近年、企業や組織がサイバー攻撃の標的となる事例が増えています。第三者が窃取したIDやパスワードを悪用し、組織のコンピューターやサーバーといった情報資産などに侵入する不正アクセスもその手口の一つです。この記事では、不正アクセスの概要や被害を受けたときの対応、被害の届出・相談先についてわかりやすく解説。不正アクセスの具体的な届出事例も併せて紹介します。
MENU
MENU
2026.07.01 
近年、企業や組織がサイバー攻撃の標的となる事例が増えています。第三者が窃取したIDやパスワードを悪用し、組織のコンピューターやサーバーといった情報資産などに侵入する不正アクセスもその手口の一つです。この記事では、不正アクセスの概要や被害を受けたときの対応、被害の届出・相談先についてわかりやすく解説。不正アクセスの具体的な届出事例も併せて紹介します。
目次
不正アクセスとは、悪意のある第三者が他人のID・パスワードを利用してコンピューターやシステムの内部などに侵入する行為のことです。不正アクセスによって情報流出などが発生した場合、企業や組織のブランドイメージや信頼性が著しく損なわれることが想定されます。なお、不正アクセスは日本国内から攻撃が仕掛けられるとは限りません。世界中どこからでも不正アクセスが行われる可能性があり、あらゆる組織は常に不正アクセスのリスクにさらされています。
サイバー攻撃は日々巧妙化しており、不正アクセスの手口も多岐にわたります。ここでは、代表的な以下の4つの手口について詳しく解説します。
フィッシング詐欺とは、ECサイトや金融機関のWebサイトなどを装った偽のWebサイトを利用する手口です。攻撃者は、ユーザーにIDやパスワードをWebサイトに入力させることでログイン情報を取得し、不正アクセスに悪用します
「早急に対応が必要」などとユーザーの不安を煽るメールやSMSにURLを貼り付けることで偽サイトへ誘導するケースが多く、メールアドレスや本文におかしな点がないか落ち着いて確認することが大切です。また、メッセージ内のURLは開かずに、正規のWebサイトへ直接アクセスすることで、被害を避けられる可能性が高くなります。
マルウェア攻撃を起点とした不正アクセスも少なくありません。例えば、攻撃対象のPCをマルウェアに感染させ、攻撃の侵入経路となるバックドアを作成する手口や、PC内に保存されているデータを盗んで不正アクセスに悪用する手口があります。
マルウェアは、メールの添付ファイルを開いたり、改ざんされたWebサイトを閲覧することで感染するケースが多いため、不審な添付ファイルやWebサイトを開かないといった注意が必要です。
OSやソフトウェア、システムの脆弱性を悪用するのも不正アクセスの主な手口です。昨今では、リモートワークのセキュリティリスク軽減を目的として導入が広がっているVPN機器の脆弱性を突いた攻撃も多発しています。
被害を防ぐには、PCやサーバー、ネットワーク機器など、組織が所有しているすべてのIT資産を適切に管理し、これらを常に最新の状態に保つことが求められます。
パスワードクラック攻撃とは、データを解析してアカウントのパスワードを不正に割り出す攻撃です。すべてのパスワードを総当たりで試す手口や、ユーザーが使用しそうな単語を登録した辞書を使う手口など、さまざまな方法で不正アクセスを試みます。
パスワードクラック攻撃への対策として、パスワードの文字列を長くしたり、使う文字の種類を増やすのはもちろん、同じパスワードを使い回さないことが重要です。ワンタイムパスワードによる二段階認証や、パスワードのほかに顔認証などを必要とする二要素認証の導入も有効です。
不正アクセスは、更新プログラムの適用やID・パスワードの適切な管理など基本的なセキュリティ対策を講じておけば、被害を未然に防止できる事例も多いと考えられます。自社も同様の被害に遭う可能性があることを前提に、不正アクセスの対策を強化することが大切です。下記では、不正アクセスによって被害を受けた事例をご紹介します。
ある通販サイトでは、正規のユーザーになりすまして第三者がログインし、不正な注文をする被害が発生しました。製品の届け先やユーザーのメールアドレスなどの情報は変更され、不正入手したとみられるクレジットカード情報により決済もされたそうです。不正に行われた注文金額は実に数百万円にも上りました。
ある機関にてシステムへの不正アクセスが発生し、利用者のパスワードなどが改ざんされた事例もあります。システムにログインできないとの問い合わせが、利用者から相次いだことにより被害が発覚。機関側で被害者のパスワードを変更するとともに、ほかの利用者に対してもパスワードを変更するよう注意を呼びかけました。
ある施設のメールアカウントが不正アクセスの被害に遭い、フィッシングメールの踏み台にされた事例もあります。施設が保有するメールアカウントのうち1件から、不特定多数のメールアドレスへ大量のフィッシングメールが送信されていたことが発覚しました。不正アクセスの被害に遭うと自社のみにとどまらず、多方面へ被害が拡大するリスクがあることを示す事例といえます。
