サイバーセキュリティ相談窓口の四半期データ ── 一人で終わらせない箇所を、決めておく

この記事で分かること

社員が電話を取ります。自動音声が流れます。国税庁を名乗り、e-Taxのソフトのバージョンアップが必要だと言います。説明を受けるには「1」を押してください。

押すと、e-Taxのヘルプデスクを名乗る相手に切り替わります。バージョンアップのデータをメールで送るので、電話でガイドしながら進めましょう。メールアドレスを聞かれ、答えます。

すぐにメールが届きます。差出人はe-Taxを名乗り、アドレスのドメインは「.jp」。国内から来たものに見えます。件名も本文も、いま電話で聞いた話と矛盾しません。日本語も自然です。

指示どおりURLを開くと、e-Taxそっくりのページが表示され、ダウンロードが自動で始まります。このサイトのドメインも「.jp」です。

ダウンロードされたものを入れます。画面に「e-Taxバージョンアップの準備中」と出ます。電話の相手が「インストールに10分ほどかかります」と説明します。

そもそも、役所が電話でソフトの更新を求めてくること自体がおかしい。そう思われるかもしれません。ただ、始まってしまうと、やり取りの中に食い違いが出てきません。電話とメールとサイトが、互いに矛盾していないためです。

この間、端末は遠隔操作されていました。

気づいたのは、対応していた本人ではなかった

これは、IPAのサイバーセキュリティ相談窓口に実際に寄せられた相談です（2.相談事例）。窓口は2026年4月から6月の相談状況を公開しており、公開は7月22日。企業組織からの相談を集めたもので、個人からの相談は別の窓口が扱っています。

他の職員が怪しいと気づき、電話を保留にし、端末の電源を落とし、通話を切っています（2.相談事例）。対応していた本人は、最後まで気づいていません。

ただし、無かったことにはなりません。IPAが対処として挙げているのは、まず端末の初期化です。続いて、パスワードの変更、利用していたサービスの不正利用の確認、個人情報が保存されていた場合は個人情報保護委員会への相談（2.相談事例）。

遠隔操作の間に何が行われたかを、絞り込めないためです。絞り込めない以上、起きたかもしれないことすべてに手を打つことになります。

気づいたときには、もう起きたあとです。

同じ四半期の相談対応件数は302件でした。前四半期から約6.7%増です（1-1）。

「その他」148件のうち16件は、社長等をかたる詐欺メールの手口でした（1-1）。

インシデント対応の65件は、こう分かれています（1-2）。

これは相談の件数で、世の中で起きた件数ではありません。取引先やベンダーに直接持ち込まれたもの、警察に届けられたものは、ここに入りません。件数の大小から、脅威の大小は読めません。

ただ、ここまで挙げた三つは、始まりがどれも、かかってきた電話、届いたメール、画面に出た偽の警告でした（1-1 脚注2）。

IPAは、この事例への対策を三つ挙げています（2.相談事例）。

最後の一つは、事例で実際に起きたことと同じです。気づいたのは、電話に出ていた本人ではなく、隣にいた別の人でした。

はじめの二つは、知識を増やす話です。効きますが、知っている人が電話に出るとは限りません。最後の一つだけが、誰が出ても同じ結果になるようにする話です。

全部の業務を二人でやる必要はありません。取り返しがつかない操作だけを選びます。

三つに共通するのは、やってしまったあとで戻せないことです。戻せるものは、一人で進めて構いません。

仕組みで止められるなら、それがいちばんです。承認を挟む、あやしい動きを自動で検知する。ただ、作るには時間も費用もかかります。

仕組みを作る前でも、「実行する前に、別の一人に声をかける」は今日から置けます。事例でそれ以上進まなかったのは、流れの外にいた人が気づいたからでした。声をかける手順は、それを偶然に任せません。

手順を書いても、その場で使われなければ、無いのと同じです。

急かされていると、手を止めるほうに勇気が要ります。電話の相手が待っている。社長からの指示だと書かれている。急かす材料は、手口の側が用意します。

だから、決めておくのは手順だけではありません。止めて確認したことを、あとから責めない。これを先に決めておけば、手を止めるのに勇気が要らなくなります。

いま社内で、一人で完了できてしまう取り返しのつかない操作を書き出します。まずは三つで構いません。

そのうち一つに、「実行前に別の一人へ声をかける」を足します。全社の規程にする前に、部署や現場のローカルルールで構いません。