現代のビジネスシーンにおいて、スマホは業務に欠かせないツールになりました。しかし、それに伴い情報漏洩のリスクも高まっています。

実際に、企業においてもスマホからの情報漏洩は起こっており、対策をせずに業務でスマホを利用することはハイリスクといわざるを得ません。

この記事では、スマホによる情報漏洩の危険性と、原因、対策について解説しています。情報漏洩の事例も紹介しているので、あわせてご覧ください。

スマホから情報が漏洩する原因

スマホから情報が漏洩する原因は、故意の流出からヒューマンエラーまで多岐にわたります。主なものとしては以下のとおりです。

• スマホの紛失・盗難
• フィッシング詐欺
• 悪質なアプリやソフトウェアのインストール
• シャドーIT・内部不正

業務でスマホを使用する際は、このような原因を把握し、適切に対策を講じることが求められます。

スマホの紛失・盗難

スマホの紛失、盗難被害などにより、以下のような個人情報が流出するリスクがあります。

• 住所
• 電話番号
• アカウント情報 など

特に社用スマホには、顧客情報や社内資料、ビジネスチャットの履歴など、機密性の高いデータが含まれているため注意が必要です。

たとえ画面ロックを設定していても、パスコードが推測されやすければ安全とはいえません。

「1111」のように単純な数列、誕生日や電話番号のような並びは、容易に解除される可能性が高いです。

フィッシング詐欺

フィッシング詐欺とは、メールやSMSで偽のサイト（フィッシングサイト）のURLを送りつけ、入力させた個人情報を盗み取る手口です。

「あなたのアカウントが停止しました」などのメッセージで不安を煽り、ログイン情報やクレジットカード番号などを入力させるのが一般的です。

近年は、大手のECサイトや銀行などを装ったメールが増えており、個人情報の漏洩にとどまらず、不正利用などの詐欺被害につながる危険が増しています。

偽のメールは日々巧妙になっており、一見すると本物のサイトから送られたように見えるものも少なくありません。

たとえば、企業の公式アドレスの「o（オー）」を「0（ゼロ）」にするなど、一文字のみ変更して送信してくるようなケースに注意が必要です。

悪質なアプリやソフトウェアのインストール

スマホやユーザーに被害を与えることを目的とした、悪意のあるプログラムをマルウェアといいます。

万が一、ダウンロードしたアプリにマルウェアが仕込まれていれば、インストールによって個人情報が盗まれたり、スマホが乗っ取られたりする危険性があります。

アプリインストール後に、以下のような個人を特定できる情報の許可を求められた場合は、特に注意が必要です。

• 位置情報
• カメラ
• マイク
• 連絡先 など

また、取得したアクセス権限によって、別の不正なソフトウェアなどを自動的にダウンロードする恐れもあるため、入念な対策が求められます。

仮に、企業で利用する端末に悪質なアプリがインストールされてしまえば、業務上の会話や資料が漏洩しかねません。

特に、非公式のアプリストアや、不審な広告経由でのダウンロードは危険性が高まります。

シャドーIT・内部不正

シャドーITとは、会社が管理していないアプリやクラウドサービスを社員が使用する行為を指します。

例えば、管理者が把握していない状況で従業員が以下のようなものを利用することで、セキュリティリスクが生じます。

• セキュリティ性能が低いアプリ
• 無料のクラウドストレージ など

安全性の確認ができていないサービスを利用すれば、情報漏洩や不正アクセスにつながりかねません。

また、故意、過失を問わず、組織の従業員や関係者、元従業員などが重要情報を社外に持ち出したり、削除したりする内部不正にも注意が必要です。

例えば、私用のデバイスを用いたために、無関係な人に機密を誤送信してしまうといったケースも、内部不正に該当します。

スマホから情報漏洩した場合のリスク・被害

私用、貸与に関わらず、従業員が使用するスマホから情報が漏洩した場合、以下のような被害にあうことが考えられます。

• 乗っ取りや不正アクセスの被害にあう
• 社会的信用や企業イメージが低下する
• 損害賠償や刑事罰に発展する可能性がある

リスクをきちんと把握したうえで、適切な対策を心がけてください。

乗っ取りや不正アクセスなどの被害にあう

スマホから情報漏洩が生じると、乗っ取りや不正アクセスなどの被害に発展するリスクが高まります。

スマホには多くのアプリが連携しているため、ひとたびログイン情報が流出すれば、連鎖的にさまざまなアカウントが被害にあう可能性が高いです。

万が一、乗っ取りや不正アクセスが生じた場合には、主に下記の被害が予想されます。

• 企業のSNS、オンラインアカウントが乗っ取られ、不正な投稿や非公開データが流出
• 企業の機密情報が競合に渡るほか、顧客情報が悪用される
• 金融情報の不正利用が起こる

