企業のサイバーセキュリティリスクは高まり続けており、「うちの会社は大丈夫だろうか」と不安を抱えている経営者様も多いのではないでしょうか。
重大なインシデント（情報漏洩やウイルス感染など）の原因の多くは、外部からの高度なサイバー攻撃だけではありません。実は、社員の日常的な「うっかり行動」や「無意識のNG行動」がきっかけとなって発生するケースが非常に多いのが実情です。
本記事では、社員が無意識にやってしまっている危険な行動と、危険と知りつつもついやってしまいがちなNG行動を徹底解説します。自社の状況と照らし合わせながら、セキュリティ対策の見直しにぜひお役立てください。
□■□■IT関連の問題解決や、コスト削減の方法について、専門的なアドバイスが必要な場合は、ぜひITボランチにご相談ください。無料でのご相談はこちらから□■□■
Contents
気づかずにやってしまっているNG行動
セキュリティ事故の中で最も防ぐのが難しいのが、社員に悪気がなく、「業務を円滑に進めたい」「親切に対応したい」という善意から行われている無意識のNG行動です。
本人はリスクに気づいていないため、悪気なく常態化してしまうケースが多く存在します。
OSやソフトウェアのアップデートをしていない
「PC作業を中断したくない」「再起動の手間が面倒」といった理由で、OSやソフトウェアのアップデートを後回しにする社員は少なくありません。
しかし、アップデートを行わないまま放置すると、システム内に発見されたセキュリティ上の欠陥（脆弱性）を狙ったサイバー攻撃の標的になります。
脆弱性が放置された状態では、不審なファイルをダウンロードしなくても、悪意あるコードが仕込まれた改ざんサイトを閲覧しただけでマルウェアに感染するリスクが発生します。「怪しいサイトを開かないから大丈夫」という認識は通用しません。
業務データの「自分宛てメール送信」や個人クラウド保存
「残業を自宅で進めたい」「休日にも少し作業したい」という熱心な理由から、業務データを個人のGmail宛てに送信したり、個人で契約しているクラウドストレージ（DropboxやGoogle Driveなど）に保存したりする行動です。
会社から支給されたPCはセキュリティソフトやログ監視システムで守られていますが、個人所有のPCやアカウントには会社の管理が届きません。
万が一、個人PCがマルウェアに感染してファイルが流出したり、個人のID・パスワードが破られたりしても、会社側は漏洩した事実すら把握できません。 発覚が遅れるばかりか、流出後の原因調査も不可能な状態に陥ってしまいます。
Web会議での「画面共有」時に見えてはいけない情報が映り込む
リモートワークの普及に伴い日常化しているWeb会議ですが、画面共有の機能には大きな漏洩リスクが潜んでいます。
画面全体（デスクトップ）を共有している際、デスクトップ上に保存されたファイル名や、チャットツール（SlackやTeamsなど）のデスクトップ通知ポップアップが、意図せず参加者に見えてしまうことがあります。
これにより、他社の顧客名、検討中の新プロジェクト名、人事評価などの極秘情報が外部に漏洩するリスクが高まります。特にWeb会議が録画されていた場合、機密情報が映像証拠として永続的に残ってしまうため非常に危険です。
社外での電話・PC作業による「のぞき見・盗み聞き（ショルダーハック）」
カフェや新幹線、コワーキングスペースなどの公共の場所は、不特定多数の人が周囲に存在します。このような環境で覗き見防止フィルターを貼らずにPC作業を行うと、スマートフォンなどで遠くから画面を撮影され、簡単にデータが盗まれてしまいます。
また、周囲に人がいる状態で「〇〇さん、例のA社との契約の件ですが…」といった電話の会話をすることも危険です。会話内容から取引先や進行中のプロジェクト情報を盗み聞きされ、競合他社や悪意ある第三者に悪用されるおそれがあります。
退職者アカウントの放置と、不要な共有ドライブの「共有継続」
プロジェクトが終了したり、担当者が退職・異動したりしたにもかかわらず、Google DriveやOneDriveのフォルダ共有設定が有効なまま放置されるケースです。
退職者や委託先のアカウントが後にサイバー攻撃を受けた場合、そこを経由して自社の社内ドライブへ不正アクセスされるリスクが発生します（サプライチェーン攻撃）。攻撃者は「正規の共有権限」を利用して侵入するため、セキュリティ監視ツールでも異変を検知しにくいという恐ろしい特徴があります。
SNSへの投稿（オフィスの写真・社章・イベント画像など）
社員が個人のSNSに投稿したオフィスの写真やイベント画像が、重大な標的型攻撃のヒントになります。サイバー攻撃者は標的型メールを送る前段階として、SNS上で社員の情報を入念にリサーチしています。
- 社員証の写真から「社員番号のフォーマット」や「氏名」が漏洩する
- デスク背景の写真（カレンダーやホワイトボード）から「組織体制」や「使用中のITツール」が特定される
