なぜ情報漏洩は起きる？中小企業で多い7つの原因と具体例
「情報漏洩は、大企業が高度なサイバー攻撃を受けたときに起きるもの」
「うちは狙われるほど大きな会社ではない」
「ウイルス対策ソフトを入れているから大丈夫」
このように考えていないでしょうか。
情報漏洩は、巧妙なサイバー攻撃だけで起きるわけではありません。メールの宛先を間違える、共有設定を「誰でも見られる」にする、退職者のアカウントを残す、古い機器を更新せず使う。このような日常業務の小さな見落としからも発生します。
一つひとつは大きな問題に見えなくても、「パスワードを使い回している」「多要素認証を設定していない」「管理者アカウントを複数人で共有している」といった条件が重なると、攻撃者に侵入されやすくなり、被害も広がります。
この記事では、専任のIT担当者がいない中小企業で起こりやすい情報漏洩の原因を7つに分け、よくある場面と確認すべきポイントを解説します。
2026年10月13日
情報漏洩の原因は「人」「アカウント」「機器」「外部」に分けて考える
原因を整理するときは、専門的な攻撃名をすべて覚える必要はありません。まず、情報がどこから外へ出る可能性があるのかを考えます。
| 分類 | 主な原因 | 社内でよくある場面 |
|---|---|---|
| 人の操作 | 誤送信、誤共有、紛失、持ち出し | 宛先間違い、添付間違い、公開範囲の設定ミス |
| アカウント | パスワード漏洩、使い回し、権限過多 | 同じパスワード、共有ID、退職者IDの残存 |
| 機器・ソフト | 脆弱性、更新漏れ、マルウェア | 古いWindows、VPN・ルーター、未更新のWebサイト |
| 外部サービス・委託先 | クラウド設定、委託先被害、連絡不足 | 制作会社、会計・勤怠サービス、保守会社への委託 |
［WEB担当者向け指示］ここに図解1「情報漏洩は4つの入口から起きる」を配置。alt属性案：「情報漏洩の原因を人、アカウント、機器、外部サービスに分けた図」。 重要なのは、誰か一人の注意力だけに頼らないことです。人は間違えます。システムにも脆弱性が見つかります。委託先で事故が起きることもあります。その前提で、間違えても被害が広がりにくい仕組みを用意します。
原因1 メールの誤送信とファイルの誤共有
中小企業で起こりやすいのが、日常のメールやファイル共有に伴う操作ミスです。攻撃を受けていなくても、自社の操作だけで情報が外部へ出ることがあります。
よくある具体例
- 似た会社名や同姓の相手を選び、別の取引先へメールを送る
- 見積書を送るつもりで、別の顧客の請求書や名簿を添付する
- 一斉送信でBCCではなくToやCCに全員のアドレスを入れる
- OneDriveやGoogle Driveの共有を「リンクを知っている全員」にする
- 社内用のファイルを、社外のゲストも参加するTeamsへ投稿する
送信後に取り消せないメールでは、確認画面や送信保留を設定することが有効です。ファイル共有では、「リンクを持つ人」ではなく、必要な相手を指定して期限付きで共有します。
確認したいこと
- 外部宛てメールを数分間保留する設定があるか
- 一斉送信のルールとBCCの使い方が決まっているか
- 共有リンクの初期設定が社内限定になっているか
- 重要ファイルは送信前に別の人が確認できるか
原因2 フィッシングメールとマルウェア感染
取引先、金融機関、宅配会社、Microsoft 365の管理者などを装ったメールから、偽サイトへ誘導されることがあります。偽サイトへIDとパスワードを入力すると、攻撃者は正規利用者として会社のメールやクラウドへログインできます。 添付ファイルや不正なソフトウェアからマルウェアへ感染し、端末内のパスワードやブラウザに保存された認証情報を盗まれる場合もあります。差出人名が知っている人でも、表示名だけで安全とは判断できません。
よくある具体例
- 「パスワードの有効期限が切れます」というメールから偽のMicrosoft 365画面を開く
- 社長や取引先を名乗るメールに返信し、LINEや送金のやり取りへ移る
- 請求書や注文書に見せた添付ファイルを開く
- 無料ソフトやブラウザ拡張機能に紛れた不正プログラムを入れる
不審なメールを完全に見抜くことだけを社員へ求めるのは現実的ではありません。「迷ったら転送せず、決めた窓口へ相談する」「メールに書かれた連絡先ではなく、普段の電話番号で確認する」という手順を決めます。
原因3 弱いパスワードとアカウント管理の不備
