【AIサイバー攻撃から個人情報を守る】情報漏洩・流出を防ぐ方法と、被害発覚時の対処法【2026年最新】

※PRを含みます

「お客様の個人情報が外部へ流出した可能性があります」

ある日、いつも利用している通販サイトから、このようなメールが届いたとします。

企業のロゴが入っている。文章も丁寧で、差出人には知っている会社名が表示されている。しかも、最近その企業で情報漏洩が発生したというニュースを見たばかりだったら、メールに書かれた「安全確認はこちら」というボタンを、何の疑いもなく押してしまうかもしれません。

ところが、そのメール自体が偽物だったらどうでしょうか。

実際の情報漏洩を口実に、別の犯罪者が偽の確認メールを送り、まだ盗まれていなかったパスワードやカード情報まで入力させようとする。こうした二次被害の可能性まで考えなければならないのが、現在のサイバー犯罪対策です。

スポンサーリンク

2026年1月29日、IPAが公表した「情報セキュリティ10大脅威 2026」では、組織向けの第3位に「AIの利用をめぐるサイバーリスク」が初めて選ばれました。さらに、ランサム攻撃が第1位、委託先などを狙った攻撃が第2位となっており、企業が自社だけを守れば済む状況ではないことも読み取れます。

一方、個人向けには、フィッシング、不正ログイン、カード情報の不正利用、インターネットバンキングの不正利用などが挙げられています。

いま本当に必要なのは、サイバー攻撃の名前を覚えることではありません。

自分の情報が狙われていると気付く方法、被害を防ぐための設定、情報が漏洩したときの判断、そして企業が顧客情報を守るために実施する管理まで、具体的に理解することです。

この記事では、個人にも経営者にも役立つ実践的な防御策を解説します。

AIサイバー攻撃はここまで巧妙化している｜今日からできる防御策

あなたが毎日受け取っているメールの中に、犯罪者が作成したものが紛れ込んでいたとして、どこで見分けますか。

日本語がおかしい。差出人が知らない名前になっている。見慣れないURLが書かれている。

以前は、このような特徴を不審なメールの判断材料にしていた人も多いでしょう。

しかし、生成AIを利用すれば、自然な敬語や企業らしい文章を作成することは難しくありません。さらに、実在する会社のロゴ、過去に公表されたお知らせ、一般に公開されている企業情報などを組み合わせれば、受信者が本物だと思い込むような連絡を作ることも可能になります。

ただし、ここで区別しておきたいことがあります。

AIを利用した犯罪が問題になっていることと、実際に届いた不審なメールがAIで作られたと確認できることは別です。

偽メールやなりすましはAIが普及する以前から存在しており、すべてを「AIサイバー攻撃」と呼ぶのは正確ではありません。

IPAが2026年版で示しているのも、AIの悪用だけではなく、AIを利用する側の理解不足による情報漏洩などを含む、幅広いリスクです。

では、一般の人は何を基準に判断すればよいのでしょうか。

銀行名が正しく表示されていても、信用してはいけない理由

例えば、スマートフォンに次のSMSが届いたとします。

【重要】お客様の口座で通常と異なる取引が確認されました。安全確保のため、至急、本人確認を完了してください。

メッセージには銀行名が表示され、確認用のリンクが添えられています。

ちょうどその銀行を利用していたら、「自分の口座で何か起きたのかもしれない」と不安になるでしょう。

しかし、ここで確認するべきなのは、文章の丁寧さでも、銀行名の正確さでもありません。

その連絡が、あなたに何をさせようとしているかです。

リンクを開かせ、ログインID、パスワード、暗証番号、ワンタイムパスワードなどを入力させようとしている場合には、偽サイトへ誘導されている可能性を考えなければなりません。

そこで、SMSをいったん閉じてください。

普段から利用している銀行の公式アプリを自分で起動し、お知らせや取引履歴を確認します。案内が見当たらない場合や判断できない場合には、キャッシュカード、契約書類、公式サイトなどで確認した正規の問い合わせ先へ連絡し、届いたSMSの内容を伝えましょう。

ただし、公式アプリに同じ通知が表示されていないからといって、SMSが必ず偽物だと断定できるわけではありません。

銀行が個別に連絡している可能性もあるため、最終的には正規の窓口で確認することが必要です。

メールの中に用意された確認方法を、そのまま信用しない。

これが、偽メール対策の基本になります。

▼

届いた連絡	本物と判断してはいけない理由	実際に取る行動
銀行からの本人確認SMS	銀行名やロゴは模倣できる	公式アプリを自分で開く
配送会社の再配達通知	荷物の到着時期と偶然重なる場合がある	正規の配送アプリで追跡する
通販サイトの情報漏洩通知	実際の事件を口実にした偽通知も考えられる	公式サイトのお知らせを確認する
行政機関を名乗るメール	公的機関の名称やマークだけでは証明にならない	当該機関の公式窓口へ確認する
取引先からの振込先変更	正規のメールアカウントが不正利用される可能性もある	以前から登録している電話番号へかけ直す

