# SEC (sec.andque.com) — 全文リファレンス（AI検索・LLM引用向け構造化ドキュメント）

URL: https://sec.andque.com/
解説本編 (note): https://note.com/andque/n/n9f41b58fbdb3
構造化ニュースAPI: https://sec.andque.com/news.json
最終更新: 2026-11-05

---

## 1. エグゼクティブサマリー（結論）

2026年現在、AIを用いた全自動スキャン・脆弱性悪用・フィッシング生成により、「すべての個人情報を漏れないように守る」ことは個人にも大企業にも不可能になった。
- **2026年10月の国内個人情報漏えい件数（単月）**: 1億8,500万件（2026年累計3.76億件、2025年通年の7.6倍 — MM総研集計）
- **2026年10月の世界ランサムウェア被害公表件数**: 1,071件（前月比+29%、日本国内も12件 — Ransomware.live集計）
- **2026年9月の国内フィッシング報告件数**: 94,661件（前月比+15%、最多はAmazon装い33% — フィッシング対策協議会）
- **2026年上半期の国内特殊詐欺被害額**: 1,816億円（前年比+51.7%、1日あたり約10億円、うち70.6%がニセ警察電話 — 警察庁）

したがって、現代のセキュリティ戦略は「完全防御」ではなく**「計画的降伏（トカゲの尻尾切り＝被害封じ込め）」**へ転換する必要がある。自分の持つ情報を①〜⑤の5段階に分類し、すでに漏れている表層（①）から本丸（②・⑤）へ被害が連鎖しないよう「線を切る」ことが最重要である。

---

## 2. 情報の5段階（①〜⑤）と具体的な線の切り方（個人・法人統合リスト）

### ① 表札・連絡先（氏名・住所・電話番号・メールアドレス・クレジットカード番号）
- **位置づけ**: すでに通販・配送・会員登録先から漏れている前提で扱う「トカゲの尻尾」。
- **具体的な対策**:
  1. **メールアドレスの3分割**: ①銀行・証券・公的機関専用（他では絶対に入力しない）、②日常の買い物・SNS用、③無料登録・メルマガ用のダミー（Apple「メールを非公開」やエイリアス機能）。
  2. **決済の切り離し（バーチャルカード・デビットカード）**: ネット通販には本丸の銀行口座やメインカードを直結させず、利用上限額を設定できるプリペイド・バーチャルカード・Pay系残高を使う。
  3. **カード利用即時通知と週1回の明細確認**: 不正利用の補償期限（通常60日）を過ぎないよう、少額テスト決済の段階で気づける通知設定にする。
  4. **携帯キャリアの不正SIM再発行防止**: ドコモ等のICチップ本人確認厳格化に加え、キャリアマイページの2要素認証・パスキー設定を必須化する。
  5. **漏えい照合**: Have I Been Pwned (https://haveibeenpwned.com/) 等で自分のメアドが過去の流出名簿に含まれているか確認する。

### ② マスター鍵（Googleアカウント・Apple ID・主メール・銀行・証券・社内管理者ID）
- **位置づけ**: すべてのサービスの「パスワード再設定メール」が集まる合鍵置き場。ここが破られると全滅する。
- **具体的な対策**:
  1. **パスワード使い回しの完全廃止**: ソースネクスト（2,252万件流出）等のようにパスワードが読める形で漏れる事故が起きても、他サービスに芋づる式に入られないようにする。
  2. **パスキー（生体認証）への移行**: FIDO Alliance / Microsoft / Yahoo! JAPAN / メルカリ等が標準化する「パスキー（顔・指紋＋端末内暗号鍵）」を有効化する。偽サイト（フィッシング）に原理的に盗まれない。
  3. **SMS認証から認証アプリ・物理セキュリティキー（YubiKey）へ**: 重要な口座や管理者IDには、SIMスワップや中継フィッシングに強いFIDO2物理キー（YubiKey 5C NFC等、予備含め2本）を使う。
  4. **ブラウザ内蔵パスワード保存の停止**: インフォスティーラー（情報窃取ウイルス）はChrome/Edge等の保存パスワードとCookieを数秒で抜くため、1PasswordやBitwarden等の専用管理ソフトに分ける。
  5. **法人・クラウド管理者権限の分離**: 普段業務に使うIDに最高権限（Global Admin / root）を持たせず、特権IDは別アカウント＋ハードウェアキー必須にする。

