夏休みやお盆休みなどの長期休暇は、普段よりも業務が止まりやすい時期です。 社員が休みに入る。 システム管理者が不在になる。 取引先の担当者とも連絡が取りづらくなる。 休暇明けには、大量のメールや通知を一気に確認する。 このように、長期休暇の前後は、いつもとは違う状態になりやすくなります。 そのため、セキュリティ面でも注意が必要です。 IPA（情報処理推進機構）も、長期休暇中はシステム管理者が長期間不在になるなど、通常と異なる状況になりやすく、インシデントが発生した場合に対応が遅れたり、休暇後の業務継続に影響が及ぶ可能性があると注意喚起しています。 中小企業では、専任のIT担当者がいない場合も多く、何か起きたときの対応が特定の人に集中しがちです。 だからこそ、休みに入る前に、最低限の確認をしておくことが大切です。 長期休暇中は、いつもと違うリスクが生まれる 長期休暇中は、会社全体の動きが止まります。 それ自体は当然のことですが、セキュリティの観点では、次のようなリスクが生まれます。 異常に気づく人が少なくなる システム管理者や担当者に連絡がつきにく

フィッシングメールへの注意喚起は、多くの会社で行われるようになってきました。 「怪しいメールを開かない」 「メール内のリンクからログインしない」 「不審な通知は公式サイトや公式アプリから確認する」 こうした対策は、もちろん大切です。 しかし、フィッシング対策を社員の注意力だけに頼るのは限界があります。 最近のフィッシングは、文面や見た目が巧妙なだけでなく、正規サービスのドメインやクラウドサービス、短縮URLなどを悪用し、メールフィルターをすり抜けようとする手口も見られます。 中小企業が考えるべきなのは、社員に「気をつけて」と言うだけではなく、会社のメール環境とアカウント管理を基本から見直すことです。 フィッシング報告件数は減少。でも安心とは言えない フィッシング対策協議会の月次報告によると、2026年6月に寄せられたフィッシング報告件数は72,370件で、前月より大きく減少しました。 この数字だけを見ると、「フィッシングが減ってきた」と感じるかもしれません。 しかし、同じ報告では、フィッシングサイトのURL件数は42,241件で、前月より増加して

「このメール、いつも届く通知に見える」 「セキュリティ設定の確認なら、対応した方がよさそう」 「契約更新のお知らせだから、早めに確認しておこう」 こうした“見慣れたメール”に見えるフィッシングが増えています。 以前のフィッシングメールは、日本語が不自然だったり、見た目が明らかに怪しかったりするものも多くありました。 しかし最近は違います。 本物の通知メールや注意喚起メールの文面をまねて、そこに偽サイトへのリンクを紛れ込ませる手口が出ています。 フィッシング対策協議会の2026年2月の月次報告でも、本物のセキュリティ設定通知依頼や注意喚起メール文面を模倣し、フィッシングサイトへのリンクを追加したメールは違和感に気付きにくいと指摘されています。 つまり、これからのフィッシング対策では、 「怪しいメールを見抜く」だけでは不十分 になってきています。 フィッシング報告件数は12万件超 フィッシング対策協議会によると、 2026年3月に寄せられたフィッシング報告件数は122,381件、 フィッシングサイトURL件数も69,936件、 悪用されたブランド件数

会社のセキュリティ対策というと、ウイルス対策ソフト、パスワード管理、多要素認証、バックアップなどを思い浮かべる方が多いと思います。 もちろん、これらの対策は重要です。 しかし、実際のセキュリティ事故では、技術的な対策だけでは防ぎきれない問題があります。それが、「社員がすぐに報告できない」ことです。 たとえば、次のような場面です。 不審なメールのリンクを開いてしまった 偽サイトかもしれない画面にIDやパスワードを入力してしまった 会社のパソコンやスマートフォンを一時的に紛失した 見覚えのないファイルをダウンロードしてしまった 取引先を装ったメールに違和感を覚えた こうしたとき、すぐに報告があれば、被害を小さく抑えられる可能性があります。 一方で、報告が遅れると、ウイルス感染の拡大、不正アクセスの継続、情報漏えい、取引先への被害波及などにつながるおそれがあります。 中小企業にとって重要なのは、単に「ミスをなくす」ことではありません。 ミスや違和感があったときに、すぐ言える職場にしておくことです。 セキュリティ事故は「報告の遅れ」で大きくなる...

