不正アクセスリスク　RL-013

1.対象の概要（入門知識）

不正アクセスリスクとは、正規の権限を持たない者が、技術的手法や人的な手口を用いてシステムやデータに侵入し、情報の窃取・改ざん・破壊・不正利用を行うリスクを指す。外部からのサイバー攻撃だけでなく、内部関係者による不正利用も含まれる。

1-1.主な分類

リスク・ロス	内容
パスワードリスト型攻撃　RL-101	流出済みID/パスワードを使い回す攻撃。
総当たり攻撃（ブルートフォース）　RL-102	パスワード候補を大量に試行。
セッションハイジャック　RL-103	Cookieなどを盗み、本人になりすます。
IPスプーフィング　RL-104	他人のIPアドレスを偽装し侵入。
不正ログインによる情報漏洩　RL-105	認証突破による社内情報流出。
バックドアによる侵入　RL-106	意図的に設けられた「裏口」からの侵入。
ソーシャルエンジニアリング　RL-107	心理的な誘導で認証情報を入手。
管理者権限の乗っ取り　RL-108	システム管理者権限を奪取。
二要素認証の回避　RL-109	強固な防御を突破されるケース。
内部からの不正アクセス　RL-110	社員・関係者による悪意または過失。

1-2. 概要図

中央に「不正アクセスリスク」

周囲に 10分類を配置（攻撃手法ごとに色分け：技術的攻撃／人間心理利用／内部要因）

外周に「情報漏洩」「データ改ざん」「業務停止」「信用失墜」を配置し矢印で接続

特別展示：不正アクセスリスク – 無知な人が招く「信用」の崩壊

あなたの「面倒くさい」が、会社の信用を一瞬で破壊する

不正アクセスによる被害は、あなたのPCから始まる「個人のミス」ですが、結果は「会社の信用崩壊」という形で現れます。私たちは、以下の基本的なルールを知っているはずなのに、無意識に「不正アクセスへの招待状」を発行しています。

不正アクセスのリスクは、高度なハッキング技術ではなく、あなたの「面倒くさい」という一瞬の判断に依存します。この無知な判断こそが、あなたの業務情報や顧客データが盗み出される原因です。

アリストテレスが言うように、「無知の無知」こそが最大のロスです。あなたが知らないのは、上記5つの行動を無視することが、どれほど回復不能な信用喪失に繋がるかという、未来のコスト構造です。

強力なパスワード設定と使い回しの禁止

パスワードの使い回しは、「労力回避バイアス」の典型的な例です。「パスワードを複数覚えるのが面倒だ」という一瞬の無知な判断が、セキュリティの基盤を崩します。ある日、あなたがプライベートで利用しているサービスからパスワードが流出したとします。このパスワードが社内システムでも使用されている場合、ハッカーは流出したパスワードリストを使って組織的なリスト型攻撃を仕掛けます。結果、あなたの社内アカウントは簡単に不正アクセスされ、その権限で重要顧客リストなどの機密データが外部に流出するトラブルが発生します。この情報漏洩は、会社の損害賠償問題に発展し、社内調査の末に「個人のパスワード管理の怠り」が原因だと特定されます。最終的に、あなたは懲戒処分を受け、キャリアに回復不能な傷を負うことになります。たった一つの無知な判断が、数年間の努力を無に帰すのです。

公開ファイル・フォルダの適切なアクセス制限

機密情報を含むファイルやフォルダのアクセス制限を緩める行為は、「利便性バイアス」から来ます。「いちいち細かく権限設定するのが面倒だ」「みんなが見られたほうが早い」という無知な判断で、機密フォルダを「社内全体に編集可能」な設定にして放置します。この設定の甘さが、重大なトラブルの引き金となります。悪意がなくとも、権限のない、あるいは情報が不要な社員が誤ってフォルダ内の重要な計算式や経営計画のデータを改ざん・上書きしてしまうリスクが高まるのです。結果、改ざんされたデータに基づき経営判断が下され、それが原因で重大な財務ミスが発生し、公表せざるを得ない事態に発展します。会社の財務情報の誤りは、市場や株主からの信用を一瞬で失墜させ、株価の下落を招きます。この無知な「利便性優先」の判断が、会社の根幹を揺るがす損失を生み出すのです。

