Japan
サイト内の現在位置
DEF CON 34 参戦記
～国際チーム「Blue Water」の一員としてCTF Finals 世界1位、Village CTFでも「NECotas」で4コンテスト上位入賞～
2026年9月3日
日本電気株式会社
日本電気株式会社
2026年8月に米国・ラスベガスで開催された世界最大級のセキュリティカンファレンス「DEF CON 34」のCTFに、NECから複数のメンバーが出場しました。予選を突破したトップチームのみが進出できる公式CTFの決勝戦「DEF CON CTF Finals」では、NECのメンバーが所属するCTFチーム「BunkyoWesterns」として国際合同チーム「Blue Water」に参画し、世界1位（優勝）を獲得しました。
あわせて、分野別に開催されるVillage CTFなどにも、株式会社Ikotas Labs様との合同チーム「NECotas」として出場し、攻撃・防御・IoT・クラウドにまたがる領域で入賞しました。本記事では、その内容をご紹介します。
今回の成績
・DEF CON CTF Finals 【世界1位】
「Blue Water」の一員として出場
・Village CTF 「NECotas」として出場
IoT Village CTF 【世界1位】
Red Team Village CTF 【世界3位】
Blue Team Village CTF 【世界3位】
Cloud Village CTF 【世界3位】
出場形態は競技によって異なります。DEF CON CTF Finals（本戦）には、NECのメンバーが所属するCTFチーム「BunkyoWesterns」として、国際合同チーム「Blue Water」に参画しました。Village CTFなどのチーム戦には、株式会社Ikotas Labs様との合同チーム「NECotas」として出場しました。
DEF CON 34 と CTF について
DEF CON
DEF CONは、1993年に始まった世界最大規模のハッキングカンファレンスです。34回目となるDEF CON34は、2026年8月6日から9日まで、ラスベガス・コンベンションセンターで開催されました。今回のテーマは、自己決定や主体性を意味する「Agency」です。
会場では、公式CTFである「DEF CON CTF」に加え、IoT、Cloud、Red Team、Blue Team、CarHacking、Hardware Hackingなど、分野ごとのコミュニティが運営する「Village」で、講演、ワークショップ、コンテストなどが開催されます。
DEF CON CTF
DEF CON CTFは1996年に始まった、世界で最も歴史と権威のあるCTFの一つです。本戦に出場できるのは、オンラインで行われる事前予選を勝ち抜いた12チームのみです。今回の競技は8月7日から9日までの3日間で、Attack-DefenseとKing of the Hill（KotH）の2つの形式で行われました。
★Attack-Defense形式
各チームが同じ構成のサービスを運用しながら、他チームのサービスにある脆弱性を見つけて攻撃し、自チームのサービスは修正・防御します。
★KotH形式
1つの課題に対して、より良い採点スコアの解を提出し続ける形式です。順位が上位のチームほど、一定間隔（tick）ごとに多くの得点が入ります。
総合得点は、攻撃・防御・KotHの3部門の合計で決まります。脆弱性の発見やエクスプロイトの開発に加え、サービス運用の安定性や、攻撃・防御を自動化する仕組みまで問われる競技です。
Village CTF
各VillageはDEF CON CTFとは別に運営されており、開催されるコンテストの形式や対象分野もそれぞれ異なります。Village CTFはDEF CON CTF Finalsとは別の大会ですが、IoT、クラウド、攻撃、インシデント対応など、各分野に特化した技術が試されます。
DEF CON CTF Finals で世界1位
Blue Waterは、DEF CON 34 CTF Finalsで参加12チーム中1位となり、世界最高峰のCTFの頂点に立ちました。最終スコアは、1位のBlue Waterが578,103点、2位が454,797点、3位が425,686点です。2位に約123,000点の差をつけ、攻撃・防御・KotHのすべての部門で首位に立ちました。Blue Waterは2023年から3年連続で2位となっており、今回が初優勝です。
Blue Waterは、複数の強豪チームが集まって結成された合同チームです。2026年大会では、世界各国から7チームが合流して編成されました。NECのメンバーは、このうちCTFチーム「BunkyoWesterns」の一員として本戦に臨みました。本戦の他チームも同様に、複数チームの合同で構成されています。
合同チーム「NECotas」でのVillage CTF入賞
NECotasは、NECと株式会社Ikotas Labs様のメンバーによる合同チームです。Village CTFは、DEF CONCTF 本戦とは別に、会期中に分野ごとに並行して開催されます。
今回は株式会社Ikotas Labs様のAIトレーニングを受けた、CTF初心者のメンバーが多く参加しました。AIを活用して、複数のコンテストを並行して進めた結果、4つのCTFで優秀な成績を収めることができました。
IoT Village CTFで全問を解き終えた時点の得点表
NECotasが首位に立っている
Independent Security Evaluators（ISE）が運営するIoT Villageで開催されるCTFで、IoT機器やその周辺システムのセキュリティを題材とします。NECotasは他チームに先んじて最速で全問を解き切り、世界1位を獲得しました。
Red Team Village CTFの最終順位表
上位10チームが満点の23,200点で並んでいる