先日、オープンイノベーションフィールド多摩 八王子館にて登壇した中小企業向けセキュリティセミナーについて、同館のイベント通信に掲載いただきました。 今回のセミナーでは、2026年度末頃に開始予定の「SCS評価制度」をテーマに、中小企業が今から整理しておきたいセキュリティ対策についてお話ししました。 SCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策状況を、共通の基準で確認しやすくするための制度です。 難しい制度対応だけを目的にするのではなく、まずは自社のIT環境やセキュリティ対策を整理し、取引先に「何を、どこまで、どう管理しているか」を説明できる状態を作ることが大切です。 セミナーでは、特に以下のような基本対策を中心に解説しました。 ・利用しているITサービスやアカウントの整理 ・パスワード管理と多要素認証 ・重要データのバックアップ ・パソコンやスマートフォンなどの端末管理 ・退職者アカウントの削除 ・社内ルールと責任者の明確化 セキュリティ対策は、大企業だけの話ではありません。 中小企業にとっても、取引継続や新規取引に関わる「

会社のノートパソコンを持ち歩く機会は、以前より増えています。 在宅勤務、外出先での作業、出張、取引先訪問、カフェでの資料確認など、社用PCを社外で使う場面は珍しくありません。 その一方で、どうしても避けられないリスクがあります。 それが、社用PCの紛失・盗難です。 電車に置き忘れた。 カフェに置いたまま席を離れてしまった。 車上荒らしでカバンごと盗まれた。 自宅に持ち帰ったはずなのに見当たらない。 こうした事態が起きたとき、重要なのは「誰が悪いか」を先に考えることではありません。 まず必要なのは、被害を広げないための初動対応です。 特に中小企業では、紛失時の連絡先や対応手順が決まっておらず、担当者や社員がその場で判断せざるを得ないことがあります。 しかし、対応が遅れるほど、情報漏えい、不正アクセス、取引先への影響、業務停止などのリスクは高まります。 今回は、社用PCを紛失したときに中小企業がまず取るべき対応と、事前に決めておきたいルールを整理します。 社用PCの紛失は「物をなくした」だけでは済まない 社用PCを紛失したと聞くと、まず思い浮かぶのは

「二段階認証を入れているから大丈夫」 「SMSで認証コードが届くから安心」 「パスワードだけより安全なはず」 この考え方は、基本的には正しいです。 実際、Microsoftは、多要素認証、いわゆるMFAがアカウント侵害攻撃の99.2%以上を防げると説明しています。 IDとパスワードだけでログインできる状態と比べれば、MFAは非常に有効な対策です。 ただし、ここで注意したいことがあります。 MFAを入れていれば、どんなフィッシングにも絶対に安全、というわけではありません。 最近のフィッシングでは、ID・パスワードだけでなく、SMSや認証アプリに表示される認証コードそのものを入力させようとする手口があります。 つまり、これから大切なのは、「MFAを入れること」だけでなく、「認証コードをどこに入力しているのか」を確認することです。 MFAは、今でも非常に有効な対策 まず、誤解してはいけないのは、MFAそのものは非常に重要だということです。 MFAとは、ログイン時に複数の要素で本人確認を行う仕組みです。 たとえば、 パスワード SMSで届く認証コード 認

会社のノートパソコンを自宅に持ち帰って仕事をする。 今では、それほど珍しいことではありません。 在宅勤務、出張前後の作業、急ぎの資料修正、休日明けの準備など、業務上どうしても必要になる場面もあります。 一方で、社用PCの持ち帰りには、情報漏えい、紛失、盗難、不正アクセス、私物機器との混同など、さまざまなリスクがあります。 特に中小企業では、 「なんとなく持ち帰っている」 「上司が許可しているから大丈夫」 「特にルールはないが、各自で気をつけている」 という状態になっていることも少なくありません。 しかし、社員の注意力だけに任せる運用には限界があります。 大切なのは、社用PCの持ち帰りを一律に禁止することではなく、会社として最低限のルールを決めておくことです。 今回は、中小企業が社用PCの持ち帰りについて最低限決めておきたい7つの項目を整理します。 1. 誰が、どのような場合に持ち帰ってよいのか 最初に決めるべきなのは、社用PCを持ち帰ってよい条件です。 よくないのは、「必要なら各自の判断で持ち帰ってよい」という曖昧な状態です。...