この表の中でも、企業経営者に特に注意してほしいのが、取引先からの振込先変更です。

取引先のメールアドレスが本物でも、送金先が本物とは限らない

従業員5人の会社を想像してください。

毎月取引している仕入先から、いつもの担当者名でメールが届きました。

「今月より振込先口座が変更となりました。お手数ですが、新しい口座へのお振り込みをお願いいたします」

請求金額は正しい。担当者名も間違っていない。過去の取引内容まで記載されていたら、経理担当者は特に疑わないかもしれません。

ところが、取引先のメールアカウントが第三者に不正利用されていた場合、差出人のアドレスや過去のメール履歴が正しくても、振込先だけが犯罪者の口座へ変更されている可能性があります。

これは、企業の取引やメールを悪用するビジネスメール詐欺で注意したい問題の一つです。

2026年版のIPA「情報セキュリティ10大脅威」でも、ビジネスメール詐欺は組織向けの第10位に選ばれています。

では、何をすれば防げるのでしょうか。

答えは、メールを見抜く能力だけに頼らないことです。

振込先変更を受け付ける際の社内手順

1. メールだけを根拠に振込先を変更しない。
2. 以前から登録している取引先の電話番号へ連絡する。
3. 変更理由、適用開始日、新しい口座名義を確認する。
4. 経理担当者とは別の責任者が変更内容を承認する。
5. 確認日時、相手の氏名、承認者を記録する。

例えば、取引先から「担当者が出張中なので電話確認は不要です」と説明されたとしても、例外的にメールだけで変更する運用を認めてしまえば、せっかく決めた確認手順が機能しなくなります。

重要なのは、普段から付き合いのある相手にも、同じ確認手順を適用することです。

企業の安全は、担当者の注意力だけでなく、間違った判断が起こりにくい仕組みで守る必要があります。

家族の声に似た電話がかかってきたら、本人だと判断できますか。

今度は、家庭の防犯について考えます。

「会社のお金をなくしてしまった。今日中に振り込まないと大変なことになる」

子どもの声によく似た電話がかかってきた場合、声だけで本人だと判断するのは危険です。

AIを利用した音声の模倣が技術的に可能になっている以上、声の特徴だけで本人確認を済ませる方法には限界があります。

ただし、個別の電話にAIが使われたと確認できない段階で、AIによる犯罪だと断定することも適切ではありません。

このような連絡を受けたら、いったん電話を切り、以前から登録している本人の電話番号へかけ直してください。

連絡が取れない場合には、別の家族へ確認します。

相手が「誰にも言わないで」「電話を切らないで」と急がせてきても、その指示に従って送金する必要はありません。

家族で事前に決めておきたいのは、複雑な合言葉よりも、急な送金依頼には、その場で応じないという共通の約束です。

では、個人情報はどこから盗まれるのでしょうか。

ここで知っておきたいのは、情報漏洩の原因がサイバー攻撃だけではないということです。

企業のサーバーが不正アクセスを受ける場合もあれば、従業員が誤った宛先へ顧客情報を送信したり、クラウド上の共有設定を誤ったり、業務委託先で問題が発生したりする場合もあります。

また、偽サイトへ本人が認証情報を入力してしまうケースでは、企業のシステム自体が侵入されたとは限りません。

そのため、「個人情報が漏洩した」というニュースを見たときには、どのような原因で、どの情報が、どの範囲まで影響を受けたのかを区別して理解する必要があります。

Googleアカウントを守ることが、ほかのサービスを守ることにつながる理由

ここからは、スマートフォンを手元に置いて確認できる内容です。

例えば、通販サイトやSNSのパスワードを忘れた場合、登録メールアドレスへ再設定の案内が届くことがあります。

つまり、普段利用しているメールアカウントが第三者に不正利用されると、メールの内容を読まれるだけでなく、ほかのサービスのアカウントにも影響が及ぶ可能性があるのです。

Googleアカウントを利用している場合には、まず「セキュリティ診断」を確認してください。

Googleアカウントの安全確認手順

1. Googleアカウントにログインする。
2. Googleアカウントの管理画面を開く。
3. 「セキュリティ」に関する項目を選ぶ。
4. 「セキュリティ診断」で推奨される確認事項を見る。
5. ログイン中のデバイス、2段階認証、再設定用の電話番号・メールアドレスを点検する。

