緊急番外編 『 セキュリティ対策をしているのに、なぜ情報漏洩は起きるのか？』

セキュリティ対策をしているのに、なぜ情報漏洩は起きるのか？

最近、情報漏洩やサイバー攻撃のニュースを見ない日はないほどです。

実際、2026年9月下旬から10月にかけてだけでも、

・9月29日、タイムズカーが不正アクセスによって約160万件の運転免許証画像などの本人確認書類情報が漏洩したと公表

・10月7日、IDCフロンティアがランサムウェア攻撃を受け、クラウドサービスを利用する495の企業・自治体に影響

・10月8日、ローソンが不正アクセスによって約215万件の個人情報が漏洩したと公表

・10月16日、日本経済新聞社がクラウドサービスへの不正アクセスによって約183万件の個人情報が漏洩したと公表

・同じ10月16日、ヤマト運輸が「クロネコ代金後払いサービス」への不正アクセスによる情報の持ち出しを公表

と、大きな事故が立て続けに発表されています。

しかも、これはほんの一部です。

大企業も、IT企業も、情報管理に気を配っているはずの企業も被害に遭っています。

いったい、なぜこれほどサイバー攻撃が多発しているのでしょうか。

AIによって、サイバー攻撃のハードルが下がった

理由の一つとして考えられるのが、AIの普及です。

AIは私たちの業務効率を上げてくれますが、残念ながら、攻撃者にとっても便利な道具です。

例えば、以前であれば不自然な日本語で書かれていた詐欺メールも、AIを使えば違和感のない文章を簡単に作れます。

攻撃対象となる企業の情報収集や、攻撃用プログラムの作成・修正などにもAIを活用できます。

さらに、サイバー犯罪そのものがビジネス化しています。

攻撃用のツールやランサムウェアが犯罪者同士で取引され、高度な技術を持たなくても攻撃に参加できるようになってきました。

つまり、攻撃者が一社ずつ時間をかけて狙うだけではなく、大量の企業を効率的に調べ、侵入できそうなところを探すことが容易になっているのです。

もちろん、すべての攻撃にAIが使われているわけではありませんし、最近の事故がすべてAIによって引き起こされたわけでもありません。

ただ、攻撃を仕掛ける側の負担が小さくなっていることは、無視できない変化です。

「うちは狙われるほど大きな会社ではない」は通用しない

中小企業の経営者の方とお話しすると、

「うちには盗まれて困るような情報はありません」

「大企業ならともかく、うちを狙っても意味がないでしょう」

という声を聞くことがあります。

しかし、現在のサイバー攻撃では、必ずしも会社の知名度や規模だけで標的が選ばれるわけではありません。

インターネット上から侵入できそうな機器やシステムを機械的に探し、見つかった弱点を悪用する攻撃もあります。

また、攻撃者の目的は情報を盗むことだけではありません。

最近問題になっているランサムウェアは、企業のデータを暗号化して使えなくしたり、盗み出した情報の公開をちらつかせたりして、金銭を要求します。

受注管理システムが止まる。出荷指示が出せない。請求書を発行できない。

そんな状態が数日、あるいは数週間続けば、中小企業にとっては経営に直結する問題です。

また、大企業の取引先であることを理由に、中小企業が攻撃の足がかりとして狙われる可能性もあります。

もはや「会社が小さいから大丈夫」という考え方は危険なのです。

セキュリティパッチを当てていれば安全なのか？

ここで、もう一つ考えたいことがあります。

業務システムを構築するときには、一般的にさまざまなセキュリティ対策を施します。

外部から不正な操作をできないようにしたり、サーバーを適切に設定したり、セキュリティパッチを適用したりします。

もちろん、これらは非常に重要です。

では、そうした対策をきちんと行っていれば、情報漏洩は防げるのでしょうか。

残念ながら、それだけでは十分ではありません。

なぜなら、攻撃者は必ずしも業務システムの正面から侵入してくるわけではないからです。

例えば、次のような経路が考えられます。

・社員のPC：偽のメールや不正なサイトからマルウェアに感染し、社内システムにアクセスするための情報を盗まれる

・VPN機器：外出先から社内ネットワークに接続するための機器に、脆弱性や設定上の問題がある

・リモートデスクトップ：社外からPCを操作するための接続口が、不正アクセスに悪用される

