「うちは大丈夫?」と聞かれたら:情報漏えいに備える、3段構えの対策

はじめに

ここ1〜2週間、情報漏えいのニュースが続いています。周りで「うちは大丈夫?」と聞かれることも、増えました。

結論から書きます。攻撃を完全に防ぐことは、できません。 だから、目標を「防ぐ」だけにせず、「被害を小さくして、早く立ち直る」にも置きます。その準備を、3段構えで整理しました。

1. 当たり前のIT対策(今すぐできる)
2. もう少し頑張りたいIT対策
3. 何かあったときの体制と動き方(準備は大事)

長い記事ですが、1本で読み切れるようにまとめました。時間がないときは、自分の段階の見出しから読んでください。最後に、「うちは大丈夫?」と聞かれたとき、どう答えるかもまとめています。

今、何が起きているのか

事実関係を、公式の発表で確認できた範囲で、整理します。いずれも2026年10月10日時点の内容で、調査が続いているものを含みます。

タイムズカー(パーク24)

• 9月25日に不正アクセスを検知し、9月26日7時25分までに、経路の遮断を完了した、と公表されています。
• 漏えいしたアカウント数は約660万件で、退会済みの会員も含まれます。
• そのうち、運転免許証画像などの本人確認書類が漏えいしたのは、約160万件です(9月29日の第3報)。
• クレジットカード情報は漏えいしていない、パスワードは復元できない形式で保管していた、とされています。
• 原因と影響範囲は、外部専門機関のフォレンジック調査中です。

IDCフロンティア「IDCFクラウド」(ソフトバンク系)

• 10月7日午前3時40分ごろから、第三者からの不正アクセス(ランサムウェア攻撃)で、障害が発生しています。
• 東日本リージョン1の一部の仮想サーバーが停止し、影響は495の企業・自治体です。
• 公式の見解として、対象ゾーンの顧客データは、取り出しや復元が困難な見通しで、復元はお客さま自身が保持するバックアップからのみ可能、とされています。
• 侵入経路は調査中です。

件数の全体像

東京商工リサーチの集計(報道による)では、上場企業とその子会社が公表した100万件超の漏えいは、10月5日時点で10件で、2025年通年の6件をすでに上回っています。ただし、これは上場企業とその子会社の公表分だけの集計です。

なお、攻撃にAIが使われているのでは、という指摘も報じられていますが、現時点では「可能性」の段階です。確認された事例として、扱うことはできません。

(出典: パーク24第2報・第3報、IDCフロンティア第3報・第4報、東京商工リサーチ)

完全には防げない、という前提で考える

攻撃の手口が高度になれば、どれほど備えても、突破される可能性はあります。それでも、備えに意味はあります。

理由は2つです。1つは、被害の大きさは、備えで変わることです。もう1つは、事故のあとの対応の質が、風評被害などの二次的な被害を左右することです。

では、何から手をつけるか。3段構えで考えます。

段1: 当たり前のIT対策(今すぐできる)

まずは、お金も時間もあまりかけずに、今日から始められるものです。

• まず、多要素認証を入れる。 パスワードの変更より、先です。特に、メール、クラウドの管理画面、VPNから。
• パスワードは、人の記憶に頼らず、システムで管理する。 長さは16桁以上を目安にします。
• OSと、ネットワーク機器のファームウェアを更新する。 ルーター、VPN機器など、外から見える機器は、最優先です(下に補足)。
• 使っていないアカウントを、定期的に棚卸しする。 退職者、異動者、委託先の担当者、テスト用のアカウントなどが対象です。入社・異動・退職の手続きに、ワークフローなどで、アカウントの発行と削除の手順を組み込んでいる会社は多いと思います。ただ、人の手で運用している限り、抜け漏れは起こりえます。基本は、管理手順に基づいて運用し、そのうえで、定期的に棚卸しをする。この二重のチェックで、運用が、より確実になります。
• バックアップを取り、復元できるか試す。 取っているだけでは、足りません。簡単な方法として、自分のユーザープロファイルを、外付けのUSBドライブなどにコピーしておくだけでも、効果があります。デスクトップ、ドキュメント、ダウンロードなどが入っているので、大抵のデータは、この中に収まっています。場所は、コマンドプロンプトで echo %userprofile% と入力すると、表示されます。Microsoft 365を使っている場合は、OneDriveへのバックアップも、おすすめです。
  • 気をつけたい点が2つあります。1つ目は、USBドライブを、つなぎっぱなしにしないことです。つないだままだと、ランサムウェアに、一緒に暗号化されるおそれがあります。コピーが終わったら、外して保管します。2つ目は、OneDriveのような同期は、バックアップと同じではないことです。端末側で暗号化されたファイルが、そのまま同期される場合があります。過去の状態に戻せる機能(バージョン履歴や復元)が使えるかも、あわせて確認しておきましょう。

