メインコンテンツまでスキップ

遭遇しやすいセキュリティ事故ケース集

この教材の要約​

共通基礎で扱った知識を、誤送信、誤共有、生成AI、不審な認証要求などの場面判断に変える演習教材です。

概念図​

ケース演習
├─ 場面を読む
│  └─ 何が起きそうかを考える
├─ 自分ならどう動くかを決める
│  └─ 止める、確認する、報告する
└─ 推奨行動で確認する
   ├─ 何が危険だったか
   ├─ 何を優先すべきか
   └─ どの記事へ戻るか

はじめに​

ここまでの共通基礎トラックでは、情報資産、認証情報と端末、メール、クラウド共有、生成AI、SNS、初動の基本を整理してきました。
この章では、それらが実務の場面でどう現れるかをケース形式で確認します。1

IPA の「情報セキュリティ10大脅威 2026」では、ビジネスメール詐欺、AI 利用リスク、リモートワーク環境を狙う攻撃が引き続き重要論点に挙がっており、基礎行動を場面で練習する価値は高いままです。1

各ケースでは、まず自分ならどう動くかを考え、その後で推奨行動を確認してください。

ケース1：宛先候補を見間違えて送ってしまった​

営業部門向けの社内資料を、似た名前の外部取引先へ送ってしまったことに、送信直後に気付きました。

考えるポイント

  • 外部へ出たのは何か
  • 送付先は誰か
  • 送信後すぐに何を伝えるべきか

推奨行動

  • 送信事実、宛先、資料内容を整理してすぐ報告する
  • 自分だけで取り消しや謝罪だけをして終わらせない
  • 資料の機密性と外部影響を関係者と確認する

ケース2：チャットで「急ぎでここに貼って」と言われた​

上司の名前とアイコンに見えるアカウントから、顧客対応中の情報をチャットへ貼るよう急ぎで依頼が来ました。
文面は自然ですが、少し急かす内容です。

最近は生成AIを使って自然な文面を作れるため、誤字脱字の有無だけでは見抜きにくくなっています。

考えるポイント

  • 本当に本人か
  • そのチャット空間は適切か
  • 急ぎの依頼が判断を鈍らせていないか

推奨行動

  • 会話の勢いで貼らず、本人確認や別経路確認を行う
  • 共有先が適切か、自社ルール上問題ないかを確認する
  • 不審さがあれば、依頼自体をそのまま信用しない

ケース3：共有リンクを一時公開のつもりで出した​

会議のために共有リンクを発行し、その後に設定を戻したつもりでしたが、後から「まだ見えるかもしれない」と不安になりました。

考えるポイント

  • 共有範囲は本当に閉じたか
  • どの資料が対象か
  • 誰がアクセスできた可能性があるか

推奨行動

  • 設定状態を確認し、必要なら共有停止や権限見直しを行う
  • 影響範囲が不明なら、その時点で報告する
  • 「たぶん戻せた」で終わらせず、事実確認を優先する

ケース4：生成AIに相談したくなった​

顧客向け回答文を早く作りたくて、問い合わせ内容をそのまま外部の生成AIへ貼り付けようとしています。
顧客名は消しましたが、案件の背景は残っています。

考えるポイント

  • 入力内容から案件や個人が推測できないか
  • そのサービス利用が許可されているか
  • 出力を誰が確認するか

推奨行動

  • 許可確認なしに入力しない
  • 匿名化したつもりでも、背景情報から特定される可能性を考える
  • 自社ルールを確認し、必要なら別手段を選ぶ

ケース5：カフェで少しだけ作業した​

移動の合間にカフェでノートPCを開き、会議資料を確認しました。
数分のつもりで席を立つとき、画面は開いたままでした。

考えるポイント

  • 画面が誰に見えるか
  • 離席中に何が起きるか
  • 公共空間で扱うべき情報か

推奨行動

  • 離席前に必ずロックする
  • 公共空間で開く情報の種類を見直す
  • 画面だけでなく会話や資料の置き方にも注意する

ケース6：不審な認証要求が来た​

自分では何も操作していないのに、多要素認証の承認通知が何度か届きました。
業務中で忙しく、誤操作かもしれないと思っています。

考えるポイント

  • 自分の操作かどうか
  • その通知を承認すると何が起きるか
  • すぐ報告すべきか

推奨行動

  • 身に覚えがないなら承認しない
  • アカウント異常の可能性を考えて報告する
  • 忙しさを理由に機械的承認をしない

ケースから共通して分かること​

これらのケースに共通するのは、次の3点です。

  • 事故は高度な攻撃だけでなく、日常の流れの中で起きる
  • 「急ぎ」「いつもの操作」「少しだけ」が判断を鈍らせる
  • 異常を感じたら、自己判断で閉じずに早く共有する方が安全である

次に読む​

関連トピック​

関係教材使い方
前提事故を起こしたかもしれないときの初動ケースで迷ったときの初動原則を確認する
次に読むセキュリティ基礎の確認テスト場面判断のあとに理解を自己採点する
実務確認確認したいセキュリティ行動チェックリストケースで見えた弱点を日常行動へ戻す

参考資料（出典）​

Footnotes​

  1. IPA, 情報セキュリティ10大脅威 2026。AI 利用リスク、ビジネスメール詐欺、リモートワーク環境を狙う攻撃など、現在の主要脅威を整理。https://www.ipa.go.jp/security/10threats/10threats2026.html; CISA, Recognize and Report Phishing。不審メールやメッセージの見分け方と報告の基本を整理。https://www.cisa.gov/secure-our-world/recognize-and-report-phishing; フィッシング対策協議会, 利用者向けフィッシング詐欺対策ガイドラインの改定について。利用者向けフィッシング対策の最新版を公開。https://www.antiphishing.jp/report/guideline/consumer_guideline2025.html; フィッシング対策協議会, フィッシングレポート 2024 の掲載について。国内のフィッシング手口、標的、報告状況を整理。https://www.antiphishing.jp/report/wg/phishing_report2024.html; NCSC, Using a cloud platform securely。共有設定やアクセス権の見直し観点を整理。https://www.ncsc.gov.uk/collection/cloud/using-cloud-services-securely/using-a-cloud-platform-securely; NCSC, Video conferencing services: using them securely。画面、周辺環境、遠隔作業時の注意点を整理。https://www.ncsc.gov.uk/guidance/video-conferencing-services-using-them-securely; CISA, Multi-Factor Authentication (MFA)。MFA の役割と承認要求の扱いを整理。https://www.cisa.gov/stopransomware/multi-factor-authentication-mfa; デジタル庁, テキスト生成AI利活用におけるリスクへの対策ガイドブック（α版）。生成AI 利用時のリスクと対策を工程別に整理。https://www.digital.go.jp/resources/generalitve-ai-guidebook; NIST, SP 800-61 Rev. 3, Incident Response Recommendations and Considerations for Cybersecurity Risk Management。疑い段階からの初動と報告の考え方を整理。https://csrc.nist.gov/pubs/sp/800/61/r3/final ↩ ↩2