不正アクセスとは？企業を守る7つの対策と被害時の対処法を徹底解説
近年、企業のデジタル化が加速する一方で、不正アクセスによる被害は年間5,000件を超える水準で推移しています。2024年に警察庁が発表したデータによると、認知件数は5,358件に上り、そのうち約8割がインターネットバンキングの不正送金という深刻な状況です。
不正アクセスは、大手企業だけの問題ではありません。むしろ、セキュリティ対策が手薄になりがちな中小企業こそ、攻撃者にとって格好の標的となっています。実際、2025年には地方自治体のWebサイトが改ざんされる事例や、従業員数十名規模の企業で顧客情報が流出する事例が相次いで報告されました。
本記事では、不正アクセスの基本的な定義から最新の攻撃手法、そして実践的な対策まで、企業のセキュリティ担当者が押さえておくべき知識を網羅的に解説していきます。
不正アクセスとは｜基本的な定義と概要
不正アクセスの定義と法的な位置づけについて、まず正確に理解しておく必要があります。
不正アクセスの定義
不正アクセスとは、アクセス権限を持たない第三者が、他人の識別情報を不正に使用したり、システムの脆弱性を悪用したりして、サーバや情報システムに侵入する行為を指します。
総務省のサイバーセキュリティサイトでは、「本来アクセス権限を持たない者が、サーバや情報システムの内部へ侵入を行う行為」と定義されています。
ここで重要なのは、不正アクセスが単なる「のぞき見」ではなく、意図的な権限の逸脱行為だという点です。正規のユーザーであっても、自分に与えられた権限を超えてシステムにアクセスすれば、それは不正アクセスに該当します。
具体的には、以下のような行為が不正アクセスとみなされます。
他人のIDとパスワードを無断で使用してログインする
システムの脆弱性を突いて本来アクセスできない領域に侵入する
認証機能を回避してシステムを不正に操作する
権限のないデータベースから情報を抜き取る
では、なぜ不正アクセスがこれほど問題視されているのでしょうか。答えは、被害の連鎖性にあります。一度侵入を許すと、情報窃取だけでなく、システム破壊、さらには他社への攻撃の踏み台として利用されるリスクが発生するためです。
不正アクセス禁止法とは
不正アクセス行為は、2000年2月に施行された「不正アクセス行為の禁止等に関する法律（通称：不正アクセス禁止法）」によって明確に禁止されています。
この法律が定める主な禁止行為は次のとおりです。
識別符号窃用型：他人のID・パスワードを使って不正にログインする行為
セキュリティホール攻撃型：システムの脆弱性を悪用してアクセス制御を回避する行為
識別符号の不正取得・保管：他人のパスワード等を不正に入手したり保存したりする行為
不正アクセス助長行為：他人のパスワードを第三者に教えるなど、不正アクセスを手助けする行為
罰則は行為の重大性に応じて段階的に定められています。不正アクセス行為そのものには3年以下の懲役または100万円以下の罰金、識別符号の不正取得等には1年以下の懲役または50万円以下の罰金が科せられます。
注目すべきは、実際に損害が発生していなくても、不正アクセス行為そのものが処罰対象となる点です。「試しにログインしてみただけ」という言い訳は通用しません。
不正アクセスの現状｜最新の統計データと発生状況
不正アクセスの脅威を数字から読み解いていきます。
2024年の認知件数と推移
警察庁が2025年3月に公表した統計によると、2024年の不正アクセス行為の認知件数は5,358件でした。前年の6,312件からは約15%減少したものの、依然として高い水準で推移しています。
特に深刻なのが、インターネットバンキングでの不正送金被害です。2024年だけで4,342件が確認され、全体の約81%を占めています。金融機関のセキュリティ強化が進んでいるにもかかわらず、攻撃者側も手口を巧妙化させているため、いたちごっこの状態が続いているのが実情です。
過去5年間の推移を見ると、2020年に2,806件だった認知件数は、2021年に1,516件まで減少しましたが、2022年以降は急増に転じ、2023年には6,312件とピークに達しました。2024年は若干減少したものの、2020年比で約1.9倍という高水準を維持しています。
手口別では、「識別符号窃用型」が全体の9割以上を占めており、その中でもパスワードの設定や管理の甘さを突いた攻撃が174件と最多でした。パスワード管理が依然として多くの組織の弱点となっていることが浮き彫りになっています。
不正アクセスが増加している3つの理由
では、なぜ不正アクセスは減少に転じないのでしょうか。背景には構造的な要因が3つ存在します。
クラウドサービス・リモートワークの普及
コロナ禍を契機に、多くの企業がクラウドサービスやリモートワークを導入しました。従来は社内ネットワークで閉じていた業務システムが、インターネット経由でアクセス可能になったことで、攻撃対象となる”入口”が飛躍的に増加しています。
特に問題なのは、急速な導入を優先したため、セキュリティ設定が不十分なまま運用されているケースが散見される点です。アクセス権限の設定ミス、公開範囲の誤設定、監査ログの未設定など、クラウド特有のリスクが顕在化しています。
攻撃ツールの入手容易化
かつては高度な技術知識を要した不正アクセスも、今では専門知識がなくても実行可能になっています。ダークウェブでは攻撃用プログラムが数千円から数万円で取引され、使い方を解説する動画まで出回っているのが現状です。
さらに、生成AIの進化により、フィッシングメールの文面作成や、標的企業の情報収集が自動化されつつあります。攻撃の敷居が下がったことで、愉快犯的な攻撃者も増加していると考えられます。
フィッシング手法の巧妙化
フィッシングサイトの精度は年々向上しており、正規サイトとの見分けがつかないレベルに達しています。URLも本物に酷似したドメインを使用し、SSL証明書まで取得しているケースもあるため、一般ユーザーが見破ることは極めて困難です。
2025年には、楽天証券で「リアルタイムフィッシング」という新たな手口による被害が報告されました。従来のフィッシングは時間差での悪用が前提でしたが、この手法では被害者が認証情報を入力すると同時に、攻撃者がリアルタイムで正規サイトにログインして不正取引を実行します。二段階認証さえも突破されてしまう、極めて危険な手口です。
不正アクセスによる被害｜5つの深刻なリスク
不正アクセスが企業にもたらす被害は多岐にわたります。ここでは代表的な5つのリスクを解説していきます。
機密情報・個人情報の漏洩
最も頻発し、かつ影響が大きいのが情報漏洩です。顧客の氏名、住所、電話番号、メールアドレスといった個人情報に加え、クレジットカード情報、取引履歴、企業の機密データなどが窃取されます。
情報漏洩の深刻さは、被害が即座に顕在化しない点にあります。攻撃者は盗んだ情報をダークウェブで売買したり、さらなる攻撃の材料として蓄積したりします。被害企業が漏洩に気づくのは、数ヶ月後、場合によっては数年後ということも珍しくありません。
株式会社JTBの事例では、2016年に約793万人分の個人情報が流出した可能性が公表されました。子会社の社員が標的型メールの添付ファイルを開いたことが発端で、サーバへの不正アクセスを許してしまったのです。
漏洩が発覚した場合、企業は個人情報保護法に基づく報告義務を負うだけでなく、顧客への損害賠償、システム復旧費用、信用失墜による売上減少など、金銭面でも甚大な損失を被ります。ある調査では、情報漏洩1件あたりの平均損失額は数億円に上るとされています。
Webサイト・データの改ざん
不正アクセスによってWebサイトが書き換えられたり、データベースの内容が改ざんされたりする被害も頻発しています。
表面的な被害としては、ホームページに無関係な画像や文章が掲載される「デフェイス」と呼ばれる行為があります。しかし、より巧妙な攻撃では、見た目は変わらないままマルウェアが埋め込まれ、サイト訪問者のPCを感染させる仕組みが構築されます。
2025年10月には、岡山県の複数のWebサイトで改ざんが発覚しました。「晴れ恋♥晴れ婚プロジェクト」など7つのサイトが被害を受け、県は予防的に計8サイトを閉鎖する措置を取りました。
データ改ざんはさらに深刻です。財務情報や取引記録が書き換えられると、経営判断を誤るリスクがあります。製造業では設計データの改変により、品質問題や安全性の欠陥が生じ、最悪の場合はリコールに発展する可能性もあります。
システム停止・業務への影響
攻撃者がサーバをダウンさせたり、ランサムウェアでファイルを暗号化したりすることで、業務が完全に停止してしまうケースが増えています。
