ハック速報

やること

• スマホ・パソコン・ブラウザの「更新」を自動にする更新＝穴ふさぎ。iPhoneは「設定→一般→ソフトウェアアップデート→自動アップデート」。Androidは「設定→システム→システムアップデート」。10月に実際に悪用された穴（iPhoneの古い機種）も、更新で塞がりました。
• 画面ロックをかける（顔・指紋＋6桁以上の番号）落としたスマホは、ロックがなければ財布と通帳と印鑑を一度に落としたのと同じ。
• メールのパスワードを、ほかと違うものに変えるメールは全部のサービスの「合鍵置き場」。パスワード再設定の案内が全部ここに届くから。英国政府が最初に挙げるのもこれ。
• メールと銀行に「2つ目のカギ」をつけるログインのとき、手元のスマホにも確認が来る仕組み。まずは何でもいい（SMSでも）。やり方は各サービスの「セキュリティ」設定の中に必ずあります。
• 「急がせる連絡」は切って、自分で公式に掛け直す「警察です」「サポートです」「今すぐ振り込んで」「不在でした」。本物は急がせません。画面に出た番号ではなく、自分で調べた公式窓口にかける。相談は #9110。
• スマホの自動バックアップ（予備コピー）をONにするiPhoneはiCloud、AndroidはGoogle One。壊れても、盗まれても、暗号化されても、戻せる。
• Windows 10 のままなら「延長更新」に登録する（無料）10は2025年10月で更新が終わりましたが、設定の同期をONにすると無料で2027年10月まで延びます。それまでに11へ。

なぜ効くか

米・英・豪・日の公式ガイドが共通して挙げるのは「更新・別パスワード・2つ目のカギ・予備コピー・だましを疑う」の5つだけ。ネットバンキングの不正送金は2025年に4,747件・約104億円で、その約9割がなりすましメールから始まっています。入口はいつも同じです。

対応する基準

米 CISA「Secure Our World」4項目／英 NCSC「Cyber Aware」／豪 ASD「Easy steps」／警察庁 サイバー警察局だより（5項目）

道具

• 0円スマホとパソコンに最初から入っている機能だけ。買うものはありません。

やること

• パスワード金庫アプリを入れるiPhone／Macなら最初から入っている「パスワード」アプリ。Androidなら「Googleパスワードマネージャー」。両方またぐなら Bitwarden（無料）か 1Password（有料）。金庫の鍵は「関係ない3つの単語」をつなげた長いもの（英国政府流）にして、金庫自体にも2つ目のカギ。
• 全サイトのパスワードを「別々・長い」に総入れ替え金庫アプリが勝手に作って覚えます。10月のソースネクスト・So-netのように「読める形」で漏れたとき、使い回しがあると芋づる式に入られる。
• パスキー（顔・指紋だけで入る方式）が使えるサービスは切り替えるGoogle、Apple、Amazon、Yahoo! JAPAN、メルカリ、楽天、証券各社はもう対応。偽サイトでは動かないので、だまされても盗まれない。Yahoo! JAPANは2027年春にパスワードだけのログインを終了予定。
• 2つ目のカギを「SMS」から「アプリかパスキー」に格上げ米国政府の序列では、SMSは「最後の手段」。電話番号を乗っ取られると届かなくなるから。
• 自分のメールアドレスが漏れていないか調べる（Have I Been Pwned）無料。178億件の漏えい記録と照合してくれる。出てきたサイトはパスワードを変える。
• 使っていないアプリ・アカウントを消す10月の無印良品は「退会者」の情報も漏れました。残っている限り、漏れる元になる。
• 銀行・カード・証券・決済の「利用通知」を全部ON気づくのが早いほど、取り返せる額が増える。
• 家族と「合言葉」を決めるAIは数秒の音声で家族の声を作れます。「お金の話が出たら合言葉」。米FBIが公式に勧める方法。高齢の家族の固定電話は、国際電話の休止と留守番電話設定も。
• パソコンにも予備コピー（クラウド＋外付け）。年1回、戻せるか試す「取っているつもり」が一番多い失敗。戻したことがなければ、取っていないのと同じ。

