不正アクセス対策とは｜守る対象と侵入経路を整理する
不正アクセス対策とは、他人によるアカウントの悪用や、システムへの不正な侵入を防ぐための取り組みです。認証の強化、脆弱性への対応、アクセス権限の管理を組み合わせます。被害の兆候が既にある場合は、予防の点検を順に終える必要はありません。先に本記事の「不正アクセスが疑われたときに実践する初動対応」を確認してください。
アカウントの乗っ取りと公開システムへの侵入を分ける
警察庁の不正アクセス対策では、他人の識別符号の悪用や、コンピューターの弱点を突く侵入などを説明しています。入口が違えば、確認すべき対策も変わります。ここでは、自分のアカウントと、組織が運用する公開システムに分けて整理します。
どちらも情報の閲覧や変更を不正に許してしまう点は共通します。下表では入口・対象・主な対策・担当を対応させました。利用者は自分の設定を確認し、システムの更新状況や全体の権限は管理者へ依頼します。
| 入口の例 | 守る対象 | 主な対策 | 確認する担当 |
|---|---|---|---|
| 盗まれたパスワードによるログイン | メールやオンラインサービスのアカウント | 使い回しの解消、多要素認証 | 利用者とアカウント管理者 |
| 公開システムの弱点を突く侵入 | ウェブサイト、外部から接続できる機器 | 修正プログラムの適用、公開範囲の見直し | システム管理者や運用委託先 |
たとえば、メールの多要素認証を設定しても、別に運用しているウェブサイトの弱点は修正されません。反対に、サーバーを更新しても、利用者が使い回しているパスワードの問題は残ります。担当範囲を分けつつ、両方を点検します。
設定の確認と被害の確認を混同しない
対策が有効になっていることと、不正な操作が起きていないことは別です。多要素認証の設定画面は認証の状態を示しますが、過去のログインや情報の持ち出しまで証明するものではありません。
身に覚えのない送信、設定変更、購入などを見つけた場合は、通常の点検から被害の確認へ切り替えます。不明な操作を「設定済みだから問題ない」と片付けず、発見時刻や表示内容を残して正規の窓口へ連絡してください。
利用者が実践するアカウントの不正アクセス対策
自分で管理するアカウントは、パスワードの使い回しをなくし、多要素認証を設定します。会社から支給されたアカウントでは、組織のルールに従って確認してください。変更できない項目は管理者へ依頼し、別の個人アカウントを作って制限を回避しないようにします。
パスワードの使い回しをやめる
同じパスワードを複数のサービスで使うと、あるサービスから漏れた認証情報が、別のアカウントでも使われるおそれがあります。長さや推測されにくさに加え、サービスごとに異なるものを使います。IPAのアカウント保護の案内も、長く複雑にすることと、使い回さないことを勧めています。
点検では、パスワードそのものを一覧表に書く必要はありません。「使い回しあり・なし・本人未確認」などの状態を記録します。共有の表やチャットにパスワードを集めて確認する方法は避けてください。管理方法に困る場合は、組織が認めたパスワード管理の方法を管理者へ確認します。
多要素認証を有効にして設定状況を確認する
多要素認証は、知っている情報、持っている物、身体の特徴など、異なる要素を組み合わせて本人を確認する仕組みです。パスワードに加えて、登録した端末などで確認する方法がその一例です。サービスによって「2段階認証」「2要素認証」などの名称や設定画面が異なります。
まず、利用サービスの公式手順を開きます。IPAの「不正ログイン対策特集ページ」には、各サービスの設定案内へ進むリンクがまとまっています。下の画面では、左側のサービス名と、その右側の公式手順リンクを探してください。
出典：IPA「不正ログイン対策特集ページ」。2026年10月30日取得。公式案内への入口を示す画面で、個別アカウントの設定状態を示すものではありません。
Googleのアカウントで確認する場合
