対応が中断されたのは、他の職員が気付いたからだった——IPAサイバーセキュリティ相談窓口 2026年第2四半期の相談から

「変な電話がかかってきたんですけど、これ大丈夫ですかね」。このひとことの持って行き先は、社員の側で決まっているでしょうか。情報システムの専任担当がいない会社では、この経路が用意されていないことがあります。総務や経営者が兼任していると、席にいない時間も、手が離せない時間も長くなるためです。

独立行政法人情報処理推進機構（IPA）が2026年7月22日に公開した「サイバーセキュリティ相談窓口の相談状況［2026年第2四半期（4月〜6月）］」には、企業組織から寄せられた相談の件数と、実際の相談事例が掲載されています。本記事では、この数字が何を数えたものかを確認したうえで、事例のなかで対応が中断された場面を読みます。

この302件は何を数えたものか

IPAは2025年4月に窓口を分けており、個人からの相談は「情報セキュリティ安心相談窓口」、企業組織からの相談は新たに開設した「サイバーセキュリティ相談窓口」で対応しています。今回のレポートは後者、つまり企業組織からの相談だけを対象に、2026年4月1日から6月30日までの統計をまとめたものです。

対応件数は302件、前四半期から約6.7%増となっています。区分ごとの推移は次のとおりです。

読み方の注意が2つあります。第一に、これは窓口に寄せられた相談の件数であって、国内で発生した攻撃や被害の件数ではありません。この統計だけから攻撃件数の増減を判断することはできません。第二に、相談元の企業規模や情報システム担当の有無で分けた集計は公表されていません。したがって、専任の担当がいない会社に限った傾向は、このレポートからは分かりません。

そのうえで数字を見ると、インシデント対応（34件→65件）とサポート詐欺（41件→68件）が前四半期から増えている一方、「平時の対策」は21件で、掲載されている5四半期のうち最も少ない水準（2025年7〜9月と同数）です。なお区分「その他」148件については、「社長等をかたる詐欺メール」の手口が16件含まれるとされているのみで、残り132件がどのような相談だったかは公表されていません。

掲載値では「その他」が最多。ただし合計値に不一致がある

インシデント対応の相談65件について、レポートに掲載されている被害種別の内訳は次のとおりです。

はじめに1点断っておきます。レポートには合計65件と記載されている一方、掲載されている各項目を単純に足すと66件になります。上の表は公表されている値をそのまま転記したもので、この差については本記事では補正も推測もしません。

そのうえで読み取れるのは、掲載値のなかで最も多い区分が「その他」の36件だということです。この内訳は公表されていないため、どのような事象が最も多かったのかは、この表からは分かりません。分類名の付いた被害種別だけを見ても、実際に何が起きていたのかを把握できる範囲は限られる、という程度までです。

言い換えると、備えの単位を「ランサムウェア対策」「不正アクセス対策」のように被害種別で切ると、公表された分類に載らない事象は視界に入りにくくなります。種別が何であれ共通するのは、誰かが最初に「おかしい」と気づく場面があることです。

ひとり判断ギャップとは何か？

ひとり判断ギャップとは、不審な連絡に気づいた社員が、その場でもう一人に確認する経路を持たないまま、最初の判断を単独で下してしまう状態を指す呼び方です。先に断っておくと、IPAの今回のレポートはこの状態そのものを測定していません。相談元の企業規模や情報システム担当の有無は公表されておらず、単独判断だった事案がどれだけあったかを示す数字も含まれていないためです。本記事ではこの言葉を、調査から導かれた結論としてではなく、各社が自社の初動を点検するための仮説として使います。