2022年には、国内大手自動車メーカーの主要取引先が不正アクセスを受け、それが引き金となって複数の工場で生産ラインが停止する事態が発生しました。サプライチェーン全体に影響が波及し、1日あたり数百億円規模の損失が生じたと推定されています。
システム復旧には時間がかかります。原因究明、セキュリティ対策の見直し、データのリストア、動作確認など、一連の作業を完了させるまでに数日から数週間を要することも珍しくありません。その間、売上機会は失われ、顧客の信頼も損なわれていきます。
不正送金・不正購入による金銭被害
インターネットバンキングやECサイトへの不正アクセスは、即座に金銭的損失に直結します。
2024年のインターネットバンキング不正送金被害4,342件の多くは、フィッシングで盗まれた認証情報を使って実行されました。攻撃者は盗んだ口座から自分の口座や、マネーロンダリング用の中継口座に送金します。一度送金されてしまうと、資金回収は極めて困難です。
ECサイトでの不正購入も深刻化しています。正規ユーザーになりすまして高額商品を購入し、転売して現金化する手口が横行しています。株式会社ベイシアの事例では、ECサイトへの不正アクセスにより、クレジットカード情報3,101件および個人情報254,207件が流出した可能性が報告されました。
サイバー攻撃の踏み台として利用される
不正アクセスを受けた企業のシステムが、他社への攻撃の拠点として悪用されるリスクがあります。
攻撃者は侵入したシステムに「バックドア」と呼ばれる裏口を設置し、いつでも再侵入できる状態を維持します。そして、「ボット」と呼ばれるマルウェアを仕込み、遠隔操作可能な攻撃ネットワーク（ボットネット）の一部に組み込むのです。
ボットネットに組み込まれたシステムは、攻撃者の指令により、他の企業に対するDDoS攻撃（大量のアクセスでサーバをダウンさせる攻撃）や、スパムメールの大量送信に利用されます。被害企業は知らぬ間に加害者の立場にもなってしまうわけです。
攻撃の踏み台にされた場合、自社の信用失墜だけでなく、被害を受けた企業から損害賠償を請求される可能性もあります。
不正アクセスの実際の被害事例｜2023-2025年
実際の被害事例から、不正アクセスの手口と影響を具体的に見ていきます。
大手企業の個人情報漏洩事例
株式会社JTB（793万人分の情報流出）
2016年6月、大手旅行会社の株式会社JTBは、約793万人分の顧客情報が流出した可能性を公表しました。攻撃の起点は、子会社の社員が受け取った標的型メールでした。
取引先の航空会社を装ったメールに添付されていたファイルを開いたところ、PCとサーバが標的型ウイルスに感染。不審な通信が確認され、調査の結果、サーバ内に不正アクセスがあったことが判明しました。
この事例で注目すべきは、発覚から公表までに約3ヶ月を要した点です。JTBは記者会見で、「お客様の特定ができないままにご案内することで、不安感を与え混乱を招くと判断した」と説明していますが、初動対応の難しさが浮き彫りになった事例でもあります。
ソースネクスト株式会社（12万件超の情報漏洩）
2023年2月、ソフトウェア販売のソースネクスト株式会社は、クレジットカード情報112,132件および個人情報120,982件が漏洩した可能性を公表しました。
原因は、運営サイトの脆弱性を利用したペイメントアプリケーションの改ざんです。攻撃者はシステムの欠陥を突いて侵入し、決済処理を行うプログラムを書き換え、カード情報を盗み取る仕組みを構築していました。
2022年11月15日から2023年1月17日までの約2ヶ月間、サイトで購入した顧客の氏名、住所、メールアドレス、クレジットカード番号、有効期限、セキュリティコードが窃取された可能性があります。
この事例から学ぶべきは、決済システムのセキュリティが最優先課題だという点です。ECサイトを運営する企業は、PCI DSS（クレジットカード業界のセキュリティ基準）への準拠を含め、決済プロセスの徹底的な保護が求められます。
ECサイト・決済システムへの攻撃事例
2024年5月、大手コーヒーチェーンが運営するオンラインストアに対して不正アクセスが発生し、個人情報およびクレジットカード情報が流出する被害が発生しました。
対象期間中にオンラインストアに登録していた9万2,685人の個人情報と、クレジットカード決済を行った5万2,958人のカード情報が流出したことが確認されています。
調査の結果、オンラインストアで利用していたシステムの一部に存在した脆弱性が悪用され、ペイメントアプリケーションの改ざんが行われたことが判明しました。カード情報を入力するフォームが不正に書き換えられ、顧客が入力した情報が攻撃者に送信される仕組みが構築されていたのです。
ペイメントアプリケーション改ざんは、ソースネクストの事例でも見られたように、ECサイトを狙った攻撃の常套手段となっています。正規の決済プロセスに見えるため、顧客も企業も気づきにくく、長期間にわたって被害が継続するリスクがあります。
中小企業・自治体での被害事例
不正アクセスは大企業だけの問題ではありません。むしろ、セキュリティ予算や専門人材が限られる中小企業や自治体こそ、深刻なリスクに直面しています。
岡山県特設サイトの改ざん
2025年10月、岡山県の複数のWebサイトで不正アクセスがあったことが発表されました。個人情報の流出は確認されていないものの、一部サイトで改ざんの痕跡が発見されています。
県職員が11日午前にサイトの閲覧障害を発見し、調査の結果、不正アクセスと改ざんが判明しました。「晴れ恋♥晴れ婚プロジェクト」や「岡山 私のみらい発見カフェ」など7つのサイトが被害を受け、サーバーを共有する計8つのサイトが予防的に閉鎖されました。
この事例が示すのは、サーバー共有のリスクです。1つのサイトに侵入されると、同じサーバー上の他のサイトにも被害が波及する可能性があります。
株式会社セキショウキャリアプラス
2025年10月、人材サービス業の株式会社セキショウキャリアプラスは、サーバーに対する不正アクセスによって社内データが流出したと発表しました。
国土交通省の委託事業で実施した外国人技術者向け就職説明会の参加者情報など、最大1万5,000人分の個人情報が漏洩した恐れがあります。グループ企業のセキショウベトナムが運用するサーバーが攻撃を受け、氏名、生年月日、連絡先などが流出した可能性があります。
同社は即座にサーバーを外部から遮断し、対策チームを設置して外部専門機関と共に原因究明を進めました。
中小企業の事例で注目すべきは、委託先やグループ会社のセキュリティが脆弱だったという点です。本社のセキュリティを強化しても、関連会社経由で攻撃を受けるケースが増えています。サプライチェーン全体でセキュリティレベルを底上げする必要性が浮き彫りになっています。
不正アクセスが起こる4つの主な原因
不正アクセスが発生する背景には、技術的な脆弱性だけでなく、組織的・人的な要因が複雑に絡み合っています。
パスワード管理の甘さ
警察庁の統計で「パスワードの設定や管理の甘さを突いた攻撃」が174件と最多だったことからも分かるように、パスワード管理は最大の弱点です。
「password」「123456」「qwerty」といった単純なパスワードは、ブルートフォース攻撃で数秒から数分で突破されます。実際、セキュリティ企業が実施した調査では、流出したパスワードの上位20個だけで、全体の約10%をカバーできることが判明しています。
さらに問題なのが、複数のサービスで同じパスワードを使い回す行為です。1つのサービスから漏洩したパスワードが、他のサービスへの不正アクセスに悪用される「パスワードリスト攻撃」の被害が後を絶ちません。
企業内でも、部署共通のパスワードを設定していたり、退職者のアカウントが放置されていたりするケースが散見されます。定期的なパスワード変更も、「面倒」という理由で実施されないことが多いのが実情です。
システム・ソフトウェアの脆弱性放置
OSやアプリケーションの更新を怠ることは、自ら侵入口を開けているようなものです。
ソフトウェアベンダーは脆弱性が発見されると、迅速に修正プログラム（セキュリティパッチ）を提供します。しかし、適用には一時的なシステム停止が必要な場合もあるため、「業務に支障が出る」という理由で先送りにされがちです。
攻撃者はこの心理を熟知しています。脆弱性情報が公開されると、修正前のシステムを狙って一斉に攻撃を仕掛けてきます。いわゆる「ゼロデイ攻撃」（脆弱性が公表された当日から始まる攻撃）のリスクは年々高まっています。
2025年3月に発覚した大手衣料品店の不正アクセス事例では、委託先事業者によるネットワーク設定の不備が原因でした。外部委託先の管理が不十分だったことが、企業全体のセキュリティホールとなったのです。
