用語解説

パソコンやスマートフォン、サーバーに入り込んで悪さをするソフトウェアの総称です。「ウイルス」もマルウェアの一種です。情報を盗む、データを壊す、他のパソコンへの攻撃の踏み台にする、などの目的で使われます。

気をつけることメールの添付ファイルや、心当たりのないリンクを安易に開かない。OSやアプリの更新はこまめに行う。

会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。

気をつけること会社では、ネットから切り離した場所にバックアップを取っておくことが最大の備え。身代金を払っても元に戻る保証はありません。

最近のランサムウェアは、データを暗号化する前に盗み出し、「払わなければ盗んだ情報をネットに公開する」とさらに脅します。これが二重恐喝です。犯人グループは「リークサイト」と呼ばれる専用サイトに被害企業の名前やデータを載せます。

気をつけることリークサイトへの掲載は犯人側の主張で、内容が本当とは限りません。本台帳では「攻撃者の主張」として区別しています。

通常のブラウザや検索エンジンではたどり着けない、特殊なソフトを使ってアクセスするネット上の領域です。匿名性が高いため、盗まれた個人情報やID・パスワードの売買、リークサイトの運営に使われることがあります。

気をつけること自分の情報が流出したと通知された場合は、ダークウェブで売買される可能性も考えて、パスワード変更などを早めに行う。

使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。

気をつけること同じパスワードを複数のサービスで使い回さない。ログイン通知メールが届いたら、身に覚えがあるか確認する。

どこかのサービスから流出したIDとパスワードの組み合わせを、別のサービスに片っ端から試してログインする攻撃です。パスワードを使い回していると、1つのサービスの漏えいが他のサービスの乗っ取りにつながります。

気をつけることサービスごとに別のパスワードを使う。覚えきれない場合はパスワード管理アプリを使う。

ソフトウェアや機器の設計・プログラムの欠陥のうち、攻撃に悪用できるものです。いわば「鍵のかけ忘れ」や「壊れかけた窓」のようなもので、犯人はこれを探して侵入します。

気をつけることパソコン・スマートフォン・ルーターなどの「アップデートのお知らせ」は、脆弱性を直すためのものが多い。後回しにせず適用する。

見つかった脆弱性などを直すために配られる修正プログラムです。服の穴をふさぐ「つぎあて」が語源です。修正が配られても、各自が適用するまでは弱点が残ったままになり、犯人はその隙を狙います。

気をつけること自動アップデートを有効にしておく。会社では、重要な機器ほど適用の遅れが命取りになる。

CVEは、公表された脆弱性につけられる世界共通の番号です（例：CVE-2026-12345）。CVSSは、その脆弱性がどれくらい危険かを0.0〜10.0の点数で表したものです。点数が「中」程度でも、実際に悪用されれば大きな被害につながります。

気をつけることニュースでCVE番号を見かけたら、自社で使っている製品が対象かどうか確認するきっかけにする。

脆弱性が見つかってから、修正プログラム（パッチ）が配られる前に、その弱点を突いて行われる攻撃です。パッチが出た日を1日目とすると、それより前の「0日目」の攻撃であることが名前の由来です。開発元すら気づいていない段階で悪用されることもあり、アップデートだけでは防げません。

気をつけること防ぎきれない前提で、侵入されても被害が広がらない仕組み（権限を絞る、怪しい動きを監視する）を用意しておく。

銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。

気をつけることメールやSMSのリンクからログインしない。公式アプリやブックマークから開く。「至急」「アカウント停止」などで急がせる連絡ほど疑う。

実在の会社や取引先、知人を名乗って送られる偽のメールです。本物のアカウントが乗っ取られ、そこから送られてくる場合もあり、送信者名だけでは見分けがつきません。

気をつけること振込先の変更や添付ファイルの確認依頼など、いつもと違うお願いは、メール以外の方法（電話など）で本人に確認する。

技術ではなく、人の思い込みや焦り、親切心につけこんで情報を引き出す手口の総称です。警察や上司、システム担当者を名乗る電話で、パスワードや資料を送らせる例があります。

気をつけること相手の名乗りをうのみにせず、一度電話を切って公式の番号からかけ直す。パスワードを電話やメールで聞かれても教えない。

パソコンの画面に「ウイルスに感染しました」「この番号に電話してください」といった偽の警告を大音量で表示し、電話をかけさせて遠隔操作ソフトを入れさせたり、お金を払わせたりする詐欺です。企業が多額の被害を受けた例もあります。