Red Team Villageが主催する攻撃分野のCTFで、対象ネットワークへの侵入、脆弱性の悪用、検知回避などに取り組みます。最終結果は上位10チームが満点の23,200点で並び、勝敗は解答時間の差に持ち込まれました。NECotasはこの中で3位となりました。
Blue Team Village CTFの結果発表スライド
3位にNECotasが表⽰されている
防御側の調査・対応を扱うCTFで、コンテナ内のマルウェア解析、クラウド攻撃の再構成、クラウドからOTにまたがるインシデント調査などが出題されました。NECotasは63,700点で3位。2位とは同点で、時間差で惜しくも2位を逃しました。1位との差もわずか450点という接戦でした。
Cloud Village CTFの表彰
3位のNECotasとして登壇した
AWS・Google Cloud・Microsoft Azureなど複数のクラウド環境を題材とする、2⽇間のJeopardy形式CTFです。NECotasは34,220点で3位。2位とは同点で解答時間の差、1位ともわずか50点差でした。競技中には、解けそうだった1問の出題サーバが停⽌して取り組めない場⾯もあり、悔しさの残る接戦でした。
現地の様⼦
DEF CON 34 CTF Finalsの表彰式
優勝したBlue Waterのメンバー
優勝したBlue Waterのメンバー
ラスベガス・コンベンションセンターに掲げられたDEF CON 34 のサイネージ
Red Team Village CTFの会場に⽴つNECotasのメンバー
Blue Team Village CTFの表彰後のNECotasメンバー
会場に掲げられたDEF CON 34の巨⼤タペストリー
歴代DEF CONのデザインを集めた展⽰
AI Villageの企画 「AI Village Plays Pokemon: DEF CON Edition」のポスター
AIがポケモンをプレイしている画⾯ 左のコンソールでAIエージェ ントが状況を読み取り、次の操作を選んでいる
おまけ 〜FloridaMan〜
「FloridaMan」というイベントをご存知でしょうか。DEF CONの会期中の夜に、会場の外の会員制クラブで開かれるパーティイベントです。公式サイトから参加登録してメダルを購⼊した⼈だけが参加でき、開催場所もメダルの購⼊者にのみ通知されます。⼤々的な宣伝はされていない、知る⼈ぞ知るイベントです。
会場は会員制の⾼級クラブです。それなのに、フロアには往年のアーケードゲーム機が何台も運び込まれ、しっとりした内装の中でレトロゲームの画⾯が光っているという、なんとも愉快な空間になっていました。
会場に運び込まれたアーケードゲーム機
参加者は、メダルの裏側にNFCタグのシールを貼るよう案内されます。このタグをスマホなどで読み込むと、専⽤のミニゲーム「Flappy Flamingo」で遊べるという趣向です。フラミンゴを操作してワニを避け、コインを集める素朴なゲームで、スコアのリーダーボードが表⽰されます。
このゲーム、通常はスコアが10点刻みでしか増えません。ところが、DEF CONに集まる⼈間がその仕組みを黙って眺めているはずがありません。私たちが挑んだときには、すでにこの脆弱性に気づいた3⼈の参加者が上位を占めていました。同点のスコアは先に登録した順に並ぶため、NECotasのメンバーはスコアの送信処理を解析し、その次となる4位から7位までを⾃分たちの名前で埋めました。
会場のミニゲーム「Flappy Flamingo」
コインをジャンプで拾い、ワニをかわして進む
コインをジャンプで拾い、ワニをかわして進む
ところが話はここで終わりません。私たちの遊びに感化されたのか、その後まもなく別の参加者が⼤規模にリーダーボードをハックし、なんと参加者全員の名前を「NECotas」に書き換えてしまったのです。気づけば上位は、不正な⼊⼒で登録できるスコアの最⼤値を並べた「NECotas」で埋め尽くされていました。
脆弱性を残しておくと、こういうことが起きる。それを⾝をもって（そして笑いとともに）体感させてくれるのが、DEF CONという場所です。
Flappy Flamingoのリーダーボード
上位が「NECotas」で埋め尽くされている
おわりに
今回のDEF CON 34のテーマは、⾃⼰決定や主体性を意味する「Agency」でした。
DEF CONは、数多くのコミュニティと、多くのボランティアの⼿によって成り⽴っている素晴らしい国際カンファレンスです。Villageの⼀つ⼀つが、その分野を⾯⽩いと思う⼈たちの⼿で運営されており、公式CTFもVillage CTFも、そうした主体性の集積の上に開催されています。会場でその構造を⽬の当たりにし、テーマの意味を実感しました。
2026年のDEF CON CTFは、AIエージェントをどこまで使いこなせるかが焦点となった⼤会でもありました。公式ルールでもAIの利⽤が認められています。⼈がAIの出⼒を逐⼀確認しながら進めるHuman in theLoopの時代は、この競技の世界ではすでに終わりました。解析や試⾏はAIに任せ、⼈は全体を監督して要所の判断だけを握る──今年のCTFは、いわばHuman on the Loopの戦いです。それでも、限られた時間の中で何を優先するかを最後に決めるのは⼈間でした。AIの時代だからこそ、⼈間のAgencyが重要になると感じています。
CTFという競技の形そのものも、これから変わっていくはずです。⼈が⼿で解く速さを競う場から、AIをどう設計し、どこまで任せ、どこで⼈が判断するかを競う場へ。そして同じ変化は、実際の攻撃と防御の現場にも必ず訪れます。
今後も実戦に近い環境で技術を磨き、その知⾒を⽇々の業務に還元してまいります。
NEC Members Join the International Team "Blue Water" for World First Place at DEF CON 34 CTF Finals, and Place in Four Village CTFs Including a World First as "NECotas"