なぜ効くか

2026年上半期、ネットバンキングの不正送金は前年の半分（253件・約21億円）に減りました。2つ目のカギとパスキーの普及が効いたと見られています。一方、SNSで誘う投資詐欺は約2.2倍（798億円）。つまり「仕組み」で止まるものは止まり、「人をだます」ものが残った。この段で仕組みを全部入れ、残りは「切って掛け直す」で受けます。

対応する基準

英 NCSC「Cyber Aware」6項目／豪 ASD「Personal cyber security: first steps」／IPA 10大脅威2026 個人編の大半に効く

道具（3つまで）

• 金庫Apple「パスワード」／Googleパスワードマネージャー／Bitwarden
• 漏えい確認Have I Been Pwned（haveibeenpwned.com）
• 予備コピーiCloud／Google One＋外付けドライブ1台

やること

• 物理キー（USBの鍵）を2本買う。1本は予備で別の場所にYubiKey など、1本7,000〜9,000円。メール・金庫アプリ・SNS・Googleに登録。手元にないと入れないので、遠くの犯人には何もできない。米国政府はこれを「金の基準」と呼びます。
• 大事なアカウントから「SMSのカギ」を外す物理キーかパスキーだけにする。電話番号を乗っ取られても届かない。
• お金の操作は「専用の部屋」でやる銀行・証券は専用のブラウザ（別プロファイル）か専用の端末だけで開く。普段のブラウザで開かない。拡張機能も入れない。
• 予備コピーを「切り離す」。月1回、戻せるか試すクラウド＋USBドライブを抜いて保管。つなぎっぱなしの外付けは、身代金ウイルスに一緒に消されます。
• 家のWi-Fiルーター：管理パスワードを変え、自動更新をON。更新が終わった古い機種は買い替え箱の裏に書いてあるパスワードのままの家は多い。ルーターは「家の玄関」。
• 電話番号の乗っ取りに備える携帯会社のアプリに2つ目のカギ。突然「圏外」になったら乗っ取りの合図、すぐ携帯会社に電話（楽天証券が2026年4月に注意喚起）。ドコモは2026年8月から、再発行も店頭でICチップ確認が必須に。
• 信用情報の「本人申告」を出しておく（CIC・JICC）免許証などが漏れた・なくした人向け。「自分の名前で勝手に借金されるのを防ぐ」札。CICは500円・5年有効、JICCは700〜1,000円。
• SNSの誕生日・住所・勤務先・ペットの名前を非公開にする「秘密の質問」の答えと、なりすましの材料になる。
• スマホの「要人モード」の場所を知っておくiPhone「ロックダウンモード」、Android「高度な保護」、Galaxy「自動ブロッカー・最大制限」。今はOFFでいい。脅されたり、変な着信が続いたらON。

なぜ効くか

この段から目的が変わります。「入られない」から「入られても、お金は動かない・データは戻る」へ。証券口座の乗っ取りは2025年に9,861件・売却約3,949億円。各社がパスキー必須に切り替えた2026年7月以降、ほぼ沈静しました（金融庁）。仕組みを変えると、犯罪は本当に減る。

対応する基準

米 CISA「フィッシング耐性のある2つ目のカギ」ファクトシート／英 NCSC バックアップ指針／金融庁 証券口座乗っ取り対策（パスキー推奨）

道具（3つまで）

• 鍵YubiKey 5 NFC ×2本（iPhoneにもかざせる）
• 部屋ブラウザの別プロファイル（Chrome／Firefox）か、中古でいいので専用端末
• コピー外付けSSD 1台＋クラウド（クラウド側にも2つ目のカギ）

やること

• Googleの「高度な保護プログラム」に入る物理キーかパスキー必須、怪しいアプリの接続を遮断。乗っ取られても復旧に数日かかる＝犯人にも数日かかる。
• iPhoneは「ロックダウンモード」常用を検討。Androidは「高度な保護」をONiOS 27からは特定の連絡先だけ除外できるので、常用しやすくなった。Appleは2026年3月「このモードの端末が傭兵スパイウェアに破られた例は把握していない」と表明。
• 電話番号を2つに分ける：公開用と、お金・復旧専用専用の番号は誰にも教えない。名刺にもSNSにも出さない。
• メールアドレスも分ける：登録用は使い捨て、金融用は別iPhoneの「メールを非公開」、各社の別名アドレス機能。漏れても「どこから漏れたか」がわかり、捨てれば終わる。
• 暗号資産は取引所に置きっぱなしにしない物理の箱（ハードウェアウォレット）に移し、送金は必ず少額でテスト。10月のBinanceは全額補填されましたが、次もそうとは限らない。
• 家族・秘書・経理と「本人確認の手順」を決める送金や設定変更の依頼は、別の経路で折り返し＋合言葉。声も顔も本人の証明にはならない時代。
• 漏えいの通知を受け取る。個人向けサイバー保険を検討するHave I Been Pwned の通知登録（無料）。保険は「相談窓口と弁護士費用」の部分に価値がある。
• 年1回、専門家に端末と設定を点検してもらう自分で見た「大丈夫」と、他人が見た「大丈夫」は違う。