セキュリティ対策の不足
ファイアウォールや侵入検知システム（IDS/IPS）といった基本的な防御設備が導入されていなかったり、導入されていても設定が不適切だったりするケースが多く見られます。
特に中小企業では、「うちは狙われない」という正常性バイアスが働き、セキュリティ投資が後回しにされる傾向があります。しかし、攻撃者は企業規模で標的を選びません。むしろ、防御が手薄な企業を効率的に狙う傾向があります。
多層防御の概念も十分に理解されていません。アンチウイルスソフトだけに依存し、それで安心してしまう企業が少なくないのです。現代のサイバー攻撃は巧妙化しており、単一の対策で防ぎきることは不可能です。入口対策、内部対策、出口対策を組み合わせた多層的なアプローチが不可欠です。
従業員のセキュリティ意識不足
どれほど高度な技術的対策を施しても、従業員がフィッシングメールに引っかかれば、全てが無駄になります。
JTBの事例でも、取引先を装ったメールの添付ファイルを開いたことが発端でした。攻撃者は人間の心理的な隙を巧みに突いてきます。「緊急」「重要」「至急対応」といった言葉で焦らせたり、「請求書」「発注書」「会議資料」といった業務に関連する件名で油断させたりします。
セキュリティ教育が形骸化している企業も問題です。年1回のe-ラーニングを受講させるだけで、実践的な訓練が行われていないケースが多く見られます。フィッシングメールの模擬訓練を実施すると、初回は30〜50%の従業員が引っかかるというデータもあります。
基本的なセキュリティルールさえ守られていない職場環境も散見されます。パスワードを付箋に書いてモニターに貼る、離席時に画面ロックをしない、私物のUSBメモリを業務で使用するといった行為が、不正アクセスの入口になっているのです。
不正アクセスの代表的な手口｜7つの攻撃手法
攻撃者がどのような手段で侵入を試みるのか、具体的な手口を理解することが対策の第一歩です。
パスワードを狙った攻撃
パスワード認証は最も普及している認証方式ですが、同時に最も狙われやすい攻撃対象でもあります。
ブルートフォース攻撃（総当たり攻撃）
ブルートフォース攻撃は、考えられる全ての文字列の組み合わせを機械的に試す手法です。コンピュータの処理能力を活用し、1秒間に数千から数万回のログイン試行を繰り返します。
8文字の英小文字のみのパスワードであれば、高性能なPCで数時間から数日で突破可能です。一方、12文字以上で英大小文字、数字、記号を組み合わせたパスワードなら、総当たりで突破するには数百年かかる計算になります。
攻撃者はこの性質を理解しており、まずは短く単純なパスワードを設定しているアカウントを狙います。複数のアカウントに対して並行して攻撃を仕掛け、突破しやすいものから順に侵入していくのです。
パスワードリスト攻撃
パスワードリスト攻撃は、過去の情報漏洩事件で流出したID・パスワードのリストを使用する手法です。別名「アカウントリスト攻撃」や「リスト型アカウントハッキング」とも呼ばれます。
ダークウェブでは、数億件規模のID・パスワードリストが取引されています。攻撃者はこのリストを入手し、様々なサービスで試していきます。多くの人が複数のサービスで同じパスワードを使い回しているため、成功率は5〜10%程度とされています。
2024年のインターネットバンキング不正送金被害の多くは、この手法で盗まれた認証情報が使われたと推定されています。金融機関のセキュリティは堅牢でも、他のサービスから漏洩した情報が悪用されるケースが後を絶ちません。
辞書攻撃
辞書攻撃は、実在する単語や一般的に使われるパスワードのパターンを収録した「辞書ファイル」を使って攻撃する手法です。ブルートフォース攻撃よりも効率的で、短時間で成功する可能性が高くなります。
「password123」「welcome2024」「company名123」といった、単語と数字の組み合わせは数分で突破されるリスクがあります。誕生日や記念日、会社の設立年、電話番号の一部なども、ソーシャルエンジニアリングと組み合わせて推測されやすいため危険です。
システムの脆弱性を悪用した攻撃
ソフトウェアの欠陥を突く攻撃は、技術的には高度ですが、一度成功すると大規模な被害をもたらします。
SQLインジェクション
SQLインジェクションは、Webアプリケーションの入力フォームに不正なSQL文（データベース操作命令）を注入する攻撃手法です。
例えば、ログインフォームのユーザー名欄に「’ OR ‘1’=’1」といった文字列を入力すると、プログラムの処理が意図しない動作をし、認証をバイパスしてしまう可能性があります。攻撃者はこの手法で、本来アクセスできないはずのデータベース全体を閲覧したり、データを改ざんしたりできるのです。
SQLインジェクションの防御には、入力値の検証（バリデーション）とエスケープ処理が不可欠です。しかし、開発時にこれらの対策が不十分だったり、古いシステムで修正が困難だったりするケースが多く、依然として有効な攻撃手段となっています。
OSコマンドインジェクション
OSコマンドインジェクションは、Webアプリケーションの脆弱性を突いて、サーバのOS（オペレーティングシステム）に直接コマンドを送り込む攻撃です。
アプリケーションが外部コマンドを実行する機能を持っている場合、入力値の検証が不十分だと、攻撃者が任意のOSコマンドを実行できてしまいます。ファイルの閲覧、削除、システムの停止、さらには他のサーバへの攻撃など、サーバ全体の制御権を奪われるリスクがあります。
2025年3月に発覚した大手旅行情報サイトへの不正アクセスでは、最大10万4,000人分の個人情報が漏洩した可能性が報告されました。サイトには「サイバー攻撃を実施しました」というメッセージが表示され、閲覧不能な状態に陥りました。
フィッシング詐欺を利用した攻撃
フィッシングは、技術的な防御を迂回して人間の心理を突く攻撃手法です。
攻撃者は実在する企業や行政機関を装ったメールを送信し、「アカウント情報の確認が必要」「不正利用が検出された」「パスワードの有効期限が切れる」といった理由でリンクをクリックさせます。
リンク先は正規サイトと見分けがつかないほど精巧に作られた偽サイトです。ログインフォームにID・パスワードを入力すると、その情報が攻撃者に送信される仕組みになっています。近年では、二段階認証のコードまで盗み取る「リアルタイムフィッシング」も登場しています。
楽天証券の事例では、被害者が偽サイトで認証情報を入力すると同時に、攻撃者が正規サイトにログインして不正取引を実行しました。従来のフィッシングと異なり、認証情報の有効期限が切れる前にリアルタイムで悪用されるため、検知が極めて困難です。
フィッシングメールの見分け方として、送信元のメールアドレス、URLのドメイン、日本語の不自然さなどを確認する方法が知られていますが、最近では生成AIを活用して自然な文章を生成するケースも増えており、判別は困難になっています。
マルウェアによる侵入
マルウェア（悪意のあるソフトウェア）を使った攻撃は、多様な被害をもたらします。
ランサムウェアは、PCやサーバのファイルを暗号化し、復号のための身代金を要求するマルウェアです。近年では、暗号化するだけでなく、データを盗み出して「身代金を支払わなければ公開する」と脅迫する「二重脅迫」型も増えています。
Emotet（エモテット）は、メールを感染源として拡散するマルウェアです。過去にやり取りしたメールの内容を悪用し、返信メールを装って添付ファイルやリンクを送りつけます。信頼している相手からのメールに見えるため、警戒心が薄れ、開封率が非常に高いのが特徴です。
マルウェアに感染すると、情報窃取だけでなく、ボットネットへの組み込み、バックドアの設置、さらなるマルウェアのダウンロードなど、被害が連鎖的に拡大します。
ソーシャルエンジニアリング
ソーシャルエンジニアリングは、技術的な攻撃ではなく、人間の心理的な隙や行動の弱点を突く手法です。
トラッシングは、ゴミ箱に捨てられた書類やUSBメモリから情報を盗む手法です。社外秘の資料、パスワードをメモした付箋、古い記憶媒体などが適切に廃棄されていないケースは意外と多く、攻撃者にとって貴重な情報源となります。
ショルダーハッキングは、肩越しにパスワード入力画面やログイン操作を盗み見る手法です。カフェや新幹線などの公共スペースでの作業は、常にこのリスクにさらされています。
なりすまし電話も効果的な手法です。システム管理者やヘルプデスク担当者を装って電話をかけ、「パスワードを教えてください」「リモート接続させてください」と依頼します。善意や権威への服従心を悪用した巧妙な手口です。