たとえば、Googleの公式手順では、アカウントの「セキュリティとログイン」から「Googleにログインする方法」の設定へ進みます。画面の指示を最後まで完了したうえで、対象のアカウントと設定状態を見直します。職場などのアカウントで設定できない場合は、管理者への問い合わせが案内されています。
確認結果は、次のように残すと引き継ぎやすくなります。
- 対象：どのサービスの、どのアカウントを確認したかを記録します。
- 設定状態：有効・無効・権限不足で未確認を区別し、確認日を残します。
- 復旧手段：認証用の端末を失ったときの公式手順と、管理者への連絡方法を確認します。
確認コードや復旧用コードは証跡として共有しません。また、追加のコード入力が毎回出るかだけで有効・無効を判断しないでください。Googleでは、パスキーという端末の画面ロックなどを使う認証方法で、2つ目の手順が省略される場合があります。サービスの設定画面と公式説明で確認します。
AIエージェントを「どう作り、どう育てるか」を、GiftX記事制作エージェントの実物で解説。
メール内のリンクと突然の認証要求に注意する
フィッシングは、正規のサービスを装って偽サイトへ誘導し、パスワードなどを入力させる手口です。「アカウントを停止する」といったメールを受け取っても、そのリンクからログインせず、普段のブックマークや正規アプリから通知内容を確認します。IPAの注意喚起でも、このアクセス方法を案内しています。
自分でログインしていないのに認証の承認を求められたときは、承認しません。Googleの認証通知では、身に覚えのないログインを拒否できます。通知が繰り返される場合や、既に承認した場合は、公式のアカウント保護手順へ進み、会社のアカウントなら社内窓口にも連絡します。
管理者が実践するシステムの不正アクセス対策
システム管理者は、利用者の認証に加えて、公開している機器やサービスの更新、権限、ログを確認します。自社で運用している範囲と、サービス提供者や委託先が管理する範囲を分け、誰が確認できるかを決めます。「外部へ委託している」だけで完了扱いにせず、確認対象と回答を残してください。
公開機器とソフトウェアを把握して更新する
脆弱性は、ソフトウェアや機器の不具合などから生じるセキュリティ上の弱点です。警察庁の基本対策では、メーカーの修正プログラムを速やかに適用し、継続して更新するよう案内しています。パソコンだけでなく、外部から接続できる機器やウェブサイトの構成要素も対象になります。
台帳には、少なくとも次の情報をそろえます。すでに管理台帳がある場合は、別の表を増やすより、不足欄を補うと更新漏れを減らせます。
- 対象と担当：サービス・機器名、管理者、問い合わせ先を記録します。
- 更新状態：利用中の版、サポートの状況、修正プログラムの適用状況を確認します。
- 外部への公開：インターネットから利用できる範囲と、公開を続ける必要性を確認します。
修正プログラムが出ていても適用できない場合は、理由と対応予定を明確にします。メーカーが暫定対策を示しているかを確認し、運用担当者が影響を評価します。単に「業務への影響が心配」として未対応のままにせず、適用まで誰が何をするかを決めます。
アカウントと権限を必要な範囲に絞る
認証は本人を確かめること、認可はその人に何を許可するかを決めることです。IPAのアクセス制御の解説では、ログイン機能に加え、利用者ごとに許可される操作を制御する必要性を示しています。本人としてログインできても、他人の情報まで見えてよいわけではありません。
管理画面では、退職・異動などで不要になったアカウント、使っていない管理者権限、用途が分からないアカウントを確認します。削除や停止は業務への影響と所有者を確認してから行います。身に覚えのない追加や、停止したはずのアカウントの復活は、通常の整理とは別に、異常として担当者へ引き継ぎます。
外部サービスを利用する場合も、自社側で設定する権限は確認が必要です。たとえば、閲覧だけを行う担当者へ編集・管理権限まで付けていないかを見ます。自分では権限一覧を表示できない場合は、管理者に対象と必要な作業を伝えて確認を依頼します。
ログの確認と復旧の準備を決める
