情報漏洩後の二次被害を防ぐには、流出した情報がどのように悪用される可能性があるかを把握し、被害の拡大を抑える対策を講じる必要があります。顧客情報を使ったなりすましや取引先を狙う請求書詐欺、不正アクセスなどのリスクを整理し、関係者への注意喚起、認証情報・共有権限の見直し、継続監視を進めることが重要です。

情報漏洩への対応は、原因調査や報告で一区切りにはなりません。流出した顧客情報や取引先情報、社内文書は、その後に第三者が悪用する可能性があります。本記事では、情報システム・法務・広報の担当者が流出後に取り組む二次被害の防止に絞って、判断の順序と実務の進め方を整理します。

漏洩の範囲をどこまで調査するか、いつ報告するかについては、既存記事「個人データの誤共有はどこまで調査し、いつ報告する？」で扱っています。本記事はその後工程を補う内容です。

情報漏洩後に想定される二次被害と対策の進め方

流出した情報から発生する二次被害

漏洩が判明した直後は、原因の特定や関係部署への連絡に人手が集中します。その間に、次のような状況が並行して起きがちです。

  • 流出した顧客の連絡先に、自社を装った不審なメールや電話が届く
  • 取引先の担当者名や過去のやり取りを使った、請求や振込先変更の依頼が届く
  • 流出した文書に含まれていた社内情報やアカウント情報が、別の侵入に使われる
  • 社外からの問い合わせに対して、部署ごとに説明がばらばらになる

二次被害を防ぐための5つの対応

二次被害を抑えるには、流出した情報の性質に応じて対策を選ぶ必要があります。すべての情報に同じ対応をすると、優先度の高い対策が後回しになるおそれがあります。

  1. 流出情報の分類：何が、誰の情報として流出したかを整理する
  2. 悪用リスクの想定：分類ごとに、どのような詐欺や不正アクセスに使われ得るかを洗い出す
  3. 通知と注意喚起：影響を受ける相手に、具体的な注意点を伝える
  4. 関連権限の見直し：流出情報を起点とした追加の侵入や持ち出しを防ぐ
  5. 継続監視：一定期間、悪用の兆候を確認し続ける

流出情報の分類

二次被害対策の出発点は、流出した情報を「悪用されたときに何が起きるか」という観点で分けることです。調査で把握した流出範囲を、次の表に当てはめて整理します。

分類情報の例想定される二次被害主に動く部署
個人の連絡先情報氏名、メールアドレス、電話番号、住所フィッシング、なりすまし連絡、迷惑行為法務・広報・顧客窓口
取引関係情報取引先担当者名、請求書、発注書、口座情報請求書詐欺、振込先変更詐欺、取引先へのなりすまし経理・営業・法務
認証・アクセス情報ID、パスワード、共有リンク、接続先情報不正ログイン、追加の情報持ち出し情報システム
社内文書・機密情報企画書、契約書、設計資料、社内規程競合への流用、信用毀損、標的型攻撃の材料化法務・事業部門・情報システム
組織・人事情報組織図、社員名簿、役職情報経営層や担当者を装った指示メール総務・人事・情報システム

分類時のポイント

  • 1つの文書に複数の分類が含まれることがあります。たとえば請求書には、取引関係情報と個人の連絡先情報が同時に含まれます
  • 対応の優先順位は、流出件数だけでなく、悪用された場合の影響度や不正利用の可能性を踏まえて判断します。たとえば、流出件数が少なくても、パスワードや有効な認証情報が含まれている場合は、速やかな対応が必要です。
  • 流出した文書の版も確認します。古い版と最新版で、記載された担当者や口座情報が異なる場合があるためです

詐欺悪用リスク

流出した情報は、実在する取引内容や担当者名を使ったなりすまし、請求書詐欺、標的型メールなどに悪用されるおそれがあります。また、IDやパスワードが流出した場合は、不正ログインに直接利用される可能性もあります。情報の種類によって悪用方法が異なるため、それぞれに応じた対策が必要です。

