3分でわかる情報セキュリティ ― アナログ侵入への注意編

「　3分でわかる情報セキュリティ　」について
杏林学園の全教職員を対象とした、情報セキュリティ強化のための連載です。患者・学生・教職員の情報を守るため、閲覧の程よろしくお願いいたします。また、周りの教職員への周知にご協力いただければ幸いです。全記事と詳細は　こちら　から読むことができます。お問い合わせは総合情報センター（井の頭6232）まで。

本連載では、サイバー攻撃、フィッシング詐欺、サポート詐欺等を紹介してきました。このような最新脅威への対策を図ることは重要ですが、そればかりに目を向けていると、基本的な対策を怠ることがあります。その重要性を思い知らされるインシデントが2025年10月にある大学で発生しました。
今回は、教職員にとって「身近な脅威」を示す重要な教訓として上記インシデントを紹介します。大変シンプルかつ日頃から注意すべきポイントが含まれており、そのポイントを守ることが研究室や事務室等での情報セキュリティインシデント発生の防止につながります。

インシデントの概要

注意喚起ポイント

教訓と再発防止

この事案は「ちょっとした油断」が重大な漏えいにつながることを示しています。

• サイバー攻撃だけでなく、物理的な侵入にも注意が必要
• 情報管理は一人ひとりの習慣がカギ
• 大学全体でセキュリティ意識を共有し、継続的に教育・訓練を行うことが不可欠

まとめ

この事案は、「ログイン状態の放置」や「入室管理の甘さ」が情報漏えいにつながることを示しました。サイバー攻撃とは違い、人が研究室に侵入して研究室内のPCを直接操作し、情報を盗み出すという非常にシンプルでアナログ的な手法でインシデントが発生しています。
教職員一人ひとりが日常業務の中で、PCロック・施錠・パスワード管理を徹底し、組織全体でセキュリティ意識を高める必要があります。技術ではなく人の心理を悪用して情報を盗む攻撃への対策も忘れてはいけません。

参考用語

「ソーシャルエンジニアリング」
人間の信頼・不注意・思い込みを悪用して、パスワードや個人情報を騙し取る手口の総称。
“学内・院内の人”を装って近づく場合も多い。

ソーシャルエンジニアリングを利用した攻撃手法

代表例	概要	具体例
フィッシング （Phishing）	実在の組織を装い、偽メールや偽サイトを用いてID・パスワード、個人情報を入力させる	学事システムやクラウドサービスに似せた偽サイトからアカウント乗っ取り、個人情報漏えい、金銭的被害が発生する
プリテキスティング （Pre-texting）	攻撃者が信頼性を装い、巧妙な口実で警戒心を薄れさせ、緊急性も煽ることで、個人情報を引き出す	「システム障害が発生した」などと教職員を装って連絡し、確認するという名目でID・パスワード、個人情報を引き出す
ベイティング （Bating）	好奇心を煽り、メディア機器などを操作させたり、ネット広告をクリックさせたりして、ウイルスに感染させる	研究室や共用パソコン付近に落とし物を装ったUSBメモリを置き、それを拾った人が誰のものか確認するためにPCに接続するとマルウェアがインストールされる
インパーソネーション （Impersonation）	教職員・業者になりすまし、建物やシステムに侵入し、不正操作を行ったり、業務の指示を出したりする	物理的に研究室に侵入する他に、経営幹部（学長等）を名乗り、経理担当者に緊急の送金や機密情報の共有をメール等で指示する
ショルダーハッキング （Shoulder Hacking）	背後から画面・キーボード入力を盗み見る	カフェや電車等で、他人のPC・スマホの画面、キーボードの指の動きからパスワード・機密情報を盗難する
トラッシング（Trashing）	ごみ箱に捨てたメモ・付箋、ごみ集積所の書類・USBメモリ・ハードディスクから情報を取得する	ごみ漁りから得た氏名・電話番号・内部情報を足がかりに不正ログインによる攻撃等を仕掛ける