バグ1件15万円で消耗する23歳ハッカーが、「経路の可視化」だけで約8.6億円を調達した話。

「今日もバズらなかった…」と、単発の投稿に一喜一憂して消耗していないか？

バグ1件 × 報酬$1,000の労働集約型で消耗し続けるハッカーが、なぜ23歳・約8.6億円調達の創業者に化けたのか。

実はこれ、SNS運用で「単発バズ」を狙うのをやめ、「経路」を設計して自動化するのと全く同じ構造だ。

英語圏のサイバーセキュリティメディアとフランス語圏のスタートアップメディアを横断してリサーチした。ここまで数字で分解した日本語記事は、他にない。

二度と見失わないように、今のうちにこの記事を保存（ブックマーク）しておいてほしい。

※ これは海外のビジネスメディア（FrenchWeb.fr）で報じられた事例を、僕が日本市場向けに翻訳・分析した勉強用メモです。投資アドバイスでも特定企業の推薦でもありません。情報の正確性については原典を参照してください。

SNS運用を自動化しませんか？

ThreadPostなら、投稿作成・画像生成・スケジュール管理まで全てAIにお任せ。

無料で始める

■ 冒頭ストーリー

2019年。ロニ・カルタ（Roni Carta）、19歳。

フランスの片隅で、ノートパソコンの画面だけを光源にして、深夜まで企業システムの「穴」を探し続けていた。

GoogleのシステムにアクセスしてはバグをレポートするHTTPリクエストを送り、Amazonのインフラをスキャンして脆弱性を報告し、Netflixの認証フローを逆算して弱点を見つける。

見つければ報酬。見つからなければゼロ。

典型的なバグバウンティハンターの日常だ。

報酬は1件あたり数百ドルから数千ドル。いいときは月に数万ドル稼げる。でも再現性はない。バグが見つかる保証はどこにもない。ギャンブルだ。

それでも彼は続けた。

4年間で累計$800,000（約1.2億円）。

Googleから「Most Valuable Hacker」を2回受賞。世界のハッカーコミュニティの中でも圧倒的な実績。

でも、ロニはある日、根本的な問いを立てた。

「俺はずっとバグを"1個ずつ"探している。でも、本当に危険な攻撃は、バグを"組み合わせる"ことで起きている。なぜ、誰もその"経路"を可視化するツールを作らないんだ？」

その問いが、2023年の創業につながった。

会社名は「Lupin & Holmes」。

シャーロック・ホームズとアルセーヌ・ルパン。探偵と怪盗。防御者と攻撃者。その両方の視点を持つ、という宣言だ。

プレシードで調達した金額は540万ユーロ（約8.6億円）。

投資家は20VC、Seedcamp、Kima Ventures、Purple Ventures。Fortune 500企業とLedgerを顧客に抱える。

23歳で、だ。

なぜ、こんな単純な「視点の転換」だけで、ここまでの結果が出たのか。

しんたろー：
バグを1個ずつ探すのは、SNSで「バズる投稿」を1本ずつ狙うのと完全に同じ構造だ。
単発。再現性ゼロ。消耗。
ロニが気づいたのは「経路を設計する」という発想の転換。
これ、SNS運用にそのまま使える。
後で詳しく話す。

■ 第1章：「攻撃経路思考」——バグではなく、経路を設計せよ

僕はロニの手法に、独自の名前をつけた。

「攻撃経路思考（アタック・パス・シンキング）」だ。

従来のセキュリティの考え方はこうだ。

アプリケーションの入力フォームにバグがないか確認する
ネットワークのポートが開いていないか確認する
IDとパスワードの認証フローに穴がないか確認する

これは「点の防御」だ。

でも、実際の攻撃者はこう動く。

オープンソースの依存ライブラリに小さな脆弱性を発見する（それ単体では無害）
ビルドパイプラインの設定ミスを発見する（それ単体では無害）
内部ネットワークの設定の甘さを発見する（それ単体では無害）
この3つを組み合わせて、致命的な侵入経路を完成させる

つまり、単一のバグは無害でも、組み合わせれば凶器になる。

ロニが開発したツール「Depi」は、まさにこの「経路の組み合わせ」を可視化する。

「私たちは単一の脆弱性を見つけることに興味はない。複数の脆弱性がどのように組み合わさって、実際に悪用可能な侵入経路を作るかを理解することに興味がある」
— ロニ・カルタ（FrenchWeb.frインタビューより）

これが攻撃経路思考の核心だ。

点ではなく、線を見る。

バグではなく、経路を設計する。

防御者の視点ではなく、攻撃者の視点で考える。

これをセキュリティ業界では「Offensive Security（攻撃的セキュリティ）」と呼ぶ。そして、この思想を製品化したのがロニだ。

しんたろー：
「点ではなく線を見る」。
これ、SNS運用で言うと「バズ投稿を狙う」のではなく「エンゲージメントの連鎖を設計する」ということだ。
1本の投稿がバズっても、翌日フォロワーが増えなければ意味がない。
大事なのは「経路」。流入→共感→フォロー→定着の連鎖をどう設計するか。
僕がThreadsで30万フォロワーを達成したのも、この発想があったからだ。