このように、自社だけでなく、取引先や顧客にまで影響を与えかねません。

社会的信用や企業イメージが低下する

データの流出によって、情報管理が不十分な企業だという印象が広がると、取引先からの信頼を失うことになるでしょう。

その結果、ブランドイメージが大きく低下し、契約の解除が発生したり、新規顧客の獲得が困難になったりする恐れがあります。

例えば、ニュースで大きく取り上げられ、世間に知れ渡れば、消費者からの信頼も失われかねません。

特に、現代のようにSNSが普及した環境は、情報が瞬時に拡散しやすく、風評被害がより一層深刻化しやすい状況です。

もし事態を収束できなければ業績の悪化を招き、最悪の場合、サービスの停止や事業の継続不可などに追い込まれるケースも考えられます。

また、取引先や顧客からの厳しい反応によって、従業員のモチベーションや、企業への帰属意識が低下することも懸念されます。

損害賠償や刑事罰に発展する恐れがある

情報漏洩が発生すると、被害者から訴訟を起こされ損害賠償を求められたり、刑事罰として罰金を科されたりして、金銭的な損失を被るリスクが生じます。

ケースごとに損害賠償額は異なりますが、その規模によっては莫大になります。例えば、1万人規模で個人情報が漏洩し、1人あたり数万円の賠償金が認められれば、その損害は数億円です。

さらに、法律に基づく罰則が適用され、情報を不正に取り扱った従業員、企業には刑事罰が課せられることもあります。

また、個人情報保護法などに基づく改善命令などに従わなかった場合も、罰金が科される恐れがあります。

スマホからの情報漏洩を防ぐための対策

スマホからの情報漏洩を防ぐためには、以下のような対策が有効です。

• セキュリティ対策サービスを活用する
• アプリのアクセス制限機能を見直す
• アプリのトラッキング機能を無効化する
• 端末の紛失・盗難対策を行う
• 公式ストア以外からアプリやソフトウェアをインストールしない
• OSやアプリを定期的に更新する
• 画面ロック機能を有効にする
• 多要素認証を行う
• 公共Wi-Fiを使用する際はVPNを活用する
• 画面保護シールを使用する

これらを組み合わせ、さまざまな角度で対策を講じることが大切です。

セキュリティ対策サービスを活用する

スマホからの情報漏洩対策で、まず検討したいのが、セキュリティ対策サービスの活用です。

なかでもおすすめなのが、万が一個人情報が漏洩した場合に通知してくれる機能が搭載されているサービスです。

具体的には、次のような機能を持つものが該当します。

• 個人情報が不正に流出していないか監視できる
• 流出が検出された場合に通知が届く
• 流出後の対応方法を案内してくれる

このようなセキュリティ対策サービスを活用することで、個人情報の漏洩を防ぐだけでなく、もしもの際に迅速に対応できるでしょう。

特に企業では、個々の端末にインストールするタイプのほか、連携させて一括監視・制御できるサービスが推奨されます。

 

参考記事：セキュリティ対策の重要性と企業が実施すべき施策を徹底解説

アプリのアクセス制限機能を見直す

アプリのなかには、位置情報、マイク、カメラ、連絡先などへのアクセスを求めるものがあります。

むやみに必要のない権限まで与えていると、セキュリティインシデントに発展しかねません。

悪質なアプリをインストールした場合に、これらの権限が悪用される可能性があります。

例えば、位置情報へのアクセスが不要なアプリに対しては権限をOFFにするなど、設定を見直すことが重要です。

また、従業員への教育を通じて、アクセス権の意味や設定変更の方法を周知することも、組織全体のセキュリティ強化につながります。

アプリのトラッキング機能を無効化する

ポップアップなどで表示されるトラッキングとは、ユーザーがアプリやサイト内でどのようなコンテンツを見たかを記録する機能です。

このトラッキングを有効にすると、検索履歴、位置情報などが収集されるため、悪用される恐れがあります。

本来、トラッキングはユーザーにとって関連性の高い広告を表示するために利用される機能ですが、実は必要ない場合も少なくありません。

パーソナライズされた広告が表示されなくても問題がなければ、トラッキングは無効にしておいたほうが安全です。

企業内の行動パターンが可視化されるのを防ぐ意味でも、トラッキング制御は重要なセキュリティ対策といえます。

端末の紛失・盗難対策を行う

スマホからの情報漏洩リスクを抑えるには、端末の紛失・盗難を防ぐための対策を講じることも大切です。

なかでもおすすめなのが、MDM（モバイルデバイス管理）など、管理ツールの利用です。

MDMを利用して端末の状況を把握していれば、万が一端末を紛失した場合でも、遠隔操作で以下が可能になります。

• データの削除
• デバイスの初期化
• デバイスのロック

これにより、第三者による操作を回避できます。

また、端末の置き忘れによる紛失や盗難回避においては、紛失防止シール・タグをつけるほか、スマートウォッチを活用するのも有効です。

これらをデバイスとペアリングしておけば、一定以上離れた場合にアラームや振動で知らせてくれるので、置き忘れリスクの軽減に役立ちます。

 