なぜ不正アクセスが起きてしまうのか。その原因は主に3つあります。いずれの場合も、日々の管理の甘さが大きな要因といえ、攻撃者はそこにつけこみ、不正アクセスを試みます。それぞれの原因について見ていきましょう。
不正アクセスは、ID・パスワードの管理が甘い場合に多発します。例えば、推測しやすい生年月日や会社設立日をパスワードに設定したり、複数のWebサイトで同じID・パスワードを使い回したりしている場合は特に危険です。
不正アクセスを防ぐためには、「会社概要やプロフィールなどから推測できるようなID・パスワードを避ける」「ID・パスワードの使い回しをしない」「定期的にID・パスワードを変更する」などを、従業員全員で徹底する必要があります。
リモートワークなど働き方の多様化が進むなか、危機管理意識の低下による情報管理の甘さから、不正アクセスに遭うケースが増えています。例えば、カフェなどの公共の場で仕事をしている際に、「パソコンの画面をのぞき見される」「重要な情報が記載された書類を席に置いたまま離れる」「シュレッダーを使わず、社内の書類を廃棄する」などにより、社内システムへのログイン情報や、機密情報が外部に漏洩する恐れがあります。
セキュリティ対策の不備によるシステムの脆弱性を突かれることで、不正アクセスに遭うケースも数多くあります。対策として、利用するソフトウェアのセキュリティアップデートを徹底することが挙げられます。ただ、それだけでは最近の巧妙な手口に対応するのは難しくなってきており、高精度な検知を可能とする不正アクセス検知システムの導入なども注目されています。被害は発生してからでは遅いため、新たなシステムを導入するなど、被害を防ぐための適切な対策が欠かせません。
不正アクセスの被害を防ぐためには、どのような対策を講じればよいのでしょうか。ここでは、企業や組織に限らず、個人でもできる対策を含めた以下の4つを詳しく解説します。
不正アクセス対策の基本は、脆弱性管理です。前述した通り、攻撃者はOSやソフトウェアの脆弱性を突いて不正アクセスを仕掛けてきます。そのため、OS・ソフトウェアの脆弱性は放置せず、アップデートがリリースされたら速やかに適用して最新の状態を保つことが重要です。
ID・パスワードを適切に管理することも、不正アクセス対策として非常に重要です。誕生日や名前などから攻撃者が推測できてしまう安易なパスワードは避け、長く、複雑な文字列にすることが大切です。また、さまざまなサービスで同じパスワードを使い回すのも危険です。1つのサービスで情報漏洩が起きた際に被害が波及するリスクがあります。
パスワードの管理方法にも注意が必要です。パスワードのメモをPCに貼る、またはパスワードを記録したテキストファイルを暗号化せずにPC内に保管するなど、ずさんな管理をしているとパスワードが漏洩する危険性があります。パスワードのメモは、鍵付きの場所に保管したり、ファイルを暗号化するなど、第三者に見られないように工夫することが大切です。
二段階認証や多要素認証の導入も、不正アクセス対策として有効です。二段階認証とは、IDやパスワードの入力後、登録されている電話番号やメールアドレスなどにワンタイムパスワードを送り、二段階で入力を求める仕組みです。一方、多要素認証は、パスワードなどの「知識情報」だけでなく、スマートフォンなどの本人だけが持っているものを利用する「所有情報」や、指紋や顔を利用する「生体情報」を求める仕組みです。
これらを導入することで、万が一IDやパスワードが攻撃者に漏洩した場合でも、不正アクセス被害を受けるリスクを大きく軽減することができます。
不正アクセスの手口は巧妙化しており、気をつけるべきポイントを理解していても、人的ミスなどがきっかけで攻撃を受けるリスクは排除できません。そのため、不正アクセス被害のリスクを軽減する仕組みづくりとして、セキュリティツールを導入するのがお勧めです。
ツールによって搭載機能はさまざまですが、例えば、OS・ソフトウェアの脆弱性対策の抜け漏れを防いだり、社内ネットワークへの不審な通信を自動で遮断するなど、不正アクセスへの技術的な対策を講じることができ、被害防止につなげられます。
万が一不正アクセスの被害が発生した場合は、どのような対応が求められるのでしょうか。ここでは、具体的な対応策について確認していきます。
不正アクセスの被害が発生したら、早急に講じるべき対応はパスワードの変更です。パスワードを不正に利用した者が端末やサービスをそれ以上操作できないよう、パスワードの変更はなるべく早く行うことが大切です。すでに不正侵入者によってパスワードが変更されているなどの事情からログインができないようなら、管理者に依頼してアカウントを停止してもらう必要があります。