■ 第2章：数字で見る「単発バグ」vs「経路設計」の圧倒的な差

攻撃経路思考がなぜビジネスとして成立するのか。数字で見ればすぐわかる。

🔢 シミュレーション①：労働集約型 vs SaaS型の収益比較

【ロニのBefore：バグバウンティ型】

バグ発見報酬の平均単価：$1,000〜$5,000/件
月に発見できるバグ数：5〜10件（上位ハッカーの場合）
月収上限：$10,000〜$50,000（約150万〜750万円）
天井：自分の時間 × 集中力 × 運。スケールしない
年間で累計$800,000（約1.2億円）稼ぐのに4年かかった

【ロニのAfter：SaaS型（Depi）】

プレシード調達額：540万ユーロ（約8.6億円）
ターゲット顧客：Fortune 500企業（年間契約単価は数百万〜数千万円規模が一般的）
顧客10社獲得で年間MRR：仮に年契約$500,000×10社 = $5,000,000（約7.5億円）
スケール上限：なし。顧客が増えるほど複利で収益が拡大

バグ1件$1,000の労働集約型で1.2億円稼ぐのに4年。

SaaSでFortune 500を10社獲得すれば、年間7.5億円。

4年 vs 1年。1.2億円 vs 7.5億円。

これが「点の収益」と「経路の収益」の差だ。

🔢 シミュレーション②：SNS版「単発バズ」vs「経路設計」のCPA比較

SNS運用でも同じ構造が起きている。

【単発バズ型】

バズ投稿1本で獲得できる新規フォロワー：500人（好調な場合）
翌週のフォロワー定着率：20%（バズは一過性）
実質的な定着フォロワー：100人
1投稿あたりの制作時間：3〜5時間
フォロワー1人獲得あたりのコスト（時給換算）：約2,000〜3,000円/人

【エンゲージメント経路型（AIコメント×自動投稿）】

AIコメント×スマート交流で週500アカウントにアプローチ
フォロバ率：10〜15%（関連性の高いアカウントに絞るため）
週の定着フォロワー：50〜75人
月の定着フォロワー：200〜300人
運用時間：ほぼゼロ（AI自動）
フォロワー1人獲得あたりのコスト（時給換算）：約200〜500円/人

単発バズ型の約5〜10倍のコスト効率。

「バズを狙う」のをやめて「経路を設計する」だけで、これだけ変わる。

しんたろー：
数字で見ると残酷なほど明確だ。
「バズった！」と喜んでいる間に、経路を設計している人間は静かに10倍の速度でフォロワーを積み上げている。
僕がThreadsで30万フォロワーを達成したのも、広告費ゼロ、バズ狙いゼロ。
ひたすら「経路」を設計し続けた結果だ。

ここまで読んだあなたに

今なら無料で全機能をお試しいただけます。設定後は完全放置でプロ品質の投稿を毎日生成。

無料で始める

■ 第3章：「攻撃経路思考」で成功した4人のリアル

ロニだけが特別なわけじゃない。

攻撃経路思考——「単発の点」ではなく「連鎖する経路」を設計した人間が、圧倒的な結果を出している。

事例①：フランツ・ローゼン（Frans Rosén）

スウェーデン出身のバグバウンティハンター
単発のバグ発見を繰り返すのではなく、「脆弱性の検出プロセス」そのものをSaaS化
セキュリティSaaS「Detectify」を共同創業
累計調達額：数千万ドル規模
顧客数：数千社
ロニと同じ発想。「技術」を「経路」に変えた

事例②：サンティアゴ・ロペス（Santiago Lopez）

アルゼンチン出身。独学でハッキングを学んだ
19歳で、バグバウンティ報酬累計$1,000,000（約1.5億円）を突破
世界初の「バグバウンティ累計100万ドル」達成者
単一のバグを狙うのではなく、「報告→改善→次の脆弱性」という継続的な経路を構築
彼の「経路」は今も動き続けている

事例③：HD・ムーア（HD Moore）

オープンソースの脆弱性検証ツール「Metasploit」を開発
単発のハッキングではなく、「攻撃の経路を再現するフレームワーク」を作った
セキュリティ企業Rapid7に売却
Rapid7は現在、年商数億ドル規模に成長
「ツールを経路化する」という発想の原点

事例④：ロニ・カルタ（Roni Carta）本人

23歳。バグバウンティ累計$800,000（約1.2億円）
Google「Most Valuable Hacker」2回受賞
2023年にLupin & Holmesを創業
プレシード調達：540万ユーロ（約8.6億円）
Fortune 500企業とLedgerを顧客に
採用予定：10名

4人全員に共通するのは、「単発の点」を「連鎖する経路」に変えた瞬間に、収益が爆発したことだ。

しんたろー：
気づいたか。
4人全員、最初は「単発の点」から始めている。
でも、ある瞬間に「経路の設計」に切り替えた。
その瞬間から、スケールが変わった。
これは才能の話じゃない。発想の切り替えの話だ。
SNS運用も、全く同じ構造をしている。