アカウントは、会社の情報へ入るための鍵です。同じパスワードの使い回し、短く推測しやすいパスワード、多要素認証の未設定が重なると、一つのサービスから漏れた認証情報を別のサービスでも試される危険があります。 さらに危険なのが、管理者アカウントの共有です。誰がいつ操作したか分かりにくく、認証情報が漏れたときの影響範囲も大きくなります。
焼肉きんぐ公式アプリ 侵入経路と脆弱性は調査中
公式発表では、会員管理システムが第三者から不正アクセスを受けたことまでは確認されていますが、侵入経路や悪用された脆弱性は公表されていません。開発会社・関係会社と原因調査を進めている段階です。原因が未確定の事故について、「委託先から漏れた」「社員が持ち出した」などと推測で断定しないことも重要です。
よくある具体例
- Microsoft 365、会計ソフト、勤怠管理で同じパスワードを使う
- 全社員が知っている共通パスワードで共有フォルダーへ接続する
- 管理者IDとパスワードをExcelや付箋で共有する
- 退職者や過去の委託先のアカウントが有効なまま残る
- 不要な社員にも管理者権限を付ける
確認したいこと
- 重要サービスに多要素認証を設定しているか
- 社員ごとに個別アカウントを発行しているか
- 管理者権限を持つ人を最小限にしているか
- 入社・異動・退職時のアカウント手順があるか
原因4 ソフトウェアやネットワーク機器の脆弱性
Windows、サーバー、WordPress、VPN装置、ルーター、複合機などには、後から脆弱性が見つかることがあります。修正プログラムを適用せずに使い続けると、その弱点を知っている攻撃者から侵入される可能性があります。
第1記事で紹介したinfoQとKDDIの事例では、使用していたソフトウェアの脆弱性が悪用されたと公表されています。アサヒグループの事例では、ネットワーク機器から侵入され、パスワードの脆弱性を突いて管理者権限を奪われました。
ここでいう脆弱性は、単に製品が古いという意味だけではありません。更新方法が決まっていない、管理画面をインターネットへ公開したまま、保守期限が切れた機器の存在を把握していない、といった運用上の問題も侵入口を残します。
確認したいこと
- 使用中のパソコン、サーバー、ルーター、VPN装置を一覧にしているか
- 誰が更新し、更新後に誰が動作確認するか決まっているか
- Windowsや業務ソフトのサポート期限を確認しているか
- WordPress本体・テーマ・プラグインを更新しているか
- インターネットから見える管理画面を必要最小限にしているか
原因5 クラウドと共有フォルダーの設定ミス
クラウドサービスは、会社の外から安全に仕事を進めるために便利です。しかし、公開範囲やアクセス権を間違えると、情報がインターネット上の第三者や、すでに関係のない相手から見える状態になります。
よくある具体例
- 共有リンクに有効期限やパスワードを設定していない
- 社員全員がすべてのフォルダーを閲覧・編集できる
- 外部ゲストを追加した後、プロジェクト終了時に削除していない
- 個人用の無料クラウドへ顧客資料を保存する
- 同期フォルダーをバックアップだと思い込み、削除も同期されることを理解していない
クラウドそのものが危険なのではありません。誰に、何を、いつまで見せるのかを決めずに使うことが問題です。フォルダー単位で責任者を決め、外部共有とゲストを定期的に見直します。
原因6 パソコン スマートフォン USBメモリ 紙の紛失
情報漏洩はネット上だけで起きるものではありません。パソコンやスマートフォン、USBメモリ、印刷した名簿や契約書を紛失すれば、保存されている情報を第三者に見られる可能性があります。
よくある具体例
- 営業用ノートパソコンを電車や飲食店へ置き忘れる
- 私物USBメモリへ顧客データをコピーして持ち帰る
- 退職者が会社データの入ったスマートフォンを返却しない
- 廃棄するパソコンや複合機のデータを消去していない
- 顧客名簿や給与資料を机や複合機へ置いたままにする
端末には画面ロックと暗号化を設定し、紛失時に遠隔で停止・消去できる状態にします。USBメモリは原則禁止または会社指定品だけに限定し、廃棄時はデータ消去の記録を残します。
原因7 委託先 外部サービス 退職者から広がる漏洩
会社の情報は、自社の中だけにあるとは限りません。給与計算、会計、ホームページ、システム保守、クラウド、廃棄処理など、多くの業務を外部へ委託しています。委託先が攻撃を受ければ、自社の顧客情報が漏れる可能性があります。