2026年6月10日（水）オープンイノベーションフィールド多摩 八王子館にて、中小企業向けセキュリティセミナー「大企業の信頼を勝ち取る SCS評価入門」に登壇しました。 今回のセミナーでは、2026年度末頃の開始が予定されているSCS評価制度の概要を中心に、中小企業が今から整理しておきたいセキュリティ対策についてお話ししました。 特に、以下のような内容を、専門用語をできるだけ使わずに解説しました。 ・SCS評価制度とは何か ・中小企業にどのような影響があるのか ・SECURITY ACTIONとの関係 ・取引先に説明できる状態とは何か ・まず整えるべき基本対策 ・アカウント管理、多要素認証、バックアップ、退職者アカウント削除、社内ルールの重要性 セキュリティ対策は、大企業だけの話ではありません。 中小企業も、取引先・委託先・協力会社としてサプライチェーンの一部になっています。 そのため、これからは「セキュリティ対策をしているか」だけでなく、「何を、どこまで、どう管理しているか」を説明できることが重要になります。 ITワークラボでは、IT担当者がい

「怪しいメールは、見れば分かる」 以前は、そう考えていた方も多いかもしれません。 確かに、不自然な日本語、怪しい差出人、明らかにおかしなURLなど、分かりやすいフィッシングメールもあります。 しかし最近は、状況が変わってきています。 フィッシング対策協議会の月次報告によると、2026年3月のフィッシングサイトURL件数は69,936件。前月から52,863件増加し、約309.6%増となりました。フィッシング報告件数も122,381件に達しています。 引用元：https://www.antiphishing.jp/report/monthly/202603.html さらに2026年4月には、フィッシング報告件数が151,112件となり、前月比でさらに約23.5%増加しています。 つまり、フィッシングは「たまに届く怪しいメール」ではなく、日常的に大量発生するリスクになっています。 そして、ここで重要なのは、社員一人ひとりの見分ける力だけに頼るには、すでに限界があるということです。 フィッシングサイトURLが増えると、何が困るのか...

会社から貸与されたパソコンは、単なる作業道具ではありません。 顧客情報、見積書、請求書、社内資料、取引先とのメール、クラウドサービスへのログイン情報など、会社の大切な情報につながる入口です。 しかし、日常業務の中では、 「少しだけなら大丈夫」 「いつもやっているから問題ない」 「急ぎだから仕方ない」 という判断で、思わぬ情報漏えいやトラブルにつながることがあります。 特に中小企業では、専任のIT担当者がいなかったり、社用PCの使い方に関するルールが明文化されていなかったりすることも少なくありません。 今回は、会社のパソコンでやってはいけないことを7つに整理します。 1. 私用サイトや私的なサービスに使う 会社のパソコンで、業務に関係のないサイトを見たり、個人用のサービスにログインしたりするのは避けるべきです。 たとえば、私用のネットショッピング、個人のSNS、動画サイト、個人メール、オンラインゲーム、私的なクラウドサービスなどです。 問題は「サボっているように見える」という話だけではありません。 不審な広告をクリックしてしまう、個人アカウントと業

「差出人が知っている会社名だった」 「メールアドレスもそれっぽく見えた」 「いつも使っているサービスからの通知に見えた」 こうした理由で、メールを信用して開いてしまうことがあります。 しかし最近のフィッシングは、差出人名やメールアドレスが正しそうに見えても、安全とは言い切れません。 フィッシング対策協議会の2026年3月の月次報告では、調査用メールアドレスに届いたフィッシングメールのうち、メール差出人に実在するサービスのメールアドレスやドメイン名を使った「なりすまし」フィッシングメールが約49.7％だったとされています。 引用元：https://www.antiphishing.jp/report/monthly/202603.html つまり、フィッシングメールの約半数は、「差出人が本物っぽく見える」可能性があるということです。 「差出人を確認しましょう」だけでは足りない フィッシング対策として、よく言われるのが「差出人を確認しましょう」という対策です。 もちろん、これは今でも大切です。 ただし、差出人の表示だけで判断するのは危険です。...

