご連絡します。 認証情報の取り扱い、再委託の可否、作業ログの受け渡し方法も、同じ書面で先に取り決めます。
資格・保険・提携の有無は、ご依頼時に書面で開示します。該当がない場合も、その旨を明記して交付します。登録番号や証明書の提示が必要な場合は、事前にその旨をお知らせください。
上記4点の整備状況は、契約前に書面で開示します。整備が完了した項目から本文を更新します。
特定商取引法に基づく表記
販売事業者名・所在地・電話番号・対価・支払時期・引渡時期・返品特約は、お問い合わせに基づき開示します。窓口は sakai@habilis.io です。
更新履歴
- 2026-10-28: 脆弱性開示ポリシー・証拠品質基準・security.txt を公開
- 2026-10-28: GMO事案の記述に出典・時点・非提携の注記を追加
- 2026-10-28: AI利用方針・情報の保持/削除を明記
- 2026-10-28: 実施体制（資格・提携・保険・法務レビュー）が未取得であることを明記
最終更新: 2026-10-28
機微な情報を含むご連絡は、暗号化せずにメールへ添付しないでください。まず sakai@habilis.io へ「暗号化が必要」とだけお知らせください。PGP 鍵および Signal は現在未整備のため、代替の受け渡し方法（パスワード付きアーカイブの別経路送付等）を個別にご案内します。PGP 公開鍵の公開をもって案内できる状態になった時点で、このページを更新します。
TEAM
AIと、人の確認で。
AI支援で調査を整理し、最後は人が確認します。資格保有者による判定、提携パートナー契約、賠償責任保険、法務レビューはいずれも未取得／準備中です。
AI
資産探索、ログ整理、一次トリアージ、報告ドラフト。誤検知は人が確認します。
専門家による確認（対象を限定・準備中）
影響度、再現性、修正優先度の確認は、資格保有者による判断を前提とする領域です。提携パートナー契約・保険・法務レビューが整うまで、この確認は提供しません。
実績は案件ごとに開示します。ISMS等の認証は当社では未取得で、提携パートナーの取得状況も未確認です。
POSTURE
実施体制と、未取得の範囲。
資格保有者による判定、提携パートナー契約、賠償責任保険、法務レビューはいずれも未取得／準備中です。
したがって現在提供するのは、書面許可の範囲での非破壊の確認までです。影響度・再現性・修正優先度の最終判断は、資格保有者による確認を前提とする領域であり、体制が整うまで提供しません。開始前に、緊急停止・連絡体制、バックアップと復旧手順を確認します。
FREE CHECKLIST
FX自動売買VPS
侵害前提チェック 10項目
まずは自社で確認できる10項目。引っかかったら、チャット相談へ。 PDFはそのまま印刷・社内共有いただけます。10項目に答えたものを送っていただければ、引っかかった項目について見方を返します。
10項目を見る
- RDP/SSHがインターネットに露出していないか
- 管理者アカウントは最小限か。MFAは有効か
- OS・MT4/MT5は最新か
- MT4/MT5に取引口座のパスワードを保存していないか
- EA・ライブラリの配布元は明確か
- スタートアップ・タスク・サービスに不審なものがないか
- 不審なプロセス・通信・ログインがないか
- バックアップはオフラインか。復旧手順はあるか
- 取引口座のMFA、出金制限、ログ確認はできているか
- インシデント時の連絡体制・公表手順はあるか
SAFE & LEGAL
書面許可のないテストは、しません。
対象システムの所有者・管理者による書面許可、NDA、Rules of Engagement（RoE）を前提に実施します。DoS、データ破壊・持ち出し、本番停止、ソーシャルエンジニアリング、第三者システムへのテストは行いません。
資格保有者による判定、提携パートナー契約、賠償責任保険、法務レビューはいずれも未取得／準備中です。詳細は実施体制をご覧ください。開始前に、緊急停止・連絡体制、バックアップと復旧手順を確認します。
VENDOR SECURITY
セキュリティベンダーとして、
同じ轍を踏まない。
セキュリティサービスを提供する側も、顧客の預かり情報・認証情報・委託先リスクを抱えます。だから、次の原則を先に決めます。
