不正アクセス対策を調べると、多要素認証、更新の適用、教育、権限管理といった一覧が出てきます。ただ、項目が多く優先順位がつけられないため、手が止まりがちです。
この記事では対策を侵入経路ごとに何が効くかで対応づけ、限られた予算と人手でどこから着手すべきかを整理します。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
不正アクセス対策とは
権限のない人を社内のシステム・PC・サーバー・クラウドに入れないようにし、入られたときに被害を小さく抑える取り組みの総称です。企業では次の4つに分けると整理しやすくなります。
- 社外からの入口を減らす・更新する
- アカウントとパスワードを管理する
- PC・サーバー・クラウドのログインを強くする
- 入られていないかを確かめる
不正アクセス対策が必要な理由：2026年の統計と事例
警察庁の2026年上半期の統計では、ランサムウェア被害は123件で、半期ごとの集計を始めてから最多でした。侵入経路が分かった36件の内訳は次のとおりです（詳しくはランサムウェアの侵入経路）。
| 侵入経路 | 件数 |
|---|---|
| VPN機器 | 18件 |
| リモートデスクトップ | 9件 |
| その他 | 9件 |
最近の大きな事案でも、入口から入ったあとは正規のアカウントで社内のPCやサーバーにログインされて被害が広がっています。
| 事案 | 入口 | 入られた後 |
|---|---|---|
| デジタル庁GSS | VPN機器の脆弱性 | 保守担当者のアカウントで大量のファイルにアクセス |
| 大阪公立大学・NEC委託先 | 保守業者の正規アカウント | サーバーが暗号化 |
つまり不正アクセス対策は「入口を塞ぐ」だけでは足りず、入られた後にPC・サーバーへパスワードだけでログインできない状態までを一続きで考える必要があります。
企業の不正アクセス対策の例
守る場所ごとに、代表的な対策を並べます。
| 守る場所 | 対策の例 |
|---|---|
| 社外からの入口（VPN機器・リモートデスクトップ） | 機器の更新、社外に開く入口を減らす、接続できる人を絞る |
| アカウント | 退職者・保守業者のIDの棚卸し、管理者権限を減らす |
| 社内のパソコン・サーバー | ログインに2つ目の鍵を足し、パスワードだけで入れない状態にする |
| 入られていないかの確認 | ログイン履歴で深夜・休日のログオンや見覚えのない接続元を見る |
会社のパソコン・サーバーに絞った手順はパソコン・サーバーの不正アクセス対策、最近の事案は不正アクセスの最新ニュース一覧にまとめています。
不正アクセスの対処法：まず着手する3つのこと
何から始めるか迷ったら、この3つを順に進めます。
- 入られていないかを確かめる — 深夜・休日のログオン成功や、見覚えのない接続元がないかを見ます。Windowsでは管理者のPowerShellで確認できます。手順は不正アクセスされたか調べる方法にまとめています。
- 入口を塞ぐ — 不審なログインが見つかったアカウントのパスワードを変更し、使われていないアカウントや社外に開いたままの機器を止めます。
- 盲点を埋める — パスワードだけで入れる場所が残っていないかを確認します。最も残りやすいのが、次に説明するPCのログインです。
見落とされやすいのは「PCのログイン」
報道ではVPN機器やクラウドのアカウントが侵入口として取り上げられます。しかし被害が広がるのは、社内のPCやサーバーにログインされてからです。
VPNだけでなく、社内のWi-Fiも同じ「入口」です
社内のWi-Fi（無線LANのルーター・アクセスポイント）も、VPN機器と同じく社内ネットワークへの入口です。次のような状態だと、そこから社内に入られるおそれがあります。
- 機器の脆弱性：Wi-Fiルーターやアクセスポイントにも脆弱性が見つかり、修正版が出ます。更新しないまま使い続けると、VPN機器と同じように悪用されかねません。
- 共有のパスワード：全員で同じWi-Fiのパスワードを使い、退職者・来訪者・業者に知られたまま変えていない。