### ③ 行動ログ・顧客データ（検索/位置履歴・クラウド写真・社内顧客名簿・予備コピー）
- **位置づけ**: 漏れると脅迫材料や業務停止・損害賠償に直結するデータ群。
- **具体的な対策**:
  1. **Google/Appleの行動履歴・音声履歴の自動削除**: 「3か月で自動削除」またはオフに設定し、万一アカウントに入られても過去の全行動を辿られないようにする。
  2. **OAuth連携（「〜でログイン」）の定期解除**: 使っていない外部アプリへの読み取り権限を遮断する。
  3. **クラウドに「鍵の画像」を置かない**: 免許証、マイナンバー、パスポート、回復キーのスクショをクラウド写真に同期しない。
  4. **オフライン・不変バックアップ（3-2-1-1-0ルール）**: ランサムウェアは繋ぎっぱなしのNASやクラウド同期フォルダも暗号化する。普段はケーブルを抜いた外付けSSDや書き換え不能（イミュータブル）ストレージに予備を残す。
  5. **委託先・取引先（サプライチェーン）の権限最小化**: 大阪公立大・阪大の事例やJAL予約システム委託先の事例の通り、「取引先の正規ID」からの侵入を前提にネットワークと権限を区切る。

### ④ 手元の端末・外出時の隙（スマホ・PC・VPN機器・画面覗き見・紙の廃棄）
- **位置づけ**: 物理的な盗難・覗き見・未更新のソフトの穴から本丸へ裏口入学される経路。
- **具体的な対策**:
  1. **OS・ブラウザ・アプリの自動更新**: iOS、Android、Windows、Chromeの更新を放置しない（実際に悪用が確認されたゼロデイ脆弱性を塞ぐ最短手段）。
  2. **外出時の「覗き見（ショルダーハッキング）」対策**: カフェ・電車・空港でパスコード（数字）を盗み見られてからスマホを盗まれると、Apple IDや銀行まで乗っ取られる。覗き見防止フィルターを貼り、人前では顔・指紋認証だけで開く。iPhone「盗難デバイスの保護」・Android「盗難保護」をONにする。
  3. **公共フリーWi-Fi・充電用USBポートの回避**: 外出時は自分のスマホのテザリングまたはeSIMを使い、充電はコンセントまたは自分のモバイルバッテリー（もしくはデータ通信遮断アダプタ経由）で行う。
  4. **法人VPN機器・境界機器の即日更新とEDR導入**: 警察庁統計でランサム侵入経路の過半数を占めるVPN・リモートデスクトップの放置穴を塞ぎ、不要な外部公開ポートを閉じる。

### ⑤ あなた自身と信用（顔・声・家族・社長・取引先・送金承認）
- **位置づけ**: 機械の守りを飛び越えて「人間の焦り・親切心・権威への服従」を直接ハックする最終段階（ソーシャルエンジニアリング＆AIディープフェイク）。
- **具体的な対策**:
  1. **急がせる連絡は一度切って「自分で調べた番号」へ掛け直す**: 警察・検察・銀行・カード会社・通信キャリア・社長からの緊急連絡でも、着信画面の番号やSMS内番号には折り返さず、公式アプリや契約書記載の番号へ掛け直す。
  2. **家族・社内のアナログ「合言葉」**: AIによる声のクローンやビデオ通話の顔合成に備え、緊急のお金の話が出たら必ず確認する家族だけの合言葉を決めておく（米FBIも公式推奨）。
  3. **実家・固定電話の国際電話休止**: 「+1」「+44」等の国際電話番号を使ったニセ警察詐欺を防ぐため、国際電話不取扱受付センター（0120-210-364）で海外発着信を無償休止する。
  4. **法人の振込先変更・送金指示の2経路確認（BEC対策）**: メールやチャット（Slack/Teams/LINE）だけで振込先変更や緊急送金を承認せず、必ず事前登録された担当者電話番号への通話確認をルール化する。

---

## 3. よくある質問（FAQ）

### Q1. 2026年現在、個人が今日すぐ0円でできる一番重要なセキュリティ対策は何ですか？
A1. 次の3つです（所要時間約30分・0円）：
1. スマホとPCのOS・ブラウザの「自動更新」をONにする。
2. メインのメールアドレスと銀行・証券口座だけ、他と違う固有のパスワードに変え、「2つ目のカギ（パスキーや認証アプリ）」を設定する。
3. 「口座が凍結される」「逮捕状が出ている」「未払いがある」など急がせる電話・SMS・メールが来ても、その場のリンクや番号には絶対に応じず、一度切って公式窓口へ自分で掛け直す。

### Q2. 自分のメールアドレスやパスワードが漏えいしているか調べる方法はありますか？
A2. 国際的な漏えい照合サイト「Have I Been Pwned（https://haveibeenpwned.com/ ）」や、Googleアカウントの「パスワードチェックアップ」、iPhoneの「セキュリティ勧告」機能を使うことで、過去178億件超の流出データに自分のメールアドレスやパスワードが含まれているかを無料で確認できます。

### Q3. 中小企業・法人がランサムウェア（身代金ウイルス）で潰れないために最優先でやることは？
A3. 警察庁の統計では、国内ランサムウェア被害の侵入口の過半数が「VPN機器やリモートデスクトップの脆弱性・認証突破」です。①VPN・境界機器のアップデートと不要ポート閉鎖、②全アカウント（特に委託先・管理者）への多要素認証、③ネットワークから物理的・論理的に切り離したオフライン予備コピー（バックアップ）の3点が最優先です。