クラウド環境の設定ミスを狙った攻撃
クラウドサービスの普及に伴い、設定ミスに起因する不正アクセスが急増しています。
AWSやMicrosoft 365、Google Cloudなどのクラウドサービスは、デフォルトで全世界からアクセス可能な状態になっているケースがあります。アクセス権限の設定を誤ると、本来社内限定のはずのデータが、外部から丸見えになってしまいます。
実際、過去には大手企業のAWS S3バケット（ストレージ）が公開設定のまま放置され、数百万件の顧客情報が誰でもダウンロード可能な状態だった事例が報告されています。
監査ログを有効化していないケースも問題です。不正アクセスが発生しても、誰が、いつ、何にアクセスしたか記録がなければ、被害範囲の特定すらできません。クラウドサービスは設定の自由度が高い反面、適切な設定を行う責任も利用者側にあります。
リアルタイムフィッシング（新手法）
従来のフィッシング攻撃を進化させたリアルタイムフィッシングは、二段階認証さえも無力化する極めて危険な手法です。
攻撃の流れは次のとおりです。被害者が偽サイトでIDとパスワードを入力すると、その情報が即座に攻撃者に送信されます。攻撃者はリアルタイムで正規サイトにログインし、二段階認証のコードが要求されると、偽サイトでも同じ画面を表示させます。被害者が認証コードを入力すると、それも攻撃者に送信され、正規サイトでの認証が完了。攻撃者は即座に不正取引を実行します。
一連の流れが数十秒で完了するため、従来のような「認証情報を盗んでから後日悪用する」という時間差がありません。認証コードの有効期限内に全てが完了してしまうため、検知が極めて困難なのです。
楽天証券の事例では、リアルタイムフィッシングにより、絵文字認証とリスクベース認証の両方が突破されました。金融機関が導入している高度な認証システムでも、人間が直接入力する限り、この攻撃を完全に防ぐことは困難だという現実が突きつけられたのです。
不正アクセスを防ぐための対策｜企業が今すぐ実施すべき8つの方法
不正アクセス対策は、単一の施策で完結するものではありません。複数の対策を組み合わせた多層防御が基本です。
【最優先】多要素認証（MFA）の導入
多要素認証（Multi-Factor Authentication）は、現代のセキュリティ対策における最重要施策です。
多要素認証とは、以下の3つの要素のうち、2つ以上を組み合わせて本人確認を行う仕組みです。
知識情報：パスワード、PINコード、秘密の質問など、本人が知っている情報
所持情報：スマートフォン、ハードウェアトークン、ICカードなど、本人が持っている物
生体情報：指紋、顔、虹彩、声紋など、本人の身体的特徴
一般的なのは、パスワード（知識情報）に加えて、スマートフォンのアプリに表示されるワンタイムパスワード（所持情報）を入力する方式です。たとえパスワードが漏洩しても、攻撃者はスマートフォンを持っていないため、ログインできません。
Microsoft社の調査によると、多要素認証を導入することで、アカウント侵害の99.9%をブロックできるという結果が報告されています。導入コストは月額数百円から数千円程度であり、費用対効果は極めて高いといえます。
注意すべきは、SMS（ショートメッセージ）を使った認証は、SIMスワップ攻撃（携帯電話番号の乗っ取り）やSMSの傍受により突破されるリスクがあるため、認証アプリやハードウェアトークンの使用が推奨される点です。
強固なパスワードポリシーの策定
パスワードの強度を高めるだけでなく、組織全体でルールを統一することが重要です。
推奨されるパスワードポリシーは以下のとおりです。
長さ：最低12文字以上（可能であれば15文字以上）
文字種：英大文字、英小文字、数字、記号を全て含める
禁止事項：辞書に載っている単語、ユーザー名、会社名、誕生日などの推測可能な情報の使用禁止
使い回し禁止：他のサービスと同じパスワードを使用しない
変更頻度：重要なシステムでは90日ごとの変更を推奨（ただし、変更のたびに「password1」「password2」と連番にするのは無意味）
パスワード管理ツール（1Password、Bitwarden、LastPassなど）の導入も効果的です。複雑なパスワードを自動生成し、安全に保管してくれるため、従業員が覚える必要があるのはマスターパスワード1つだけで済みます。
一方、従来推奨されていた「定期的な変更」については、米国国立標準技術研究所（NIST）が2017年のガイドラインで方針を転換しました。理由は、頻繁な変更を強制すると、ユーザーが覚えやすい（＝脆弱な）パスワードを設定したり、小さな変更で済ませたりする傾向があるためです。定期変更よりも、強固なパスワードの維持と多要素認証の導入が優先されるべきです。
OS・ソフトウェアの定期更新
脆弱性への対処で最も基本的かつ重要なのが、セキュリティパッチの迅速な適用です。
Windows UpdateやmacOSのソフトウェアアップデート、各種アプリケーションのアップデート通知が表示されたら、できるだけ早く実行してください。自動更新機能が利用可能な場合は、必ず有効化しておくべきです。
特に注意が必要なのは、サポート終了製品の継続使用です。Windows 7やWindows Server 2008など、既にメーカーのサポートが終了したOSを使い続けている企業が一定数存在しますが、これはセキュリティパッチが提供されない＝脆弱性が放置されることを意味します。
業務システムの都合でどうしても古いOSを使い続けなければならない場合は、ネットワークから隔離するか、仮想環境で動作させるなどの追加対策が必須です。
第三者製ソフトウェア（Adobe Reader、Java、各種ブラウザプラグインなど）の更新も見落とされがちです。これらも攻撃の入口となるため、統合的なパッチ管理ツールの導入を検討すべきでしょう。
ファイアウォール・セキュリティツールの導入
ネットワーク層での防御は、不正アクセスの侵入を物理的に阻止する最初の砦です。
ファイアウォールは、外部ネットワークと内部ネットワークの境界に設置され、通信の許可・拒否を判断します。不正なアクセスや攻撃パターンを検知してブロックする機能を持ちます。
さらに高度な防御として、IDS（侵入検知システム）/IPS（侵入防止システム）の導入が推奨されます。IDSは不正な通信を検知して管理者に警告し、IPSは検知した攻撃を自動的にブロックします。
エンドポイント（PCやサーバ）には、次世代型アンチウイルス（NGAV：Next-Generation Anti-Virus）の導入を検討してください。従来型のパターンマッチング方式では、新種のマルウェアに対応できません。NGAVは機械学習を活用し、未知のマルウェアでも挙動から検知することが可能です。
クラウドサービスを利用している場合は、CASB（Cloud Access Security Broker）の導入も有効です。複数のクラウドサービスの利用状況を一元管理し、不正なアクセスやデータのアップロードを検知できます。
従業員へのセキュリティ教育・訓練
技術的対策だけでは不十分です。最終的にシステムを操作するのは人間であり、その人間が攻撃者の標的となります。
効果的なセキュリティ教育には、以下の要素が含まれるべきです。
定期的な研修：年1回のe-ラーニングではなく、四半期ごとに最新の脅威情報を共有する短時間のセッションを実施します。実際の被害事例を題材にすることで、リアリティが増し、記憶に残りやすくなります。
フィッシングメール訓練：予告なしに模擬フィッシングメールを送信し、開封率やリンククリック率を測定します。引っかかった従業員には個別に教育を実施し、同じミスを繰り返さないよう指導します。
インシデント対応訓練：不正アクセスが発生したと仮定し、初動対応から報告、復旧までの一連の流れを実践的に訓練します。特に、誰に報告すべきか、どのような情報を保全すべきかを明確にしておくことが重要です。
教育内容は、役職や業務内容に応じてカスタマイズすべきです。一般従業員向けには基本的なセキュリティ意識の醸成、システム管理者向けには技術的な対策の詳細、経営層向けにはリスク管理とコンプライアンスの観点からアプローチします。
アクセス権限の適切な管理
最小権限の原則に基づき、従業員には業務に必要な最低限の権限のみを付与すべきです。
「念のため」という理由で過剰な権限を与えると、アカウントが乗っ取られた際の被害範囲が拡大します。例えば、営業部門の従業員に開発サーバへのアクセス権を与える必要はありません。