Googleは公式ヘルプで、セキュリティ診断の定期的な実施や、アカウント復元オプションの確認を案内しています。

ここで、登録デバイスの一覧に知らない端末名が表示されていたとします。

すぐに不正ログインだと判断するのではなく、端末の種類、利用日時、以前使っていた端末かどうかを確認してください。

例えば、すでに処分したスマートフォンや、家族へ譲った端末が表示されている場合には、不要なセッションが残っていないか調べる必要があります。

不正利用が疑われる場合には、Googleの案内に従ってアカウントを保護し、必要な認証情報の変更やセッションの終了を進めます。

2段階認証を設定しているのに、不正ログインされることはある？

2段階認証は、パスワードだけではログインできないようにするための有効な仕組みです。

しかし、偽サイトへ認証コードを入力した場合や、自分が操作していないログイン承認要求を許可してしまった場合には、被害につながる可能性があります。

そのため、認証コードを電話やメールで求められても伝えず、身に覚えのないログイン要求が届いた場合には、承認しないことが必要です。

また、対応サービスではパスキーの利用も検討できます。

パスキーは、正規のサービスと結び付いた認証の仕組みによって、偽サイトへパスワードを入力させる攻撃への耐性を高められる場合があります。

ただし、パスキーを設定すれば端末の管理が不要になるわけではありません。

機種変更や紛失時にどうやってアカウントを復旧するのか、事前に確認しておくことも大切です。

▼

認証方法	役割	注意したいこと
パスワード	アカウントへログインするための認証情報	使い回しを避ける
2段階認証	パスワード以外の確認を追加する	不審な承認要求を許可しない
認証アプリ	ログイン時の確認コードなどを生成する	端末紛失時の復旧方法を確認する
パスキー	偽サイトでの認証情報詐取に強い仕組み	対応サービスと復旧手段を確認する
パスワード管理機能	サービスごとに異なる認証情報を管理する	管理元のアカウントを厳重に保護する

iPhoneでは「盗難デバイスの保護」を確認してほしい

iPhoneを利用している場合、端末を盗まれたときの備えとして「盗難デバイスの保護」という機能があります。

対応するiPhoneでは、「設定」を開き、「Face IDとパスコード」または「Touch IDとパスコード」を選び、「盗難デバイスの保護」を確認してください。

この機能は、端末が盗まれ、さらにパスコードを第三者に知られた場合でも、重要な操作に追加の生体認証などを要求することで、アカウントや個人情報を保護するためのものです。

例えば、保存されたパスワードへのアクセスや重要な設定の変更など、一部の操作に対して保護が強化されます。

利用条件や動作は設定によって異なるため、画面に表示される内容とAppleの公式案内を確認してください。

また、端末を紛失した場合に備え、「探す」が利用できる状態かどうかも点検しておきましょう。

Androidでは、更新状況とアプリの権限を確認する

Androidの場合、メーカーや機種によって設定画面の名称が異なります。

まず「設定」を開き、ソフトウェア更新、セキュリティ、プライバシーなどに関する項目を確認してください。

特に、OSやアプリの更新が長期間行われていない場合には、利用している機種で提供されている更新情報を確認する必要があります。

Google Playを利用している端末では、Playプロテクトなどの安全機能が利用できる場合がありますが、すべての危険なアプリを必ず検出できるわけではありません。

そこで、アプリが要求する権限にも注目してください。

例えば、単純な計算を行うアプリが、連絡先やSMSへのアクセスを求めてきた場合、その権限が本当に必要なのかを確認することができます。

さらに、端末を紛失した場合に備え、利用可能な探索・保護機能についても、事前に設定状況を確認しておくとよいでしょう。

そして、最後に一つ。パスワードを変更しただけで、安心してはいけません。

メールアカウントが不正利用された場合、第三者が自分のメールを別のアドレスへ転送する設定を追加している可能性があります。

その状態でパスワードだけを変更しても、自動転送の設定が残っていれば、その後に届くメールが第三者へ送られるおそれがあります。

Gmailの場合、パソコンでGmailを開き、右上の設定から「すべての設定を表示」を選び、「メール転送とPOP/IMAP」または「転送」の項目を確認できます。

自分で設定した覚えのない転送先が見つかった場合には、内容を記録したうえで、アカウントの保護手順に従って対応してください。

Googleの公式ヘルプでも、自分で設定していない転送通知が表示された場合には、第三者によるアクセスの可能性を考え、パスワードの変更と転送設定の確認を行うよう案内しています。