なぜ効くか

10月のBinance（約1兆円）は、技術者1人のパソコンから始まりました。あなた自身が会社やお金の「鍵」である立場なら、攻撃者は会社ではなくあなたの生活を狙います。AIを使った詐欺はFBIの集計で2025年に22,364件・損失8.93億ドル。「本人の声」はもう証明になりません。

対応する基準

Google Advanced Protection Program／Apple Lockdown Mode／EFF「Surveillance Self-Defense」

道具（3つまで）

• 鍵YubiKey ×2（Lv.3で購入済み）＋Google 高度な保護
• 箱ハードウェアウォレット（Ledger／Trezor 等、必ず公式から購入）
• 別名「メールを非公開」（Apple）／Firefox Relay／各社のエイリアス機能

やること

• ロックダウンモードを常時ON。端末は定期的に初期化する政府級のツールは「何もしなくても入られる」ことがある。入られた時間を短くするのが初期化。
• スパイウェアの検査を受ける（iVerify、アムネスティのMVT）自分でやらず、専門家と。痕跡は普通の設定画面には出ません。
• 連絡は「消える設定」付きの暗号化メッセンジャー（Signal）。機密はクラウドに同期しない
• 旅行用の空っぽの端末を持つ（出国前と帰国後に初期化）
• 予備コピーは暗号化して、物理的に離れた場所にオフライン保管
• 無料の専門ヘルプラインを知っておくAccess Now「Digital Security Helpline」（24時間・多言語）、Citizen Lab（トロント大）。市民社会向けに無料で対応している。
• 「誰が・何を・どうやって狙うか」を専門家と書き出す全部を守ろうとすると全部が薄くなる。本丸を決めて、そこに守りを集める。

なぜ効くか

この段に「100%」はありません。目的は「入られるまでの時間を延ばす」「入られている時間を短くする」「入られても取られる物を減らす」の3つ。Lv.1〜4の全部を土台にして、その上に専門家の目を足します。

対応する基準

EFF「Surveillance Self-Defense」／Access Now Helpline／Apple Lockdown Mode・Google Advanced Protection（要人向け設計）

やること

• IPAの「6か条」をそのまま社内ルールにする更新する／ウイルス対策を入れる／パスワードを強くする／共有設定を見直す／予備コピーを取る／手口を知る。2026年3月に「バックアップ」が加わって6つになりました。
• 「SECURITY ACTION ★」を宣言する（無料）IPAの自己宣言制度。2026年4月からはGビズIDで即日発行。取引先に「うちは★1です」と言える最初の一枚。
• 会社のメール（Google Workspace／Microsoft 365）全員に「2つ目のカギ」を強制管理画面で「必須」にする。本人に任せると付けない人が必ず出ます。
• 業務パソコンから「管理者の権限」を外す社員が勝手にソフトを入れられない状態にする。ウイルスも「勝手に入れられない」。
• 送金先の変更・急ぎの支払いは「電話で折り返して確認」をルールにする社長や取引先になりすましたメールで振り込ませる手口（10大脅威10位）は、このルール一つで止まります。
• 社員全員が個人編Lv.1を済ませる（私物スマホも）会社の守りは、いちばん弱い人の守りと同じ強さです。
• 困ったときの電話番号を壁に貼るIPA 不正アクセス特別相談窓口 03-6759-5760（平日9:30〜17:30、2026年10月開設）。初動の助言と専門業者の一覧がもらえます。

なぜ効くか

2026年上半期、警察に届いた身代金ウイルスの被害123件のうち、約64%が中小企業でした。侵入口の約半分は、会社の外とつなぐ機器（VPN）です。土台がない会社は、狙われたのではなく「たまたま開いていた」から入られています。

