企業が不正アクセスを受けたというニュースを目にする機会が増えています。
その際、企業の公表文に「情報漏えいの有無については現在調査中です」「情報漏えいの事実は確認されておりません」といった説明が掲載されているのを見たことはないでしょうか。
もちろん、調査の途中で全ての事実を明らかにすることは困難です。
しかし、ここで注意していただきたいことがあります。
「情報漏えいが確認されていない」という説明は、「情報漏えいが発生していない」という意味ではありません。
そもそも、何を根拠に情報漏えいの有無を判断しているのでしょうか。
不正アクセスを受けたサーバーを復旧させた。マルウェアを駆除した。セキュリティソフトで検査したところ異常は検出されなかった。
これらは重要な対応ですが、それだけでは情報が持ち出されていないことの証明にはなりません。
そこで必要になるのが「デジタルフォレンジック調査」です。
今回は、情報漏えいとフォレンジック調査の関係、企業が取るべき初動対応、そして経営者が事前に準備しておくべきことについて解説します。
フォレンジック調査とは？なぜ情報漏えいの際に必要なのか
デジタルフォレンジックとは、パソコンやサーバー、ネットワーク機器などに残された電子的な記録を収集・保全・分析し、発生した事象やその原因を明らかにするための技術や調査手法です。
サイバー攻撃を受けた際のフォレンジック調査では、主に次のようなことを確認します。
-
いつ、どこから不正アクセスを受けたのか
-
攻撃者はどのような方法で侵入したのか
-
侵入後、どのような操作が行われたのか
-
どの端末やサーバーまで被害が広がったのか
-
個人情報や機密情報にアクセスされた形跡はあるのか
-
外部に情報が送信された可能性はあるのか
-
攻撃者が再侵入できる状態は残っていないか
例えば、ある企業のサーバーから不審な通信が発見されたとします。
通信先が海外のIPアドレスだったとしても、それだけで情報漏えいが発生したと断定することはできません。
一方、通信先を遮断しただけで安全になったと判断することもできません。
その通信はいつから発生していたのか。どのプログラムが通信していたのか。通信の前に大量のファイルが圧縮されていなかったか。通常とは異なるアカウント操作が行われていなかったか。
こうした情報を組み合わせ、攻撃者の行動を時系列で再構成していく必要があります。
ただし、フォレンジック調査を実施すれば必ず全てが判明するわけではありません。
記録が残っていない場合や、攻撃者によって証拠が削除されている場合には、情報漏えいの有無や範囲を確定できないこともあります。
だからこそ、事故が起きる前から調査可能な環境を整えておくことが重要なのです。
→https://kreuz-corp.co.jp/information-security/digital-forensics/
2026年、情報漏えいを巡る状況はどう変わっているのか
2026年8月から9月にかけて、国内企業・組織における不正アクセスや個人情報漏えいの公表が相次ぎました。
これを受けてJPCERT/CCは、10月8日に「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」を公表し、翌9日にも情報を更新しています。
この注意喚起では、攻撃の手口として、既知の脆弱性の探索・悪用、APIを経由した不正操作、Webシェルの設置などが紹介されています。
注目したいのは、被害を受けているのが一般利用者向けのWebサービスだけではないという点です。
従業員向けの管理システムやBIツールなど、企業が内部管理のために利用しているシステムも攻撃対象になっています。
また、IPAも2026年10月9日に「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」を公表しました。
そこでは、外部公開アプリケーションやクラウドサービスの棚卸し、不審なログやアカウントの確認などを求めています。
特に、異常が確認された場合には、情報漏えいの可能性を考慮して専門のセキュリティベンダーに詳細調査を依頼することを強く推奨しています。
これまでランサムウェア対策というと、ファイルの暗号化による業務停止やバックアップからの復旧に注目が集まりがちでした。
しかし、現在の攻撃では、システムを停止させずに情報だけを窃取するケースにも注意が必要です。