権限の見直しも定期的に実施してください。異動や担当業務の変更があった際、古い権限が削除されずに残っているケースが多く見られます。四半期ごとに全従業員のアクセス権限を棚卸しし、不要な権限を削除する運用を確立すべきです。
退職者のアカウント管理は特に注意が必要です。退職日当日にアカウントを無効化するのは当然として、退職後も一定期間はログを監視し、不正使用の兆候がないか確認してください。また、退職者が知り得た情報（パスワード、システム構成など）は、退職後速やかに変更する必要があります。
ログの監視・分析体制の構築
不正アクセスの早期発見には、ログの継続的な監視が欠かせません。
監視すべき主なログは以下のとおりです。
認証ログ：ログインの成功・失敗、時刻、IPアドレス
アクセスログ：ファイルやデータベースへのアクセス履歴
操作ログ：システム設定の変更、権限の付与・削除
通信ログ：外部との通信内容、送受信データ量
異常なパターンを検知する仕組みも重要です。例えば、通常は日中しかログインしない従業員が深夜にアクセスしている、普段と異なる国からのアクセスがある、短時間に大量のファイルがダウンロードされているといった通常とは異なる行動を自動的に検知してアラートを発するシステムの導入が推奨されます。
SIEM（Security Information and Event Management）と呼ばれる統合ログ管理ツールを導入すると、複数のシステムからログを集約し、相関分析を行うことができます。単一のログでは異常と判断できなくても、複数のログを組み合わせることで、攻撃の予兆を早期に発見できる可能性が高まります。
ログは改ざんされる恐れがあるため、書き込み専用の外部ストレージに保存するなど、証拠保全の観点からも適切に管理してください。
定期的な脆弱性診断・ペネトレーションテストの実施
自社のセキュリティレベルを客観的に評価するには、外部の専門家による診断が有効です。
脆弱性診断は、システムやネットワーク、Webアプリケーションに存在する脆弱性を網羅的に洗い出す作業です。自動スキャンツールを使用した診断と、専門技術者による手動診断を組み合わせることで、既知の脆弱性だけでなく、設計上の問題点も発見できます。
診断結果は、脆弱性の深刻度（Critical、High、Medium、Lowなど）に応じて分類され、どの脆弱性から優先的に対処すべきかが明確になります。限られたリソースを効率的に配分するためにも、この優先順位付けは重要です。
ペネトレーションテスト（侵入テスト）は、実際の攻撃者と同様の手法でシステムへの侵入を試みるテストです。脆弱性診断が「弱点の発見」に重点を置くのに対し、ペネトレーションテストは「実際に侵入できるか」「侵入後どこまで被害を拡大できるか」を検証します。
ペネトレーションテストを実施すると、脆弱性診断では発見できなかった複数の脆弱性を組み合わせた攻撃ルートや、ソーシャルエンジニアリングを含む現実的な攻撃シナリオを把握できます。
診断やテストは、年1回程度の定期実施に加え、システムの大規模な変更や新サービスのリリース前にも実施することが推奨されます。
【規模・予算別】不正アクセス対策ロードマップ
セキュリティ対策は「お金をかければ万全」というものではありません。企業の規模や予算に応じた、現実的で持続可能な対策を選択することが重要です。
小規模企業向け｜月額1～3万円でできる基本対策
従業員数が10〜50名程度の小規模企業では、まず最低限の防御を固めることから始めましょう。
必須施策①：クラウド型多要素認証サービス Google Workspace、Microsoft 365、Slackなど、業務で使用しているクラウドサービスに多要素認証を設定してください。ほとんどのサービスで無料または低額で利用できます。
必須施策②：パスワード管理ツール 1Password for Business（月額約800円/ユーザー）やBitwarden（月額約500円/ユーザー）などを導入し、全従業員に強固なパスワードの使用を徹底させます。
必須施策③：エンドポイント保護 Windows DefenderやmacOSの標準セキュリティ機能を有効化し、自動更新を設定します。追加費用をかけられる場合は、ESET、Kasperskyなどの定評あるアンチウイルスソフト（年額数千円程度）の導入を検討してください。
必須施策④：クラウドバックアップ 重要なデータは、ランサムウェア被害に備えてクラウドストレージに自動バックアップします。Google DriveやDropbox Business（月額1,500円程度/ユーザー）で十分です。
推奨施策：セキュリティ教育 無料のe-ラーニング教材やIPAが提供する啓発資料を活用し、四半期ごとに30分程度の社内勉強会を実施します。外部費用をかけずとも、意識の向上は図れます。
小規模企業の強みは、意思決定が早く、全員に情報が行き渡りやすい点です。経営者自らがセキュリティの重要性を理解し、率先して対策を実行することで、組織全体の意識を短期間で変えられます。
中規模企業向け｜月額5～10万円の標準対策
従業員数が50〜300名程度の中規模企業では、小規模企業向けの基本対策に加え、より高度な防御層を追加します。
追加施策①：UTM（統合脅威管理）の導入 ファイアウォール、IPS、アンチウイルス、Webフィルタリングなどの機能を統合したUTM機器を導入します。初期費用50〜100万円、月額保守費用1〜3万円程度が目安です。
追加施策②：EDR（エンドポイント検知・対応） 次世代型アンチウイルスに、インシデント対応機能を加えたEDRを導入します。CrowdStrike、SentinelOne、Microsoft Defender for Endpoint（月額約1,000円/ユーザー）などが選択肢です。
追加施策③：定期的な脆弱性診断 年1〜2回、外部のセキュリティベンダーに脆弱性診断を依頼します。費用は診断範囲により50〜200万円程度と幅がありますが、致命的な脆弱性の発見には代えがたい価値があります。
追加施策④：SIEM/ログ管理ツール クラウド型SIEMサービス（Splunk Cloud、Sumo Logic、Microsoft Sentinelなど）を導入し、各種ログを一元管理します。異常検知のルールを設定し、セキュリティインシデントの早期発見を図ります。
追加施策⑤：専門的なセキュリティ教育 外部講師を招いた研修や、フィッシングメール訓練サービス（KnowBe4、Proofpointなど）を年2〜4回実施します。
中規模企業では、セキュリティ専任担当者を配置できるかが分岐点になります。兼任でも構わないので、セキュリティに関する知識を持つ人材を育成し、社内の窓口として機能させることが重要です。
ROI（投資対効果）の観点では、月額10万円の投資で年間120万円のコストですが、一度の情報漏洩事例で発生する損失（数千万円〜数億円）と比較すれば、極めて合理的な投資といえます。
大企業向け｜月額20万円以上の本格的対策
従業員数が300名以上、あるいは重要インフラや大量の個人情報を扱う企業では、包括的なセキュリティ体制の構築が求められます。
高度な施策①：SOC（Security Operations Center）の構築 専任のセキュリティ監視チームを組織し、24時間365日体制でシステムを監視します。自社でSOCを構築する場合、人件費を含めて年間数千万円規模の投資が必要です。予算が限られる場合は、外部のMSSP（マネージドセキュリティサービスプロバイダー）に委託する選択肢もあります。
高度な施策②：NDR（Network Detection and Response） ネットワークトラフィックを常時監視し、異常な通信パターンをAIで検知するシステムです。Darktrace、Vectra AIなどが代表的な製品で、年間数百万円の投資が必要ですが、未知の攻撃に対する検知能力が高いのが特徴です。
高度な施策③：ゼロトラストアーキテクチャの導入 「社内ネットワークだから安全」という前提を捨て、あらゆるアクセスを検証する設計思想です。実装には既存システムの大幅な見直しが必要で、数千万円規模のプロジェクトになりますが、内部犯行や既に侵入された状態での横展開を防ぐ効果があります。
高度な施策④：脅威インテリジェンスの活用 最新の攻撃手法や脅威情報をリアルタイムで収集・分析し、自社の防御に活用します。商用の脅威インテリジェンスサービスを契約するほか、情報共有コミュニティ（ISAC等）に参加して業界内の情報交換を行います。
高度な施策⑤：レッドチーム演習 実際の攻撃者を模したレッドチーム（攻撃側）と、それを防御するブルーチーム（防御側）に分かれて演習を実施します。年1回程度の実施で、数百万円の費用がかかりますが、実践的な対応力の向上に大きく寄与します。