ログは、ログインや操作などの履歴です。IPAの2026年10月9日の注意喚起では、利用サービスごとのログやアカウントを点検し、誰がいつ確認できるかを整理するよう求めています。保存期間や閲覧できる範囲はサービスによって異なるため、一律の日数では決められません。
記録を取る設定と、記録を確認する運用の両方を用意します。確認担当、通知先、休日の連絡先を決め、ログイン失敗の増加や見知らぬ操作を見つけた場合の引き継ぎ先を共有します。ログが残っていなければ、後から原因を調べようとしても手がかりが足りません。
バックアップは、侵入を防ぐ認証や更新とは役割が異なり、被害後の復旧に備えるものです。警察庁のランサムウェア対策では、バックアップ自体が被害を受ける場合も示しています。元のデータと同時に失われない保管方法と、復元できるかの確認を、管理者の運用に含めます。
不正アクセス対策の未確認項目は担当と次の行動を決める
対策の点検では、「対応済み」「未対応」「未確認」を分けます。設定を見られない、担当者が分からない、委託先の回答がないといった状態は、未確認です。確認できていない項目に担当者と回答期限を付け、依頼したまま放置しないようにします。
状態と確認の根拠を一組にする
次の表は、前の章の対策を作業に移すための記入例です。公的な合否基準ではなく、確認結果と依頼内容を整理するためのものです。対象名と担当者を自社のものに置き換えて使います。
| 対象 | 状態と根拠の記入例 | 担当・次の行動 |
|---|---|---|
| 業務メールの多要素認証 | 未確認。利用者には設定状態が表示されない | アカウント管理者へ、対象アカウントの有効状態と例外の有無を依頼する |
| 外部公開機器の更新 | 未対応。管理画面の版をメーカーの修正案内と照合し、未適用と確認した | 運用担当者が影響と必要な対処を確認し、適用予定を決める |
| 不要なアカウントの停止 | 対応済み。管理画面の停止状態を確認した | 確認者と確認日を残し、次の棚卸し対象に含める |
たとえば業務メールの行では、「確認できません」だけで終わらせず、対象アカウントと表示できなかった項目を管理者へ伝えます。返答が得られる日時を決め、回答を受けてから状態を更新します。確認用の画像を共有する場合も、パスワードや復旧用コードは載せません。
オフィス系7職種のAI利用者669人の調査では、生産性向上を明確に実感した割合が、チャット中心の利用層14.3%に対しAIエージェント利用層54.3%。約3.8倍の差が見られました。
異常の有無を先に確認し、予防の優先順位を付ける
不審なログや操作があれば、下の初動対応へ進みます。異常がない場合でも、外部公開されている対象、管理者権限を持つアカウント、修正が未適用の対象は優先して確認します。情報を見られた場合の影響も、担当者へ伝えてください。
「未確認がゼロ」だけを目標にせず、対策が不足していれば実施まで追います。設定が有効だと分かった項目でも、不正な操作の有無まで確認できたことにはなりません。
不正アクセスが疑われたときに実践する初動対応
身に覚えのない送信や設定変更を見つけたら、通常の点検を中断し、被害の拡大を防ぐ対応へ進みます。会社のアカウントや機器なら、原因の特定を待たずに社内の連絡先へ報告してください。何が起きたか分からない段階でも、発見した事実を伝えられます。
ログインできるかと操作権限に合わせて保護する
次の表は、自分で確認できる状態から行動を選ぶためのものです。ログイン可否と管理権限を分け、公式の保護手順か、社内の対応手順へ進みます。会社管理の対象では社内手順を優先し、自分の権限を超える停止や削除を行わないでください。
| 確認できる状態 | 最初に進めること | 連絡・引き継ぎ先 |
|---|---|---|
| 自分で管理しており、ログインできる | 公式手順で速やかにパスワードを変更し、不審な操作やログイン中の端末を確認する | サービス提供者の正規窓口 |
| パスワードなどを変えられ、ログインできない | 公式のアカウント復元・不正使用の窓口へ進む | サービス提供者の正規窓口 |