事例——記載されているのは、どこまでか

レポートには、次の相談事例が掲載されています。

1. 社員が電話を取ると、自動音声が国税庁を名乗り、e-Taxのソフトのバージョンアップが必要と案内した。説明を受けるにはプッシュボタンの「1」を押すよう促され、押した
2. 自動音声から、e-Taxのヘルプデスクを名乗る担当者に切り替わった。バージョンアップはデータをメールで受信して電話でガイドするとのことで、メールアドレスを聞かれて答えた
3. すぐにメールが届いた。差出人表示はe-Taxを騙るもので、アドレスはjpドメイン。件名や本文は電話と矛盾しない自然な日本語だった
4. 電話の指示に従いメールのURLをクリックすると、e-Taxそっくりのページが表示され、自動でダウンロードが始まった。指示に従ってインストールした
5. 端末の画面が「e-Taxバージョンアップの準備中」の表示になり、電話では「インストールに10分ほど要する」と説明があった
6. 他の職員が怪しいことに気付き、電話を保留にして端末の電源を落とし、保留中の電話を切った

ここで読み取れる範囲を明確にしておきます。レポートに書かれているのは、6の場面で他の職員が怪しいことに気付いたという事実までです。その職員が何を根拠に気付いたのかは記載されておらず、教育や社内規程、機器からの通知が寄与したかどうかも判断できません。

また、この事例の見出しは「遠隔操作ソフトをダウンロードし遠隔操作されてしまった」であり、IPA自身も回答のなかで「遠隔操作中に何が行われたか判断できない」と述べています。電源を落とした時点で被害が止まった、と確認されたわけではありません。確認できるのは、進行中だった一連の対応が、別の職員の指摘によって中断された、ということまでです。

IPAは、企業を狙う詐欺の特徴として次の4点を挙げています。入り口はメール・ウェブサイト・電話・チャットなどで、緊急性や不安を煽って迅速な対応を促すこと。実在する企業や組織、経営層、取引先、公的機関を装うため、正規の連絡と見分けがつきにくいこと。そして三つ目が、攻撃者は被害者を電話やチャット・LINEなどの閉じた環境へ誘導し、第三者への相談や確認が行われにくい状況を作り出すという点です。ここにIPAは「チェック体制がしっかりしている組織や複数人で対応している場合は、これ以降の詐欺へ進みにくくなっているのがうかがえます」と付記しています。四つ目として、遠隔操作ソフトと電話を組み合わせ、二要素認証を含む認証手続きを被害者自身に実施させる手口が近年増加していることが挙げられています。

この付記は統計ではなく、相談を受けた窓口としての所見です。あわせてIPAは対策として、事例を組織内全体に周知し不審電話・不審メールへの対処を含む啓発教育を行うこと、最新の手口に関心を持つこと、そして「一人の従業員の判断が被害を招くことのないよう、チェック体制に関する社内規程や業務フローを整備する」ことの3点を挙げています。本記事が扱うのはこのうち3点目です。レポートの結びは「攻撃手法は多様化しているものの、多くの事案では従業員による判断や業務プロセスが攻撃対象となっています。そのため、技術的対策に加え、権限分離や相互確認などの業務プロセス上の対策を講じることが重要となります」となっており、技術的対策に加えて、判断や業務プロセスも攻撃対象として扱う位置づけになっています。

端末をどうするかは、状況で変わる

もう一点、事例の「回答（対処）」から読み取れる実務的な注意があります。IPAは、どのようなソフトが実行されたか判断できないため安全のためパソコンの初期化を推奨したうえで、当該パソコンで使用しているパスワード等の変更、利用していたサービスの不正使用の確認（特にクレジットカードやネットバンキングがあればカード会社や銀行へすぐ相談すること）、個人情報が保存されていた場合は報告義務が発生する場合があるため個人情報保護委員会へ相談するなどの対応を挙げています。

一方で、URLのクリックから電源を切るまでに端末上で何が行われたかを明らかにしたい場合は、デジタルフォレンジック調査で分かる場合があるため、初期化はすぐに行わず、電源を切ったまま端末を保全してセキュリティベンダーの指示に従うとしています。