対応する基準

IPA 情報セキュリティ6か条（中小企業の情報セキュリティ対策ガイドライン 第4.0版、2026年3月）／SECURITY ACTION ★一つ星

道具

• 無料IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版と「5分でできる自社診断」
• 標準Google Workspace／Microsoft 365 の管理画面（2つ目のカギの強制）

やること（英国政府が「5つの技術対策」と呼ぶもの）

• 外とつなぐ機器（ルーター・VPN装置）の初期パスワードを変え、自動更新にする古くて更新が終わった機器は入れ替える。侵入経路の約半分がここです。
• 買ったままの設定を見直す（使わない機能はOFF、初期ユーザーは削除）「安全な初期設定」。何もしないと、全部ONで出荷されています。
• 権限は最小に。辞めた人のIDはその日に消す共有IDをやめ、一人一つ。誰が何をできるか一覧にする。
• 全端末にウイルス対策（できれば「見張り番」型＝EDR）目安は1台あたり月500〜2,000円。
• 重要な更新は14日以内に当てる、と決めて記録する英国の基準では「14日」が合格ライン。自動更新をONにすれば大半は勝手に終わります。
• クラウド（メール・会計・ファイル共有）は全部「2つ目のカギ」必須2026年4月からの英国基準では、クラウドに2つ目のカギがないと自動的に不合格。
• 予備コピー（バックアップ）は「切り離して保管」＋年2回、戻せるか試すつなぎっぱなしの外付けは、ウイルスに一緒に消されます。USBを抜く、クラウドの「削除できない設定」を使う。
• 「SECURITY ACTION ★★」を宣言する5分診断＋基本方針の公開。★1より一段上の名刺になります。
• 緊急連絡先リストを紙で置くJPCERT／IPA／警察のサイバー窓口／保険会社／弁護士／主要取引先。パソコンが全部止まった日に読むものです。

なぜ効くか

英国政府はこの5つを「よくある攻撃の大半を防げる最低線」として、公共調達の条件にしています。日本で起きている身代金ウイルス被害の侵入口（VPN機器・リモート接続）を、物理的に塞ぐのがこの段です。

対応する基準

英国 Cyber Essentials v3.3（2026年4月〜）／SECURITY ACTION ★★／米国 CIS Controls IG1（56項目）／豪州 Essential Eight 成熟度1

道具（3つまで）

• 見張り番国産の月額EDR（SOMPO SHERIFF、NTT東日本 おまかせEDRプラス など、1台500〜1,300円）か Microsoft Defender for Business
• 予備コピークラウド（Google Drive／OneDrive の履歴保持）＋取り外す外付けドライブ
• 無料IPA「5分でできる自社診断」、NCSC Small Business Guide（英語）

やること

• 見張り番ソフト（EDR）に「24時間の監視員」（MDR）を付ける夜中に入られて朝には全部暗号化、が典型です。50台規模でMDR込み月5〜10万円が目安。
• ログインは全員パスキーか物理キー。管理者は「別アカウント」で作業普段使うアカウントで管理者権限を持たない。盗まれても「ただの社員」で止まる。
• 記録（ログ）を1年は残す「誰が、いつ、何をしたか」が残っていないと、漏えい時に「全部漏れた」としか言えなくなります。
• 委託先・仕入先にもLv.1〜2を求める（契約書に一行入れる）2026年の調査では、64%の企業が「セキュリティが取引条件になり始めた」と回答。守る側から、求める側へ。
• 年1回：偽メール訓練＋「全部止まった日のリハーサル」机の上で2時間。誰が誰に電話し、何を紙でやるか。本番は必ず想定と違う場所で起きます。
• サイバー保険に入る中小企業の加入率は8.8%（2025年調査）。復旧費用は6割の会社で1,000万円以上。入っているだけで差がつく段階です。
• 漏えい時の報告手順を紙に書いておく個人情報保護委員会へは「速報3〜5日以内、確報30日以内」。2026年10月から身代金ウイルス事案は共通様式で出せます。
• SCS評価制度 ★3（26項目）の自己評価を先取りする2027年3月から申請受付。大手の調達条件になる見込みの新制度。IPAのページに26項目が公開済み。

