AIを悪用したサイバー攻撃に備え |
今できる対策をわかりやすく

AIの悪用で、偽のメールや偽のサイトは本物と見分けがつきにくくなりました。メールを受け取っただけで被害が出るわけではありませんが、添付ファイルを開く・リンクを押す・パスワードを入力するといった操作をきっかけに、社内のパソコンが乗っ取られ、ホームページの管理システムやサーバーまで被害が広がるおそれがあります。このページでは、想定される被害と、初歩的なBASIC認証から多要素認証（MFA）・CSRF対策までの守り方を、「人・ソフト・ハード」の3つに分けて、専門用語なしで解説します。

30秒でわかる、今できる対策

結論：対策の基本は「スタッフの知識」です。そのうえで、システム側の対策（ソフト）と機器・ネットワーク側の対策（ハード）を組み合わせて、はじめて効果が出ます。どれか1つだけでは、必ずすり抜けられる場面が残ります。たとえば「管理画面は社内からしか接続できない」という制限があっても、社内のパソコンそのものが乗っ取られれば、攻撃者は「社内の人」として通過できてしまいます。

なぜ今、AIを悪用した攻撃に備える必要があるのか

想定される攻撃と被害

偽メールから始まる攻撃は、おおむね次の4段階で広がります。どの段階で止められるかによって、被害の大きさが変わります。

社内のパソコンが乗っ取られた後に起こりうる被害は、主に次の5つです。

対策は「人・ソフト・ハード」の3層で考える

セキュリティ対策というと「機器を買う」「ソフトを入れる」をイメージしがちですが、実際には次の3つの層があり、それぞれ守れる場面が異なります。「ハードを入れたから安心」「ソフトを入れたから安心」ではなく、3つを同時にそろえてはじめて意味があります。

※WAF（ウェブアプリケーションファイアウォール）のように、機器としても、クラウド上のサービス（ソフト）としても導入できる対策もあります。分類よりも、「どの場面を守る対策なのか」を知っておくことが大切です。

1つだけでは意味がない理由｜すり抜けられる場面の一覧

どの対策にも、単独では防げない場面があります。下の表の「補う対策」まで組み合わせることで、弱点を互いに埋め合えます。

対策内容｜初歩のBASIC認証から多要素認証・CSRF対策まで

ホームページの管理システムやサーバーを守る対策を、取り組みやすい順に並べました。「分類」は、主にどの層で行う対策かを示しています。

BASIC認証｜管理画面の前に置く「もう1枚の扉」

BASIC認証は、管理画面を開こうとしたときに、ブラウザがIDとパスワードの入力を求める仕組みです。WEBサーバーの設定だけで導入できる、最も初歩的な対策です。管理画面の場所を知られても、すぐにはログイン画面までたどり着けないため、機械的に大量のログインを試す攻撃の入口を減らせます。

IP制限｜「社内からしか開けない」扉とその限界

IP制限は、接続元の住所にあたる「IPアドレス」を見て、社内など決められた場所からの接続だけを受け付ける仕組みです。ルーターやファイアウォールなどの機器（ハード）でも、サーバーの設定（ソフト）でも行えます。外部からの不正ログインに対しては非常に有効です。

多要素認証（MFA）｜ログイン時の本人確認を強化する

管理システムやサーバーの管理画面で使うパスワードを、長く推測されにくいものに見直したうえで、対応できる管理画面から順に「多要素認証」を導入します。多要素認証は、IDとパスワードの入力に加えて、スマートフォンなどでも本人であることを確認する仕組みです。確認方法や日々の操作手順を共有し、スタッフ全員が使えることを確かめながら段階的に進めることで、万が一パスワードが盗まれても、それだけでは不正にログインされにくくなります。詳しくは多要素認証（MFA）・パスキー導入ガイドで解説しています。

不正操作対策（CSRF・クリックジャッキング）｜外部サイトを通じた意図しない操作を防ぐ

管理システムにログインした状態で不正なサイトを開くと、そのサイトに仕込まれた指示によって、本人が意図しない情報の変更や削除が行われることがあります（CSRF：クロスサイト・リクエスト・フォージェリ）。これを防ぐため、管理画面から送られる変更・削除などの指示に「正規の操作であることを確かめる情報」を付け、システム側で照合し、確認できない指示は受け付けないようにします。また、管理画面を別のサイトの中に埋め込み、関係のないボタンに見せかけて押させる手口（クリックジャッキング）も、埋め込みを禁止する設定で防ぎます。導入後は、通常の登録・変更・削除の作業が問題なく行えることを確認します。

この対策は「外部のサイトを通じた不正な操作」を防ぐものです。感染したパソコンを直接操作される場合とは異なるため、ログイン時の本人確認の強化などとあわせて行います。仕組みの詳細は不正操作対策（CSRF・クリックジャッキング）で解説しています。

システムの堅牢化（ハードニング）｜使っていない古いファイルや機能を整理する

管理システムやWEBサーバーの中を確認し、現在は使っていない古いファイルや機能を整理します。使われていないものでも、外部からアクセスできる状態で残っていると、不正な侵入のきっかけになることがあります。普段の更新作業では目に触れないため、古いまま残っていても気づきにくい点に注意が必要です。ホームページの表示や更新に必要なものかを確かめ、影響がないことを確認したうえで不要なファイルや機能を削除することで、攻撃に悪用される箇所を減らし、管理しやすい状態に整えます。具体的な対象は古いファイルの整理とハードニングの重要性をご覧ください。

