企業組織のサイバーセキュリティ相談状況：2026年第2四半期

独立行政法人情報処理推進機構セキュリティセンターは、企業組織からの相談を扱うサイバーセキュリティ相談窓口の統計を公表した。

対象期間は2026年4月1日から6月30日までで、相談対応件数は302件、前四半期比で約6.7％増だった。

内訳はインシデント対応65件、平時の対策21件、サポート詐欺68件、その他148件で、その他には社長等をかたる詐欺メール16件が含まれた。

インシデント対応65件の被害種別は、その他36件、不正アクセス11件、ランサムウェア感染6件、マルウェア感染5件、なりすましメール送信4件、BEC3件、サイト改ざん1件だった。

企業では、従業員が公的機関や取引先を装った連絡を正規のものと判断し、認証手続きを被害者自身に実施させられることで被害が拡大する可能性がある。特に電話やチャットなど第三者に相談しにくい環境へ誘導されると、組織的な確認が働きにくい。

遠隔操作中の行為を特定できない場合、パスワード変更、利用サービスの不正使用確認、カード会社や銀行への相談を行う。個人情報が保存されていた場合は、個人情報保護委員会への報告義務が生じる可能性があるため、同委員会への相談などが必要になる場合がある。

多くの事案では従業員の判断や業務プロセスが攻撃対象となるため、企業は技術的対策だけでなく、権限分離、相互確認、チェック体制を含む運用面を強化する必要がある。

相談窓口は、2025年4月から個人向けの情報セキュリティ安心相談窓口と分離され、企業組織向けに対応している。今回の事例では、社員が国税庁を名乗る自動音声電話を受け、e-Taxの更新を理由に案内された番号を押し、メールアドレスを伝えた。

届いたメールにはe-Taxを思わせる差出人表示、自然な日本語、jpドメインのURL、国税庁を騙る署名があり、リンク先ではe-Taxと思わせるサイトからファイルの自動ダウンロードが始まった。社員がファイルをインストールした後、別の職員が不審に気付き、端末の電源を切って電話を終了した。

どのソフトが実行されたか不明な場合は端末の初期化が推奨される。ただし、フォレンジック調査を行う場合は初期化せず、電源を切ったまま保全してセキュリティベンダーの指示に従う。該当メールは削除する。

対処として、端末で使ったパスワードと自動入力されるインターネットサービスの認証情報を変更し、利用サービスの不正使用を確認する。クレジットカードやネットバンキングを利用していれば、カード会社や銀行へ速やかに相談する。

予防策として、事例を組織全体へ周知し、不審な電話やメールへの対応を含む啓発教育を行う。最新の事故情報を把握し、単独判断で処理が進まない社内規程や業務フローを整備する。

企業を狙う詐欺は、メール、ウェブサイト、電話、チャットなどで緊急性や不安を煽り、実在する組織や経営層などを装う。近年は遠隔操作ソフトと電話を組み合わせ、二要素認証を含む手続きを被害者自身に実施させる手口が増えている。北陸銀行でも、e-Taxを装って法人インターネットバンキングの振込先登録をさせる疑いのある事案が確認された。