「怪しいメールを開いてしまったかもしれない」 そう感じたとき、多くの人がまず心配するのは、「開いただけでウイルスに感染したのではないか」ということです。もちろん、不審なメールには注意が必要です。 ただ、フィッシング詐欺で本当に怖いのは、メールを開いた瞬間よりも、その後に、 偽サイトにアクセスする IDやパスワードを入力する 認証コードを入力する ネットバンキングや決済サービスにログインしてしまう といった操作をしてしまうことです。 そして今、フィッシングは単なる「迷惑メール」では済まなくなっています。 警察庁の資料によると、令和7年のインターネットバンキングに係る不正送金事犯は4,747件、被害総額は約103億9,700万円。その手口の約9割がフィッシングとされています。 引用元：https://www.keishicho.metro.tokyo.lg.jp/kurashi/cyber/joho/info_security.html つまり、フィッシングはもはや、メールの問題ではなく、会社のお金の問題として考える必要があります。 フィッシングは「

2026年6月10日（水）、オープンイノベーションフィールド多摩 八王子館にて開催される中小企業向けセミナーに、ITワークラボとして登壇します。 テーマは「2026年度末制度スタート！大企業の信頼を勝ち取るSCS評価入門」です。 近年、サプライチェーン全体でのサイバーセキュリティ対策が重視されるようになり、中小企業においても「取引先に説明できるセキュリティ対策」が求められつつあります。 本セミナーでは、SCS評価制度の基本と、中小企業が今から取り組める最初の一歩について、わかりやすく解説します。 会場参加・オンライン参加のどちらも可能です。 ご関心のある方は、ぜひお申し込みください。 申込ページ： https://oif-tama.jp/hachioji/event/entry-34126.html 📖 あわせて読みたい 関連ページ IT・セキュリティ体制構築の支援内容は、「サービスページ」でご案内しています。 実際のご相談事例は、「導入事例」でもご紹介しています。 ITワークラボの考え方は、「ITワークラボについて」をご覧ください。

「うちはまだ大丈夫だと思う」 中小企業のセキュリティ相談を受けていると、本当によく聞く言葉です。 実際、多くの会社では、ウイルス対策ソフトを入れたり、怪しいメールに気をつけたり、できる範囲で対策をしています。 ただ、その一方で、こんな状態になっている会社も少なくありません。 パソコン管理はなんとなく詳しい社員任せ 退職者アカウントが残ったまま Wi-Fiの設定を誰も把握していない NASやルーターの更新時期が不明 「困ったら業者に聞く」以外の運用がない ここでいう“社員任せ”とは、各社員が悪いという意味ではありません。 会社として担当者やルールが決まっておらず、詳しい人・気づいた人・各社員の判断に頼っている状態のことです。 中小企業の約7割は、セキュリティを組織で管理できていない IPA（情報処理推進機構）の調査では、情報セキュリティ対策を組織的には行っていない中小企業が69.7%という結果が出ています。 つまり、約7割の中小企業では、セキュリティ対策が会社全体の仕組みとして管理されておらず、現場任せ・詳しい人任せになっている状態です。...

攻撃者が狙う意外な入口 「サイバー攻撃」と聞くと、何か特別な技術でシステムをこじ開けられるような場面を想像するかもしれません。 ですが、実際にはもっと地味で、もっと身近な入口が使われています。 それが、 正規のIDとパスワードで“普通にログインされる”攻撃 です。 CrowdStrikeは、日本で2022年に観測した侵入のうち 60%が有効なアカウントの悪用を含んでいた と報告しています。 つまり、攻撃者は必ずしも「壁を壊して入る」とは限りません。 合鍵を手に入れて、正面から入ってくる。 今の攻撃は、そう考えた方が実態に近い場面が増えています。 IPA（独立行政法人 情報処理推進機構）も、流出したID・パスワードや推測されたパスワードが悪用され、不正ログイン被害が増えていると注意喚起しています。 「侵入」ではなく「ログイン」とはどういうことか 昔ながらのサイバー攻撃のイメージは、外からシステムの弱点を突いて無理やり入り込むものです。もちろん今でも、脆弱性を突く攻撃はあります。 ただ最近はそれに加えて、 盗まれたIDとパスワードを使って、本人になり