画面上に異常がなく、通常どおり業務ができていることは、侵害されていないことの証明にはなりません。
攻撃者がどのような手法を使ったかだけでなく、企業側がその行動を検知し、後から調査できる状態にあるかが問われています。
情報漏えいは「発生していない」のか「確認できない」のか
ここは、経営者の方に特に理解していただきたい部分です。
例えば、不正アクセスを受けたことが判明した企業で、次のような状況だったとします。
サーバーへの不正ログインは確認されたものの、アクセスログは直近の数日分しか保存されていない。
ネットワークの通信記録も残されておらず、攻撃者がどの情報にアクセスしたのか分からない。
この状態で、企業は「情報漏えいは発生していない」と説明できるでしょうか。
答えは、そう簡単ではありません。
情報漏えいを示す証拠が見つからなかったとしても、それが調査に必要な証拠自体が残っていないためであれば、漏えいがなかったとは判断できません。
フォレンジック調査で重要なのは、事実を確認することだけではありません。
何が確認できて、何が確認できなかったのか。その理由は何なのか。
そこまで整理することです。
企業にとって最も避けたいのは、調査が不十分なまま安全だと判断し、後になって情報漏えいが判明する事態でしょう。
一度「情報漏えいはない」と公表した後に大量の情報流出が明らかになれば、顧客や取引先からの信頼は大きく損なわれかねません。
不正アクセスを受けた際、絶対に避けたい初動対応
サイバー攻撃が疑われる際、従業員や情報システム担当者は、少しでも早く業務を正常な状態に戻そうとします。
その判断自体は理解できます。
しかし、慌てて行った操作によって、後の調査に必要な証拠が失われることがあります。
例えば、感染が疑われるパソコンをすぐに初期化する。
不審なファイルを削除する。
侵害されたサーバーを調査前に再構築する。
こうした対応は、攻撃者が残した痕跡を消してしまう可能性があります。
また、安易な再起動や電源断によって、メモリ上にしか残っていない情報が失われる場合もあります。
ただし、電源を切ってはいけないという意味ではありません。ランサムウェアによる暗号化が進行しているなど、被害拡大を防ぐために緊急停止が必要な状況もあります。
重要なのは、被害拡大の防止と証拠保全を両立させることです。
不正アクセスやマルウェア感染が疑われた場合、まずは以下の対応を検討してください。
-
発見した日時、端末、警告画面、不審な挙動を記録する
-
組織内の責任者と対応窓口に速やかに連絡する
-
感染拡大や外部通信を防ぐため、対象端末・システムのネットワーク隔離を検討する
-
初期化・再インストール・ログ削除など、証拠を失う操作を安易に行わない
-
必要に応じて専門家に連絡し、証拠保全と調査の進め方を判断する
サーバーや医療情報システムなど、停止によって業務に重大な影響が生じる環境では、事前に定めた手順に従い、業務責任者と連携して対応することが重要です。
そして、従業員がこれらの判断を全て行う必要はありません。
むしろ、従業員には「異常を発見したら誰に連絡するのか」「自分の判断で何をしてはいけないのか」を明確にしておくことが大切です。
個人情報が漏えいした場合、企業には報告義務が生じる
情報漏えいの発生は、システムの問題だけでは終わりません。
個人情報保護法では、一定の個人データの漏えい等が発生した場合、または発生したおそれがある場合に、個人情報保護委員会への報告と本人への通知が義務付けられています。
2026年10月時点の一般的な民間事業者向けのルールでは、報告対象となる事態を知った場合、速報は速やかに、概ね3〜5日以内に行うことが求められます。
確報は原則30日以内、不正の目的をもって行われたおそれがある行為による事態については60日以内です。
報告が必要となる代表的な事態には、要配慮個人情報が含まれる個人データの漏えい等、不正の目的による行為が関係する漏えい等、本人の数が1,000人を超える漏えい等があります。
ここで重要なのは、情報漏えいが確定するまで報告を待てばよいわけではないということです。
法令上の報告対象には、漏えい等が発生した「おそれ」がある場合も含まれています。
また、調査が完了していない段階では、その時点で把握している事実を速報として報告することができます。
情報漏えいが疑われた場合、企業は短期間のうちに被害拡大の防止、調査、行政機関への報告、本人への通知の要否を検討しなければなりません。