また、担当者の退職や委託契約の終了後もアカウントや共有リンクが残っていると、本人に悪意がなくても情報へアクセスできる状態が続きます。
よくある具体例
- ホームページ制作会社が管理者IDを持ったままになっている
- 退職した社員のメールやMicrosoft 365アカウントが残っている
- 委託先が再委託しているが、会社側が把握していない
- 事故が起きたときの連絡先と報告期限を契約で決めていない
- クラウド事業者の障害・漏洩時に、自社の対象データを確認できない
個人情報保護委員会は、委託先で漏洩が起きた場合に備えて、委託元と委託先の報告連絡体制を整備する必要があると案内しています。契約書だけで終わらせず、預けている情報、管理者、終了時の削除方法を確認します。
7つの原因は単独ではなく重なって被害を大きくする
実際の事故では、一つの原因だけで大規模な漏洩になるとは限りません。複数の弱点が連鎖します。
| 最初のきっかけ | 重なった管理上の問題 | 起こり得る結果 |
|---|---|---|
| 偽メールへパスワードを入力 | 多要素認証なし・管理者権限あり | メールと共有ファイルへ不正アクセス |
| VPN機器の脆弱性を悪用 | 更新漏れ・ネットワーク未分離 | 社内サーバーへ侵入しランサムウェア実行 |
| 共有リンクを誤送信 | 期限なし・アクセス履歴未確認 | 退職者や第三者が長期間閲覧 |
| 端末を紛失 | 暗号化なし・遠隔停止不可 | 保存データを直接閲覧される |
| 委託先が攻撃を受ける | 預託データ不明・連絡手順なし | 対象確認と顧客連絡が遅れる |
ウイルス対策ソフトを導入しただけでは、誤送信、パスワードの使い回し、外部共有、退職者アカウント、委託先の事故までは防げません。技術対策と日常の管理を組み合わせる必要があります。
自社で最初に確認したい10項目
自社の状態を確認してみてください。
- □ 重要なサービスに多要素認証を設定している
- □ 社員ごとに個別アカウントを使っている
- □ 退職者と契約終了した委託先のアカウントを停止している
- □ パソコン、サーバー、ルーター、VPN機器の一覧がある
- □ ソフトウェアと機器を更新する担当者が決まっている
- □ OneDriveなどの外部共有先とゲストを確認している
- □ 会社データを私物端末や私物クラウドへ保存しないルールがある
- □ 紛失したパソコンやスマートフォンを停止できる
- □ 委託先で事故が起きた場合の連絡先と手順が決まっている
- □ 怪しいメールや誤送信をすぐ相談できる相手がいる
3つ以上確認できない項目がある場合は、担当者個人の注意だけに頼らず、会社として管理方法を整理することをおすすめします。
原因を調べるためには「どこに何があるか」の把握が必要
情報漏洩対策を始めようとしても、会社が持つ情報、利用中のサービス、管理者アカウント、委託先が分からなければ、優先順位を決められません。まず次の情報を一覧にします。
- 顧客情報、従業員情報、取引先情報を保存している場所
- 利用中のクラウドサービスと契約名義
- パソコン、スマートフォン、ネットワーク機器
- 管理者アカウントを持つ人
- 外部共有しているフォルダーと相手
- 情報を預けている委託先と緊急連絡先
すべてを一度に完璧にする必要はありません。顧客情報、給与情報、メール、Microsoft 365など、止まると事業への影響が大きいものから確認します。
情報漏洩を防ぐには 注意より仕組みを整える
誤送信をした社員や、不審なメールを開いた社員だけを責めても、同じ事故を防ぐことはできません。なぜ送信前に気づけなかったのか、なぜ多要素認証がなかったのか、なぜ管理者権限が必要以上に与えられていたのかを確認します。
対策の基本は、間違いが起きても被害が広がりにくい仕組みを作ることです。
- 重要な操作を一人だけで完結させない
- 不要な権限とアカウントを残さない
- 更新を個人の記憶に任せない
- 外部共有に期限を設定する
- 異常に気づけるログと通知を有効にする
- 事故が起きたときの相談先を決めておく
専任のIT担当者がいない会社でも原因を減らせます
中小企業では、総務担当者や経営者がIT管理を兼任していることがあります。しかし、すべての脆弱性情報を追い、すべてのクラウド設定を自社だけで確認するのは現実的ではありません。
社内では、利用者・機器・契約・委託先を把握し、異変を早く報告できる体制を整えます。専門的な設定確認、更新計画、権限の見直し、事故時の原因切り分けは、外部のIT担当者へ相談する方法があります。
