韓国発セキュリティ企業「S2W」が日本に本格進出──北朝鮮との最前線からAI駆動・リアルタイムで脅威インテリジェンスを届ける

　韓国発のAI駆動型脅威インテリジェンスベンダー「S2W」が2026年6月23日、日本法人の設立にともなう国内での事業本格化を発表した。

　S2Wは、2018年にダークウェブ基盤の安全保障インテリジェンスプラットフォーム「XARVIS（ザービス）」を起点として創業し、現在はエンタープライズ向けの脅威インテリジェンスプラットフォーム「QUAXAR（クェーサー）」、産業特化型の生成AIプラットフォーム「SAIP（S2W AI Platform）」を加えた3つの主力製品を展開している。いずれもAI駆動のプラットフォームで、日本ではこれまでパートナーを通じて展開してきた。

　2020年からは、国際刑事機構（インターポール）に対しソリューションを提供しているほか、同機関の摘発作戦への協力、国際共同作戦への参加といった実績も持つ。また、既に日本、シンガポール、サウジアラビア、ギリシャなどの政府機関にも導入されている。

　特に、韓国のセキュリティ企業というだけあって、北朝鮮や中国、ロシアなど、いわゆる東アジアにプレゼンスを持つ東側諸国がバックに控えるような脅威グループの動向観測・分析には大きな強みを持つ。CEOのソ・サンドク氏は、「同じ国を脅威として見る日本に対し、S2Wは最前線に位置する韓国から、最前線の知見をお届けする」と述べた。

　日本法人の代表には、三好平太氏が就任した。同氏はソ・サンドクCEOの言葉に続く形で、「同じ国家アクターが、韓国の次に日本を狙う。つまり、韓国で先に見てきた知見が、日本の備えに役立つ」と訴える。北朝鮮を背景とするLazarusや、中国を背景とするSalt Typhoonによる被害のニュースは、多くの方が一度は見聞きしたことがあるのではないだろうか。日本にとって韓国は、そうした脅威を長年、最前線で観測してきた地理的・産業的近接国である。

　先に述べた3つの製品に共通して実装されている「マルチドメインクロス分析」により、異種ドメインに散在する大規模データをリアルタイムで収集し、オントロジー基盤のナレッジグラフで連携・クロス分析を行い、隠れたインサイトを導き出すというのが、同社のコア技術だ。なお、日本市場では当面の間、XARVISとQUAXARの2製品を展開していくという。

　まずはXARVIS（ザービス）について。「サイバー犯罪捜査インテリジェンスプラットフォーム」と日本では謳っている。ダークウェブやTelegramといった秘匿チャネルの情報も横断的・一元的に収集・監視でき、違法行為の追跡や脅威アクターの特定、安全保障の強化といったニーズに応える製品だ。S2Wが独自に開発した、ダークウェブの言語パターンに特化したAIモデル「DarkBERT」を搭載し、チャットインターフェースを通じて非構造化データから脅威情報を抽出・要約して得ることができる。

　続いてQUAXAR（クェーサー）、同じくAI駆動の自律型製品で、DRP（デジタルリスク保護）、TI（脅威インテリジェンス）、ASM（アタックサーフェスマネジメント）を単一の基盤に統合したオールインワンプラットフォームだ。先述したような秘匿チャネルからの情報流出、なりすまし、ブランド偽装などを検知するほか、攻撃の予兆を先制的に収集・分析し、防御側が先手を打って対策を講じることを支援する。膨大なビッグデータを収集するわけだが、その分析結果をナレッジグラフでわかりやすく視覚化するため、企業が自分たちで脅威インテリジェンス能力を獲得し、活用することが可能だという。

　最後にSAIP（S2W AI Platform）だが、これは産業特化型の生成AI基盤だ。金融や製造、防衛、政府機関などの要件に応える厳格なセキュリティとガードレールを特徴とし、組織の内部データや業界特有の専門知識・暗黙知を学習することで、ユーザーの組織に特化したAI環境を構築できるとのことだ。

　日本での事業ロードマップとして、まず最初の2年間は、既に協業関係にあるパートナー7社を土台として導入実績を伸ばしていく構えだ。加えて、政府機関や大企業の個別ニーズにアプローチするための、直接営業体制も確立していくという。3年目以降は、日本にもアナリスト拠点を構え、本社と連携していく体制を構築するとしている。

　続いて、CPO（最高製品責任者）のキム・ジェギ氏からは、境界型のセキュリティでは防げない「信頼を悪用する内部脅威」の例として、北朝鮮のIT労働者の手口が紹介された。

　彼らはまず、盗んだ外国人の身分証を用いて身元を偽装し、AIによる顔合成や履歴書・ポートフォリオの偽造を行って、正規のフリーランサーやリモートワーカーになりすます。

　次に、現地の協力者を雇用し、リモート勤務地を偽るための不正な中継地点（ラップトップファーム）を構築する。アクセス場所は、VPNやプロキシで簡単に偽装できる。

　そしていよいよ、LinkedInやUpworkなどのグローバル採用プラットフォームから、採用窓口に接近してくる。その際、競合他社よりも低い単価で中小企業やスタートアップを集中的に攻略しようとするケースが多いという。

　内部への侵入が完了し、目当てのアクセス権限や情報を得たところで、ついに彼らは派手に動き出す。正規の権限を悪用して機密データやソースコードを流出させたり、内部ネットワークへのマルウェアの埋め込みやランサムウェア攻撃による脅迫を行ったりする。

　かつてのような脆弱性を突破してくる攻撃手段ではなく、正規の権限や認証情報を利用して、正当なプロセスで半ば物理的に内部に潜り込んでくるため、従来のセキュリティでは気付けない。これが、従来型のセキュリティツールに加えて、脅威インテリジェンスを実装した管理体制を構築すべき理由だという。この組み合わせによる防御の形を、キム・ジェギCPOは「サプライチェーンリスク管理（TPRM）」と呼ぶ。そして、TPRMにS2Wの脅威インテリジェンスプラットフォームを組み合わせた環境を、「アクティブレーダー」と称した。