フォレンジック調査は、こうした判断を裏付けるための重要な手段でもあります。
なお、医療機関や特定の業種では、所管官庁への報告や契約上の通知など、別途必要となる対応があります。
フォレンジック調査の費用はどのくらいかかるのか
フォレンジック調査を外部に依頼する際、多くの企業が気にするのが費用でしょう。
ただし、調査費用を一律に示すことは困難です。
調査対象となる端末が1台なのか、サーバーやクラウド環境を含む組織全体なのかによって、必要な作業は大きく変わります。
侵害を受けた日時が明らかな場合と、数か月前から侵入されていた可能性がある場合でも、調査範囲は異なります。
さらに、外部への情報送信の有無や侵入経路の特定など、調査目的によって必要な分析も変わります。
費用を抑えるうえで重要なのは、最初から全てのシステムを詳細調査するのではなく、何を明らかにする必要があるのかを整理することです。
まずは初期調査で侵害の可能性と影響範囲を確認し、その結果に応じて詳細なフォレンジック調査の対象を決定する方法もあります。
ただし、初期調査の段階でも、後の詳細調査に必要な証拠を失わないようにしなければなりません。
また、事故発生後に慌てて調査会社を探すのではなく、平時から相談先を決めておくことも重要です。
企業が負担するのは調査費用だけではありません。
業務停止による損失、システム復旧、顧客対応、法務対応、再発防止など、さまざまな費用が発生する可能性があります。
調査を行わずに復旧を優先した結果、侵入経路が残され、再び被害を受けるような事態は避けなければなりません。
フォレンジック調査を必要とするのは大企業だけではない
「うちの会社は小規模なので、そこまでの調査は必要ない」
そのように考える経営者の方もいるかもしれません。
しかし、企業規模と情報漏えいによる影響は、必ずしも比例しません。
例えば、小規模な企業であっても、取引先の機密情報や従業員の個人情報を大量に保有していることがあります。
医療機関であれば、患者の診療情報など、機微性の高い個人情報を取り扱っています。
また、自社の被害だけでなく、取引先への影響が問題となる場合もあります。
取引先から預かった情報が流出した場合、侵入を受けた企業自身が小規模であることは、十分な説明ができない理由にはならないでしょう。
さらに、専任の情報システム担当者がいない企業ほど、事故発生時の対応が難しくなる傾向があります。
サーバーの管理は外部の業者に任せている。ネットワーク構成を把握している人がいない。誰がログを管理しているのか分からない。
こうした状態で不正アクセスが発覚すると、調査を始める以前に、何を調査すればよいのか分からないという問題に直面します。
だからこそ、中小企業においても、外部の専門家をどのように活用するのかを平時から考えておく必要があります。
本当に必要なのは「調査できる状態」を日頃から維持すること
情報漏えいの発生時に適切な調査を行うためには、事故が起きてから準備を始めても間に合わないことがあります。
特に重要なのがログの管理です。
ログとは、システムへのログイン、ファイルへのアクセス、通信などの操作や動作を記録したものです。
例えば、不正アクセスの疑いが発覚した際、ログが数日分しか残っていなければ、それ以前の攻撃者の行動を追跡できない可能性があります。
また、ログを記録していたとしても、誰も確認していなければ、異常の発見が遅れることがあります。
ログの取得、保管、監視は、それぞれ異なる役割を持っています。
少なくとも、自社で次の事項を確認しておく必要があります。
-
どのシステムで、どのようなログを取得しているか
-
ログはどのくらいの期間保存されているか
-
不審なアクセスを誰が確認することになっているか
-
攻撃者にログを削除・改ざんされないようになっているか
-
事故発生時に必要なログを誰が保全できるか
-
クラウドサービスや委託先のログを取得できるか
ここで注意したいのは、ログを長期間保存するだけで十分というわけではないことです。
必要な操作が記録されていなければ、いくら保存期間を延ばしても調査には役立ちません。
また、保管しているログの時刻がずれていたり、複数システムの記録を関連付けられなかったりすると、調査が難しくなる場合があります。
こうした管理は、フォレンジック調査だけのために行うものではありません。
日常的な不正アクセスの検知や、システムの異常確認にも役立ちます。
