「このメール、いつも届く通知に見える」 「セキュリティ設定の確認なら、対応した方がよさそう」 「契約更新のお知らせだから、早めに確認しておこう」 こうした“見慣れたメール”に見えるフィッシングが増えています。 以前のフィッシングメールは、日本語が不自然だったり、見た目が明らかに怪しかったりするものも多くありました。 しかし最近は違います。 本物の通知メールや注意喚起メールの文面をまねて、そこに偽サイトへのリンクを紛れ込ませる手口が出ています。 フィッシング対策協議会の2026年2月の月次報告でも、本物のセキュリティ設定通知依頼や注意喚起メール文面を模倣し、フィッシングサイトへのリンクを追加したメールは違和感に気付きにくいと指摘されています。 つまり、これからのフィッシング対策では、 「怪しいメールを見抜く」だけでは不十分 になってきています。 フィッシング報告件数は12万件超 フィッシング対策協議会によると、 2026年3月に寄せられたフィッシング報告件数は122,381件、 フィッシングサイトURL件数も69,936件、 悪用されたブランド件数

先日、オープンイノベーションフィールド多摩 八王子館にて登壇した中小企業向けセキュリティセミナーについて、同館のイベント通信に掲載いただきました。 今回のセミナーでは、2026年度末頃に開始予定の「SCS評価制度」をテーマに、中小企業が今から整理しておきたいセキュリティ対策についてお話ししました。 SCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策状況を、共通の基準で確認しやすくするための制度です。 難しい制度対応だけを目的にするのではなく、まずは自社のIT環境やセキュリティ対策を整理し、取引先に「何を、どこまで、どう管理しているか」を説明できる状態を作ることが大切です。 セミナーでは、特に以下のような基本対策を中心に解説しました。 ・利用しているITサービスやアカウントの整理 ・パスワード管理と多要素認証 ・重要データのバックアップ ・パソコンやスマートフォンなどの端末管理 ・退職者アカウントの削除 ・社内ルールと責任者の明確化 セキュリティ対策は、大企業だけの話ではありません。 中小企業にとっても、取引継続や新規取引に関わる「

会社のノートパソコンを持ち歩く機会は、以前より増えています。 在宅勤務、外出先での作業、出張、取引先訪問、カフェでの資料確認など、社用PCを社外で使う場面は珍しくありません。 その一方で、どうしても避けられないリスクがあります。 それが、社用PCの紛失・盗難です。 電車に置き忘れた。 カフェに置いたまま席を離れてしまった。 車上荒らしでカバンごと盗まれた。 自宅に持ち帰ったはずなのに見当たらない。 こうした事態が起きたとき、重要なのは「誰が悪いか」を先に考えることではありません。 まず必要なのは、被害を広げないための初動対応です。 特に中小企業では、紛失時の連絡先や対応手順が決まっておらず、担当者や社員がその場で判断せざるを得ないことがあります。 しかし、対応が遅れるほど、情報漏えい、不正アクセス、取引先への影響、業務停止などのリスクは高まります。 今回は、社用PCを紛失したときに中小企業がまず取るべき対応と、事前に決めておきたいルールを整理します。 社用PCの紛失は「物をなくした」だけでは済まない 社用PCを紛失したと聞くと、まず思い浮かぶのは

「二段階認証を入れているから大丈夫」 「SMSで認証コードが届くから安心」 「パスワードだけより安全なはず」 この考え方は、基本的には正しいです。 実際、Microsoftは、多要素認証、いわゆるMFAがアカウント侵害攻撃の99.2%以上を防げると説明しています。 IDとパスワードだけでログインできる状態と比べれば、MFAは非常に有効な対策です。 ただし、ここで注意したいことがあります。 MFAを入れていれば、どんなフィッシングにも絶対に安全、というわけではありません。 最近のフィッシングでは、ID・パスワードだけでなく、SMSや認証アプリに表示される認証コードそのものを入力させようとする手口があります。 つまり、これから大切なのは、「MFAを入れること」だけでなく、「認証コードをどこに入力しているのか」を確認することです。 MFAは、今でも非常に有効な対策 まず、誤解してはいけないのは、MFAそのものは非常に重要だということです。 MFAとは、ログイン時に複数の要素で本人確認を行う仕組みです。 たとえば、 パスワード SMSで届く認証コード 認

会社のノートパソコンを自宅に持ち帰って仕事をする。 今では、それほど珍しいことではありません。 在宅勤務、出張前後の作業、急ぎの資料修正、休日明けの準備など、業務上どうしても必要になる場面もあります。 一方で、社用PCの持ち帰りには、情報漏えい、紛失、盗難、不正アクセス、私物機器との混同など、さまざまなリスクがあります。 特に中小企業では、 「なんとなく持ち帰っている」 「上司が許可しているから大丈夫」 「特にルールはないが、各自で気をつけている」 という状態になっていることも少なくありません。 しかし、社員の注意力だけに任せる運用には限界があります。 大切なのは、社用PCの持ち帰りを一律に禁止することではなく、会社として最低限のルールを決めておくことです。 今回は、中小企業が社用PCの持ち帰りについて最低限決めておきたい7つの項目を整理します。 1. 誰が、どのような場合に持ち帰ってよいのか 最初に決めるべきなのは、社用PCを持ち帰ってよい条件です。 よくないのは、「必要なら各自の判断で持ち帰ってよい」という曖昧な状態です。...