パスワードを変更できたことと、アカウントの安全を取り戻したことは、同じではないのです。

個人情報が漏洩・流出したら最初に何をする？情報別の対処法・被害確認・相談窓口を完全解説

情報漏洩のニュースを見たとき、多くの人が最初に知りたいのは、事件の技術的な仕組みではないでしょう。

「自分の情報も漏れているのか」

まずは、この疑問に答えるところから始めます。

例えば、利用している通販サイトが「顧客情報の漏洩の可能性」を公表したとします。

このとき、SNSで共有された確認ページや、検索結果に表示された広告から手続きを始めるのではなく、普段利用している公式アプリや、正規の公式サイトへ直接アクセスしてください。

そして、発表内容を次の順番で確認します。

最初に調べるのは、漏洩した情報の種類と対象者の範囲です。

企業の発表には、対象となるサービス、利用期間、漏洩した可能性がある情報、調査状況、問い合わせ先などが記載される場合があります。

例えば、「2025年4月から2026年3月までに会員登録した人が対象」と説明されている場合には、自分がその期間に利用していたかを確認してください。

ただし、対象期間に該当するからといって、すべての利用者の情報が漏洩したと確定するわけではありません。

また、企業が「漏洩した可能性を調査しています」と発表している場合と、「漏洩を確認しました」と発表している場合では、分かっている事実の範囲が異なります。

自分が対象か分からない場合は、企業の公式問い合わせ窓口へ確認してください。

ここで気を付けたいのは、情報漏洩の確認を装った偽サイトです。

「メールアドレスを入力すれば漏洩状況が分かります」という案内があっても、そのサービスがどのような情報を保有し、何を確認できるのかを調べる必要があります。

漏洩情報を照会するサービスが存在していても、そこで確認できるのは、通常、そのサービスが把握している範囲の情報です。

検索結果に表示されなかったことは、個人情報が一切漏洩していないという証明にはなりません。

さらに、漏洩状況を調べるために現在使用しているパスワードや本人確認書類の画像を入力するよう求められた場合には、操作を中止し、提供元と必要性を慎重に確認してください。

情報漏洩が分かったら、何を優先する？

ここからは、実際の対応を整理します。

ただし、以下の「5分」「30分」「24時間」は、読者が行動を整理するための目安です。

法律上の期限ではなく、不正送金やカードの不正利用など緊急の被害が疑われる場合には、時間区分を待たず、直ちに金融機関などの公式窓口へ連絡してください。

▼

対応する時期	優先する行動	確認したいこと
最初の5分	通知の真偽と漏洩情報を確認する	公式発表、対象者、漏洩範囲
最初の30分	必要なアカウント保護や金融機関への連絡	パスワード、ログイン履歴、不正決済
24時間以内	証拠と対応記録を整理する	通知、取引履歴、相談日時
数日後	漏洩元企業の続報を確認する	新たに判明した対象情報
1週間後	二次被害の兆候を確認する	不審なログイン、取引、連絡
1か月後以降	継続的に利用状況を確認する	知らない契約、請求、認証通知

クレジットカード情報が漏洩したら、必ず再発行するべき？

カード情報の漏洩が公表された場合、最初に行うべきことは、カード会社の正規の窓口へ連絡することです。

カード裏面に記載された電話番号や、普段利用している公式アプリなどから問い合わせ先を確認し、次のように伝えてください。

「利用しているサービスでカード情報の漏洩が公表されました。私のカードが対象かどうか、現在の利用履歴に不審な取引がないか、利用停止や再発行が必要かを確認したいです」

そのうえで、不正利用が疑われる場合には、利用日時、金額、利用先として表示されている情報を伝え、調査方法や補償条件について確認します。

カード番号が漏洩した可能性があるからといって、すべてのカードが一律に再発行されるわけではありません。

実際の対応は、漏洩した情報の範囲、カード会社の判断、利用状況などによって異なるため、正規の窓口で自分のカードに必要な手続きを確認することが重要です。

銀行口座番号が漏洩した場合と、ネットバンキングのパスワードが漏洩した場合は違う

銀行名、支店名、口座番号が知られた場合と、ログインID、パスワード、認証コードなどが第三者に知られた場合では、危険の内容が異なります。

特に、ネットバンキングの認証情報を偽サイトへ入力した場合や、身に覚えのない送金が発生している場合には、直ちに金融機関の公式緊急窓口へ連絡してください。

例えば、次のように説明します。

「銀行を装ったサイトにログイン情報を入力してしまいました。入力した時刻は本日○時ごろです。不正ログインや送金が行われていないか確認したいので、口座の保護に必要な手続きを教えてください」