- 顧客の認証情報を預からない。必要な場合は一時的な限定権限・専用アカウント・終了後削除を契約に明記します。
- 本番環境への予告なし侵入はしない。予告なしは外部監視・資産探索まで。検証は合意済みの範囲・時間・停止条件でのみ行います。
- 証拠は最小限。データの持ち出し・大量取得をせず、暗号化して保管し、終了後に削除します。
- 委託先・パートナーを確認。資格、保険、NDA、再委託の可否、事故時の連絡体制は、契約前に必ず確認します（提携パートナーは現在未締結です）。
- 事故時の連絡・公表・再発防止を契約に明記。自社のMFA、最小権限、ログ監視、脆弱性管理を徹底します。
FAQ
よくある質問
まだ攻撃されていないと思います。必要ですか？
必要かどうかは、外部露出と侵害痕跡を見ないと判断できません。特にVPSは、RDP/SSHの露出、パスワード保存、EAの配布元でリスクが変わります。まず10項目のチェックから始めてください。
VPSが停止中でも相談できますか？
はい。停止中は、復旧後の設定方針、再発防止、顧客向け説明の整理から始められます。テストは、サービス再開と書面許可の後です。
予算はどのくらいですか？
VPS緊急診断は1環境29.8万円（税別）から、5営業日。Webアプリ/APIは49.8万円〜（税別）、AIエージェント/RAGは59.8万円〜（税別）です。追加環境や緊急対応は別途見積りです。外部攻撃面の抜き打ち診断は準備中（相談・見積のみ対応）です。実績作りモニター枠では、VPS・FX自動売買の緊急診断を9.8万円（税別・単発）・先着3枠で提供しています。
秘密情報は大丈夫ですか？
NDAを締結し、アクセス権限を限定します。証拠は必要最小限、暗号化して保管し、終了後に削除します。詳細はRoEで合意します。
本番環境に影響が出ませんか？
本番環境を含む場合は、非破壊・合意済みの範囲・停止条件・バックアップ・復旧手順を先に合意します。予告なしの侵入検証は行いません。外部監視と資産探索は予告なしで行えます。
「抜き打ち」とは、予告なしに攻撃するのですか？
いいえ。予告なしで行うのは外部監視・資産探索までです。本番への侵入検証は、事前に合意した範囲・時間・停止条件でのみ、非破壊で行います。これは事故を起こさないための設計です。
データを持ち出しますか？
持ち出し・大量取得はしません。到達できた情報の範囲を、最小限の証拠で示します。証拠は暗号化し、終了後に削除します。
脆弱性が見つからなかった場合は？
それも結果です。テスト範囲・方法・証拠・確認できた防御を報告します。「侵入できなければ返金」は約束しません。見つからない場合に返金を求める契約は、セキュリティ診断の性質と合いません。
返金はありますか？
スコープ・手法・成果物の未提供があった場合は、未提供分を返金または再実施します。重大所見の誤検知は、報告書を訂正し、再確認を無償で行います。「脆弱性が見つからない」「攻撃が防御された」ことは返金理由に該当しません。
GMO事案のような、ベンダー側の侵害は？
顧客の認証情報を預からない、本番への予告なし侵入をしない、証拠を最小限にする、委託先の資格・保険を契約前に確認する、事故時の連絡・公表・再発防止を契約に明記する。この5つを標準にします（提携パートナーは現在未締結です）。
AIの誤検知は？
AIは偵察・ログ整理・一次トリアージ・報告ドラフトに使い、影響度・再現性・修正優先度は人が確認します（資格保有者による判定は準備中です）。AIの出力をそのまま報告しません。
CONTACT
まずはチャットで、現在の環境を整理します。
「何から確認すればいいか分からない」で構いません。 ビデオ通話は必須ではありません。メール・チャットだけでも進められます。
書面許可・NDA・RoEのないテストは行いません。成果・安全性を保証するものではありません。
CONTACT FORM
相談フォーム
ビデオ通話は必須ではありません。文章だけで相談できます。
相談は、
文章だけで完結します。
こちらで質問を用意します。いま分かる範囲で、対象・心配なこと・希望時期を書くだけで十分です。
やり取りはメール・チャットで完結します。ご希望がない限り、ビデオ通話は行いません。
運営者情報
運営者はココナラにて自動化・動画ツールの販売実績21件（評価4.9／2026年10月時点）があります。