2026年6月10日（水）オープンイノベーションフィールド多摩 八王子館にて、中小企業向けセキュリティセミナー「大企業の信頼を勝ち取る SCS評価入門」に登壇しました。 今回のセミナーでは、2026年度末頃の開始が予定されているSCS評価制度の概要を中心に、中小企業が今から整理しておきたいセキュリティ対策についてお話ししました。 特に、以下のような内容を、専門用語をできるだけ使わずに解説しました。 ・SCS評価制度とは何か ・中小企業にどのような影響があるのか ・SECURITY ACTIONとの関係 ・取引先に説明できる状態とは何か ・まず整えるべき基本対策 ・アカウント管理、多要素認証、バックアップ、退職者アカウント削除、社内ルールの重要性 セキュリティ対策は、大企業だけの話ではありません。 中小企業も、取引先・委託先・協力会社としてサプライチェーンの一部になっています。 そのため、これからは「セキュリティ対策をしているか」だけでなく、「何を、どこまで、どう管理しているか」を説明できることが重要になります。 ITワークラボでは、IT担当者がい

「怪しいメールは、見れば分かる」 以前は、そう考えていた方も多いかもしれません。 確かに、不自然な日本語、怪しい差出人、明らかにおかしなURLなど、分かりやすいフィッシングメールもあります。 しかし最近は、状況が変わってきています。 フィッシング対策協議会の月次報告によると、2026年3月のフィッシングサイトURL件数は69,936件。前月から52,863件増加し、約309.6%増となりました。フィッシング報告件数も122,381件に達しています。 引用元：https://www.antiphishing.jp/report/monthly/202603.html さらに2026年4月には、フィッシング報告件数が151,112件となり、前月比でさらに約23.5%増加しています。 つまり、フィッシングは「たまに届く怪しいメール」ではなく、日常的に大量発生するリスクになっています。 そして、ここで重要なのは、社員一人ひとりの見分ける力だけに頼るには、すでに限界があるということです。 フィッシングサイトURLが増えると、何が困るのか...

会社から貸与されたパソコンは、単なる作業道具ではありません。 顧客情報、見積書、請求書、社内資料、取引先とのメール、クラウドサービスへのログイン情報など、会社の大切な情報につながる入口です。 しかし、日常業務の中では、 「少しだけなら大丈夫」 「いつもやっているから問題ない」 「急ぎだから仕方ない」 という判断で、思わぬ情報漏えいやトラブルにつながることがあります。 特に中小企業では、専任のIT担当者がいなかったり、社用PCの使い方に関するルールが明文化されていなかったりすることも少なくありません。 今回は、会社のパソコンでやってはいけないことを7つに整理します。 1. 私用サイトや私的なサービスに使う 会社のパソコンで、業務に関係のないサイトを見たり、個人用のサービスにログインしたりするのは避けるべきです。 たとえば、私用のネットショッピング、個人のSNS、動画サイト、個人メール、オンラインゲーム、私的なクラウドサービスなどです。 問題は「サボっているように見える」という話だけではありません。 不審な広告をクリックしてしまう、個人アカウントと業

「差出人が知っている会社名だった」 「メールアドレスもそれっぽく見えた」 「いつも使っているサービスからの通知に見えた」 こうした理由で、メールを信用して開いてしまうことがあります。 しかし最近のフィッシングは、差出人名やメールアドレスが正しそうに見えても、安全とは言い切れません。 フィッシング対策協議会の2026年3月の月次報告では、調査用メールアドレスに届いたフィッシングメールのうち、メール差出人に実在するサービスのメールアドレスやドメイン名を使った「なりすまし」フィッシングメールが約49.7％だったとされています。 引用元：https://www.antiphishing.jp/report/monthly/202603.html つまり、フィッシングメールの約半数は、「差出人が本物っぽく見える」可能性があるということです。 「差出人を確認しましょう」だけでは足りない フィッシング対策として、よく言われるのが「差出人を確認しましょう」という対策です。 もちろん、これは今でも大切です。 ただし、差出人の表示だけで判断するのは危険です。...

