本物そっくりの偽メールや偽サイトでID・パスワードを盗む「フィッシング」。盗まれた認証情報は、VPN・リモートデスクトップ・クラウドサービスへの正規利用者になりすました侵入に悪用されます。IPA「情報セキュリティ10大脅威 2026」でも、フィッシングによる情報の詐取は上位の脅威に挙げられ続けています。

フィッシング対策というと「だまされないように気をつける」入口対策が中心になりがちです。それも大事ですが、人は必ずミスをします。だからこそ、万一ログインされても、社内のどこまで触れるかを絞っておくことが、被害を小さくする鍵になります。この記事では、入口・認証・接続後の3段で整理します。

この記事でわかること

  • フィッシングで認証情報が盗まれる流れ
  • 入口で防ぐ・認証を強くする・接続後を絞る
  • 万一盗まれたと気づいたときの動き

フィッシングとは・なぜ中小企業も狙われるのか

フィッシングは、正規のサービスを装ったメール・SMS・サイトに誘導し、ID・パスワードやコードを入力させて盗む手口です。盗まれた認証情報は、そのまま社外からの接続（VPN・RDP・クラウド）に使われます。警察庁でも、フィッシングや不正アクセスへの注意が継続的に呼びかけられています。

中小企業も例外ではありません。取引先を装ったメールや、利用中のサービスの偽通知など、規模に関係なく届きます。

① 入口で防ぐ（気づき方）

まず、だまされにくくする基本です。

  • ログインは、メールやSMSのリンクではなく公式ブックマーク・公式アプリから
  • パスワードを使い回さない（パスワード管理ツールの活用）
  • リンク先のドメイン（URL）を確認する（似た文字や余計な文字が入った偽ドメインに注意。少しでも不審なら入力しない）
  • 不審なメールを受けたら、社内の通報先へ共有するルールを決めておく
  • 重要なサービスから、後述のMFAを設定する

従業者への周知・教育は、テレワーク全体の対策とあわせてテレワークのセキュリティ10項目でも扱っています。

② 認証を強くする（MFAの位置づけ）

多要素認証（MFA）や二要素認証は、ID・パスワードだけに頼らない有効な対策です。特に、メール・クラウド・リモートアクセス・管理画面など、重要な入口から優先して検討します。

ただし、MFAを入れれば十分という意味ではありません。設定不備、MFA疲労攻撃（承認を何度も求めて誤承認を誘う）、端末の乗っ取り、ログイン後のセッション情報の窃取などにより、認証後に悪用される可能性もあります。だからこそ、接続後に見える範囲を絞ることが重要です。

なお、ForceLink は鍵ベース接続を中心としており、現時点でMFAには未対応です。MFAを必須要件とする場合は、別方式や追加対策も含めてご確認ください。

③ 盗まれた後の被害を小さくする（接続後を絞る）

ここが、入口対策に偏りがちなフィッシング対策の盲点です。万一、正規のIDでログインされても、社内のどこまで行けるかを絞っておけば、被害は限定できます。

  • 接続後に社内LAN全体を開放しない（利用者ごとに必要な宛先だけ許可）
  • 共有IDをやめ、誰の接続かをログでたどれるようにする（→ 共用IDが危ない理由）
  • 退職者・委託先のアカウントを止める（盗まれやすい放置IDを減らす）
  • ログで普段と違う接続に気づく（→ ログ管理の記事）

たとえば、会計担当者のIDが盗まれても、会計PCと必要なNASだけにしか接続できない設計なら、社内LAN全体へ広がるリスクを下げられます。ForceLinkは、認証情報が悪用された場合でも、許可した利用者が接続できる社内リソースを限定する「社内リソース・ルート制御」を備えたリモートアクセス製品の一例です。接続後に社内LAN全体を開放しない設計で横移動のリスクを抑えますが、現時点でMFAには未対応で、フィッシング対策を単体で完結させる製品ではありません。考え方は中小企業のゼロトラスト入門でも整理しています。

万一、盗まれたと気づいたら

パスワード変更だけで終わらせないことが大切です。次を順に確認します。

確認項目見ること・やること
パスワード変更該当サービスと、同じパスワードの使い回し先も変更する
セッション無効化ログイン済みの端末・セッションを強制ログアウトする
MFA設定不審なMFA登録・認証アプリ・電話番号が追加されていないか
アプリ連携不審な外部アプリ連携・アプリパスワード・APIキー（外部連携用の認証情報）がないか
接続ログ普段と違う接続元・時間帯・接続先がないか（→ ログ管理の記事）
権限・到達範囲共有フォルダ・NAS・社内システムへどこまで触れたか

影響範囲に応じて、社内の連絡先・専門機関へ相談します。気づいた直後の動き方はサイバー攻撃に気づいた直後の初動でも整理しています。個人データが関わる場合は個人情報保護法の安全管理措置の記事も参照してください。

フィッシング対策チェック

フィッシング対策チェック入口・認証・接続後の3段で
  • ログインはブックマーク・公式アプリから（メールのリンクを避ける）
  • パスワードを使い回していない（管理ツールの活用）
  • 不審メールの共有・通報ルールがある
  • 重要サービスのMFAの要否を検討している
  • 接続後に社内LAN全体へ到達できない（必要な宛先だけ）
  • 共有IDをやめ、退職者・委託先を止められる
  • 接続ログで異常に気づける

まとめ：押さえるべき3点

  1. フィッシングは、盗んだ認証情報で正規利用者になりすます。入口対策だけでは防ぎ切れない
  2. MFAは有効だが頼り切らず、接続後の到達範囲を絞ることで被害を限定する
  3. 万一に備え、パスワード変更・アカウント停止・ログ確認の動きを決めておく

自社での進め方は、セキュリティのページやテレワークのセキュリティ10項目を確認しつつ、あわせて料金ページとFAQで確認してください。

参考・出典