ネットワーク機器の更新を、優先する理由

警察庁の「令和7年上半期のサイバー空間をめぐる脅威の情勢等について」では、ランサムウェア被害の感染経路は、VPN機器が最も多く、次にリモートデスクトップでした。資料では、VPN機器等の脆弱性対策、認証情報の適切な管理、バックアップとログの取得が、被害防止に有効とされています。だから、更新と、多要素認証は、セットで考えます。

更新が必要な脆弱性を、見逃さないために、情報の入口も決めておきましょう。筆者は、JPCERT/CCの注意喚起と週間レポートを、メールで受け取っています。JPCERT/CCは、メーリングリストへの登録を案内しており、注意喚起は、深刻で影響範囲の広い脆弱性を告知する文書、とされています。

なぜ、パスワードの変更より、多要素認証が先なのか

パスワードの強化は、正論ですが、現場では抵抗にあいます。「パスワードを、桁数を増やして、意味のない文字列に変更してください」と言うと、「無理、覚えられない」「付箋に書いて貼っておく」「そもそも無視」という反応が返ってくる場面は、容易に想像できます。人が覚えられるのは、せいぜい8〜12桁で、しかも、何か意味のある並びになりがちです。そうした並びは、総当たりより前に、推測されやすい。かといって、覚えられない文字列を強いれば、付箋に書かれます。ここで平行線の戦いになると、対策は進みません。

そこで、先に多要素認証です。多要素認証は、パスワードを変更しなくても導入でき、効果も大きい。万が一パスワードが漏れても、それだけでは、入れなくなります。パスワードの強化は、そのあとで、「覚えなくていい仕組み」(パスワードマネージャーなど)とセットで進めれば、「覚えられない」という抵抗は、起きにくくなります。

ただし、多要素認証にも、導入の壁はあります。たとえば、私物のスマートフォンを仕事に使う(BYOD)場合の扱いです。認証アプリを、私物の端末に入れてもらってよいのか。会社が端末を支給するのか。物理的な認証キーを配るのか。ここは、自社の事情に合わせて、決める必要があります。

パスワードの長さについては、Hive Systemsの2026年版のパスワード表(bcryptで保護されたパスワードを、16枚の高性能GPUで総当たりした場合)で、小文字だけの8桁が約2週間で破られる、とされています。ランダムな8桁(全文字種)は、132年とされていますが、これも同じ条件での数字で、守り方によっては、もっと短くなります。Hive Systemsも、文字種を増やすより、長さが最も効く、と述べています。攻撃側の機材は、年々速くなっています。

(出典: Hive Systems 2026年版パスワード表)

クラウドのデータも、自分でバックアップを持つ

段1の中で、IDCフロンティアの事案が示した点を、もう1つ強調します。クラウドに置いているデータも、自分でバックアップを持つ、ということです。公式の見解では、対象ゾーンのデータの復元は、顧客が保持するバックアップからのみ可能、とされています。事業者が持っているから大丈夫、とは言えません。

段2: もう少し頑張りたいIT対策

ここからは、少し手間がかかります。ただ、被害を小さくする効果が大きい部分です。

権限を最小にする

管理者権限のアカウントと、普段、個人で使うアカウントは、基本的に分けておきます。用途に応じて、必要な権限だけを付与するのが、セオリーです。もちろん、管理者のアカウントにも、多要素認証を有効にしておきます。

