今回取り上げるのは、個人のツールを仕事で使うことによるリスクです。これまでも、皆さんの組織では「個人の端末を仕事に使うな」という指示が周知されていたはずですが、いまだに徹底されていないのが実情ではないでしょうか。

　基本的に、ビジネスの場で個人の端末や契約中のサービスを利用することは御法度です。個人のデバイスを業務に活用する「BYOD（Bring Your Own Device）」という仕組みもありますが、これは私的な端末でも安全に使えるよう、セキュリティ環境を整えた上で運用するものです。決して「個人端末を自由に使ってよい」という意味ではありません。この点を正しく理解し、適切に導入している組織は、実際にはそれほど多くないと考えられます。

　多くの組織が直面しているのが、「なんちゃってBYOD」ともいえる「シャドーIT」です。シャドーITとは、企業が把握していない形で私物の端末やサービスを業務に使い、正式に認められていない環境で便利なツールを活用する行為を指します。「便利なら問題ないのでは？」と思うかもしれませんが、組織が管理していないツールは、作業を効率化する一方で、大きなセキュリティホールにもなり得ます。

　最近になって、シャドーITがさらに注目されるきっかけの1つとなったのが生成AI（人工知能）サービスです。筆者も、取材内容を生成AIサービスに読み込ませて自然言語で検索することで、「○○の話が音声のどこで、どんな文脈で出てきたか？」などと聞けるようになり、作業効率が大きく向上しました。

　しかし、よく考えてみれば、会話内容や資料といった機密情報を、第三者である生成AIサービスに渡すことは、情報漏えいインシデントそのものといえるかもしれません。そのため筆者は、有料オプションに契約し、他者が情報を利用できないよう制限をかけた上で使用しています。無料のサービスの場合、他のユーザーと情報が共有される可能性もあり、組織が把握できない典型的なシャドーITとなってしまう恐れがあります。

　筆者が個人的に、もっと以前から問題視すべきだと感じていたシャドーITの1つが「LINE」です。このサービスに限らず、全ての個人向けメッセージングサービスに共通することですが、これらを個人アカウントで業務に使うべきではありません。以前は「そうは言っても、具体的な影響はないのでは？」と軽視されていましたが、ついに現実の攻撃手段として使われるようになってしまいました。

　情報処理推進機構（IPA）はXで、LINEグループを作成し、そのグループの2次元バーコードを共有するよう促す詐欺メールが届いたという相談が複数寄せられているとして、注意喚起を行っています。

図1　IPAによる注意喚起（Xの投稿）［クリックで拡大］ 出所：IPA

　これによると、社長を語る人物から、「業務上の必要により、至急会社用のLINEグループを新規作成すること」「他の方は一切招待しないこと」「作成したらQRコードを送ること」といった指示が送られてきます。これをきっかけに、対象の従業員（つまり、あなた）が1本釣りされ、グループが作成された後に、偽の社長を名乗る者が、ビジネスメール詐欺と同様の手口で、組織に対して振り込みを促す詐欺に発展すると考えられます。

　ついに、個人が仕方なく、あるいは同調圧力で使っていた個人アカウントのサービスが、攻撃対象となってしまったのです。2025年末から継続して攻撃が観測されており、一部の組織では注意喚起も実施されています。

　こうした攻撃に対して「うちの社長はそんなことできないから詐欺だろう」といった“勘”に頼る見分け方は、非常に危険です。根本的な対策はやはり、「LINEをはじめとする個人向けサービスを業務に使わない」ことに尽きます。組織で指定されている法人向けメッセージングサービスがあるなら、必ずそれを使うようにしましょう。もし指定のサービスがない場合は、これを機に新たに選定して導入すべきです。

　ビジネスメール詐欺や、電話で振込先の変更を促すボイスフィッシング詐欺は、企業の規模にかかわらず発生しており、被害額は億単位に上ることもあります。便利なツールであることは間違いありませんが、それだけのリスクを背負ってまで使うべきなのか――今こそ立ち止まって考えるタイミングではないでしょうか。

「個人のものを仕事で使うな」だけじゃない　その逆も？

　実はもう1つ、重要なポイントがあります。「個人のものを仕事で使うな」と同時に、「仕事のものを個人で使うな」もまた真実なのです。最近明らかになった原子力規制庁職員による個人情報漏えい事件では、業務用端末を海外に持ち出し、それを“紛失”したとされています。問題視されているのは、私的な旅行に業務端末を携行したこと、そしてその端末に非常に機微な情報が含まれていたことです。

職員はこの3日前まで私的な旅行で中国・上海を訪れていて、帰国する際に現地の空港の保安検査で紛失したとみられると話しているということです。（原子力規制庁職員 私的旅行で訪問の中国で業務用スマホ紛失｜NHKニュース）

　このような事例からも分かるように、令和の時代では、想像以上に明確に「個人」と「仕事」を切り分けて行動する必要があります。この点については、むしろ若い世代が率先して意識を持ち、「これ、まずくないですか？」と先輩や上司に声を掛けてあげてほしいと思います。

　最後に触れた事件については、いわゆる“逆BYOD”とはまた異なる視点の問題も含まれています。海外出張するビジネスパーソンとそのデバイスを狙った攻撃手法については、以前の記事「もう一度、自分ごととして考える『標的型攻撃』の脅威」でも詳しく紹介していますので、併せてご覧ください。

もう一度、自分ごととして考える「標的型攻撃」の脅威

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！