大企業では、セキュリティ対策が単なるコストではなく、事業継続とブランド価値を守るための戦略的投資であることを理解し、経営層が主導して推進する必要があります。
不正アクセスの被害に遭った場合の対処法｜6つのステップ
万全の対策を講じていても、不正アクセスを完全に防ぐことは困難です。被害に遭った際の対処法を事前に理解しておくことが、被害の最小化につながります。
【ステップ1】即座にネットワークを遮断する
不正アクセスが疑われたら、最優先で該当システムをネットワークから切り離してください。
物理的にLANケーブルを抜くか、WiFiを無効化します。リモートシャットダウンは、攻撃者が阻止する可能性があるため、確実性の高い物理的な遮断が推奨されます。
ネットワーク遮断により、以下の3つの効果が期待できます。
攻撃者のアクセスを強制的に切断：攻撃者が操作中であっても、通信が途絶えれば作業を継続できません
被害範囲の拡大防止：同一ネットワーク上の他のシステムへの感染や侵入を阻止
証拠の保全：攻撃者がログを削除したり、痕跡を消したりする時間を与えない
ただし、業務への影響を最小限にするため、代替システムへの切り替えやバックアップサーバーの起動も並行して検討してください。事前にBCP（事業継続計画）を策定しておくと、混乱を最小限に抑えられます。
【ステップ2】被害状況の確認と証拠保全
ネットワーク遮断後、直ちに被害の全容把握と証拠の保全に着手します。
確認すべき項目
どのシステムが侵害されたか
いつから不正アクセスが行われていたか
どのデータにアクセスされたか
データの持ち出しや改ざんの有無
マルウェア感染の有無
保全すべき証拠
アクセスログ：認証ログ、Webサーバのアクセスログ、ファイアウォールのログ
通信記録：不審な外部IPアドレスとの通信履歴
システムログ：プロセス起動履歴、レジストリ変更履歴、ファイル操作履歴
メールログ：フィッシングメールの可能性がある受信メール
メモリダンプ：攻撃時点のメモリ状態（フォレンジック調査で使用）
証拠は時間とともに失われます。システムを再起動するとメモリ上の情報は消失し、ログファイルは上書きされる可能性があります。「まず証拠保全、その後に調査」が鉄則です。
社内に専門知識を持つ人材がいない場合は、デジタルフォレンジックを専門とする外部企業に調査を依頼してください。費用は調査範囲により数十万円から数百万円と幅がありますが、原因究明と再発防止には不可欠な投資です。
【ステップ3】パスワード・認証情報の変更
侵害されたシステムに関連する全てのアカウントの認証情報を変更します。
変更対象は、直接侵害されたアカウントだけではありません。同じパスワードを使い回している可能性を考慮し、全従業員の全アカウントの変更を推奨します。特に、管理者アカウント、データベースアカウント、APIキーなどは最優先で変更してください。
可能であれば、パスワードだけでなくユーザーIDも変更します。攻撃者がバックドアを仕掛けている可能性があるため、既存のアカウントを無効化して新規アカウントを作成する方が安全です。
変更後のパスワードは、従来とは全く異なる、推測不可能な文字列にしてください。「password1」を「password2」に変更するような、わずかな変更では意味がありません。
【ステップ4】原因の究明と影響範囲の特定
証拠を基に、攻撃の経路と手法を特定します。
究明すべき項目
侵入経路：脆弱性の悪用か、認証情報の窃取か、マルウェア感染か
攻撃者の行動：どのファイルにアクセスしたか、どのコマンドを実行したか
時系列：最初の侵入はいつか、どのように権限を昇格したか
影響範囲：何人の顧客データが漏洩したか、どのシステムが改ざんされたか
フォレンジック調査では、削除されたログの復元や、メモリ上に残された痕跡の解析も可能です。攻撃者が使用したマルウェアを特定できれば、同じ攻撃グループによる他の被害事例との関連性も見えてきます。
原因が特定できたら、同じ手口での再侵入を防ぐための対策を直ちに実施します。脆弱性が原因であればパッチを適用し、認証情報の漏洩が原因であれば多要素認証を導入します。
【ステップ5】関係者への連絡・報告
法令に基づく報告義務と、倫理的な通知義務を果たします。
個人情報保護法に基づく報告 個人情報が漏洩した場合、または漏洩の恐れがある場合、個人情報保護委員会への報告が義務付けられています。報告期限は、事態を把握してから速やかに、遅くとも3〜5日以内とされています。
顧客・取引先への通知 個人情報が漏洩した可能性がある顧客には、速やかに通知する必要があります。通知内容には、漏洩した情報の種類、原因、影響範囲、今後の対応、問い合わせ窓口などを含めてください。
金融機関への連絡 クレジットカード情報が漏洩した場合は、カード会社に連絡し、不正利用の監視を依頼します。インターネットバンキングの認証情報が漏洩した場合は、金融機関に連絡してアカウントの凍結を依頼してください。
プレスリリースの検討 被害規模が大きい場合や、社会的影響が大きい場合は、報道機関へのプレスリリースも検討します。情報を隠蔽しようとすると、後で発覚した際の信用失墜がさらに大きくなります。透明性の高い対応が、長期的な信頼回復につながります。
【ステップ6】警察・専門機関への相談
不正アクセスは犯罪行為です。捜査機関への届出を検討してください。
警察への相談 最寄りの警察署、またはサイバー犯罪相談窓口に連絡します。警察庁のWebサイトで、都道府県別の相談窓口を確認できます。
相談時には、保全した証拠（ログ、通信記録、フォレンジック調査報告書など）を持参すると、対応がスムーズです。事前に電話で日時を調整しておくことをお勧めします。
IPA（情報処理推進機構）への相談 技術的なアドバイスや、類似事例の情報提供を受けられます。IPAの「情報セキュリティ安心相談窓口」は無料で利用できます。
JPCERT/CC（JPCERTコーディネーションセンター） インシデント対応の支援や、国内外の関連組織との調整を行ってくれます。特に、海外の攻撃者が関与している場合や、複数企業にまたがる攻撃の場合に有効です。
警察への届出は、被害回復よりも再発防止と犯罪抑止の観点から重要です。届出により、攻撃手法の情報が共有され、他企業の被害を防ぐことにもつながります。
【業種別】不正アクセス対策のポイント
業種によって取り扱うデータの性質や、狙われやすい攻撃パターンが異なります。
金融機関・フィンテック企業
金融業界は最も攻撃者に狙われやすい業種です。直接的な金銭窃取が可能なため、高度な攻撃グループが継続的に標的としています。
優先すべき対策
リアルタイムフィッシング対策として、従来の二段階認証に加え、リスクベース認証の導入が有効です。ログイン時のIPアドレス、デバイス情報、位置情報、時間帯などから不正アクセスの可能性を評価し、疑わしい場合は追加認証を求める仕組みです。
不正送金検知システムも重要です。送金額、送金先、送金頻度などから異常なパターンを検知し、実行前に一時停止して本人確認を行います。AIを活用した異常検知は、パターンが既知でない攻撃にも対応可能です。
監査・コンプライアンス対応も厳格に求められます。金融庁の「金融機関におけるサイバーセキュリティ対策の強化」などのガイドラインに準拠し、定期的な監査を受けてください。
EC・小売業
ECサイトは、クレジットカード情報を大量に保有しているため、ペイメントアプリケーション改ざん攻撃の主要標的です。
優先すべき対策
PCI DSS（Payment Card Industry Data Security Standard）への準拠は必須です。カード情報を扱う全てのEC事業者は、この国際的なセキュリティ基準を満たす必要があります。
決済システムは特に厳重に保護してください。可能であれば、決済処理は外部の専門サービス（決済代行会社）に委託し、自社システムにカード情報を保存しない「非保持化」を実現することが推奨されます。
Webアプリケーションファイアウォール（WAF）の導入も効果的です。SQLインジェクションやクロスサイトスクリプティング（XSS）など、Webアプリケーション特有の攻撃をブロックできます。
顧客データ管理では、個人情報の暗号化保存と、アクセスログの記録が重要です。誰が、いつ、どの顧客データにアクセスしたかを追跡できる体制を整えてください。
医療機関
医療機関は、電子カルテという極めて機密性の高いデータを扱っています。患者のプライバシーを守ることは、医療提供者の根本的な責任です。
優先すべき対策
電子カルテシステムへのアクセスは、最小権限の原則を徹底してください。看護師は担当患者のカルテのみ、事務職員は会計情報のみアクセスできるよう、職種・役職に応じた細かい権限設定が必要です。