持たない、消す

ISMSやプライバシーマークの取得に関わった方なら、ご存じのとおり、情報セキュリティの一丁目一番地は、情報資産台帳の作成です。台帳には、保存期間と廃棄方法の項目があり、それに従って運用します。この考え方は、「不必要なデータは持たない」という運用に、直結します。ISMSなどを運用していない会社でも、情報資産台帳は作っておくことをおすすめします。

パーク24の件では、退会済みの会員の情報も、漏えいの対象に含まれていました。持っていなければ、漏えいしようがありません。

脆弱性への対応ルールを決める

段1で、JPCERT/CCから脆弱性の情報を集める、と書きました。ここでは、もう一歩進めて、対応のルールを決めておきます。

筆者は、レポートが届いたら、次の順で判断しています。

1. 社内に、影響が及ぶものがあるか。
2. 影響がある場合、緊急度はどうか。
3. その結果を、実際のタスクに落とし込む。「一次対応(緊急対応)」と「恒久対応(定期保守など)」に分けます。

この判断のためにも、自社が使っている機器とソフトの一覧(機種、設置場所、担当者)が必要です。一覧がないと、「うちは該当するのか」を、確認できません。

委託先とクラウドの棚卸しをする

こちらも、事が起こる前に、確認しておきたい部分です。どのデータが、どこに、誰の管理で置かれているか。

可能であれば、委託先と共同で、情報漏えいが起きた場合のシミュレーションをしておくと、よいでしょう。お互いの責任分界点と、関係各所への報告体制を協議して、手順にまとめておければ、ベストです。

ログを取り、見る

ここは、少しコストがかかる部分です。最初にやるのは、ログを取る仕組みを確立することです。ただ、PC、サーバー、ネットワークのすべてのログを、手動で集めて監視するのは、かなり難しい。筆者は、統合的なログ収集・監視ツールを導入するのが、結果的に、コストの最適解になる、と考えています。

• ログの収集と検知には、EDR(端末の挙動の監視)、XDR(複数の領域をまたいだ監視)、NDR(ネットワークの監視)といった製品が、有力な選択肢です。
• それに続く、監視の部分も、統合された製品・サービスが向いています。ここが、SOC/MDR(専門の組織による監視と対応のサービス)の出番です。

バックアップを、守る

段1では、バックアップを取ること自体を書きました。ここでは、バックアップのデータを、攻撃者から守ることを考えます。アクセスを保護し、改ざんや削除を防ぎます。

• 物理的な媒体や装置の場合は、使わないときに外して、隔離する。
• クラウドストレージなどに保管する場合は、WORM(書き込み後は変更できない方式)や、オブジェクトロックで保護する。

段3: 何かあったときの体制と動き方(準備は大事)

対策をしていても、事故は起こりえます。そのとき、慌てないための準備が、最後の砦です。

準備の中身は、1つの形にまとめられます。事が起こってから慌てないよう、事前に、「誰」が、「何を」、「いつまでに」やるかを、決めておくことです。

「何を」「いつまでに」は、一般的な手順をなぞればよい

インシデント対応の手順は、すでに多くの事例があり、公的機関や業界団体の資料も、数多く公開されています。自社の特徴を、無理に出す必要はありません。一般的な対応手順をなぞれば、「何を」「いつまでに」は、自然に決まってきます。たとえば、法律で求められる部分は、次のとおりです。

個人データの漏えいが起きて、個人の権利利益を害するおそれがあるときは、個人情報保護委員会への報告と、本人への通知が必要です。該当するのは、次の4つの場合です。

1. 要配慮個人情報が含まれる
2. 財産的被害が生じるおそれがある
3. 不正の目的をもって行われた(不正アクセスなど)
4. 1,000人を超える

報告は、速やか(概ね3〜5日以内)に行います。不正の目的のおそれがある場合の、確報の期限は、発覚日から60日以内です。ランサムウェア事案は、共通の様式で報告できます。