もう一つ重要なのが、不要な情報を持ち続けないことです。
2026年10月7日、個人情報保護委員会は大規模な漏えい等事案を踏まえた注意喚起を公表しました。
その中でも、不要となった個人データの消去について改めて注意を促しています。
そもそも保有していなければ、流出することもありません。
情報を守るためには、侵入させない仕組みだけでなく、保有する情報そのものを適切に管理することも必要です。
経営者はフォレンジック調査をサイバーBCPに組み込んでいるか
サイバーBCPでは、サイバー攻撃などによって情報システムが停止した場合に、重要な業務をどのように継続・復旧させるのかを定めます。
しかし、業務を復旧させることと、安全に業務を再開できることは同じではありません。
例えば、攻撃者が使用したアカウントや侵入経路が残っている状態でシステムを再開すれば、再び侵害される可能性があります。
そのため、サイバーBCPには、復旧手順だけでなく、初動対応や調査、証拠保全、再開判断の手順を組み込んでおく必要があります。
フォレンジック調査と復旧対応は、必ずしも全てを順番に進めるものではありません。被害拡大を防ぐ措置や代替業務の開始など、並行して進めなければならない対応もあります。
大切なのは、誰がどの情報を基に判断するのかを事前に決めておくことです。
情報漏えいの可能性があるとき、調査をどこまで行うのか。
業務を再開してよいと判断する条件は何か。
顧客や取引先、行政機関に対して誰が説明するのか。
これらは情報システム担当者だけで決められるものではありません。
最終的には、企業の経営判断が必要になります。
→https://kreuz-corp.co.jp/cyber-bcp-support/
情報漏えい・フォレンジック調査に関するよくある質問
Q. 情報漏えいが確定していなくてもフォレンジック調査は必要ですか？
必要になる場合があります。
不正アクセスの痕跡や不審な通信が確認されている場合、情報漏えいの有無を判断するために調査が必要となることがあります。
全ての事案で大規模な調査を行う必要はありませんが、まずは専門家に相談し、調査の必要性と範囲を判断することを推奨します。
Q. セキュリティソフトで異常が検出されなければ安全ですか？
異常が検出されなかったことだけで、安全と判断することはできません。
正規のアカウントを悪用した不正アクセスや、Webアプリケーションの脆弱性を利用した攻撃など、マルウェアの検出だけでは把握できない侵害もあります。
Q. フォレンジック調査は社内の情報システム担当者でもできますか？
初期的なログ確認や状況整理などは、社内の担当者でも実施できる場合があります。
一方、証拠保全、詳細な侵害解析、情報漏えい範囲の特定などには専門的な技術と経験が必要です。
調査の目的や規模に応じて、外部専門家の活用を検討することが適切です。
最後に｜情報漏えいを防ぐだけでなく、発生後に説明できる組織へ
情報漏えいを防ぐためのセキュリティ対策は、もちろん重要です。
しかし、どれほど対策を講じていても、全てのサイバー攻撃を完全に防げるとは限りません。
そのため企業には、被害を防ぐ対策と同時に、万が一の際に状況を把握し、適切に対処できる体制が求められます。
不正アクセスを受けた際、何が起きたのか分からない。情報が流出したかどうかも分からない。原因が分からないので再発防止策も決められない。
そのような状況では、顧客や取引先に対して十分な説明をすることも困難です。
フォレンジック調査は、単に攻撃者の痕跡を調べるためのものではありません。
組織として事実を把握し、必要な対策を判断し、社会に対して説明するための手段です。
そして、その調査を可能にするためには、日頃からのシステム管理やログ管理、初動対応手順の整備が欠かせません。
株式会社クロイツでは、攻撃者の視点を踏まえたセキュリティ対策と、企業・医療機関の実際の運用を重視した情報セキュリティ支援を行っています。
不正アクセスが疑われる際の初動対応や調査の進め方、情報漏えいに備えた組織体制の整備についてもご相談いただけます。
「不審なアクセスが見つかったが、何から確認すればよいのか分からない」
「自社のログ管理で十分な調査ができるのか不安がある」
「万が一の際に相談できる専門家を探している」
そのような段階でも構いません。
まずは現在の状況を整理するところから、お気軽にご相談ください。