フィッシングメールが届いたとき、「開いただけでも危ないのでは？」と不安になる方は少なくありません。 特に、会社のメールや個人のスマートフォンで怪しいメールを見つけると、慌ててしまいやすいものです。ですが、まず落ち着いて確認したいのは、 どこまで操作したか です。 IPA（独立行政法人 情報処理推進機構）では、フィッシングのメールやSMSは 開いただけでは被害は発生しない と案内しています。また、本文のURLを開いてしまった場合でも、その先で 情報を入力したり、アプリをインストールしたりしていなければ、基本的に被害は発生しない とされています。 つまり、怖いのは「受け取ったこと」そのものではなく、 その後の操作 です。 この記事では、 フィッシングメールとは何か 開いただけで何が起きるのか 本当に危ないのはどこからか 操作別にどう対処すればよいか を、中小企業の経営者やIT担当者が社内で案内しやすいように、できるだけ分かりやすく整理します。 フィッシングメールとは何か フィッシングとは、実在する企業やサービスを装って、利用者を偽サイトへ誘導し、ID

2025年の調査によると、 日本の消費者の71% が何らかの形でパスワードを再利用しており、世界平均の 68%を上回っている そうです。 「パスワードの使い回しは危ない」と聞くと、すべてのサービスで同じパスワードを使っている状態を思い浮かべるかもしれません。でも実際には、もっと身近な形の使い回しが多いようです。 今回の調査では、日本では「すべての個人アカウントで同じパスワードを使っている」人は13%でした。一方で、 少数のパスワードを複数のサービスで使い回している人が58% を占め、世界平均の51%より高くなっていました。 つまり、多くの人は「 全部同じではないから大丈夫 」と思いながら、実際には いくつかのパスワードを使いまわす危ない運用 をしている可能性があります。一見すると安全そうに感じるかもしれませんが、セキュリティの観点では、これも十分に危険です。 そしてこの問題は、個人の話だけで終わりません。社員の日常的なパスワードの習慣が、会社のメール、クラウドサービス、業務アカウントのリスクにつながることがあります。 この記事では、なぜパスワード

IPA情報セキュリティ安心相談窓口によると、2025年7月に寄せられた 不正ログインに関する相談は144件 で、これまでで最も多くなりました。 内容としては、InstagramやFacebookなどのサービスに不正ログインされ、 自分ではログインできなくなった という相談が多く寄せられています。 ここで大事なのは、これは「相談件数」だということです。つまり、実際に表面化して相談までつながったケースだけでも、かなり多いという見方ができます。 不正ログインは、大企業や有名人だけの話ではありません。 SNS、ショッピングサイト、ネットバンキング、クラウドサービスなど、日常的に使うサービスで起こりえます。 しかも厄介なのは、気づいたときにはすでに パスワードを変更されていた 登録メールアドレスや電話番号を変えられていた 多要素認証まで設定されていた という状態になっていることがある点です。 この記事では、IPAの注意喚起をもとに、 不正ログインはどんな手口で起きるのか 不正ログインの証拠とは何か 被害にあったとき、まず何をすべきか 日頃からどんな対策をし

——業種・規模に関係なく、「隙がある会社」が狙われる時代 「サイバー 攻撃 って、大企業の話でしょ？」 そう思っていた経営者の方に、ぜひ見てほしいデータがあります。 2025年1年間で、国内のセキュリティインシデントの公表件数は559件。 1日あたり約1.5件 のペースで、どこかの会社がサイバー攻撃の被害を発表し続けていた計算になります。 そして攻撃者の狙い方は変わってきました。 かつては「大企業を狙う」という傾向がありましたが、今は違います。 「侵入できる隙があれば、どこでも狙う」 ——業種も規模も関係ない時代に入っています。 1日1.5件——数字が示す「日常化」したリスク トレンドマイクロが公表した2025年の国内インシデント集計によると、年間559件のセキュリティインシデントが公表されました。これは2024年（622件）からわずかに減少しているものの、依然として高水準が続いています。 2025年1月〜12月の国内セキュリティインシデント 公表件数：559件（1日あたり約1.5件） 攻撃カテゴリ1位：不正アクセス　2位：ランサムウェア 出典：