企業の情報漏洩対策。外部ツールからの漏えいを防ぐために、会社は社員に何を指示すべきか？

外部ツールからの漏えいを防ぐために会社が社員へ指示することは、ログインの認証を強くすることと、使っているかわからない外部ツールを解約することです。

しかし、個人情報が入っていない外部ツールなら、そのままにしておいてもよいのではないでしょうか。

IDAREから個人情報が漏れた経路は、業務で使っていた外部ソフトだった

キャッシュレスアプリ「IDARE」を運営するFivotは、2026年10月13日に、退会した人を含む12万9,659人の個人情報が漏えいしたと発表しました。漏れたのは電話番号、メールアドレス、生年月日、残高、取引履歴などです。

攻撃者は、Fivotがカスタマーサポートなどの業務で使っていた外部ソフトの脆弱性を突いて、データベースから情報を抜き取りました。 ソフトの名前は公表されていません。

外部ツールを経由した漏えいは、ほかにも続いています。以下のとおりです。

多要素認証を使い、多要素認証が無いツールではパスワードを15文字以上にする

1つ目の指示は、ログインの認証を強くすることです。多要素認証の機能がある外部ツールでは必ず多要素認証を使い、機能が無いツールではパスワードを15文字以上にします。 管理者が全員に多要素認証を強制できるツールなら、管理者が強制します。

多要素認証は、パスワードに加えて、スマートフォンに届くコードなど別のもので本人かどうかを確かめる仕組みです。Microsoftは2019年に、多要素認証でアカウントの乗っ取りの99.9%以上を防げると公表しています。IDAREも、ログインに多要素認証が必須なので、漏れた情報だけでは不正にログインできないと説明しています。

多要素認証が無いツールでは、パスワードを長くしてアカウントを守ります。米国の国立標準技術研究所（NIST）はSP 800-63B-4で、パスワードだけでログインする場合に15文字以上を求めています。IPAも2026年10月9日の注意喚起「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」で、利用している外部サービスの認証機能（多要素認証・パスワード）の強化を挙げています。

使っているかわからない外部ツールは解約する

2つ目の指示は、使っているかわからない、インターネットにつながったアプリやサービスを解約することです。解約すれば、そのツールを経由して入られることはなくなります。

IPAは10月9日の注意喚起で、組織全体だけでなく部署単位で使っているものも含めて、利用している外部サービスを「すべて洗い出してください」と求めています。一覧にしたうえで、使っているかわからないものを解約します。

個人情報が入っていないツールも、踏み台にされる

個人情報が入っているかどうかは、解約するかを決める基準の1つにすぎません。個人情報が入っていないツールでも、乗っ取られると、そこを足がかりにほかのサービスや社内のPCへ入られます。 乗っ取ったツールを足がかりにして別の場所へ入ることを、踏み台にするといいます。入られる経路は、以下のとおりです。

よくある疑問

Q：多要素認証と15文字以上のパスワードは、どちらか一方でよいのでしょうか。

A：多要素認証の機能があるツールでは、多要素認証を使います。機能が無いツールでは、パスワードを15文字以上にします。

Q：個人情報が入っていないツールまで解約すると、業務が止まりませんか。

A：解約するのは、使っているかわからないツールです。業務で使っているツールは、多要素認証か15文字以上のパスワードで守ります。

社員に指示を出す前に、各部署が使っている外部ツールを一覧にしてみてはいかがでしょうか。