- 電波は建物の外にも届く：駐車場や隣の建物からでも、パスワードが分かればつながります。WEPなど古い暗号化方式は短時間で解読されます。
VPNから入られても、Wi-Fiから入られても、その先の社内のPC・サーバーがパスワードだけで入れる状態なら、被害は広がります。入口の対策とあわせて、全PC・サーバーのログイン記録を1か所で見られるようにしておくと、見覚えのない接続にすぐ気づけます。さらにPC・サーバーへのログインを2要素認証にしておくと、パスワードだけでは入れなくなります。
社内Wi-Fiから入られる形と確認リストを見るメールやクラウドには多要素認証を入れていても、WindowsのPCログインはパスワードだけという会社は少なくありません。クラウドとPCで、ログインの強さがそろっていない状態です。
PCログインに2つ目の要素を加える
対策は「入口」と「入られた後」の2段で考える
入口の対策は、入られる確率を下げるものです。ただ脆弱性の公開から攻撃までは短く、入口を完璧に保ち続けるのは現実的ではありません。
そこで2段目として、入られた後に隣のPCやサーバーへ次々にログインされない状態を用意します。被害額の大半は、この「広がった範囲」で決まります。
対策一覧では判断できず経路と対応づけると判断できる理由
一覧の項目はどれも正しいのですが、「どの経路に効くか」が書かれていないため、自社に必要かを判断できません。結果として、導入しやすいものから手を付けるか、止まるかの二択になりがちです。
侵入経路を軸に置けば、「自社が抱える経路はどれか」「その経路に効く対策はあるか」の順に確認できます。経路の種類や定義は不正アクセスの基本と経路の種類に譲ります。
侵入経路別に効く対策と効かない対策を対応づける
主な5つの経路について、効く対策と止めにくい対策を並べます。
| 経路 | 効く対策 | 止めにくい対策 |
|---|---|---|
| 盗まれたID・パスワードによる正規ログイン | 認証を複数の要素にする、パスワードだけの入口を残さない | ウイルス対策ソフト、ネットワーク機器 |
| 機器・ソフトウェアの弱点を突く侵入（VPN機器・Wi-Fiルーターなど） | 更新の適用、社外に開いた機器を減らす、Wi-Fiのパスワードと暗号化方式の見直し | 認証の強化（認証の手前で成立しうる） |
| 利用者を騙して入力させる手口 | 騙されても成立しにくい認証方式、周知 | 人の注意力だけに頼る対策 |
| 取引先・委託先を経由する経路 | 社外に渡したアカウントの統制、範囲と期間の限定 | 自社内だけの対策 |
| 内部関係者による持ち出し | 権限の最小化、操作の記録、共用アカウントの廃止 | 外部からの侵入を止める対策 |
盗まれたID・パスワードによる正規ログイン
正しい認証情報で入られるため、正規の利用と区別がつきにくい経路です。ウイルス対策やネットワーク機器が守るのは実行ファイルや通信で、認証そのものではありません（UTM・ウイルス対策との守備範囲の違い、Windows OSログインの2要素認証）。
機器・ソフトウェアの弱点を突く侵入
社外に開いた機器の既知の弱点を経由します。代表例のVPN機器はVPN機器の脆弱性と運用上の注意点で扱っています。社内のWi-Fiも同じ入口で、Wi-Fiルーター・アクセスポイントの脆弱性や、退職者・来訪者に知られたままの共有パスワードから社内のネットワークに入られることがあります（社内Wi-Fiの脆弱性と不正アクセス）。
利用者を騙して入力させる手口
方式の選択と周知は、両方を組み合わせて考えます。渡ってしまった後に気づく手掛かりはログイン履歴から異常を見つける確認手順が参考になります。
取引先・委託先を経由する経路
自社が発行したアカウントが社外で使われると、管理範囲の外に入口ができます（取引先・委託先アカウントの管理）。
内部関係者による持ち出し
誰の操作か特定できない状態を残さないことが前提です（権限管理の考え方、ID棚卸しと現状把握）。
効かない対策をあえて明示する理由