バックアップとPC側の感染対策｜万が一に備え、入口も守る

• バックアップは「別の場所」に保管するホームページと同じサーバーやネットワークの中だけに置かず、切り離した場所にも保管します。あわせて、実際に元へ戻せるかを定期的に確かめておきます。
• パソコン・ブラウザ・セキュリティ対策ソフトを最新に保つ管理システムやサーバー側の対策は、感染したパソコンから不正なプログラムを取り除くものではありません。入口となるパソコン側の対策も欠かせません。
• サーバーの「合い鍵」をパソコンやメールに残さないサーバーの接続情報や管理者パスワードを、メール本文やデスクトップのファイルに置いたままにしないようにします。

基本はスタッフの知識｜皆さまにお願いしたい6つのこと

管理システムへの接続を社内に限定していても、社内のパソコンが乗っ取られたり、担当者のログイン情報が盗まれたりすると、不正な侵入につながります。一方で、AIを悪用した偽のメールやサイトは本物との見分けが難しく、個人の注意だけですべてを防ぐことはできません。スタッフ全員が基本的な対処方法を知ることに加え、迷ったときに相談できる体制を整えることが大切です。

「開いてしまった」「入力してしまった」ときの初動

誰でも間違えることはあります。大切なのは、隠さずに早く知らせることです。次の3つの順番を、スタッフ全員で共有しておきましょう。

立場別チェックリスト｜明日から何をすればいいか

「結局、自分は何をすればいいのか」を立場ごとにまとめました。チェックが付かない項目から順に取り組んでください。

経営者・管理責任者がやること

• 報告先と対応手順を決め、全員に共有する「誰に・どの方法で連絡するか」を1枚にまとめ、スタッフの手元に置きます。
• 「操作ミスは責めない」と明言する叱られることを恐れて報告が遅れると、被害が広がります。早い報告を評価する方針を伝えます。
• 管理画面のアカウントを棚卸しする退職者や使っていないアカウント、複数人で共有しているIDが残っていないか確認します。
• 研修・訓練を年間の予定に入れる一度きりではなく、定期的に確認する機会を設けます。

更新担当スタッフが今日からやること

• 管理システムのパスワードが、ほかのサービスと同じでないか確認する同じ場合は、会社のルールに沿って長く推測されにくいものに変更します。
• サーバーの接続情報やパスワードを、メールやデスクトップに置いていないか確認する見つけた場合は、担当者に相談のうえ社内で定めた方法で管理します。
• 作業後は「ログアウト」、離席時は「画面ロック」を習慣にするブラウザを閉じるだけでは、ログイン状態が残る場合があります。
• 報告先の連絡先を、すぐに分かる場所に控えておくいざというときに探さなくて済むようにしておきます。

制作会社・サーバー管理会社に確認すること

• 管理画面にIP制限・BASIC認証がかかっているか入口が外部に開いたままになっていないかを確認します。
• 多要素認証（MFA）に対応できるか管理システム・サーバーの管理画面それぞれについて確認します。
• CSRF・クリックジャッキング対策が入っているか管理画面の変更・削除の操作が、外部のサイトから実行されない仕組みになっているかを確認します。
• 古いファイルや使っていない機能が残っていないか定期的な棚卸しとハードニングが行われているかを確認します。
• バックアップの保管場所と、元に戻す手順同じサーバー内だけに置いていないか、復旧にどのくらいかかるかを確認します。

自社サイトの対策状況を
相談してみる（無料）
何から始めればいいか
分からなくても大丈夫!!!

よくある質問

もっと詳しく知りたい方へ

このページで紹介した対策は、それぞれ詳しい解説ページをご用意しています。

PEOPLE メールセキュリティの基本 偽メールや添付ファイルへの注意、ブックマークからのログインなど、スタッフの基本を解説します。 詳しく見る ➜ MFA 多要素認証（MFA）・パスキー導入ガイド 本人確認の仕組みと、承認通知を悪用する手口への備えを解説します。 詳しく見る ➜ CSRF 不正操作対策（CSRF・クリックジャッキング） ログイン中の担当者に意図しない操作をさせる手口と、その防ぎ方を解説します。 詳しく見る ➜ TREND AIで弱点を探すサイバー攻撃が急増 AIを使って公開サーバーの弱点を自動で探す、最近の攻撃の傾向を解説します。 詳しく見る ➜ HARDENING 古いファイルの整理とハードニング 放置された古いファイルが侵入口になる理由と、堅牢化の主な対策を解説します。 詳しく見る ➜ SECURITY セキュアサーバー開発 WAF・CDNによる多層防御と24時間監視で、ホームページの運用を安全に支えます。 詳しく見る ➜ INCIDENT 個人情報漏えい発生時の初動対応・公表フロー 事故が分かった後の対応と、誰が何を行うかを事前に決める重要性を解説します。 詳しく見る ➜ TRAINING 情報セキュリティ講習会の講師派遣 迷惑メール対策やパスワード管理、多要素認証を、実例と演習で学べます。 詳しく見る ➜

まずは「ざっくり」
相談してみる（無料）
具体的な要件が
決まっていなくても大丈夫!!!