すべてを疑いながら暮らす必要はない。
サイバー犯罪: 日常に侵入する悪意 第 8 回
狙われるのは、特別な誰かではない。
いつもの日常に、見えない侵入口がある。公開されている情報を手がかりに、その静かな進行と、日常に現れる結果をたどります。
それでも、明日はやってくる
これまで 7 回にわたり、日常に忍び込むサイバー犯罪の姿を見てきた。
いつもの相手から届いたメール。何年も問題なく動き続けていたルーター。普段の業務に溶け込んだフィッシング。SNS 広告から誘導されたアプリによって、スマートフォンが遠隔操作されたこと。誰にも知られたくなかった個人情報。退職した人のアカウントに残されたアクセス権限。そして、自分の知らないところで犯罪に利用されていたパソコン。
どれも、特別な環境で起きた話ではない。
登場した人たちも、特別に不注意だったわけではない。仕事をして、家族と暮らし、買い物をして、インターネットを便利に使っていた、ごく普通の人たちだった。
彼らは、何かを間違えたのかもしれない。
けれど、私たちは本当に、彼らより慎重に行動できるだろうか。
知らない番号からの電話に出ない。怪しいメールを開かない。パスワードを使い回さない。ソフトウェアを更新する。知らないアプリをインストールしない。
どれも大切なことだ。
しかし、日々の生活や仕事の中で、いつも正しい判断をし続けることはできない。
忙しいときもある。疲れているときもある。知らないうちに新しい手口が生まれていることもある。
それに、犯罪者が利用するのは、人間の不注意だけではない。正規のサービス、便利な機器、企業間の信頼関係、そして私たちが日常的に使っている仕組みそのものだ。
私たちが目指すべきなのは、あらゆるものを疑いながら生きることではない。
脅威は遠い世界の話ではなかった
IPA (情報処理推進機構) が公表した『情報セキュリティ10大脅威 2026』では、組織向けの脅威として、ランサム攻撃、サプライチェーンや委託先を狙った攻撃、AI の利用をめぐるサイバーリスク、システムの脆弱性を悪用した攻撃などが挙げられている。
個人向けでも、不正ログイン、インターネットバンキングの不正利用、フィッシング、個人情報の窃取などが取り上げられている。
これらは、単なる順位表ではない。前年に実際に発生した社会的影響の大きい事案をもとに、専門家などによる選考を経て選ばれた脅威だ。
企業の規模や知名度にかかわらず、個人の生活や小さな事業にも関係する問題が並んでいる。
例えば、私たちがメールを使えば、そのアカウントを狙う攻撃がある。SNS 広告で「ポイントがもらえる」「限定コンテンツが見られる」と誘われ、アプリを入れた結果、スマートフォンを遠隔操作されることもある。オンラインで商品を販売すれば、顧客情報や販売サイトが守るべき対象になる。自宅に Wi-Fi ルーターを置けば、その機器の安全性も考える必要がある。
インターネットを使うということは、誰かとつながるということだ。
そして、つながっているからこそ、攻撃者に利用される可能性も生まれる。
だからといって、インターネットを使わない生活に戻る必要はない。
必要なのは、便利さを諦めることではなく、便利さを安心して使い続けるための工夫だ。
気合いではなく、仕組みで守る
では、どうすればよいのだろう。
高価なセキュリティ製品を購入し、専門家を雇い、四六時中ネットワークを監視しなければならないのだろうか。
もちろん、事業の規模や取り扱う情報によっては、専門的な対策が必要になることもある。
しかし、すべての人や事業者が最初から高度な対策を実施する必要はない。
まずは、人間の注意力だけに頼らない仕組みを作ることから始めればよい。
1. 入口を守る仕組みを作る
第 1 回と第 3 回では、メールアカウントやログイン状態を奪われる話を取り上げた。
第 6 回では、不要になったアカウントが残り続けることで、組織の内部に不必要な入口ができてしまう話を描いた。
これらに共通しているのは、アカウントが持つ権限の問題だ。
パスワードだけで守る仕組みには限界がある。そこで、できるだけ多要素認証 (MFA) を利用したい。
さらに、サービスが対応している場合はパスキー (Passkey) の利用も検討したい。パスキーは、偽のログイン画面にパスワードを入力させるタイプのフィッシングに強い認証方式だ。
