あれ？と思ったらセキュリティ報告！ためらわなくていい(460号)

2026年5月に、サポート詐欺によって、1000万円をだまし取られるという事件が起きました。

この事件では、だまされた事務員さんが動転して、犯罪者側に連絡をしてしまったわけですが、筆者に言わせると、こういった攻撃に対応できる体制があったのか？という点に強い疑問を持っています。

今回は、この事件から、セキュリティ事故に遭った時に取るべき手順についてお話をします。

1. 事件の概要

2026年5月29日に静岡県の牧之原市教育委員会管轄の相良中学校で事件は起きました。

60代の女性職員(学校の出納業務を行う事務員さん)が業務中にネット利用中に偽のウイルス警告画面（サポート詐欺）に遭遇。
あわてて、画面に表示された電話番号へ連絡したところ、遠隔操作ソフトをインストール、オンラインバンキングへのログインを求められます。

指示に従いながらも相手の発言に不審感を抱いた事務員は、別の電話でネットワーク管理者に連絡をします。
そちらの指示に従って、ネットワーク配線を抜いたものの、それは不正送金後だったそうです。

その後、銀行側から大金の送金を行ったのか？と学校に連絡をしたことで、事件が発覚します。

その事務員さんは、サポート詐欺の知識がなく、お金をだまし取られたとは思っていなかったようです。

そんな中、市長さんは、「知らないで許されないと私は思う。あまりにも知識がなさすぎるし、研修や職員教育ができていないのであれば早急に対策を講じる必要がある」と発言されたようです。

サポート詐欺と言うと、被害額は数万円程度の比較的小さい場合が多かったのですが、最近では、業務用パソコンのオンラインバンキング利用を狙った今回と似た攻撃も増えています。

2. どうするべきだったのか？

では、学校や市はどのような対策を行っておくべきだったのでしょうか？

現場教育が十分だったか、高額送金時の承認者を設定すべきではないか、などは誰もが気付く点でしょう。
市長さんが教育や研修を強化する、と宣言することは筋が通っています。

一方で、今回の事件を「事務員の知識不足」が主因の事件と捉えると、問題をひどく矮小化する恐れがあります。

セキュリティ対策には「多層防御」という考え方があります。

仮に1つのガードを通過されてしまったとしても、第2のガードで止められれば、被害はないという考え方です。
これは、攻撃する側から見ると、いくつもの関所が設けられている面倒臭い組織、ということになります。

確かに、教育によって現場の対応力を上げることは有用です。ですが、それは一つの層の防御力しか高められません。

技術的な防御も強化する、事故発生時の対応手順を明確にする、時にはセキュリティの防災訓練も行う、といった複数の対策を並行して行うことが、多層防御となるのです。

その意味で、今回のインシデント(事故や事件)で、丁寧に調査すべきは、「どうして、最初にネットワークの管理業者に連絡しなかった(できなかった)のか？」だと筆者は考えます。

3. 本当に連絡手段は整っていたのか？

これは今回の事件での筆者の最大の疑問なのですが、事務員さんは、どうして最初にネットワーク管理者に連絡をしなかったのでしょうか？

これにはいろんな可能性があります。

いかにもありそうなのは、ルール上は連絡先が決まっていたが、今回の事象(セキュティ警告が画面に表示された)で連絡しても「ウチは関係ない」と返される可能性。

もしくは、連絡先は決まっているが、親身になってくれない、型通りの回答しかもらえないから連絡してもムダと考えているケース。

はたまた、トラブル発生時に、多少後ろめたい事情(業務と関係のないサイトを見ていたetc)があり、連絡しづらい、というのもありそうです。

さらに、ネットワーク管理の会社に、連絡しづらい(契約がなく都度費用が発生する、無償対応してくれるが、いつまでも甘えづらいetc)なんてのもありそうです。

これらに共通しているのは、「連絡すれば、恥をかいたり、嫌な思いをするかもしれない」という点です。

「後で責任を追求されるかもしれない」と言い換えてもいいでしょう。

報告した人に、恥をかかせたり、嫌な思いをさせる、ましてや責任が押し付けられる連絡手段なんて使われるはずがないのです。

ですが、世間には「決めたからＯＫ」なルールがいかに多いことか。
ルールは決めた後のメンテナンスこそが一番大切なのに。

これは、法律だってそうです。法律は定められた後に、たくさんの実例に適用されて、この条文はこう判断すべき、という事例が積み重ねられていきます。あれだけたくさんのことを想定して定めている法律でさえ、そうなのです。
組織で決めたルールだって、実運用を踏まえて改善を重ねれば良くなるに決まってますよね。

