POST

情報漏洩は、他人事じゃない。 小さな建設会社が日頃気をつけていること

2026年9月ごろから、不正アクセスによる情報漏洩のニュースが相次いでいます。政府まで動く事態になっているのを見て、驚きました。大きな会社の話だと思いつつ、他人事とは思えない。そう感じた方は、私たちだけではないはずです。
　
　
　
■今回のニュース、調べてみました
　
私たちはセキュリティの専門家ではありません。気になったので、国の機関が出している注意喚起などを読みながら、自分たちなりに調べてみました。難しい言葉が多くて、すべてを理解できたわけではありません。それでも、わかった範囲で書いてみます。

まず、「この手口一つが原因」という話ではないようです。複数の会社で被害が出ていて、手口もいくつか挙げられていました。調べて出てきたのは、大きく3つです。

1つ目は、古い弱点や設定ミスを探すやり方です。
　
お店の入口のカギが古くて壊れかけていたり、窓を閉め忘れていたりすると、泥棒は「ここなら入れそうだ」と思いますよね。泥棒は、そういうお店を1軒ずつ見て回って探します。パソコンやアプリも同じで、古いまま放っておいたり、設定を間違えたままにしていたりすると、そこから入られてしまうことがあります。

2つ目は、アプリの「裏口」を狙うやり方です。
　
お店には、お客さんが入る「正面の入口」のほかに、荷物を運ぶ人が使う「裏口」がありますよね。アプリにも、私たちが見ている画面のほかに、中のコンピューター同士がやりとりするための「裏口」があるそうです（専門用語ではAPIと呼ぶようです）。泥棒は、正面ではなくこの裏口に「お客さんの名簿を見せてください」とニセの頼みごとをして、情報を出させようとします。裏口の場所は、公開されているアプリを調べて見つけることもあるそうです。

3つ目は、盗んだ「鍵」を使うやり方です。

どこか別の場所で、お店の合鍵を盗んだとします。泥棒はその合鍵を使って、堂々と入ってきます。本物と同じ鍵なので、お店の人は泥棒だと気づきにくいのです。パスワードの使い回しが危ないといわれるのも、似た理由です。1か所で盗まれたパスワードが、ほかの場所でも使えてしまうことがあるからです。

いろいろな手口が挙げられていましたが、共通して狙われたのは、インターネットにつながっている「お店の入口」と、入るための「鍵」（IDやパスワード）だったようです。

ただ、「このソフトが悪かった」と1つの原因に決まったわけではありません。お店によって、入られ方が違うこともありそうです。国の機関も、「まだ調べている途中で、わかっていないことが多い」という書き方をしています。

AIを使った攻撃ではないか、という声も見かけましたが、AIが使われた証拠は今のところ見つかっていないそうです。
　
　
　　
■小さな会社にも、他人事ではない理由
　
調べていて、数字にも驚きました。東京商工リサーチの調査（2025年・上場企業）によると、公表された情報漏洩・紛失事故180件のうち、約6割（64.4%）がウイルス感染や不正アクセスでした。メールの誤送信や紛失といった「人のミス」は、その次です。

ニュースを読んでいて気になったのは、委託先や外部のクラウドサービスを経由して、被害がほかの会社にも広がったケースがあることです。自分のところが狙われなくても、取引先やサービスを通じて影響を受けることがある。大きい会社も小さい会社も関係ないんだな、と思いました。
　
　
　
　
　
－攻撃は、仕組みの隙間や、人の何気ない行動から入ってくる。
だから私たちは「仕組み」と「人」の両方を見るようにしなければと考えました。
　
　
　
　
　
■私たちが取り組んでいること
　
現場の写真や図面、お客様のご住所など、建設業でも守るべき情報は増えています。仕組みの面では、次のことを心がけています。

●クラウド上の図面や写真は、見られる人を必要な範囲に絞る
●ログインは本人確認を二段階にする
●現場で使う端末は、更新を後回しにしない

IPAが推進する「SECURITY ACTION」の二つ星を宣言し、DX認定事業者としても基盤の整備を進めています。

仕組みと同じくらい大切にしているのが、一人ひとりの意識です。先日は社内独自のeラーニングを実施し、パスワードの扱い方と、詐欺メールの見分け方・対処法を学びました。気になる見出しのおすすめ記事から詐欺サイトへ誘導する手口も昔からあるので、「気になるからと安易にボタンを押さない」ことも共有しています。次回は、写真や動画から場所や個人が特定される危険性など、SNSの話を取り上げる予定です。
　
　
　
■守る責任は、会社だけのものではない
　
法律の上では、情報を守る責任は会社にあります。それは当然のことです。ただ、会社がどれだけ仕組みを整えても、100％守りきることはできません。ソフトだけでは防げない場面が、これから増えていくと思っています。

会社が仕組みを整え、使う一人ひとりも「自分のこと」として気をつける。両方が揃って初めて守れると考えています。個人を責めたいわけではありません。気をつけ方を知る機会をつくることが、会社の役目だと思っています。
　
　
　
■読んでくださった方へ
　
流出した情報は、なりすましや詐欺メールに使われるおそれがあります。国も、次の3つを呼びかけています。

✅パスワードの使い回しをやめる
✅使えるサービスでは、多要素認証を利用する
✅不審なメールやSMSのリンクは開かず、公式サイトや公式アプリからアクセスする
　
　
　
情報セキュリティに、これで十分という終わりはありません。私たちもまだ整えている途中です。同じように小さな会社で、何から始めればいいか迷っている方の、何かのヒントになれば嬉しいです。

※出典：東京商工リサーチ「2025年 上場企業の個人情報漏えい・紛失事故」／JPCERT/CC・IPA・国家サイバー統括室・デジタル庁の注意喚起（2026年10月）