気をつけること表示された電話番号には絶対にかけない。ブラウザを閉じる（閉じられなければパソコンを再起動する）。

パソコンに感染し、ブラウザに保存されたID・パスワードや、ログインしたままの状態（セッション）を盗み出すマルウェアです。盗まれた情報を使うと、犯人は本人として仕事用のチャットやメールにログインできてしまいます。

気をつけること仕事のアカウントを私物のパソコンで使わない。怪しいソフトや「無料」のツールを安易に入れない。

パスワード（知っているもの）に加えて、スマートフォンへの通知やコード（持っているもの）、指紋や顔（体の特徴）など、別の種類の確認を組み合わせるログイン方式です。パスワードが漏れても、それだけではログインされにくくなります。

気をつけること使っているサービスで多要素認証が選べるなら有効にする。身に覚えのない承認通知は「拒否」する。

VPNは、自宅や出張先から会社のネットワークに安全につなぐための仕組みです。その入口となる装置（VPN装置やファイアウォール）はインターネットに公開されているため、弱点や盗まれたパスワードを使って侵入される「玄関口」として、最も多く狙われています。

気をつけること会社では、VPN装置のアップデートと、使っていないアカウントの削除、多要素認証の設定を最優先で行う。

離れた場所からパソコンやサーバーを、目の前にあるように操作できる仕組みです。便利な反面、インターネットから直接使える状態だと、パスワードを総当たりで試されて侵入されやすくなります。

気をつけること使っていない遠隔操作ソフトは削除する。業者に頼まれて入れたソフトも、作業後に残っていないか確認する。

直接狙うのではなく、取引先・委託先、利用しているクラウドサービスやソフトウェアを経由して被害を及ぼす攻撃です。自分の会社がしっかり守っていても、データを預けた先や使っている基盤がやられれば影響を受けます。1か所の被害が、何百もの組織に広がることもあります。

気をつけること会社では、委託先や利用サービスにどんなデータを預けているかを把握し、必要以上に渡さない。

スマートフォンアプリは、APIという窓口を通じてサーバーとデータをやり取りしています。この窓口で「この人がこの情報を見てよいか」の確認が甘いと、正規の機能を使って他人の情報を大量に引き出されてしまいます。侵入された形跡が残りにくいのが特徴です。

気をつけること使っていないアプリやサービスは退会する。登録する個人情報は必要最小限にする。

共有範囲やアクセス権の設定を誤り、本来は見えてはいけない情報が、他の人やインターネットから見える状態になってしまうことです。攻撃がなくても漏えいが起きます。クラウドの共有リンクや「全員に公開」の設定で起きやすい事故です。

気をつけることファイルを共有するときは「リンクを知っている全員」ではなく、相手を指定して共有する。

社員や元社員、委託先の担当者など、正規の権限を持つ人が情報を持ち出したり、不正に使ったりすることです。外からの攻撃への備えだけでは防げません。

気をつけること会社では、退職時のアカウント停止と、誰がどのデータを見られるかの見直しを定期的に行う。

USBメモリや外付けディスクの紛失、メールやデータの宛先間違いによる情報の流出です。攻撃ではありませんが、暗号化されていなければ、1つのミスで何百万件もの情報が流出することがあります。

気をつけること持ち運ぶ媒体は暗号化し、パスワードをかける。送信前に宛先をもう一度確認する。

ハッシュ化は、パスワードなどを元に戻せない別の文字列に変換して保存する方法です。暗号化は、鍵を使って読めない状態にし、鍵があれば元に戻せる方法です。漏えいの公表で「パスワードはハッシュ化されていた」とあれば、そのまま悪用される危険は下がりますが、ゼロではありません。

気をつけること「ハッシュ化されていた」と発表されていても、念のためパスワードを変更する。特に、同じパスワードを使い回している他のサービスも変更する。

会社のパソコンやサーバー（端末＝エンドポイント）の動きを常に見張り、怪しい動きを見つけたら知らせたり止めたりする仕組みです。従来のウイルス対策ソフトより、侵入されたあとの早期発見に強いのが特徴です。

気をつけること会社のセキュリティ担当から警告や確認の連絡が来たら、ためらわず報告・協力する。

米国の非営利団体MITREが公開している、攻撃者の手口を整理した辞書のようなデータベースです。「T1486（データの暗号化）」のように、手口ごとに番号がついています。専門家どうしが手口を正確に伝え合うために使われます。

気をつけること本台帳の各事案にある番号をクリックすると、その手口の解説（英語）が開きます。

一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。

気をつけること通知が届いたら、まず内容を確認し、案内されている窓口や対応（パスワード変更など）に従う。