なぜ効くか

この段から、守りの目的が「入られない」から「入られても気づく・止める・証明する」に変わります。2026年9〜10月、佐川急便（最大5,323万件）、良品計画、カプコンなどで大規模漏えいが連鎖し、10月前半だけで個人情報保護委員会への報告は830件。「うちは大丈夫」が通じない空気になりました。

対応する基準

IPA サプライチェーン強化のセキュリティ対策評価制度（SCS）★3／英国 Cyber Essentials Plus／米国 CIS IG2／豪州 Essential Eight 成熟度2

道具（3つまで）

• 監視MDR付きEDR（CrowdStrike、Microsoft Defender、ESET PROTECT MDR などを国内SOC経由で）
• カギYubiKey等の物理キー＋各クラウドのパスキー設定
• 保険大手損保のサイバー保険（賠償・事故対応費用・休業損失＋緊急対応サービス付き）

やること

• ISO/IEC 27001:2022 の認証を取る、または NIST CSF 2.0 で年1回自己評価NISTは「統治・特定・防御・検知・対応・復旧」の6つの箱で会社を点検する方式。日本のISO認証組織は8,470（2026年3月）。
• 「社内だから安全」をやめ、毎回確認する方式にする（ゼロトラスト）一つのID（SSO）＋端末の健康チェックに通った人だけ入れる。VPNで中に入れたら全部見える、を終わらせる。
• データに札を貼る：出していい／社外秘／漏れたら終わり「漏れたら終わり」は置き場所と持ち出し方を決めて、機械で止める。
• 年1回、プロに本気で攻めてもらう（侵入テスト）自分で点検した結果と、他人が攻めた結果は必ず違います。
• 全部止まった日の手順書（BCP）を紙で用意するアスクルは2025年10月の被害で受注・出荷が止まり、翌期は純損失221億円。止まった日に「手作業で何を回すか」が決まっているかどうか。
• 取締役会で四半期ごとに報告する経産省のガイドラインも「経営者の責任」として要求。数字は3つでいい：未更新の台数、2つ目のカギ未設定の人数、復元テストの日付。
• SCS ★4（43項目・第三者評価、有効3年）を目指す2027年3月受付開始。大手の一次請け・金融・医療の調達で効く札。

なぜ効くか

アサヒグループは2025年9月の攻撃で基幹システムが止まり、影響は400億円弱、純利益は36.7%減。この規模になると、守りは技術ではなく「経営の仕組み」です。認証や枠組みは、仕組みが回っている証拠を他人に見せるための道具。

対応する基準

ISO/IEC 27001:2022／米国 NIST CSF 2.0（6機能）／経産省 サイバーセキュリティ経営ガイドライン Ver3.0／SCS ★4／CIS IG3

道具

• 入口SSO＋端末管理（Okta／Microsoft Entra＋Intune／Google Workspace 高度な保護）
• 点検NIST CSF 2.0 のクイックスタートガイド（無料）、ISMS認証機関

やること

• 法律の義務を押さえる：サイバー対処能力強化法（2026年10月1日 本則施行）15分野258者の基幹インフラ事業者に、重要な機器の届出と、事故の政府報告が義務に。通信情報の分析は2027年11月までに段階施行。
• 24時間365日の監視部屋（SOC）を持つか、委託する
• 同業で情報を共有する（ISAC、官民の協議会）自分のところに来た攻撃は、翌日には同業に来ます。
• 年1回、本気の模擬攻撃チーム（レッドチーム）に攻めさせる
• 使っているソフトの「部品表」（SBOM）を持ち、取引先を継続的に監視2026年のランキングでは「取引先・委託先経由の攻撃」が2位。自社だけ固くても足りない段階。
• 海外向けは各国の法律に合わせるEUの NIS2・DORA、製品ならCRA（2026年9月11日から事故報告義務）、米国防調達なら CMMC（2026年11月10日から第三者認証が必要な段階へ）。
• 政府・JPCERT・警察との連絡線を常設する

なぜ効くか

この段は「自社を守る」話ではなく「社会を止めない」話です。2026年の10大脅威では「地政学的リスクに起因する攻撃」が6位。国が守りに介入する法律が動き出したのも、民間だけでは受け切れない攻撃が現実になったからです。

対応する基準

サイバー対処能力強化法／経済安全保障推進法（基幹インフラ制度）／EU NIS2・DORA・CRA／米 CMMC Level 2／豪 ASD Essentials（2026年10月公開の新枠組み）