これは、すでに電源を落とした端末についての回答です。端末を先に初期化すると、端末内の調査に必要な情報が失われる可能性があります。IPAの回答は、端末上で行われたことを調べたい場合の保全方法として、この点を示しています。

なお、これは今回の事例に対する個別の回答です。端末が遠隔操作を受けている最中なのか、すでに電源が落ちているのか、どのような情報が保存されていたのか、取引のあるベンダーがあるかによって、必要な対応は変わります。電話を切った直後の当人が単独でこれらを判断するのは負担の大きい場面であり、状況を伝えて一緒に決められる相手がいるかどうかが分かれ目になります。取引のあるセキュリティベンダーがない場合、IPAのサイバーセキュリティ相談窓口が企業組織からの相談を受け付けています。

専任の担当がいない会社で「もう一人」をどう用意するか

大きな仕組みの導入から始まる話ではありません。工数を確保しにくい場合は、まず次の3つに絞る形があります。

• 「おかしい」と思ったときの連絡先を1つに決めて掲示する — 電話・チャットのどちらでもよいので、社員が迷わず投げられる先を1つにします。判断は後でよく、まず届くことを優先する形です
• その連絡先が不在のときの二番手を決める — 一人に集約すると、その人が不在の時間帯にひとり判断ギャップが戻ります
• 緊急時の手順を事前に決める — 遠隔操作が続いている疑いがある端末と、すでに電源が落ちた端末では必要な対応が異なります。可能なら疑わしい端末とは別の安全な端末や電話から連絡できるようにし、連絡先の応答を待つこと自体を既定の手順にせず、社内で決めた緊急時手順に従える状態にします

そのうえで工数を確保できる段階では、次のように広げられます。

1. やり取りを1件ずつ記録に残す — 発生時刻、症状、確認したこと、対処、結果を1件1票で残す形は、障害対応と同じ枠組みで扱えます（障害対応の記録が残らない会社で起きること）
2. 外部の相談先を先に控えておく — IPAのサイバーセキュリティ相談窓口は企業組織からの相談を受け付けています。取引のあるベンダーや、口座・カードの連絡先もあわせて一覧にしておくと、その場で探す時間が減ります
3. 担当が一人に寄っていないかを点検する — 連絡先も判断も同じ人に集まっている場合、その人の不在が初動の空白になります（ひとり情シスの限界）

AI情シスが受け持てる範囲と、受け持てない範囲

AI情シスは、情報システムの専任担当を置いていない会社向けに、平時のIT相談と障害対応の窓口を外から用意し、そのやり取りを調査票として顧客側に蓄積する情シス代行サービスです（現在PoC検証中）。LANの継続観測で端末台帳と品質の記録が育ち、必要なときはネットワーク構築を本業としてきたエンジニアが、同じ調査票を見ながら対応を引き継ぎます。企業ごとに個別カスタマイズして提供しており、料金・提供条件は料金プランの構想として公開しています。

はっきりさせておくと、不審な電話やメールを検知する仕組みではありません。この記事で見た手口は、技術ではなく人の判断を通り道にしており、そこを機械が塞ぐことは想定していません。受け持てるのは、契約と提供条件の範囲で「おかしい」と思ったときに投げられる先を用意すること、そして投げた内容と回答が記録として自社に残ることまでです。委託の範囲をどう切るかについては情シス代行・アウトソーシングの選び方も参照してください。

よくある質問

相談が302件に増えたのは、攻撃が増えたということですか？

いいえ、そう読むことはできません。この302件はIPAのサイバーセキュリティ相談窓口が2026年4月1日から6月30日までに対応した相談の件数であり、国内で発生した攻撃や被害の件数ではありません。相談件数は2025年4〜6月が244件、7〜9月が162件、10〜12月が224件、2026年1〜3月が283件と推移していますが、この統計だけから攻撃件数の増減を判断することはできません。この数字から言えるのは、窓口に寄せられた相談が前四半期から約6.7%増えたということまでです。