不正アクセスの被害にあったコンピューターはネットワークから切り離し、侵入者が再びアクセスするのを防ぐことも重要です。有線接続であればLANケーブルを引き抜き、無線接続であればWi-Fiをオフにします。
不正アクセスの被害に遭った際は、サーバーのアクセスログから不正アクセスの痕跡を収集することも必要です。不正アクセスの証拠を保管しておくことは、再発防止策を検討する上でも不可欠です。また、被害に関する届出や相談の際にも必要な資料となります。実際の状況を見ていない相手にも経緯が伝わるよう、不正アクセスが発生したコンピューター名やWebサービス名、発生日時、原因などはわかりやすくまとめておくことが大切です。
不正アクセスは「不正アクセス行為の禁止等に関する法律（不正アクセス禁止法）」によって禁じられています。不正アクセス禁止法に該当する行為は次のとおりです。
他人のID・パスワードを不正に利用してコンピューターやWebサービスなどにログインした時点で、その行為は「不正アクセス罪」に該当します。
ログインするかどうかにかかわらず、他人のID・パスワードを不正に閲覧したり記録したりする行為は「不正取得罪」に問われます。
他人のID・パスワードの情報を、本来知る必要のない者へ伝える行為も不正アクセス禁止法に抵触します。
他人のID・パスワード情報を保管することも、不正アクセスに利用される恐れのある行為として禁止されています。
フィッシング詐欺の手口のように、情報管理者の承諾を得ることなく、ID・パスワード情報の入力を求める行為も禁止されています。
出典：総務省「不正アクセス行為の禁止等に関する法律」
不正アクセスの被害が発覚し、個人情報漏洩の可能性がある場合、行政機関などへの報告が義務づけられています。ここでは、被害に遭った際の具体的な届出・相談先を紹介します。
不正アクセスの被害について届出や相談をする際には、管轄の警察署へ連絡しておく必要があります。収集したアクセスログや、不正利用されたアカウント情報のスクリーンショットなど、具体的な被害の状況が確認できる資料を用意した上で警察署へ連絡し、助言・指導を受けます。
警察署への報告を終えたら、個人情報保護委員会にも被害状況を報告します。被害の発覚から3～5日以内に「速報」を伝えた上で、発覚から30日以内に「確報」を伝えることが報告の流れとなります。不正な目的が疑われる場合には、発覚から60日以内にその旨の報告が必要です。個人情報保護委員会のWebサイトには、「漏えい等報告フォーム」が設置されています。不正アクセスの被害を受けたことが発覚したら、できるだけ早く報告を済ませることが大切です。
参考：個人情報保護委員会「漏えい等の対応とお役立ち資料」
不正アクセスの被害が発生した事実は、独立行政法人情報処理推進機構（IPA）や監督官庁にも届出・相談をしておきます。被害の届出は、この国の不正アクセスの発生状況の把握や、被害の拡大防止、再発防止対策を講じる上で必要な情報となるからです。
参考：独立行政法人情報処理推進機構「コンピュータウイルス・不正アクセスに関する届出について」（2024年2月）
不正アクセスの被害はあらゆる組織にとって重大な脅威となります。自社は狙われないだろうと安易に捉えず、今回紹介した事例のような被害が発生し得ることを前提に対策を講じておくことが大切です。
不正アクセスの被害を未然に防ぐには、システムの更新プログラムの徹底した適用や、ID・パスワードの適切な管理などを行う必要があります。また、重要情報にアクセスする操作が行われた際に検知し、アラートを発出する仕組みが求められます。クライアント運用管理ソフトウェア「SKYSEA Client View」では、組織内のコンピューターを全数把握して一元管理するとともに、コンピューターへの更新プログラムの配布や、適用状況の確認が可能です。また、許可されていないコンピューターから組織内のネットワークへの接続を検知して遮断する機能も搭載しています。重要情報が保存されているサーバーへのアクセスにおいても、「いつ」「誰が」「何をしたのか」などをログで把握し、権限のないユーザーからアクセスできないように制限をかけるといった機能もお役立ていただけます。
不正アクセスへの対策を強化したい事業者様は、ぜひ「SKYSEA Client View」の導入をご検討ください。
SKYSEA Client Viewの導入事例として、SKYSEA Client Viewをご利用いただいているユーザー様に、導入を検討された経緯や導入後に得られた効果などについてお話を伺った記事を公開しています。ここでは、その中から3件の事例をピックアップして、記事の内容を一部抜粋してご紹介します。
いずれの事例においても、「SKYSEA Client View」の導入によって、IT資産管理の効率化やセキュリティ対策の強化につながったとの声が上がっています。