退職者・異動者のアカウント即時停止

退職者や異動者のアカウントを即座に停止しないのは、「正常性バイアス」が働くからです。「引き継ぎが忙しいから後でいいだろう」「誰も悪用しないだろう」という無知な判断で、過去の権限が残るアカウントを放置します。この放置が、悪意ある元従業員による不正アクセスを許すことにつながります。特に競合他社へ転職した元従業員が、残されたアカウント権限を利用して、過去のプロジェクトデータや顧客情報などの機密にアクセスし、それを持ち出してしまうトラブルが発生します。結果として、会社の競争優位性が失われるだけでなく、元従業員に対する訴訟問題に発展し、会社の貴重なリソース（時間、弁護士費用）が浪費されます。この無知な判断をした担当者は、会社を訴訟リスクに晒した責任を追及され、個人的なキャリアと評価に致命的な打撃を受けます。

フリーWi-Fi使用時のVPN利用

出張先やカフェでフリーWi-Fを利用する際にVPNを使わないのは、「楽観バイアス」の表れです。「この辺りは安全だろう」「自分だけは盗聴されない」という根拠のない自信が、リスクを無視する無知な判断をさせます。しかし、公共のフリーWi-Fiは通信が暗号化されていないことが多く、悪意ある第三者（ハッカー）があなたの通信内容を簡単に傍受（盗聴）できる状態にあります。結果、あなたが業務システムにログインするために入力したIDやパスワードが筒抜けとなり、不正アクセスに利用されます。この盗聴が原因で社内システムに侵入されると、全社のセキュリティ体制に影響が及び、緊急措置として全社員にパスワード変更が命じられるトラブルが発生します。あなたの無知な判断が、全社員の業務を一時的に中断させ、チーム全体の時間と労力を奪うことになるのです。

SNS公開情報の慎重な管理

:業務に関するヒントをSNSに投稿する行動は、「承認欲求バイアス」に起因します。「誰かに自分の頑張りを見てほしい」「プロジェクトの進捗を共有したい」という無知な判断が、セキュリティの重要なヒントを外部に提供してしまいます。例えば、会議室の写真に映り込んだホワイトボードの情報、新製品のプロジェクト名、社員の誕生日といった断片的な情報も、ハッカーにとっては貴重な情報源です。ハッカーはこれらの公開情報を組み合わせて、極めて精度の高い「標的型攻撃」のフィッシングメールを作成します。結果、その完璧な偽装メールに社内の誰かが騙され、不正アクセスを許すことになります。最終的に、情報漏洩の原因があなたの「無知なSNS投稿」だと特定され、会社の損失に対する個人の責任が追及される事態となり、承認欲求の代償として信用を失います。

2.ケーススタディ

3.主なプロセス（流れ）

攻撃準備：流出データ入手、フィッシングメール送信、脆弱性探索

侵入・突破：パスワードリスト攻撃／ブルートフォース／ソーシャルエンジニアリング

権限昇格・潜伏：管理者権限奪取、バックドア設置

不正活動：情報窃取、改ざん、DDoS加担

被害顕在化：情報漏洩、業務停止、信用失墜

4.トラブルや被害

4-1.トラブルや被害（一次被害）

個人情報や機密情報の漏洩

サーバー・システムの不正操作

アカウントの乗っ取り・改ざん

データ破壊や業務停止

4-2.トラブルや被害（二次被害）

顧客・取引先からの信頼喪失

契約解除・取引停止・訴訟

行政処分や制裁金

企業ブランド・株価の下落

セキュリティ強化のための追加コスト

5.要因（なぜ起きるのか？）

認証管理の甘さ：ID/パスワード使い回し、二要素認証未導入

システム脆弱性の放置：パッチ未適用、設定不備

セキュリティ意識不足：社員がフィッシングに騙されやすい

内部統制の不備：アクセス権限の過剰付与、監視不足

検知・対応体制の遅れ：インシデント発生時の初動が遅い

心理的要因：ソーシャルエンジニアリングに対する訓練不足