金融機関の案内に従い、必要な利用制限、認証情報の変更、不正取引の調査などを進めます。

ただし、利用しているスマートフォンやパソコン自体が不正なプログラムに感染している疑いがある場合には、その端末でパスワードを変更することが適切とは限りません。

安全が確認できている別の端末を使うか、金融機関や専門窓口へ操作方法を確認してください。

氏名や住所が漏洩した場合、何もしなくてもよい？

氏名、住所、電話番号、メールアドレスなどが漏洩した場合、すぐに金銭被害が発生するとは限りません。

しかし、漏洩した情報が別の情報と組み合わされ、本人を装った連絡や不審な勧誘などに利用される可能性は考えられます。

例えば、氏名、電話番号、利用していた通販サイト名が知られている場合、その会社の担当者を装った電話がかかってきても、相手は本物らしい会話を始められるかもしれません。

このような場合には、漏洩元企業からの案内を確認し、不審な連絡が増えていないか注意してください。

ただし、住所や電話番号が漏洩したからといって、必ず変更しなければならないわけではありません。

実際の被害や悪用の状況に応じて、必要な対応を判断することが大切です。

本人確認書類の画像が漏洩したら、何を確認する？

運転免許証などの本人確認書類の画像が漏洩した場合には、氏名や住所だけでなく、書類に記載された情報や画像が第三者に知られた可能性があります。

そのため、まず漏洩元企業へ、どの書類のどの情報が対象となっているのかを確認してください。

また、不審な契約の案内や本人確認の連絡が届いた場合には、相手の案内に従って追加の書類を送る前に、正規の事業者へ確認する必要があります。

マイナンバーカードに関する情報の場合も、番号だけが知られたのか、カードの画像が漏洩したのか、カード本体を紛失したのか、暗証番号まで知られたのかによって、必要な対応は異なります。

「マイナンバーが漏れた」という言葉だけで、一律にカードの再発行が必要だと判断してはいけません。

具体的な漏洩内容を確認し、必要に応じて正規の相談窓口へ問い合わせてください。

最初の30分に確認したいのは、パスワードだけではない

ログイン情報の漏洩が疑われる場合、まず対象サービスの認証情報を変更します。

同じパスワードをほかのサービスでも使っている場合には、使い回し先も確認してください。

特に、メールアカウントで同じパスワードを利用している場合には、優先的な保護が必要です。

しかし、ここで作業を終えてしまうと、見落とす可能性があるものがあります。

それが、すでにログインしている端末や、アカウント内部の設定です。

第三者がログインしたままになっている場合や、復旧用メールアドレスが変更されている場合には、パスワードの変更だけで問題が解決したとは限りません。

そのため、認証情報を変更した後は、登録端末、ログイン履歴、復旧用連絡先、外部アプリ連携なども確認してください。

自分の知らない設定変更がないかを調べるところまでが、アカウントの安全確認です。

24時間以内には、証拠を残しておく

不正ログインや不正利用が疑われる場合、通知メールやSMS、ログイン履歴、取引履歴、企業の公式発表などを保存してください。

スクリーンショットを撮影する際には、日時、サービス名、表示された内容が分かるようにしておくと、後から相談する際に役立ちます。

また、金融機関やカード会社へ連絡した場合には、連絡日時、案内された内容、今後の対応予定を記録しておきましょう。

ただし、証拠を残すために不審なリンクを再び開いたり、危険な添付ファイルを実行したりする必要はありません。

業務用端末で不正アクセスが疑われる場合には、自己判断で初期化すると調査に必要な記録が失われる可能性があるため、情報システム担当者や専門事業者へ速やかに相談してください。

相談先を間違えないために、窓口の役割を知っておく

被害が発生したとき、どこへ相談すればよいのか分からず、時間を費やしてしまうことがあります。

そこで、相談内容に応じた窓口を整理します。

相談先	主な相談内容	利用時のポイント
警察110番	現在進行中の犯罪や緊急の危険	緊急性がある場合に利用
警察相談専用電話#9110	詐欺の疑い、不審な連絡など	緊急の出動を要しない相談
都道府県警察のサイバー相談窓口	不正アクセス、ネット上の犯罪被害など	記録や被害状況を整理する
IPA情報セキュリティ安心相談窓口	偽警告、ウイルス感染の疑いなど	技術的な一般相談を行う
個人情報保護委員会	個人情報の取扱いに関する相談など	制度上の問題を整理して相談
消費者ホットライン188	消費者契約や詐欺的な取引などの相談	地域の消費生活相談窓口につながる
金融機関・カード会社	不正送金、不正決済、認証情報の漏洩	緊急時は最優先で公式窓口へ連絡