4. 責められない通報

いきなり話が変わりますが、火災報知器ってありますよね？

あれって、すごい制度だと思いませんか？

どこかで煙が出ている、「あ、火事だ！」と思って火災報知器を押す。でも実はそれはゴミを燃やしていただけだった。
でも、勘違いだったとしても、無駄な通報をしたと責められません。

火事を見逃した場合の被害とは比べものにならない軽いコストだからです。

これがもし、上で書いた「後で責任を追求されるかもしれない」システムだとするとどうでしょうか？

火災報知器を押すのにためらいが生じませんか？
「ホントに火事なのか確認してから押そう」と思って確認に行き、煙に巻き込まれた、ではシャレになりません。
それによって、火事が広がるまで通報がされないとなると、社会全体にとっても損失が大きくなります。

だから、火災報知器は、無駄であったとしても、むしろ「良かったね」と考える運用となっているのです。

この考え方はセキュリティ対策でもそのまま通用します。
報告をしてくれたことが重要であり、それが仮にインシデントでなくても喜ぶべきです。

さらに言えば、報告の経緯が多少好ましくない(例えば、業務外のサイトアクセスで生じたもの)ものであっても、報告者の不利益とならない制度とすることを強く推奨します。

これは報告者の心理負荷を下げるために、極めて有効だからです。

大切なのは、その報告によって、組織全体にダメージを与えかねない攻撃が防げるという事実です。それに比べれば、パソコンの多少の私用など些事なのですから。

これは、内部告発の仕組みに似ています。
内部告発の情報を提供する告発者は、その部署のメンバから見れば「裏切り者」です。もし同じ部署のメンバに知られてしまえば、報復を受けることになります。だから、内部告発者の情報は厳重に秘匿されます。

でないと、誰も告発などしてくれるはずがないですものね。

5. まとめ

2026年5月に学校の事務員さんが、サポート詐欺の被害に会いました。

「罪を憎んで人を憎まず」という言葉があります。
今回の事件では、どうして内部管理者や校内の管理職への連絡が遅れたのか？周りの人は気付かなかったのか？など納得できない点がいろいろとあります。

今回のような事件はどんな組織でも、起きる可能性は十分にあります。
・怪しいメールが来た。
・変な警告画面が出た。
・パソコンの動きがおかしい。

そんな時に、
「こんなことで連絡したら怒られるかも」
ではなく、
「まず相談しよう」
と思える組織が増えてほしいと、心から願います。

人は間違える生きものです。
だからこそ、何か気付いた時、間違えた時に助けを求められる仕組みに価値があるのです。ルールや仕組みは、人を守るためにあるのですから。

次回もお楽しみに。

今日からできること:

　・あなたの周りでパソコンやスマホが苦手な人はいませんか？
　　→苦手な人に話しやすい環境を作ってあげましょう。
　　→その人の考え方を知れば、解決できることがきっと見つかります。
　・わずかな違和感を放置しないようにしましょう。
　　→早期の連絡は被害を最少限に抑える最善策です。

（本稿は 2026年6月に作成しました）

セキュリティやネットワークでお困りごとがございましたら、お気軽に以下のメールアドレスまでご連絡ください。
info@egao-it.com

この記事が「良かった」「おもしろかった」と思われた方は是非「スキ」「フォロー」をお願いします。

このNoteは私が主宰するメルマガ「がんばりすぎないセキュリティ」からの転載です。
誰もが気になるセキュリティに関連するトピックを毎週月曜日の早朝に配信しています。

お申し込みは以下のURLからどうぞ！
https://www.egao-it.com/mailmag-register.php