(出典: 個人情報保護委員会 漏えい等の対応、漏えい等報告・本人への通知の義務化)

そのほかの手順(被害の拡大を止める、証拠を残す、外部の専門家に連絡する、関係者に連絡する、公表する、など)も、一般的な流れに沿って、並べていきます。

決まっていないのは、たいてい「誰が」

手順を、自社に当てはめるときに、いちばん抜けやすいのが、「誰がやる」です。手順書があっても、担当者の欄が空いている、という会社は、少なくないのではないかと思っています。

ここで、よく起きるのが、「システム部が対応する」という置き方です。ただ、このレベルの事故は、経営的、法務的、統制的な判断を、強く含みます。何を公表するか、お客様にどう補償するか、事業をどこまで止めるか。これは、システム部だけでは決められません。

そこで、判断と権限を持つ役員を責任者にして、総務部、法務部、システム部などが加わる、複合的な対策チームを、あらかじめ組織しておくのがよいと思います。

次のような役割を、書き出して、名前(と、代わりの人)を入れてみてください。

役割	主な仕事	担当(代行)
全体の責任者(判断と権限を持つ役員)	対応の判断、事業の止め方の決定、経営への報告	(自社で決める)
技術対応(システム部など)	被害の拡大防止、調査、復旧	(自社で決める)
公表・広報(総務部など)	公表の判断と文面、報道への対応	(自社で決める)
顧客対応(窓口)	お客様への通知、問い合わせへの対応	(自社で決める)
法務・報告(法務部など)	個人情報保護委員会や、監督官庁、警察への報告	(自社で決める)
委託先との連絡	関係する委託先への連絡と、調整	(自社で決める)
記録	時系列の記録、判断の記録	(自社で決める)

担当には、夜間・休日でも連絡がつくか、不在のときは誰が代わるかまで、決めておくのがポイントです。小さな会社では、1人が複数の役割を兼ねても構いません。ただ、「誰が、何を担うか」が、決まっていることが大事です。

公表の考え方

風評被害を小さくするには、事実を、早く、正直に、まとめて出すことです。パーク24とIDCフロンティアは、どちらも、段階的に報を重ねて(第1報、第2報…)、わかったことから順に公表しています。わからないことは、「調査中」と書く。推測は書かない。この姿勢が、信頼を保つ土台になります。

年に1回、机上訓練を行う

「もし今、この画面が真っ白になったら」と、想定して、手順どおりに動けるか確認します。実際にやってみると、連絡先が古い、誰が判断するのか決まっていない、といった穴が見つかります。

段2で書いた、委託先との共同シミュレーションも、ここにつながります。

「うちは大丈夫?」と聞かれたら、提案書を渡せるように

ここまでの内容は、「うちは大丈夫?」と聞かれたときの、答えの材料にもなります。ただ、答え方は、「はい、大丈夫です」や、「いいえ、危ないです」ではありません。

この記事の対策に照らし合わせて、できていない部分を、リスクとして示す。そして、対策の立案から導入まで持っていけるくらいの、提案書を渡せるように準備しておく。

これが、この記事のメッセージです。

提案書は、たとえば、次のような形で組み立てられます。

1. 現状の確認: 段1・段2・段3の項目に照らして、できていること、できていないことを、洗い出す。
2. リスクの提示: できていない項目が、どんな被害につながりうるかを、この記事で紹介した実際の事案も使って示す。
3. 対策の案: 段1(今すぐ)、段2(もう少し頑張る)、段3(体制)に分けて、優先順位をつける。
4. 進め方: 誰が、何を、いつまでに、いくらで。

「うちは大丈夫?」という問いは、経営や周りの人が、対策を進める、またとない機会でもあります。聞かれたときに、提案を出せる準備があれば、話が一気に進みます。

次のアクション

まず、今週中に、段1の5項目を、自社に当てはめて確認してください。特に、「バックアップの復元を試したか」は、すぐに確認できて、効果が大きい項目です。

そのうえで、段2と段3は、提案書にまとめて、経営や周りの人に、示してみましょう。完璧を目指さず、できるところから、1つずつ進めます。