IPAの情報セキュリティ安心相談窓口は、主にウイルスや不正アクセスなどについて、一般的な技術的助言を提供する窓口です。

個別の端末調査、犯罪捜査、被害金の回収などを行う窓口ではないため、相談内容に応じて警察や金融機関などを利用する必要があります。

企業の顧客情報が漏洩した場合は、個人の対応だけでは終わらない

例えば、美容室の予約システムから顧客情報が外部へ流出した可能性があると分かった場合、経営者は「とりあえずパスワードを変更する」という対応だけで終わらせてはいけません。

まず、どのシステムで問題が発生したのか、どの情報が対象となるのか、第三者によるアクセスや持ち出しが確認されているのかを整理し、必要な証拠を保全します。

そのうえで、被害拡大を防ぐ措置、影響範囲の調査、顧客への説明、関係機関への報告の要否などを検討してください。

個人情報保護法では、一定の漏洩等事態について、個人情報保護委員会への報告や本人への通知が義務付けられています。

報告対象となる場合、速報は発覚後速やかに、概ね3〜5日以内を目安として行い、確報は原則30日以内、不正な目的で行われたおそれがある場合など一定の事態では60日以内とされています。

ただし、すべての漏洩について一律に報告義務が生じるわけではなく、対象となる事態の条件や報告先は、個人情報保護委員会の公式資料に基づいて判断する必要があります。

顧客への説明も、確認できた事実と調査中の事項を分けることが大切です。

例えば、漏洩した情報の種類が確定していない段階で「カード情報は安全です」と断定してしまうと、後の調査結果と矛盾する可能性があります。

反対に、何も説明せずに調査が終わるまで待ち続ければ、顧客が必要な対策を取る機会を失うことにもなりかねません。

経営者には、事実関係を正確に把握し、必要な相手へ適切な時期に説明する判断が求められます。

個人情報を二度と悪用されないために｜再発防止策を徹底解説

個人情報が漏洩した場合、パスワードを変更したり、カード会社へ連絡したりすることで、被害を抑えられる可能性があります。

しかし、ここで考えておきたいのは、一度外部へ流出した情報を、完全になかったことにはできないという点です。

だからこそ、漏洩後には、同じ情報を利用した新たな詐欺や不正利用に備える必要があります。

メールアカウントは、パスワード変更後に何を調べる？

例えば、メールアカウントを不正利用された場合、第三者が自分のメールを別のアドレスへ転送する設定を追加している可能性があります。

その状態でパスワードだけを変更しても、自動転送の設定が残っていれば、その後に届くメールが第三者へ送られるおそれがあります。

そこで、メールサービスの設定画面を開き、次の項目を確認してください。

• 自分で登録した覚えのない自動転送先がないか。
• 不審なフィルターやメール処理ルールが追加されていないか。
• 見覚えのない端末やセッションが残っていないか。
• 復旧用メールアドレスや電話番号が変更されていないか。
• 不要な外部アプリ連携が残っていないか。

ただし、知らない設定が見つかったという理由だけで、すべてを無条件に削除してよいわけではありません。

例えば、仕事で利用しているメールアカウントでは、会社が設定した転送ルールや外部サービスとの連携が存在する場合もあるため、業務上の設定かどうかを確認し、必要に応じて管理者へ相談してください。

銀行・カード会社の利用通知は、どこまで役立つ？

銀行やカード会社の公式アプリに利用通知機能がある場合、取引に関する情報を受け取ることで、不審な利用に早く気付ける可能性があります。

例えば、身に覚えのないカード利用通知が届いた場合には、通知から直接操作するのではなく、公式アプリを自分で開き、利用日時、金額、利用先として表示されている情報を確認してください。

そのうえで、不審な取引がある場合にはカード会社の公式窓口へ連絡します。

ただし、通知の対象となる取引や通知のタイミングはサービスによって異なるため、通知が届いていないことだけで、不正利用が発生していないと断定することはできません。

防犯アプリは「何を防ぐためのものか」で選ぶ

ここで、スマートフォンの防犯機能について考えてみましょう。

防犯アプリと呼ばれるものには、認証を強化するもの、不審な電話への対応を助けるもの、危険なアプリの検出を支援するものなど、異なる役割があります。

そのため、「防犯アプリを一つ入れれば安全になる」という考え方は適切ではありません。

▼

種類	代表的な用途	防げないこと・注意点
認証アプリ	ログイン時の追加認証	偽サイトでの操作をすべて防げるわけではない
迷惑電話対策機能	不審な着信への注意喚起など	すべての詐欺電話を判定できるわけではない
SMSの迷惑メッセージ対策	不審なメッセージの振り分けなど	正常な通知を誤判定する可能性がある
端末保護機能	危険なアプリの検出や端末保護	すべての不正アプリを検出できるわけではない
端末紛失対策機能	紛失端末の探索・保護など	事前設定や端末の状態によって利用条件が異なる