NEC entered the CTF competitions at DEF CON 34, one of the world's largest securityconferences, held in Las Vegas, USA, in August 2026. In the official CTF finals, "DEF CON CTFFinals"̶open only to the top teams that clear the qualifiers̶NEC members competed as the CTFteam "BunkyoWesterns" within the international team "Blue Water" and took first place in the world.
We also entered the Village CTFs and other field-specific contests as "NECotas," a joint team withIkotas Labs, Inc., placing across offense, defense, IoT, and cloud. This article shares the details.
Results
・DEF CON CTF Finals 【1st in the world】
Competing as a member of “Blue Water”
・Village CTF Competing as a member of “NECotas”
IoT Village CTF 【1st in the world】
Red Team Village CTF 【3rd in the world】
Blue Team Village CTF 【3rd in the world】
Cloud Village CTF 【3rd in the world】
The form of entry differed by competition. For the DEF CON CTF Finals, NEC members competedas the CTF team "BunkyoWesterns" within the international team "Blue Water." For the Village CTFs and other team events, they entered as "NECotas," a joint team with Ikotas Labs, Inc.
About DEF CON 34 and its CTFs
DEF CON
DEF CON is the world's largest hacking conference, first held in 1993. The 34th edition, DEF CON 34, took place from August 6 to 9, 2026, at the Las Vegas Convention Center. This year's themewas "Agency," meaning self-determination and initiative.
Alongside the official "DEF CON CTF," the venue hosts "Villages"̶community-run spaces organizedby field, including IoT, cloud, red team, blue team, automotive, and hardware̶where talks,workshops, and contests are held.
DEF CON CTF
DEF CON CTF, which began in 1996, is one of the most storied and prestigious CTFs in the world.
Only the 12 teams that clear the online qualifier reach the Finals. This year's competition ran for three days, from August 7 to 9, in two formats: Attack-Defense and King of the Hill (KotH).
★Attack-Defense
Each team operates an identically configured service while finding and exploiting vulnerabilities in other teams' services, and patching and defending its own.
★KotH
Teams repeatedly submit solutions to a single challenge, competing on the scoring metric.The higher a team ranks, the more points it earns at each fixed interval (tick).
Overall score is the sum of three categories: attack, defense, and KotH. The competition tests not only vulnerability discovery and exploit development, but also operational stability and the ability to automate attack and defense.