特に優先したいのは、次のようなアカウントである。
- メールアカウント
- オンラインバンキングや決済サービス
- クラウドストレージ
- SNSやネットショップの管理者アカウント
- 会社の管理者アカウント
また、パスワードはサービスごとに異なるものを使う。必要に応じてパスワードマネージャーを利用すれば、すべてを記憶する必要もなくなる。
入口は、ログイン画面だけではない。アプリの入手元を確かめ、用途に見合わない権限を求められたときは、安易に許可しないことも大切だ。
もちろん、MFA やパスキーを設定し、アプリの入手元や権限を確認しても、あらゆる攻撃を防げるわけではない。それでも、知らないうちにアカウントや端末を利用される可能性を減らすことができる。
2. 更新とバックアップを仕組みにする
第 2 回では、何年も問題なく動いていたルーターが、知らないうちに犯罪者の通信中継地点として使われていた。
第 5 回では、一度漏れた情報を完全に取り戻すことができない怖さを描いた。
そして、データを失ったり、利用できなくなったりすることは、個人の生活だけでなく、事業の継続にも影響する。
まず、OS やアプリケーション、ネットワーク機器の更新を習慣ではなく仕組みにしたい。
自動更新を利用できるものは設定する。メーカーのサポートが終了した機器は、更新が提供されないまま使い続けるのではなく、交換を検討する。
そして、もうひとつ大切なのがバックアップだ。
ただし、バックアップは取得しているだけでは十分ではない。
ランサムウェアなどによって本番環境とバックアップが同時に被害を受けることもある。
そのため、次のような点を考えておきたい。
- どのデータをバックアップするか決める。
- どのくらいの頻度で取得するか決める。
- 過去の状態に戻せるよう、複数世代を保存する。
- 可能な範囲で、本番環境から物理的・論理的に切り離した場所にも保管する。
- 実際に復元できることを確認する。
バックアップの目的は、データを保存することだけではない。
何かが起きたときに、仕事や生活を再開できるようにすることだ。
3. 誰が何にアクセスできるかを管理する
第 6 回では、退職したスタッフのアカウントが残っていたことから、情報が外部へ流出した。
この問題は、少しの仕組みで大きく改善できる。
例えば、誰が、どのサービスを利用できるのかを一覧にしておく。
退職や契約終了のときには、アカウントやアクセス権限を削除する。仕事が変わったときには、不要になった権限を見直す。
また、クラウドサービスの共有設定や、外部アプリとの連携も忘れてはいけない。
大切なのは、信頼している人だから何でも利用できるようにするのではなく、仕事に必要な範囲だけを利用できるようにすることだ。
これは、人を疑うための仕組みではない。
人の勘違いや操作ミスが、取り返しのつかない問題に発展しないようにするための仕組みである。
まずは、できるところから
ここまで読んで、「結局、確認しなければならないことがたくさんある」と感じた人もいるかもしれない。
しかし、一度にすべてを実施する必要はない。
IPA は 2026 年 3 月に『中小企業の情報セキュリティ対策ガイドライン 第 4.0 版』を公開し、2026 年 9 月には関連する解説資料も更新している。
個人事業主や小規模事業者も対象としており、段階的に対策を進められるように構成されている。
最初の一歩として示されているのが、次の「情報セキュリティ6か条」だ。
| 基本的な取り組み | 日常でできること |
|---|---|
| OS やソフトウェアを最新にする | 自動更新を利用する |
| ウイルス対策ソフトを導入する | 保護機能を有効にしておく |
| パスワードを強化する | 長く、複雑に、使い回さない |
| 共有設定を見直す | 不要な公開や共有を止める |
| バックアップを取る | 定期取得と復元確認を行う |
| 脅威や攻撃の手口を知る | 公的機関の注意喚起を確認する |
この 6 か条は、特別な専門知識や大規模な投資がなくても始められる基本的な取り組みだ。
さらに、IPA には自社の対策状況を確認するためのチェックシートや、情報セキュリティ基本方針のサンプル、インシデント対応の手引きも用意されている。
最初から完璧を目指さなくてもよい。