ランサムウェア対策は医療機関にとって生命線です。電子カルテが暗号化されると、患者の治療に直接影響が出ます。2017年、英国の国民保健サービス（NHS）がWannaCryランサムウェアに感染し、多数の病院で診療を停止せざるを得なくなった事例は記憶に新しいところです。
オフラインバックアップの確保が極めて重要です。ランサムウェアはネットワークに接続された全てのストレージを暗号化しようとするため、物理的に切り離されたバックアップが唯一の復旧手段となります。
医療情報システムの安全管理に関するガイドライン（厚生労働省）への準拠も必要です。定期的な自己点検と、必要に応じた外部監査の実施が求められます。
製造業・インフラ
製造業やインフラ企業は、制御システム（ICS/SCADA）を狙った攻撃に注意が必要です。
優先すべき対策
OT（Operational Technology：制御技術）とIT（Information Technology：情報技術）のネットワークは物理的に分離してください。工場の制御システムが社内ネットワーク経由でインターネットにつながっている状態は、非常に危険です。
制御システムへのリモートアクセスは、VPN＋多要素認証を必須とし、アクセスログを厳密に記録してください。保守作業のために外部ベンダーにアクセスを許可する場合も、期間限定の一時アカウントを発行し、作業終了後は即座に無効化します。
サプライチェーンセキュリティも重要です。2022年の国内大手自動車メーカーの事例では、取引先への不正アクセスが工場停止につながりました。主要取引先には、自社と同等レベルのセキュリティ対策を求め、定期的な監査を実施してください。
産業スパイ対策として、重要な設計情報や製造技術は暗号化して保存し、アクセスできる人員を限定します。退職者による情報持ち出しも深刻なリスクです。退職時には、保有していた情報へのアクセス権を即座に削除し、NDAweb（秘密保持契約）の遵守を改めて確認してください。
よくある不正アクセス対策の誤解とNG事例
正しいと思い込んでいる対策が、実は不十分だったり、逆効果だったりするケースがあります。
「ウイルス対策ソフトを入れていれば安心」の誤解
アンチウイルスソフトは重要な防御ツールですが、万能ではありません。
従来型のパターンマッチング方式では、既知のウイルスしか検知できません。新種のマルウェアや、既存のマルウェアを改変した亜種には対応できないのです。セキュリティ企業の調査では、毎日約40万個の新しいマルウェアが生成されていると報告されています。
また、アンチウイルスソフトはエンドポイント（PC）を守るツールであり、ネットワーク層の攻撃やWebアプリケーションの脆弱性には対処できません。SQLインジェクションやOSコマンドインジェクションといった攻撃は、アンチウイルスソフトの守備範囲外です。
多層防御の考え方が不可欠です。ファイアウォール、IDS/IPS、WAF、エンドポイント保護、ログ監視など、複数の防御層を組み合わせることで、一つの対策が突破されても他の層で食い止められる可能性が高まります。
「小規模企業は狙われない」の誤解
「うちのような小さな会社は攻撃者に狙われない」という考えは、極めて危険な思い込みです。
実際には、中小企業こそが狙われています。理由は単純で、防御が手薄だからです。攻撃者は効率を重視します。セキュリティが堅固な大企業を攻撃するより、対策が不十分な中小企業を攻撃する方が、成功率が高く、手間もかかりません。
サプライチェーン攻撃の標的としても中小企業は狙われます。大企業に直接侵入することが難しい場合、セキュリティが弱い取引先企業を経由して侵入する手法が増えています。2022年の自動車メーカーの事例も、この典型です。
従業員数が少ないからこそ、一人ひとりのセキュリティ意識が決定的に重要です。数人の会社であれば、全員が基本的なセキュリティ知識を身につけることは十分可能です。経営者が率先して学び、社内文化として定着させてください。
パスワード管理のNG事例
「強固なパスワードを設定している」と自信を持っていても、管理方法に問題があると意味がありません。
NG事例①：付箋にメモして貼る モニターの縁やキーボードの下に、パスワードを書いた付箋を貼る行為は論外です。清掃員、訪問者、離席中の同僚など、誰でも見られる状態では、暗号化の意味がありません。
NG事例②：メモ帳・Excelで管理 PCのメモ帳やExcelファイルにパスワード一覧を保存する行為も危険です。マルウェアに感染すると、こうしたファイルは真っ先に盗まれます。暗号化されていないテキストファイルは、攻撃者にとって宝の山です。
NG事例③：安易な推測可能パスワード 「会社名123」「birthday0101」「welcome2024」といった、ソーシャルエンジニアリングで推測可能なパスワードは、設定しないでください。攻撃者はターゲットのSNSを調べ、誕生日、家族の名前、ペットの名前、趣味などを収集してパスワードを推測します。
正しい管理方法は、パスワード管理ツールの使用です。1Password、Bitwarden、LastPassなどのツールは、強固な暗号化でパスワードを保管し、マスターパスワード一つで全てのパスワードにアクセスできます。自動入力機能もあるため、フィッシングサイトへの誤入力も防げます。
2026年以降の不正アクセス対策トレンド
サイバーセキュリティは常に進化しています。今後の展望を理解し、先手を打つことが重要です。
AI・機械学習を活用した防御システム
攻撃側がAIを活用し始めている以上、防御側もAIを活用しなければ太刀打ちできません。
異常検知の自動化では、通常のアクセスパターンを学習し、そこから逸脱した行動を自動的に検知します。例えば、普段は日中しかログインしない従業員が深夜にアクセスした場合、AIが異常と判断してアラートを発します。
従来の閾値ベースの監視（「1分間に100回以上のログイン失敗でアラート」など）では、閾値以下の攻撃を見逃してしまいます。AIは統計的な異常を検知するため、よりきめ細かい監視が可能です。
行動分析によるなりすまし検知も進化しています。ユーザーの操作パターン（マウスの動き、キーボードの打鍵速度、よくアクセスするファイルなど）を学習し、同じ認証情報でログインしても、操作パターンが異なれば本人ではないと判断します。
AIによる攻撃予測も研究が進んでいます。過去の攻撃データから攻撃者の行動パターンを分析し、次にどのようなアクションを取るかを予測することで、先回りして防御を強化できる可能性があります。
ゼロトラストセキュリティの普及
従来の「境界防御モデル」（社内ネットワークは安全、外部は危険）は、もはや通用しません。
ゼロトラストは「何も信頼しない」を前提とした設計思想です。社内ネットワークからのアクセスであっても、毎回認証・認可を行い、アクセス権限を検証します。
マイクロセグメンテーションにより、ネットワークを細かく分割し、セグメント間の通信を厳密に制御します。たとえ一つのセグメントに侵入されても、他のセグメントへの横展開を阻止できます。
継続的な認証・認可も特徴です。ログイン時に一度認証すれば、セッション中は何でもできるという従来の方式ではなく、操作ごとに認証状態を再評価します。異常な行動が検知されれば、即座にセッションを切断します。
ゼロトラストの実装には、既存システムの大幅な見直しが必要です。短期間で完成するものではなく、数年かけて段階的に移行するケースが一般的です。しかし、クラウドサービスの普及により、ネットワークの境界が曖昧になっている現代では、ゼロトラストへの移行は避けられない流れといえるでしょう。
生体認証・パスワードレス認証の進化
「パスワードは時代遅れ」という議論が加速しています。
FIDO2（Fast Identity Online 2）認証は、パスワードを使わずに認証を行う国際規格です。公開鍵暗号方式を使用し、生体認証やPINコードと組み合わせることで、フィッシングに強く、かつユーザーフレンドリーな認証を実現します。
Windows Hello、Touch ID、Face IDなど、主要なOSが既にFIDO2に対応しています。WebサイトやWebアプリでも、対応サービスが増えつつあります。
顔認証や指紋認証も高度化しています。従来は静止画での認証が主流でしたが、最近では3D顔認証や静脈認証など、偽造が困難な方式が登場しています。スマートフォンのカメラを使った認証も、深度センサーの搭載により精度が向上しています。