Village CTFs
Each Village is run separately from DEF CON CTF, and the formats and subject areas of their contests differ. Village CTFs are distinct competitions from the DEF CON CTF Finals, testing specialized skills in areas such as IoT, cloud, offensive security, and incident response.
First place in the world at DEF CON CTF Finals
Blue Water finished first among the 12 teams at the DEF CON 34 CTF Finals, reaching the summit of the world's most prestigious CTF. The final scores were 578,103 points for Blue Water in first place, 454,797 for second, and 425,686 for third. Blue Water led second place by roughly 123,000
points and topped all three categories̶attack, defense, and KotH. Having placed second for three consecutive years since 2023, this was the team's first win.
Blue Water is a joint team formed by a number of strong teams. For the 2026 edition, seven teams from around the world merged to form it. NEC members competed in the Finals as part of the CTF team "BunkyoWesterns." The other teams in the Finals were likewise composed of multiple merged teams.
Village CTF results with the joint team "NECotas"
NECotas is a joint team of members from NEC and Ikotas Labs, Inc. In parallel with the DEF CON CTF Finals, the team entered several contests across different fields.
A CTF held at the IoT Village, operated by Independent Security Evaluators (ISE), covering the security of IoT devices and their surrounding systems. NECotas was the first to clear every challenge, taking first place in the world.
An offensive-security CTF hosted by Red Team Village, covering intrusion into target networks,exploitation of vulnerabilities, and detection evasion. The top 10 teams all finished on a perfect score of 23,200 points, and the rankings came down to solve times; NECotas placed third among them
A CTF focused on defensive investigation and response, with challenges including malware analysis inside containers, reconstruction of cloud attacks, and incident investigation spanning cloud to OT environments. NECotas placed third with 63,700 points̶tied with second on score and edged out of second place only by submission time, with first place a mere 450 points ahead.
A two-day Jeopardy-style CTF covering multiple cloud environments including AWS, Google Cloud,and Microsoft Azure. NECotas placed third with 34,220 points̶tied with second place on score and separated only by solve times, and just 50 points behind first. A promising challenge whose server was down for part of the competition made it a hard-fought finish.
One more thing: FloridaMan
Have you heard of "FloridaMan"? It is a party event held on an evening during DEF CON at a members-only club away from the main venue. Only those who register on the official site and purchase a medal can attend, and the location is disclosed only to medal holders. It is not widely advertised̶an event known to those in the know.
The venue is an upscale members-only club̶and yet the floor was lined with vintage arcade cabinets, their screens glowing amid the plush interior. A wonderfully odd space.
Attendees are instructed to stick an NFC tag onto the back of the medal. Reading that tag with a smartphone opens a dedicated mini-game, "Flappy Flamingo,"̶a simple game where you steer a flamingo, dodge alligators, and collect coins, with a score leaderboard on display.
Normally the score only increases in steps of 10. But the people who gather at DEF CON are never going to just watch a mechanism like that. By the time we took it on, three attendees had already spotted the vulnerability and claimed the top spots. Since tied scores rank by submission order,
NECotas members analyzed the score-submission process and filled the next places̶4th through 7th̶with their own name.
That was not the end of it. Apparently inspired by our antics, another attendee soon hacked the leaderboard on a far larger scale̶rewriting *every* participant's name to "NECotas." Before long the top was blanketed with "NECotas" entries at the maximum score that crafted input could register.
Leave a vulnerability in place and this is what happens. Experiencing that firsthand̶and with a good laugh̶is exactly what DEF CON is about.
In closing
The theme of DEF CON 34 was "Agency"̶self-determination and initiative.
DEF CON is a remarkable international conference sustained by countless communities and a great many volunteers. Each Village is run by people who find their own field fascinating, and both the official CTF and the Village CTFs rest on that accumulation of initiative. Seeing that structure firsthand at the venue brought the meaning of the theme home to us.
The 2026 DEF CON CTF was also an edition in which how well a team could wield AI agents became a central question, and the official rules permit the use of AI. In this arena, the era of Human in the Loop̶where a person reviews every AI output̶is already over. Analysis and trial runs are handed to AI, while humans supervise the whole and make only the calls that matter: this year's CTF was, in effect, a Human-on-the-Loop game. Even so, deciding what to prioritize within a limited window remained a human judgment. It is precisely in an age of AI that human Agency matters.
We will continue to sharpen our skills in environments close to real combat and to feed what we learn back into our daily work.