アプリを導入する場合には、提供元、対応機種、料金、利用条件、権限、更新状況を確認してください。

また、アプリをインストールする際に、必要以上の個人情報や権限を求められていないかを確認することも必要です。

防犯アプリは、すでに流出した個人情報を回収する道具ではありません。

その役割は、特定の危険を減らしたり、不審な動きを早期に発見しやすくしたりすることにあります。

家族の防犯対策は、難しい設定より先に「行動の約束」を決める

高齢の家族が不審な電話を受けた場合、専門的なセキュリティ設定をその場で説明しても、落ち着いて操作できないかもしれません。

そこで、家族であらかじめ決めておきたいのが、急な連絡を受けたときの行動です。

例えば、電話でお金を求められた場合には、その場で振り込まず、以前から登録している本人の電話番号へかけ直すことを約束します。

また、認証コードを求められても相手へ伝えないことや、銀行を名乗る連絡を受けた場合には、公式アプリや正規の窓口から確認することも共有してください。

家族が利用している金融機関や携帯電話会社の連絡先を、本人が分かりやすい場所へ整理しておくことも役立ちます。

ただし、家族の安全を守るためであっても、本人の同意なくスマートフォンの内容を監視するような方法ではなく、本人が理解し、納得して利用できる対策を選ぶことが望まれます。

ここからは、CBSの視点で企業の顧客情報管理を考える

従業員5人の飲食店を例にします。

店長、正社員、アルバイトが予約システムを利用し、顧客の氏名、電話番号、予約日時、来店履歴などを管理しているとしましょう。

このとき、経営者が最初に確認するべきなのは、セキュリティソフトの名称ではありません。

誰が、どの情報へアクセスできるのかという管理状況です。

例えば、退職したアルバイトのアカウントが残っていた場合、現在その人物が情報を閲覧していなかったとしても、利用する必要のないアカウントが存在する状態になります。

また、予約システムの管理者権限を全従業員へ与えている場合には、日常業務に必要な権限と、顧客情報の一括出力や設定変更に必要な権限を分けられないか検討する余地があります。

まず、経営者はシステムの利用者一覧を開き、現在の従業員と照らし合わせてください。

そのうえで、退職者のアカウント、不要な管理者権限、共有アカウントの有無などを確認します。

経営者が保守事業者へ聞くべきこと

システム管理を外部へ委託している場合、経営者自身がすべての技術的な内容を理解している必要はありません。

しかし、何を確認しているのか分からないまま、保守事業者へ任せきりにすることも適切ではないでしょう。

そこで、次の質問を用意します。

▼

経営者からの質問	回答で確認すること
顧客情報はどこに保存されていますか	システム名、保存先、管理責任者
管理者権限を持つ人は誰ですか	氏名、人数、権限の必要性
退職者のアカウントは停止されていますか	対象者、停止日、確認記録
外部から接続できる機器はありますか	機器名、接続方法、保護状況
更新が必要な機器やソフトは残っていますか	対象、更新予定、未対応理由
バックアップはどこへ保存していますか	保存先、アクセス権限、保存期間
最後に復旧テストをしたのはいつですか	実施日、結果、復旧できた範囲
情報漏洩が発覚したら誰へ連絡しますか	社内責任者、委託先、連絡手順