パスワードレス認証の普及には、まだ課題もあります。生体情報が漏洩した場合、パスワードのように変更できないという問題や、認証デバイスを紛失した場合のリカバリー手順の複雑さなどです。しかし、利便性とセキュリティの両立という観点では、パスワードレスが今後の主流になることは間違いありません。
不正アクセス対策の自己診断チェックリスト
自社のセキュリティレベルを客観的に評価してみましょう。
基本対策チェック項目（10項目）
以下の項目について、実施できているものにチェックを入れてください。
□ 多要素認証を導入している 主要なシステム（メール、クラウドサービス、VPNなど）で二段階認証または多要素認証が有効化されている
□ パスワードポリシーを策定・運用している 12文字以上、複雑な文字列、使い回し禁止などのルールが明文化され、従業員に周知されている
□ OS・ソフトウェアを定期的に更新している セキュリティパッチが月1回以上のペースで適用され、サポート終了製品は使用していない
□ ファイアウォールを設置している 外部ネットワークとの境界にファイアウォールが設置され、不要なポートが閉じられている
□ アンチウイルスソフトを導入している 全てのPCにアンチウイルスソフトがインストールされ、定義ファイルが最新に保たれている
□ セキュリティ教育を実施している 年1回以上、全従業員にセキュリティ研修や啓発活動を実施している
□ アクセス権限を適切に管理している 業務に必要な最小限の権限のみを付与し、定期的に権限の見直しを行っている
□ 退職者のアカウントを速やかに削除している 退職日当日にアカウントを無効化し、関連する認証情報を変更している
□ 重要データのバックアップを取得している 週1回以上の頻度でバックアップを取得し、復元テストを定期的に実施している
□ インシデント対応手順を整備している 不正アクセスが発覚した際の連絡先、対応手順が文書化され、従業員に周知されている
高度な対策チェック項目（10項目）
□ 脆弱性診断を定期的に実施している 年1回以上、外部の専門家による脆弱性診断を受けている
□ ログを継続的に監視している 認証ログ、アクセスログ、通信ログを記録し、定期的に確認または自動監視している
□ IDS/IPSを導入している 侵入検知システムまたは侵入防止システムを導入し、不正な通信を検知・ブロックしている
□ WAFを導入している 公開Webサイトやアプリケーションの前段にWebアプリケーションファイアウォールを設置している
□ EDRを導入している エンドポイントでの脅威検知と対応機能を持つEDRツールを導入している
□ フィッシングメール訓練を実施している 年1回以上、模擬フィッシングメールを送信して従業員の対応を確認している
□ ゼロトラストの概念を取り入れている 社内ネットワークからのアクセスも検証し、最小権限の原則を徹底している
□ インシデント対応訓練を実施している 年1回以上、不正アクセスを想定した対応訓練を実施している
□ サプライチェーンのセキュリティを確認している 主要な取引先や委託先のセキュリティ対策状況を確認し、必要に応じて改善を要請している
□ セキュリティインシデントの情報収集を行っている 業界団体や専門機関から最新の脅威情報を収集し、自社の対策に反映している
あなたの企業の対策レベル判定
チェックした項目の合計数で、セキュリティ対策レベルを判定します。
0〜5項目：要改善レベル セキュリティ対策が著しく不足しています。不正アクセスの被害に遭うリスクが非常に高い状態です。まず基本対策の10項目を最優先で実施してください。特に多要素認証、パスワード管理、ソフトウェア更新は今すぐ着手すべきです。
6〜12項目：標準レベル 基本的な対策は実施されていますが、まだ改善の余地があります。未実施の項目を確認し、優先順位をつけて順次対応してください。特に、ログ監視やインシデント対応手順の整備は、被害の早期発見・最小化に直結します。
13〜20項目：優良レベル 高水準のセキュリティ対策が実施されています。現状を維持しつつ、新たな脅威に対応するため、最新情報の収集と対策の見直しを継続してください。ゼロトラストやAI活用など、次世代の技術導入も検討段階に入っていると良いでしょう。
このチェックリストは、最低限押さえるべき項目を列挙したものです。業種や企業規模によっては、さらに高度な対策が必要な場合もあります。定期的に自己評価を行い、継続的な改善を図ってください。
まとめ｜不正アクセスから企業を守るために
不正アクセスは、規模や業種を問わず全ての企業が直面するリスクです。本記事で解説してきた内容を振り返り、重要なポイントを再確認します。
本記事のポイント再確認
不正アクセスの現状 2024年の認知件数は5,358件で、インターネットバンキングの不正送金が全体の約8割を占めています。クラウドサービスの普及、攻撃ツールの入手容易化、フィッシング手法の巧妙化により、被害は増加傾向にあります。
主な被害リスク 情報漏洩、データ改ざん、システム停止、不正送金、サイバー攻撃の踏み台化など、多岐にわたる被害が発生します。一度の被害で数千万円から数億円の損失が発生するケースもあります。
代表的な攻撃手法 パスワードを狙ったブルートフォース攻撃、システムの脆弱性を悪用したSQLインジェクション、人間の心理を突くフィッシング詐欺、最新の手口であるリアルタイムフィッシングなど、攻撃は日々進化しています。
効果的な対策 多要素認証とパスワード管理が最優先です。それに加えて、OSの定期更新、ファイアウォール・セキュリティツールの導入、従業員教育、ログ監視、定期的な脆弱性診断を組み合わせた多層防御が不可欠です。
今すぐ始めるべき3つのアクション
セキュリティ対策に「完璧」はありません。しかし、今日から実行できることは確実にあります。
アクション①：パスワードの見直しと多要素認証導入 まず、自分のパスワードを見直してください。12文字未満、英数字のみ、他のサービスと同じパスワードを使っている場合は、今すぐ変更してください。
そして、Google Workspace、Microsoft 365、Slack、各種クラウドサービスで多要素認証を有効化してください。設定は5分もかかりません。この5分の作業が、アカウント侵害の99.9%を防ぎます。
アクション②：OS・ソフトウェアの更新状況確認 Windows Update、macOSのソフトウェアアップデート、各種アプリケーションの更新を今すぐ確認してください。保留になっている更新があれば、業務時間外に適用するスケジュールを立ててください。
サポート終了製品を使っている場合は、移行計画を早急に策定してください。Windows 7、Windows Server 2008などは、既に致命的な脆弱性があっても修正されません。
アクション③：従業員へのセキュリティ教育計画 来週の朝礼で、不正アクセスの脅威について5分間話してください。フィッシングメールの見分け方、パスワード管理の重要性、不審なアクセスに気づいたら報告することの3点を伝えるだけでも、意識は大きく変わります。
四半期ごとの研修スケジュールを立て、継続的な教育を実施してください。外部講師を呼ぶ予算がなければ、IPAの無料教材を活用する方法もあります。
専門家への相談を検討すべきケース
以下のいずれかに該当する場合は、セキュリティの専門家への相談を検討してください。
社内にセキュリティ専門人材がいない 中小企業では、専任のセキュリティ担当者を置くことが難しいのが実情です。しかし、片手間で対応できるほど、セキュリティは簡単ではありません。外部のMSSP（マネージドセキュリティサービスプロバイダー）に監視や運用を委託することで、専門知識を持つチームのサポートを受けられます。
過去に不審なアクセスがあった 「不正アクセスかもしれない」という兆候があれば、見過ごさないでください。アクセスログに見慣れないIPアドレスがある、身に覚えのないファイルが作成されている、システムが不自然に遅いといった異常は、既に侵入されているサインかもしれません。フォレンジック調査を専門とする企業に依頼し、徹底的に調査してください。
大規模な顧客データを扱っている 数万件以上の個人情報を保有している企業は、攻撃者にとって魅力的な標的です。一度の情報漏洩で企業の存続が危ぶまれるレベルの損失が発生します。費用をかけてでも、包括的なセキュリティ対策を講じるべきです。
不正アクセス対策は、コストではなく投資です。事業を継続し、顧客の信頼を維持するための、不可欠な経営判断といえるでしょう。
セキュリティは一度対策すれば終わりというものではありません。攻撃者は常に新しい手口を開発しており、防御側も継続的に進化する必要があります。本記事で得た知識を起点として、組織全体でセキュリティ文化を醸成し、強固な防御体制を築いていってください。