■ 第4章：日本のSNS運用に「攻撃経路思考」を移植する5ステップ

「面白い話だけど、サイバーセキュリティと俺のSNS運用、関係なくない？」

わかる。でも、完全に同じ構造だ。

攻撃経路思考をSNS運用に移植すると、こうなる。

セキュリティの「単一バグ」= SNSの「単発バズ投稿」
セキュリティの「攻撃経路」= SNSの「エンゲージメント連鎖（フォロー→共感→定着）」
セキュリティの「防御者視点」= SNSの「自分が言いたいことを発信する」
セキュリティの「攻撃者視点」= SNSの「読者が求めている経路を設計する」

つまり、読者の行動経路を設計することが、SNS版の攻撃経路思考だ。

🛠️ 5ステップで「経路設計型SNS運用」を構築する

ステップ1：ターゲットの「侵入口」を特定する

自分のターゲット読者が、どんなキーワードで投稿を探しているかをリサーチ
Xの検索、Threadsのタグ、競合アカウントのエンゲージメントの高い投稿を分析
「単発バズ」を狙うのではなく、ターゲットが集まる「入口」を特定する

ステップ2：「脆弱性の組み合わせ」= 複数の接触点を設計する

投稿1本だけでフォローさせようとしない
投稿→コメント→引用ポスト→いいね、という複数の接触点を設計する
読者が「この人、よく見るな」と感じる頻度を作る

ステップ3：「攻撃者視点」= 読者の感情経路を逆算する

「自分が言いたいこと」ではなく「読者が次に何を知りたいか」から逆算して投稿を作る
読者の感情の流れ：「共感」→「興味」→「信頼」→「行動」
この経路を1投稿で完結させようとしない。複数の投稿で経路を完成させる

ステップ4：「Cyber Kill Chain」= 投稿の連鎖を設計する

セキュリティ理論「Cyber Kill Chain」は、攻撃の段階的モデルだ
SNS版では：認知→共感→フォロー→定着→行動（CTA）の7段階の連鎖
各段階に対応する投稿タイプを事前に設計しておく

ステップ5：「Blue Ocean」= 競合が手を出さない「経路」を独占する

競合が「バズ投稿」を狙っている間に、コメント×引用ポスト×スマート交流という複合経路を独占する
これがBlue Ocean StrategyのSNS版だ
単発バズの競争から抜け出し、「経路」の設計で差別化する

しんたろー：
5ステップ、読んで「なるほど」で終わる人が99%。
でも残り1%は、今この瞬間に「じゃあ、自分の投稿の経路ってどうなってる？」と考え始める。
僕はそっち側に賭けたい。
海外のビジネス事例を毎日リサーチして、日本市場向けに翻訳・発信し続けてきた。
「経路の設計」を意識してから、フォロワーの定着率が圧倒的に変わった。

■ 第5章：99%が挫折する壁

「よし、経路を設計しよう。」

そう思った瞬間に、現実の壁にぶつかる。

ロニが4年かけてたどり着いた「攻撃経路思考」を、SNS運用に移植しようとすると、3つの壁が現れる。

壁①：「技術的な優位性」に依存して、スケールできない

ロニのBefore状態と同じだ。

「自分の投稿スキル」「文章力」「バズを生む感覚」——これらに依存していると、スケールしない。

自分が書けるのは1日に2〜3投稿が限界
コメントや引用ポストまで手が回らない
「経路」を設計したくても、物理的な時間が足りない

結果：いつまでも「単発バズ」を狙い続ける消耗戦。

壁②：「単発バズ」への執着が抜けない

バズった日は気持ちいい。インプレッションが跳ね上がる。いいねが増える。

でも翌日、フォロワーはほとんど増えていない。

なぜか。バズは経路ではないから。

「バズ投稿を作るスキル」を磨き続けても、フォロワーの定着率は上がらない。

バズ投稿の制作に5時間かけた
インプレッション：10万
新規フォロワー：300人
1週間後の定着フォロワー：60人（定着率20%）
時給換算：1人あたり約5,000円のコスト

これを続けることが「経路設計」だと思い込んでいる人が、圧倒的に多い。

壁③：「既存のフレームワーク」に合わせすぎて、独自性を失う

「投稿は毎朝7時」「ハッシュタグは5個」「週3回投稿が最適」——

こういう「コンプライアンス的なSNS運用論」に従い続けると、プロダクト（=あなたのアカウント）の独自性が消える。

ロニが既存のセキュリティの「コンプライアンス・監査フレーム」に合わせていたら、Depiは生まれなかった。

SNS運用も同じだ。

「既存のベストプラクティス」に従うだけでは、経路は設計できない。

攻撃者視点——つまり、読者の行動経路を逆算する発想——がなければ、どれだけ投稿しても定着しない。

しんたろー：
この3つの壁、全部「自力でやろうとすること」から生まれている。
ロニが「バグを1個ずつ探す」のをやめて、「経路を可視化するツール」を作ったように、
SNS運用も「自分が全部やる」のをやめて、「経路を自動化するツール」を使う発想が必要だ。
その壁を突破するために——次のセクションを読んでほしい。