どの対策も不要だと言いたいのではありません。何かを導入しただけで「守られている」と考えてしまうのを避けるためです。
優劣ではなく守備範囲の違い
どこから着手するかの優先順位
すべての経路に同時に手を付けられる組織は多くありません。順序は次の4つの観点で決めます。
- 社外から到達できる入口から — 社内からしか触れない仕組みより、外部から直接届く入口を先に見ます
- 影響範囲の大きいところから — 管理者権限とサーバーは、侵入された場合の影響が広くなります
- すでに対策が抜けている領域から — 経路と対策を対応づけたときに、どの対策も当たっていない経路が最優先です
- 運用が回せる範囲から — 導入しても運用が続かない仕組みは、時間の経過とともに実質的に機能しなくなります
項目単位で確認したい場合は中小企業向けのセキュリティ確認リストもあわせてどうぞ。
一度やって終わりにしないために
経路と対策の対応づけは、実施した時点の構成に対するものです。サービスの追加、機器の入れ替え、担当者の異動で、入口と権限は変わり続けます。
導入を成果とせず、入口の一覧と権限の一覧を定期的に見直す運用を決めておきます。頻度は無理のない範囲にし、できなかったときに気づける形にすると形骸化しにくくなります。
見直しを続けやすくするには、確かめる手間そのものを減らすのが近道です。全PC・サーバーの状態・ログイン記録・更新漏れを1画面で見られれば、1台ずつ見て回らずに入口と権限の変化に気づけ、直す順番も深刻な順に並ぶので迷いません（アプリップリキー）。見直しが「年に一度の大仕事」ではなく、画面を開いて確かめる日々の作業になります。さらに、PC・サーバーのログインを本人のスマホを鍵にしたワンタッチログインにすると、パスワードだけでは次の端末に入れなくなります（PC版・サーバー版）。
社内でできる不正アクセス対策（社員向けのルール）
社員に守ってもらう基本のルールは、次の4つです。
- パスワードを使い回さない・付箋に書かない — 1つ漏れると、同じパスワードの他のサービスやPCにも入られます
- 離席時は画面をロックする — 社内の人や来訪者によるなりすましを減らします
- 不審なメールのリンクから入力しない — IDとパスワードを入力させる手口への基本の備えです
- 退職・異動のときにアカウントを止める — 使われていないIDは、入口として残りやすい場所です
ただし、ルールは人の注意に頼るため、守られない日が必ず出ます。パスワードが漏れてもそれだけでは入れない仕組み（ログインの2要素認証）と組み合わせることが前提になります。
不正アクセス対策にかかる費用の目安
費用は、既存の設定で済むものと、新しく導入するものに分かれます。
- 追加費用なしで始められる：更新の適用、使っていないアカウントの停止、リモートデスクトップの接続先の制限、ログイン履歴の確認
- 導入が必要：PC・サーバーのログインに2つ目の鍵を足す仕組み（1台・1人あたりの月額が一般的）
被害が起きた場合の調査・復旧・報告は数千万円規模になりえます（不正アクセスの被害額）。まず費用ゼロの項目から着手し、残りを予算化するのが現実的です（中小企業向けのチェックリスト）。
普段の管理が楽になると何が変わるか
不正アクセス対策は、入れた仕組みを担当者が見続けられるかで決まります。全PC・サーバーのログイン記録や更新漏れを1か所で見られるようにしておくと、取引先のチェックシートや保険の申込みで「ログインの記録はありますか」と聞かれたその日に、CSVで出して答えられます。夜間・休日も、異変があるときだけLINEに届き、スマホからその場で止められるので、何もない日は見に行かなくて済み、担当者が安心して休めます。
相次ぐ不正アクセスを受けて国が注意を呼びかけた内容と、その中心にある多要素認証については相次ぐ不正アクセスで国が挙げた対策で整理しています。
いまの運用を棚卸ししてみる
どの経路に対策が抜けているかは、現在の入口の数や認証方式、権限の持たせ方によって異なります。applippliの無料棚卸しでは、10問・約3分で、自社の対応状況を経路ごとに確認できます。優先順位を決める材料として、まず現状の把握から始めてみてください。