・保守会社の端末やアカウント：システムのメンテナンス用に用意された接続経路が、攻撃者に利用される

・クラウドサービスの認証情報：IDやパスワードなどが盗まれ、正規の利用者になりすましてアクセスされる

実際、今回の日本経済新聞社の事故でも、クラウドサービスにアクセスするための認証情報が盗まれ、不正アクセスに利用されたと報じられています。

システムそのものに欠陥がなくても、正規のアクセス権限を悪用されれば、情報を持ち出される可能性があるのです。

もちろん、業務システム自体への攻撃がなくなったわけではありません。未修正の脆弱性や設定ミスなどを突いた攻撃も引き続き発生しています。

重要なのは、システム単体のセキュリティだけを考えていては不十分だということです。

では、一般企業は何をすればいいのか？

こうした話を聞くと、高価なセキュリティ製品を導入したり、専門の担当者を雇ったりしなければならないと思われるかもしれません。

しかし、必ずしも最初からそこまで行う必要はありません。

まずは、自社の現状を把握することが大切です。

例えば、次のようなことを確認してみてください。

・社外から社内のシステムに接続できる経路を、すべて把握しているか

・VPNやルーターなどの機器は、適切に更新されているか

・社員のPCは管理され、OSやソフトウェアが更新されているか

・退職者や、以前の保守会社のアカウントが残っていないか

・重要なシステムやクラウドサービスに多要素認証を導入しているか

・外部の保守会社が、どの端末からどのシステムにアクセスできるか把握しているか

・万が一データが暗号化されても、バックアップから復旧できるか

・不正アクセスが発生した際、誰が何をするのか決まっているか

いかがでしょうか。

すべてに自信を持って答えられる企業は、意外と少ないのではないでしょうか。

特に中小企業では、IT環境を長年にわたって少しずつ拡張していることが多く、担当者自身も全体像を把握していないケースがあります。

「このVPNは何のためにあるのか」

「このアカウントは誰が使っているのか」

「この機器は、どこの会社が保守しているのか」

こうしたことが分からないまま運用されているとしたら、それ自体が一つのリスクです。

もちろん、セキュリティ対策に終わりはありません。すべてのリスクをゼロにすることもできません。

だからこそ、まずは弱点を洗い出し、危険性の高いところから順番に対処していくことが現実的です。

「これまで何もなかった」は、安全の証明ではない

最後に、特にお伝えしたいことがあります。

「うちは今まで一度も攻撃されたことがないから、大丈夫だと思います」

という考え方です。

これは、あまり安心材料にはなりません。

今まで被害がなかったのは、対策が十分だったからかもしれませんし、単に攻撃の対象にならなかっただけかもしれません。

あるいは、侵入されても気付いていなかった可能性もあります。

しかも、先ほどお話ししたように、攻撃する側の環境は大きく変わっています。

これまで問題がなかったシステムでも、明日新しい脆弱性が発見されるかもしれません。

また、社員の退職や保守会社の変更、新しいクラウドサービスの導入などによって、知らないうちに新しい侵入経路が生まれていることもあります。

「これまで大丈夫だった」と「これからも大丈夫」は、まったく別の話です。

大きな事故が起きてから調査するのではなく、平常時に一度、自社のIT環境を総点検してみる。

今は、そうした取り組みが必要な時期に来ているのではないでしょうか。

プラムザがセキュリティ総点検をお手伝いします

プラムザでは、これまでさまざまな企業の業務システムの開発やIT環境の整備に携わってきました。

その経験を活かし、企業のIT環境に潜むセキュリティ上のリスクを洗い出すセキュリティ総点検を20万円から承ります。

現在のシステム構成や接続環境、日頃の運用状況などをヒアリングさせていただき、問題点や改善すべきポイントを整理した診断書を作成いたします。

診断書がどのようなものか、サンプルをご用意しましたので、ぜひご覧ください。

セキュリティ診断書のサンプルはこちら（PDF）

「自社のセキュリティがどの程度安全なのか分からない」

「何から手をつければいいのか分からない」

という段階でも構いません。

大きな事故が起きてからではなく、これを機会に、一度自社のセキュリティ環境を見直してみてはいかがでしょうか。