悪用シナリオ別の想定と初動

悪用シナリオ典型的な手口自社側の初動相手側に伝える注意点
顧客へのなりすまし連絡自社名を名乗るメールやSMSで、個人情報やログイン情報の入力を求める公式な連絡手段を整理して公表する自社からの連絡で求めない情報を具体的に示す
振込先変更の依頼取引先や自社の担当者を装い、口座変更を依頼する経理部門に、口座変更時の確認手順を再周知する口座変更は別経路で確認するよう依頼する
経営層を装った指示社員名簿や組織図をもとに、上長を装って送金やデータ送付を指示する社内向けに注意喚起を出す社内で、通常と異なる指示は別経路で確認する
流出文書を使った標的型メール実在する案件名や資料名を件名に使い、添付ファイルやリンクを開かせる関係部署にメールの開封注意を周知する心当たりのある件名でも送信元を確認する
認証情報の悪用流出したIDやパスワードを使い、対象サービスや同じ認証情報を利用している別サービスへのログインを試みる該当アカウントのパスワード変更・無効化、セッションの失効、不審なログイン履歴の確認を行う該当サービスのパスワードを変更し、同じパスワードを使い回しているサービスでも変更するよう案内する

業務場面の例

営業部門の共有フォルダから、取引先との見積書と請求書の一式が流出したケースを考えます。この場合、情報システム部門は流出経路となった共有設定を止めます。それに加えて、経理部門と営業部門が取引先ごとに次の対応を進める必要があります。

  • 該当取引先の担当者に、振込先変更の連絡があった場合は電話など別経路で確認するよう依頼する
  • 自社の経理部門でも、取引先からの口座変更依頼を受けた際の確認手順を再確認する
  • 流出した請求書に記載された案件名や担当者名を悪用した不審メールが届く可能性を、関係部署に周知する。実在する案件名が記載されていても信用せず、送信元や依頼内容を既知の連絡先など別経路で確認するよう徹底する

通知と注意喚起

二次被害を防ぐうえで、影響を受ける相手に何に注意すればよいかを具体的に伝えることが重要です。「情報が漏洩しました」という事実だけでは、受け取った側は行動を変えにくいためです。

ここで扱う注意喚起は、二次被害を防ぐための実務対応です。個人データの漏洩等については、事案の内容によって個人情報保護委員会への報告や本人への通知が法令上必要となる場合があります。法定の報告・通知と二次被害防止のための注意喚起は区別し、法務部門と連携して対応してください。

通知先ごとの伝え方の比較

通知先主な目的伝えるべき内容担当部署の目安
影響を受けた顧客なりすましや詐欺の被害防止流出した情報の種類、想定される不審連絡、自社の公式な連絡手段、問い合わせ窓口広報・顧客窓口・法務
取引先取引を装った詐欺の防止流出した文書の種類、振込先変更や請求に関する確認依頼、自社側の窓口営業・経理・法務
社内の従業員標的型メールや社内なりすましへの警戒不審メールの特徴、報告先、通常と異なる指示を受けたときの確認方法情報システム・総務
委託先・関係会社連鎖的な被害の防止共有していた情報の範囲、アカウントや共有設定の見直し依頼情報システム・調達部門

注意喚起文の記入例

以下は、取引先向けの注意喚起で押さえる項目の記入例です。実際の文面は、法務・広報部門で事実関係を確認したうえで作成してください。

項目記入例
流出した情報の種類当社営業部門で管理していた見積書・請求書(貴社名、ご担当者名、案件名を含む)
想定される不審な連絡当社または貴社担当者を装った、振込先変更や支払いを依頼するメール
お願いしたい対応振込先変更などの連絡を受けた場合は、記載の連絡先ではなく、既にお取引のある窓口に電話でご確認ください
当社からの連絡方針当社からメールのみで振込先変更をお願いすることはありません(自社の運用と一致する場合のみ記載)
問い合わせ窓口担当部署名、受付時間、連絡方法