情報システムの専任担当がいない会社ほど、この手口の被害に遭いやすいのですか？

このレポートからは分かりません。公表されているのは相談の件数と区分、インシデント対応65件の被害種別の内訳、そして相談事例であり、相談元の企業規模や情報システム担当の有無で分けた集計は含まれていないためです。ただしIPAは、攻撃者が電話やチャット・LINEなどの閉じた環境へ誘導して第三者への相談や確認が行われにくい状況を作り出すと記載し、あわせて「チェック体制がしっかりしている組織や複数人で対応している場合は、これ以降の詐欺へ進みにくくなっているのがうかがえます」と付記しています。自社に当てはまるかどうかは、社員が不審な連絡に気づいたときに誰へ確認できるかを実際にたどってみるのが出発点になります。

不審な操作をされた端末は、すぐ電源を切って初期化すればよいですか？

一律にそうすればよいとは言えません。遠隔操作が続いている疑いがある端末と、すでに電源が落ちた端末では必要な対応が異なります。社内で事前に決めた緊急時手順に従い、可能なら疑わしい端末とは別の安全な端末や電話から連絡してください。連絡先の応答を待つこと自体を既定の手順にはしません。IPAが今回の事例に対して示した回答は、どのようなソフトが実行されたか判断できないため安全のためパソコンの初期化を推奨したうえで、パスワード等の変更、利用していたサービスの不正使用の確認、個人情報が保存されていた場合は報告義務が発生する場合があるため個人情報保護委員会へ相談すること、などです。一方で、URLのクリックから電源を切るまでに端末上で行われたことを明らかにしたい場合は、デジタルフォレンジック調査で分かる場合があるため、初期化はすぐに行わず、電源を切ったまま端末を保全してセキュリティベンダーの指示に従うとしています。端末を先に初期化すると、端末内の調査に必要な情報が失われる可能性があります。これは、すでに電源を落とした今回の事例に対する個別の回答です。

まとめ

• 2026年4〜6月に企業組織から寄せられた相談は302件（前四半期比 約6.7%増）。インシデント対応65件、平時の対策21件、サポート詐欺68件、その他148件
• これは窓口に寄せられた相談の件数であって、国内で発生した攻撃・被害の件数ではない。相談元の企業規模や情報システム担当の有無の内訳も公表されていない
• 区分「その他」148件のうち公表されているのは「社長等をかたる詐欺メール」16件のみ。被害種別でも「その他」が36件で最多で、いずれも内訳は公表されていない
• 被害種別の表は、記載された合計65件に対して各項目の単純合計が66件になる。本記事は公表値をそのまま転記し、差の補正はしていない
• 紹介された事例で確認できるのは、他の職員が怪しいことに気付いて対応が中断されたところまで。IPAは「遠隔操作中に何が行われたか判断できない」としており、被害が止まったとは確認されていない
• IPAは対策として、事例の周知と啓発教育、最新の手口を知ること、「一人の従業員の判断が被害を招くことのないよう、チェック体制に関する社内規程や業務フローを整備する」ことの3点を挙げ、結びでは技術的対策に加えて権限分離や相互確認といった業務プロセス上の対策の重要性を述べている
• 端末を先に初期化すると、端末内の調査に必要な情報が失われる可能性がある。進行中の遠隔操作が疑われる端末と、すでに電源が落ちた端末を分け、事前に決めた緊急時手順に従う

出典

• 独立行政法人情報処理推進機構（IPA）セキュリティセンター「サイバーセキュリティ相談窓口の相談状況［2026年第2四半期（4月〜6月）］」（2026年7月22日掲載）——相談件数の推移（図1）、インシデント対応相談の被害種別（図2）、相談事例と回答（対処）・対策、「企業を狙う詐欺の特徴」 https://www.ipa.go.jp/security/support/reports/2026q2outline.html