まずは自分の環境を知り、何ができていて、何ができていないのかを把握すること。それだけでも、何も知らずに使い続ける状態からは一歩前進している。
何かが起きたときのために
どれだけ対策をしても、被害を完全に防ぐことはできない。
だからこそ、何かが起きたときにどうするのかも、あらかじめ考えておきたい。
例えば、身に覚えのないログイン通知が届いたとき。会社のアカウントから不審なメールが送られていると分かったとき。スマートフォンに不審なアプリを入れてしまったと気づいたとき。パソコンに見慣れない警告が表示されたとき。
そんなとき、慌ててすべてを消したり、原因が分からないまま操作を続けたりする必要はない。
状況に応じて端末や通信を隔離し、ログや画面などの記録を残し、サービス提供者や専門家、公的な相談窓口へ連絡する。
そのために、あらかじめ連絡先や対応の手順を決めておけば、いざというときに慌てずに済む。
小さな事業者なら、誰に相談するか、どのサービスの契約先に連絡するかを一覧にしておくだけでもよい。
セキュリティ対策とは、侵入を防ぐことだけではない。
被害を小さくし、できるだけ早く日常を取り戻すことも、その大切な一部なのだ。
暗闇の向こう側
ここまで、私たちはいくつもの不穏な出来事を見てきた。
そこには、特別な犯罪者だけが狙うような世界ではなく、普通の人々が普通に暮らす日常があった。
仕事のメールを確認する。買い物をする。家族と連絡を取る。誰かに相談する。仕事を終えた人に感謝を伝える。
そうした、ごく当たり前の行動の中に、悪意が入り込むことがある。
しかし、だからといって、私たちは日常を諦める必要はない。
すべてのメールを疑う必要も、すべての人を疑う必要も、最新の攻撃手法を常に追い続ける必要もない。
人間は間違える。
機器は古くなる。ソフトウェアには不具合が見つかる。サービスの設定は変わる。人は仕事を始め、そして辞めていく。
そうした変化を前提に、少しずつ仕組みを整えていけばよい。
100 % の安全を約束できる方法はない。
それでも、何もしない状態より安全にすることはできる。被害に遭う可能性を下げることも、万が一の被害を小さくすることもできる。
サイバーセキュリティは、何かを怖がりながら生活するためのものではない。
自分の生活を守るためのものだ。
小さな会社が、明日も仕事を続けられるように。
個人が、安心して買い物や会話を楽しめるように。
誰かが、安心してサービスを利用できるように。
そして、私たち自身が、必要以上に不安を抱えることなく、便利なデジタル社会を楽しめるように。
暗闇の向こう側にあるのは、すべての脅威が消えた世界ではない。
脅威があることを知りながらも、必要な備えを持ち、落ち着いて日常を送れる世界なのだ。
守るべきものは、パソコンでも、データでも、システムでもない。その先にある、私たちの日常そのものなのだから。
参考資料
-
独立行政法人情報処理推進機構 (IPA), 『情報セキュリティ10大脅威 2026』, 2026 年 1 月 29 日公開. https://www.ipa.go.jp/security/10threats/10threats2026.html
-
独立行政法人情報処理推進機構 (IPA), 『中小企業の情報セキュリティ対策ガイドライン 第 4.0 版』, 2026 年 3 月 27 日公開. https://www.ipa.go.jp/security/guide/sme/about.html
-
独立行政法人情報処理推進機構 (IPA), 『自分の個人情報等が漏えいした際の「対処」と「日頃の対策」』, 2026 年 10 月. https://www.ipa.go.jp/security/anshin/attention/2026/mgdayori20261026.html
-
独立行政法人情報処理推進機構 (IPA), 『ランサムウェア被害から学ぶ教訓集 ～ 経営者のためのランサムウェア対策ハンドブック ～』, 2026 年 9 月 8 日公開. https://www.ipa.go.jp/security/todokede/crack-virus/ransomware_lessons_learned.html
本記事は連載全体の内容を踏まえ、IPA 等の公的機関が公開している情報を参考に、個人および小規模事業者が実践できる基本的な取り組みを整理したものです。