ここで重要なのは、「問題ありません」という回答だけで確認を終えないことです。

例えば、バックアップについて「毎日保存しています」と回答された場合には、最後に実際の復旧テストを行った日と、その結果を確認してください。

保存していることと、復旧できることは別だからです。

生成AIへ顧客情報を入力してしまう問題

2026年の企業経営では、生成AIの利用方法も情報管理の対象になります。

例えば、美容室の従業員が、顧客から届いた相談メールを生成AIへ入力し、返信文を作成しようとする場面を考えてみましょう。

そのメールには、顧客の氏名、電話番号、予約日時、施術に関する相談内容などが含まれているかもしれません。

このような情報を入力してよいかどうかは、利用するAIサービスの契約条件、情報の取扱い、会社の利用ルールなどを確認して判断する必要があります。

「便利だから使う」ではなく、「何を入力してよいかを決めてから使う」ことが必要です。

企業では、利用を認めるAIサービス、入力を禁止する情報、入力前に削除する項目、承認する責任者、利用記録の管理方法などを定めてください。

ただし、氏名を削除しただけで、必ず個人を特定できなくなるわけではありません。

例えば、来店日時、特別な注文内容、具体的な相談内容などが組み合わされば、誰の情報なのか推測できる可能性があるため、入力内容全体を確認することが望まれます。

情報漏洩の原因が違えば、再発防止策も変わる

例えば、管理者アカウントが乗っ取られた場合には、認証情報の変更、多要素認証、管理者権限、ログイン履歴などを確認する必要があります。

一方、従業員が顧客名簿を誤った宛先へ送信した場合には、管理者パスワードを変更するだけでは、同じ種類の事故を防ぐ対策として十分ではありません。

この場合には、送信先の確認手順、添付ファイルの取扱い、承認方法など、日常業務の流れを見直す必要があります。

▼

発生原因	主な確認事項	再発防止の方向性
管理者アカウントの乗っ取り	認証情報、権限、ログイン履歴	多要素認証、権限見直し
サーバーの弱点	更新状況、外部公開機器	更新管理、不要な公開の停止
メールの誤送信	宛先、添付ファイル、承認手順	送信前確認、業務手順の改善
共有フォルダの設定ミス	公開範囲、共有先、閲覧権限	共有設定の見直し
生成AIへの情報入力	入力内容、利用サービス、社内ルール	入力基準、承認、教育
委託先での管理上の問題	契約、管理体制、再委託	委託先管理、連絡体制の改善

この表で分かるように、情報漏洩の再発防止は、セキュリティソフトを導入すれば終わるものではありません。

原因を特定し、その原因に対応する設定や業務手順を変更することが必要です。

バックアップを取っていても、顧客情報漏洩は解決しない

例えば、ランサムウェアによって業務データを利用できなくなった場合、適切なバックアップがあれば、業務を復旧できる可能性があります。

しかし、攻撃者が事前に顧客情報を外部へ持ち出していた場合には、バックアップからデータを復旧しても、流出した情報を回収できるわけではありません。

ここは、企業経営者が特に理解しておきたい点です。

業務を再開するための対策と、漏洩した顧客情報による二次被害を防ぐ対策は、別の問題なのです。

そのため、企業ではバックアップの保存先や復旧方法だけでなく、顧客への説明、関係機関への報告、漏洩した情報の悪用に関する注意喚起なども検討する必要があります。

最後に、経営者が月に一度確認する仕組みを作る

大企業のような専任の情報システム部門がない会社でも、顧客情報の管理を続ける方法はあります。

例えば、毎月最初の営業日に、予約システムの利用者一覧、退職者アカウント、管理者権限、バックアップの復旧記録、保守会社からの更新案内などを確認する時間を設けます。

確認した内容は、担当者、確認日、結果、問題点、対応期限が分かる形で記録してください。

問題が見つかった場合には、誰が対応し、いつまでに修正し、誰が完了を確認するのかを明確にします。

このような管理を続けることは、単に情報漏洩の危険を減らすだけではありません。

顧客から預かった情報を、会社として責任を持って扱っていることを示すための、日常的な経営活動にもつながります。

顧客情報を守ることは、企業の信用を守ることでもあるのです。

---

個人情報を守るために、今日から始められることは決して少なくありません。

まずは、普段利用しているメールアカウントの2段階認証、登録端末、復旧用連絡先を確認し、スマートフォンの更新状況やアプリの権限についても点検してみてください。

企業経営者であれば、顧客情報がどこに保存され、誰がアクセスできるのかを整理するところから始められます。

そして、情報漏洩の通知が届いた場合には、慌ててリンクを開くのではなく、正規の公式サイトやアプリから事実関係を確認し、漏洩した情報の種類に応じて必要な窓口へ連絡してください。

特に、不正送金や不審なカード利用が疑われる場合には、時間を置かずに金融機関へ相談することが必要です。

AIを悪用した攻撃の手口が変化しても、連絡の真偽を別の経路で確認すること、認証情報を適切に管理すること、異常を発見したら正しい順番で対応することは、個人にも企業にも共通する防御策になります。

この記事を読み終えたら、まず一つ、自分のアカウントや会社の情報管理状況を確認することから始めてみてください。

参考資料一覧

• IPA｜情報セキュリティ10大脅威 2026
• IPA｜情報セキュリティ10大脅威2026 解説書［組織編］
• IPA｜情報セキュリティに関する技術的なご相談
• IPA｜安心相談窓口だより
• 個人情報保護委員会｜漏えい等の対応とお役立ち資料
• Google｜セキュリティ診断を受ける
• Google｜アカウントのセキュリティを強化する
• Google｜Gmailのメールを他のアカウントに自動転送する
• Apple｜iPhoneの「盗難デバイスの保護」について
• Apple｜iPhoneやiPadが盗まれた場合