| 会社管理のアカウントや機器である | 社内へ報告し、権限内で所定の保護操作を進める | システム管理者、セキュリティ担当 |
| ファイルが暗号化されるなど、端末にも異常がある | 社内手順に従ってネットワークから隔離し、むやみに初期化しない | 社内担当、契約している専門窓口 |
警察庁は、ログインできる場合の速やかなパスワード変更と、サービス提供者への連絡を案内しています。自分の権限内で実施できる保護を、問い合わせの返答が来るまで先送りしないようにします。端末の感染が疑われる場合は、その端末で新しい認証情報を入力せず、社内担当に安全な操作環境を確認してください。
Googleの侵害アカウント保護の手順では、ログインできない場合の復元、不審な操作やデバイスの確認が分けて案内されています。パスワード変更だけで確認を終えず、自分が行っていない変更が残っていないかを公式手順に沿って確認します。
発見時刻と操作の記録を残して引き継ぐ
連絡と並行して、発見した時刻、対象のアカウントや機器、表示内容、自分が行った操作を記録します。ログイン履歴や通知の画像、窓口とのやり取りも保存します。詳細な調査ができなくても、何を見て、いつ何をしたかを伝えられる状態にしてください。
ランサムウェアでファイルが暗号化されたような場合、警察庁はネットワークからの隔離と、電源を落とさない対応を案内しています。調査の手がかりを失わないためです。単なる不審メールの受信と混同せず、社内担当へ状況を伝え、記録の削除や初期化、再設定を独断で進めないようにします。
金銭被害があれば金融機関やカード会社にも連絡し、警察への相談を検討します。個人情報を扱うシステムの場合は、組織の責任者へ早期に引き継いでください。被害範囲や必要な報告の判断を、発見した利用者だけで抱え込まないことが肝心です。
不正アクセス対策でよくある質問
対策を実施した後も、設定や通知の意味を誤解すると、確認すべき異常を見逃します。判断に迷いやすい点を整理します。
多要素認証があればパスワードは使い回してよいですか？
使い回しは避けてください。多要素認証と、サービスごとに異なるパスワードを使う対策は併用します。同じパスワードを使う別のサービスで多要素認証が無効なら、そちらに問題が残ります。また、自分が要求していない認証を承認しないことも必要です。
ログイン通知の場所が違うだけで不正アクセスと判断できますか？
場所の表示だけでは断定できません。Googleのデバイス確認の説明では、正確な場所ではなく付近の場所が表示される場合があります。日時、端末、操作内容も確認し、身に覚えがなければ公式の保護手順へ進みます。表示の違いを一律に無視することも避けてください。
対策製品を入れれば設定や更新は不要ですか？
不要にはなりません。セキュリティソフトなどの製品は、最新の状態に保ち、通知を確認する運用が必要です。認証設定やソフトウェアの修正、権限の見直しも別に続けます。「製品を導入済み」と「対策を運用できている」を分けて点検してください。
まとめ｜不正アクセス対策を確認できる状態にする
不正アクセス対策は、利用者の認証設定と、管理者による更新・権限・ログの管理を組み合わせて進めます。まず自分の確認対象を決め、設定を見られない項目は、担当者と回答期限を決めて依頼してください。対応済みと未確認を区別し、不審な操作を見つけた場合は、通常の点検より保護・連絡・記録を優先します。
あわせて業務のAI活用を検討している方には、GiftXが1業務単位の構築から伴走するAIエージェント構築支援サービスをご案内しています。
業務のAI活用をご検討の方へ
業務へのAI導入を具体的に進めたい方は、GiftX AIエージェント構築支援へお問い合わせください。AIエージェントは、与えられた目的に沿って作業を進める仕組みです。GiftXでは、自社の業務に合わせた構築を、1業務のスモールスタートから本番運用まで伴走支援します。
繰り返している作業や、担当者の手間がかかっている工程をお聞かせください。どの業務から自動化を試すかを整理し、実際に使える形へ進めるためのご相談を承ります。
▶ GiftX AIエージェント構築支援の詳細・お問い合わせはこちら