不動産管理業を営む当社では、社員が不動産オーナー様の個人情報を取り扱うことになるため、個人情報を適切に管理する必要があります。外部からの不正アクセスについてはさまざまな対策をしてきましたが、内部からの不適切な持ち出しを防ぐという観点では、対策が十分とは言えませんでした。個人情報を含むすべてのファイルにパスワードを設定することで、万が一ファイルを紛失した場合でも容易に中身を見られることがないように対策を施しましたが、ファイルの紛失や不適切な持ち出しに対しては別途対策が必要だと考え、情報漏洩対策ができるソフトウェアの導入を検討することになりました。
セキュリティポリシーの順守を徹底するためだけではなく、実際に情報漏洩が発生していないことを確認するためにも、定期的に操作ログをチェックしています。当社の業務フロー上、個人情報の漏洩が発生する可能性が高い操作はファイルの持ち出しですので、個人情報を含むファイルはサーバー上の特定フォルダに保存場所を限定し、フォルダ名にほかでは使用しない固有名称を付けています。こうすることで操作ログを確認する際に、フォルダ名の文字列をキーワードに設定して検索を行い、操作ログを絞り込めます。フォルダとその配下のファイルに対して行われた操作をログで確認し、大量のファイルを自分のPCにコピーしたり、印刷したりしていないかを確認しています。
SKYSEA Client View導入事例：「株式会社タイセイシュアーサービス様」より一部抜粋
これまで使用していたIT運用管理ツールが販売終了となったことで、以後OSのバージョンアップに合わせた対応ができなくなりました。そのことをきっかけに新たな製品の導入を検討。弊社は店舗が点在していて、これまでは離れた店舗のPCに対してセキュリティパッチの適用作業を1台1台行うことに負荷を感じていました。そのため、遠隔地へのヘルプデスク対応に欠かせないリモート操作機能が搭載されていることや、ソフトウェア配布機能などの機能が充実していることを重視して製品選定を進めました。「SKYSEA Client View」の機能面が充実していることや保守サービスなどを総合的に判断した結果、コストパフォーマンスにも納得できたこともあり導入を決めました。
「SKYSEA Client View」導入後は、「ソフトウェア配布」機能を活用してセキュリティパッチを適用する端末を選べば管理機から一斉に適用できるので、作業にかかる手間と時間を減らせました。当社では、システムなどの設定変更を複数台同時に行いたいときも「ソフトウェア配布」機能を使って、一斉にレジストリの書き換えを行っています。「SKYSEA Client View」の保守契約ユーザー用Webサイトで提供されている、設定変更などに必要な手順が書かれたスクリプトファイルを使うことで作業を自動化でき、対象のPCに対して一斉に対応できるようになりました。
SKYSEA Client View導入事例：「株式会社ハローデイ様」より一部抜粋
長年、ホストコンピューターを用いて電算処理を行っていたのですが、2003年にクライアントサーバー型のシステムへ移行したことに伴って、Active Directoryを導入して全庁のPCを管理するようになりました。システム移行後はクライアントPCの管理の重要性が増したことで、IT運用管理ソフトウェアを導入。しかし、当時のソフトウェアはログ管理や資産管理、リモート操作などの各機能の操作性が統一されておらず、普段はあまり使わない機能だと、使うたびに手順を確認しなければならない状態でした。その後、サーバーの入れ替えに合わせて、業務の効率化が図れるように、操作性が高いIT運用管理ソフトウェアへの入れ替えを検討しました。
インターネットに接続しなくなった基幹業務側のネットワークでは不要なJavaやAdobe FlashをすべてのPCから削除しました。脆弱性の対策を考えると、特に必要がないソフトウェアは初めから使わないことが最大のリスク回避になると考えたからです。このアンインストール作業で「ソフトウェア配布」機能を活用。「保守契約ユーザー用Webサイト」で提供されているスクリプトを使うことで、想定以上に早く作業を完了できました。逆に、今後ネットワークを分離したことで新たに必要になるかもしれない、仮想ブラウザなどを導入するときにも、この機能を使えば、大きな工数を掛けずに導入できるのではないかと期待しています。
SKYSEA Client View導入事例：「裾野市様」より一部抜粋
SKYSEA Client View コラムサイト編集部
SKYSEA Client View コラムサイト編集部は、情報セキュリティ対策やサイバー攻撃対策、IT資産管理に関する情報を幅広く発信しています。
「SKYSEA Client View」を開発・販売するＳｋｙ株式会社には、ITストラテジスト、ネットワークスペシャリスト、情報処理安全確保支援士、情報セキュリティマネジメントなどの資格取得者が多数在籍しており、情報漏洩対策やIT資産の安全な運用管理を支援しています。