これらの情報をもとに、攻撃者は「ITサポートの〇〇ですが、システム更新が必要です」といった、見分けがつかないほど巧妙な偽メール（フィッシングメール）を作成・送付してきます。
不要になった印刷物の放置・普通ゴミへの廃棄
デジタルデータだけでなく、紙のデータ管理にも盲点があります。プリンターの排紙トレイに置き忘れた資料や、シュレッダーを通さずにそのまま可燃ごみ箱へ捨てられた印刷物は、誰でも手に取ることができる状態です。
清掃業者、ビル内の他社社員、外部からの訪問者などに持ち出される危険性があります。オフィスゴミを直接狙って機密情報を収集する手法は「ダストダスティング（ゴミ箱荒らし）」と呼ばれ、古典的ですが現在でも非常に有効な脅威として存在しています。
認識しているがついやってしまっているNG行動
続いて、社員自身が「本当はやってはいけない」と頭では理解しつつも、利便性の追求やうっかりとした不注意から発生してしまう代表的なNG行動を紹介します。
パスワードの使い回し・単純な設定
「複数のパスワードを覚えるのが大変」「設定が面倒」という理由から、同じパスワードを社内外の多様なサービスで使い回したり、「123456」や「password」などの単純な文字列を設定したりする行動です。
もし社員が利用している外部の個人向けサービスでパスワード漏洩が起きた場合、そのID・パスワードを使って社内システムへ不正アクセスされるリスク（リスト型攻撃）が急増します。
不審なメールの添付ファイル・URLを開く
業務連絡を装った巧妙な標的型攻撃メールが増加しています。「請求書の送付」や「重要なお知らせ」といった件名に騙され、不用意に添付ファイルを開いたり本文中のURLをクリックしたりしてしまうケースです。
これにより、PCがマルウェア（エモテット等）に感染したり、偽のログイン画面に誘導されてアカウント情報を盗み取られたりする被害が発生します。
生成AIツールへの社内情報・顧客情報の入力
ChatGPTなどの生成AIツールは大変便利ですが、企業の許可なく社内情報や顧客情報を入力することは極めて危険です。
多くの生成AIサービスでは、入力されたデータがモデルの「再学習」に使用される仕様になっています。未公開プロジェクトの概要、システムのエラーコード、顧客からの問い合わせ内容を入力してしまうと、AIが他のユーザーへ出力する回答の中に、自社の機密情報が紛れ込んで流出する可能性があります。
端末の放置・ロック忘れ
「少しトイレに行くだけだから」「数分で戻るから」と、離席時にPCの画面をロックせずに放置する行動です。
無人のPCが放置されている間に、オフィスを訪れた外部業者や悪意ある第三者、あるいは内部の人間によって画面内の機密情報を閲覧されたり、USBメモリ等でデータを不正に抽出されたりする危険性があります。
公共Wi-Fiでの業務端末の利用
出張先やカフェなどで提供されている無料の公共Wi-Fi（フリーWi-Fi）に、セキュリティ対策を行わずに業務端末を接続する行動です。
暗号化されていない公共Wi-Fiや、悪意ある第三者が設置した「偽のアクセスポイント」に接続してしまうと、通信内容（パスワードや送信データ）を第三者に簡単に傍受・盗聴されてしまいます。
低コストで訓練を実施し、社員の行動を数値で確認できます。標的型攻撃メール訓練で、情報漏えいリスクに備えましょう。
⇒ 攻撃メールくんの詳細はこちらなぜNG行動が多発してしまうのか？
こうしたNG行動が社内で多発する根本的な理由は、「社員が業務をスムーズに進めようとしており、リスクをリアルタイムで実感しにくいから」です。
社員は「会社に損害を与えよう」と思って行動しているわけではありません。「期日に間に合わせたい」「手軽に作業したい」という業務上の利便性を優先した結果、セキュリティが後回しになってしまっているのです。
そのため、経営層や管理部門がただ「ルールを厳しく禁止する」だけでは解決しません。
- 自動アップデートをシステム側で強制適用する
- 社外からの安全なアクセス方法（VPN等）を用意する
- 業務で使用できる安全な生成AI環境を提供する
このように、ルールを整えると同時に「安全かつ業務がしやすい環境」を会社側がハード・ソフト両面でサポートすることが不可欠となります。
まとめ：社員のセキュリティリテラシーを確認し、定期的な教育の見直しをしましょう
企業のセキュリティ対策は、どれほど高価なセキュリティシステムを導入していても、社員一人ひとりのちょっとした「うっかり行動」一つで破られてしまうリスクを常に抱えています。
まずは自社の中で今回ご紹介したようなNG行動が日常化していないか、実態を把握することから始めましょう。
単にルール違反を責めるのではなく、「なぜその行動が危険なのか」という具体的なリスクの背景をわかりやすく伝える定期的なセキュリティ教育を行い、社員全体のセキュリティリテラシーを向上させていくことが大切です。
自社のセキュリティ運用に不安がある場合は、一度専門家によるリスク診断や社内教育プログラムの導入を検討してみてはいかがでしょうか。