社内で表現をそろえる

広報部門が外部向けに出す説明と、営業担当者が取引先に個別に伝える説明が食い違うと、取引先の不信感につながります。外部向けの説明内容は、法務・広報部門が中心となって一元管理します。確認済みの事実、調査中の事項、問い合わせ先を整理し、更新日時と版を明示した文書を関係担当者が参照できるようにします。

関連権限見直し

流出情報が新たな侵入の足がかりにならないよう、関連するアカウントや共有権限を見直します。調査段階で流出経路を止めていても、流出した情報そのものが別の経路で使われる可能性があるためです。

見直しの対象

  • 流出経路となった共有設定：外部共有リンク、閲覧可能なユーザーやグループの範囲
  • 流出文書に記載されていた認証・接続情報：ID、パスワード、APIキー、接続先情報などが含まれていないか確認します。有効なパスワードやAPIキーが流出した場合は、速やかに変更・失効させ、関連するアクセス履歴を確認します。接続先情報のみの場合も、不正アクセスに悪用される可能性を評価します。
  • 流出した文書と同じ場所にある文書：同じフォルダや同じ権限設定の文書が、同様に閲覧されていた可能性を確認する
  • 退職者・異動者・委託先のアカウント：不要になったアクセス権が残っていないかを確認する

継続監視

二次被害は、漏洩の判明直後ではなく、一定期間が経ってから表面化することがあります。通知と権限見直しを終えた後も、監視期間を決めて悪用の兆候を確認し続けます。

監視の観点

監視対象確認する兆候確認する部署
顧客・取引先からの問い合わせ自社を名乗る不審な連絡があったという報告顧客窓口・営業
社内の受信メール流出した案件名や担当者名を使った不審メール情報システム
アカウントのログイン状況見直し対象アカウントへの不審なログイン試行情報システム
支払い・振込関連の依頼通常と異なる振込先変更や支払い依頼経理
社外での言及自社名や流出文書に関する外部での言及広報

監視を続けるための運用

  • 流出情報の種類や悪用リスクに応じて、監視期間・確認頻度・終了条件を決める
  • 不審な連絡やログイン試行を発見した際の報告先と、緊急対応が必要な場合の連絡経路を決める
  • 報告された事例について、発生日時、内容、対象アカウント、対応結果を記録し、新たな不正利用が確認された場合は、監視範囲の拡大や追加の注意喚起、認証情報の変更を検討する

二次被害対策の実施後に確認すること

通知や権限見直しを実施した後は、対策が実際に機能しているかを確認します。不審な連絡やログイン試行などの報告があった場合は、影響範囲を再評価し、追加の注意喚起や認証情報の変更を検討します。

監視を終了する際は、対応履歴や確認結果を整理し、共有権限の管理方法、取引先への連絡手順、社内の報告体制などの改善につなげます。

よくある質問

流出した情報による二次被害を防ぐには？

流出した情報を種類ごとに分類し、それぞれがどのような詐欺や不正アクセスに使われ得るかを想定することから始めます。そのうえで、影響を受ける顧客・取引先・従業員に具体的な注意点を伝えます。並行して関連アカウントや共有権限を見直し、一定期間は悪用の兆候を監視します。

通知は「漏洩した事実」だけを伝えればよいですか？

事実だけでは、受け取った側が何に注意すればよいか判断しにくくなります。想定される不審な連絡の内容、自社の公式な連絡手段、問い合わせ窓口をあわせて伝えると、二次被害の防止につながりやすくなります。

流出経路を止めれば、権限の見直しは不要ですか？

流出経路を止めても、流出した文書にアカウント情報や接続先が書かれていれば、それを使った侵入が起こり得ます。流出文書の記載内容を起点に、関連するアカウントや同じ場所にある文書の権限も確認することをおすすめします。

監視はいつまで続ければよいですか？

情報漏洩後の監視期間に一律の基準はありません。流出した情報の種類、認証情報の悪用可能性、不審な連絡やログイン試行の発生状況などを踏まえて判断します。監視を終了する際は、必要な認証情報の変更や権限見直しが完了しているか、新たな被害の兆候がないかを関係部署で確認してください。