「怪しいメールを開いてしまったかもしれない」 そう感じたとき、多くの人がまず心配するのは、「開いただけでウイルスに感染したのではないか」ということです。もちろん、不審なメールには注意が必要です。 ただ、フィッシング詐欺で本当に怖いのは、メールを開いた瞬間よりも、その後に、 偽サイトにアクセスする IDやパスワードを入力する 認証コードを入力する ネットバンキングや決済サービスにログインしてしまう といった操作をしてしまうことです。 そして今、フィッシングは単なる「迷惑メール」では済まなくなっています。 警察庁の資料によると、令和7年のインターネットバンキングに係る不正送金事犯は4,747件、被害総額は約103億9,700万円。その手口の約9割がフィッシングとされています。 引用元：https://www.keishicho.metro.tokyo.lg.jp/kurashi/cyber/joho/info_security.html つまり、フィッシングはもはや、メールの問題ではなく、会社のお金の問題として考える必要があります。 フィッシングは「

「うちはどのくらい危ない状態なんだろう？」 中小企業のセキュリティ相談を受けていると、こうした質問をいただくことがあります。 ただ実際には、 何が危険なのか分からない どこまで対策すればいいのか分からない 他社と比べて自社が危険なのか判断できない という会社も少なくありません。 そんな中、IPA（情報処理推進機構）の調査では、セキュリティ対策状況の自己評価が低い企業ほど、被害額が大きくなる傾向が示されています。 特に注目されているのが、 自己評価70点未満の企業では、被害額が最大5,000万円に達した事例がある という点です。 一方で、自己評価70点以上の企業では、最大被害額が100万円という結果でした。 もちろん、点数だけですべてが決まるわけではありません。 ただ、「対策状況を把握している会社」と「何となく運用している会社」では、事故が起きたときの差が大きくなる現実が見えてきます。 被害を大きくするのは、攻撃より準備不足 サイバー攻撃というと、高度なハッキングを想像されることがあります。 でも実際には、 バックアップが取れていない 誰が管理して

「ちょっと要約するだけだから」 「社内で禁止されているわけじゃないし」 「個人アカウントで少し使っただけ」 生成AIの普及とともに、こうした会社が把握していないAI利用が急速に増えています。 いわゆる「シャドーAI」です。 最近の調査で、 シャドーAI利用者の23.1%が機密情報を入力 課長・部長クラスでは37.5% 一般社員（18.8%）の約2倍 という結果が話題になりました。 しかも興味深いのは、リスクが高いのがITに詳しくない社員だけではないことです。 むしろ、業務を効率化したい管理職ほど、AIに機密情報を入力している 現実が見えてきています。 シャドーAIは、悪意ではなく「業務効率化」から始まる シャドーAIというと、ルール違反や危険行為のように聞こえるかもしれません。 でも実際には、 メール文面を整えたい 会議メモを要約したい 提案書を効率化したい アイデア出しをしたい など、仕事を早く終わらせたいという善意から始まるケースがほとんどです。 実際、生成AIの利用用途では、 アイデア出し：57% メール作成：46% 報告書作成：35%..

「うちは今まで一度も被害に遭っていないから大丈夫」 中小企業の現場では、こうした声を聞くことがあります。 確かに、毎日の業務が普通に回っていると、セキュリティ対策は“後回し”になりがちです。 実際に、IPA（情報処理推進機構）の調査で、中小企業の約半数がセキュリティ対策に投資していないという結果が出ています。 そして、問題なのは「投資額の大小」よりも、 “何も起きていないから必要ない”という空気 の方かもしれません。 「問題が起きていない」は、本当に安全？ セキュリティ対策は、売上のように成果が見えやすいものではありません。 そのため、 今まで被害がない 社員が困っていない 業務が止まっていない という状態だと、「まだ大丈夫」と感じやすくなります。 でも、実際のサイバー攻撃は、 ある日突然メールが送れなくなる クラウドにログインできなくなる 共有フォルダが暗号化される 取引先に不審メールが送られる など、何も起きていなかった会社に突然発生します。 事故が起きてから、 「もっと早く見直しておけばよかった」 となるケースは少なくありません。 セキュリ

——業種・規模に関係なく、「隙がある会社」が狙われる時代 「サイバー 攻撃 って、大企業の話でしょ？」 そう思っていた経営者の方に、ぜひ見てほしいデータがあります。 2025年1年間で、国内のセキュリティインシデントの公表件数は559件。 1日あたり約1.5件 のペースで、どこかの会社がサイバー攻撃の被害を発表し続けていた計算になります。 そして攻撃者の狙い方は変わってきました。 かつては「大企業を狙う」という傾向がありましたが、今は違います。 「侵入できる隙があれば、どこでも狙う」 ——業種も規模も関係ない時代に入っています。 1日1.5件——数字が示す「日常化」したリスク トレンドマイクロが公表した2025年の国内インシデント集計によると、年間559件のセキュリティインシデントが公表されました。これは2024年（622件）からわずかに減少しているものの、依然として高水準が続いています。 2025年1月〜12月の国内セキュリティインシデント 公表件数：559件（1日あたり約1.5件） 攻撃カテゴリ1位：不正アクセス　2位：ランサムウェア 出典：