大切なのは、「詳しい社員が何とかする」状態から、「誰が、いつ、何を確認するか決まっている」状態へ変えることです。
よろずITおまかせサポートで確認できること
アルファパートナーズ株式会社の「よろずITおまかせサポート」は、専任のIT担当者がいない中小企業向けの相談窓口です。情報漏洩が心配でも、何から確認すればよいか分からない段階からご相談いただけます。
- 利用中のパソコン、サービス、アカウントの整理
- Microsoft 365やOneDriveの権限・共有設定の確認
- 退職者アカウントと管理者権限の確認
- Windows、ルーター、WordPressなどの更新状況の整理
- バックアップと復旧方法の確認
- 委託先や既存IT業者への質問整理と調整
- 不審なメールや不正アクセスが疑われる場合の初動支援
高額な機器やサービスを最初から導入するのではなく、現在の環境と優先順位を整理し、自社に必要な対策から進めます。
もし情報漏洩が疑われたら最初にすること
情報漏洩が疑われる場合は、慌ててパソコンを初期化したり、証拠となるメールやログを削除したりしないでください。状況に応じて、次の順で対応します。
- 1 何が起きたか、いつ気づいたか、誰が操作したかを記録する
- 2 感染や不正アクセスが疑われる端末をネットワークから切り離す
- 3 社内の責任者と、契約中のIT業者・外部相談先へ連絡する
- 4 影響する情報、人数、システム、取引先を確認する
- 5 個人情報保護委員会、警察、関係機関への報告要否を確認する
- 6 対象者への通知、問い合わせ対応、再発防止を進める
個人情報保護委員会は、一定の要件に該当する漏洩等について、発覚後3～5日以内の速報と、原則30日以内の確報を案内しています。不正目的のおそれがある場合の確報は60日以内です。報告先や期限は事案・業種によって異なるため、発生時は最新の案内を確認してください。
高額な製品を入れる前に「管理できているか」を確認する
セキュリティ対策というと、高価な機器や監視サービスを思い浮かべるかもしれません。しかし、製品を導入するだけでは情報漏洩を防げません。
- 誰が管理者なのか分からない
- 退職者のアカウントが残っている
- 共有リンクがどこまで公開されているか分からない
- ルーターやNASの機種・保守期限を把握していない
- バックアップはあるが、復元したことがない
- 事故が起きたときの連絡先が決まっていない
この状態のまま製品だけ増やすと、設定や契約が複雑になり、かえって管理しにくくなる場合があります。まず「何を持っているか」「誰が管理しているか」「どこが不足しているか」を整理することが、中小企業の情報漏洩対策の第一歩です。
FAQ
情報漏洩対策ができているか分からない会社へ
専任のIT担当者がいない会社で、情報漏洩対策を総務担当者や経営者だけで判断し続けるのは簡単ではありません。
アルファパートナーズ株式会社の「よろずITおまかせサポート」では、現在のパソコン、メール、Microsoft 365、アカウント、共有設定、バックアップ、ネットワーク機器などを確認し、優先して見直したい項目を一緒に整理します。
- 誰が何を管理しているのか分からない
- 退職者のアカウントや共有権限が心配
- バックアップが正しく取れているか確認したい
- 取引先からセキュリティチェックシートが届いた
- 不審なメールや情報漏洩の疑いを相談できる相手がいない
このような段階でもご相談いただけます。最初から専門用語で説明する必要はありません。現在困っていることと、利用しているサービスが分かる範囲から確認します。
まとめ 情報漏洩対策は会社の業務を守るための準備です
最近の大手企業の事例では、個人情報の漏洩だけでなく、サービス停止、パスワード変更、ポイントの不正交換、受注・出荷・生産の停止など、事業そのものへ影響が広がっています。 中小企業でも、高額な製品を導入する前にできることがあります。
- 守るべき情報と保存場所を把握する
- 管理者と契約先を明確にする
- 多要素認証と更新を徹底する
- 退職者アカウントと共有権限を見直す
- バックアップを取得し、復元できるか確認する
- 事故が起きたときの報告先と相談先を決める
「対策ができているか分からない」という状態をそのままにせず、まず現在の管理状況を確認することが重要です。情報漏洩を完全にゼロにすることは難しくても、発生する可能性を下げ、被害を小さくし、早く復旧できる会社にはできます。