公式ストア以外からアプリやソフトウェアをインストールしない

アプリをインストールする際は、App StoreやGoogle Playなどの公式ストアを利用し、それ以外ではしないよう心掛けましょう。

非公式のサイトから入手できる無料アプリは、不正利用を目的としてユーザーの個人情報を収集している可能性があるため、十分な注意が必要です。

アプリをダウンロードする前には、十分に評価や口コミを確認し、信頼できる開発元から提供されているかどうかを確認しましょう。

また、スマホに入っているアプリが多い場合は、定期的に必要なアプリを見直し、いらないものは削除して整理することをおすすめします。

企業では、利用できるアプリを公式サイトからの入手のみに限定するほか、サードパーティ製アプリのリスクについて、従業員に教育を行う必要があります。

OSやアプリを定期的に更新する

OSやアプリでは、セキュリティの問題が見つかると、その弱点を補うためのアップデートが行われます。

更新せずに古いバージョンのまま利用していると、システムの脆弱性から、個人情報などが流出する危険が高まります。

そのため、最新のバージョンが通知された際には、すぐにアップデートを実行するといったルール作りが必要です。

また、デバイスで自動更新の設定を有効にしておけば、アップデートの実施忘れを防げます。

デバイスを最新の状態を保つことは、企業端末の安全性を維持するための重要なポイントです。

画面ロック機能を有効にする

スマホを紛失したり盗まれたりした際に、個人情報が他人に見られないよう、画面ロックを設定しておくことが大切です。

スマホには、一般的に以下のような認証機能があります。

• PINコード認証
• パスワード認証
• パターン認証
• 指紋認証
• 顔認証 など

これらの認証手段を、デバイスやアプリに設定することで、セキュリティを一層強化できます。

パスコードは、数字だけでなく英字との組み合わせを使用するなどして、予測されにくい複雑なものを選ぶようにしましょう。

企業端末に用いる場合は、一定のセキュリティレベルが保てる認証方式と、自動でロックがかかる無操作時間の設定などを義務付けるのがおすすめです。

多要素認証を行う

多要素認証（MFA）とは、ユーザーに2つ以上の認証タイプを求めることでセキュリティを強化する方法です。

例えば、パスワードに加えて、SMSでの認証や顔認証などを追加することで、より安全に利用できます。

スマホで業務アプリやクラウドサービスを利用する場合、IDとパスワードだけでは不正アクセスのリスクを完全には防げません。

多要素認証を設定しておけば、仮に一つの認証方法で不正アクセスされても、二つ目の認証でブロックできます。

公共Wi-Fiを使用する際はVPNを活用する

公共のWi-Fiは便利な反面、安全対策が十分でない場合が多く、データが第三者に盗み見られる危険性があります。

そこで、データの暗号化ができるVPNサービスを使えば、やり取りを覗かれるリスクを回避できます。

近年では、無料のもの、有料のもの、iPhoneとAndroidの両方に対応しているものなど、VPNアプリの種類もさまざまです。

有料アプリであっても、無料トライアルなど利用できるので、まずは気軽に試してみるのもよいでしょう。

リモートワークが普及する現代において、VPNの活用は基本的なセキュリティ対策の一つといえます。

 

参考記事：VPN（仮想プライベートネットワーク）とは？仕組みや活用シーンを紹介

画面保護シールを使用する

電車やカフェなど、多くの人が集まる場所では、スマホの画面を見られるリスクがあります。

電車での移動や公共の場で仕事をする機会が多い方は、のぞき見防止機能の付いた画面保護シールを活用するとよいでしょう。

のぞき見が防止できる画面保護シールを使用すれば、画面の視認性を損なうことなく、プライバシーをしっかり守れます。

企業としては、こうした物理的なセキュリティ対策も含めて推奨し、支給端末に標準装備するなどの取り組みが効果的です。

 

スマホからの情報漏洩の事例

自社の情報セキュリティを強化するために、実際に起きたインシデントについても知っておきましょう。

ここでは、企業におけるスマホからの情報漏洩事例を2つ紹介します。

どちらも特別なケースではなく、どのような企業でも起こりうる事例です。概要と経緯、対応を確認し、情報セキュリティ強化の参考にしてください。

株式会社小学館

2023年4月、小学館の取締役が社用スマホでフィッシング詐欺の被害に遭い、302名分の個人情報が漏洩した可能性が報じられました。​

​この取締役は、宅配業者を装った偽の不在通知SMSを受信し、正規のものと誤認してアカウント認証情報を入力しています。

これにより、攻撃者がスマホのデータに不正アクセスし、デバイスに登録されていた個人情報が流出したとみられています。

読者向けのサービス・小学館IDに関しては、流出した形跡はなく、漏洩したデータについても二次被害は確認されていません。

個人情報保護委員会と警察に報告したのち、情報セキュリティ部門による調査が実施されています。

小学館は一連の被害を受け、アカウントの管理、個人情報の取り扱いへの指導を含めた再発防止策を徹底するとしています。

株式会社ニトムズ

2021年4月、株式会社ニトムズの従業員が社用スマホでスミッシング（SMSによるフィッシング）被害に遭い、取引先担当者の個人情報が漏洩した可能性が明らかになりました。​

従業員が外部業者を装ったSMSを受信し、誤ってアカウント情報を入力したことで、第三者による不正アクセスが行われたとみられています。

この件では、以下の情報が漏洩した可能性があります。

• 取引先担当者の氏名
• 会社名
• 電話番号
• 一部のメールアドレス
• 名刺情報
• 販売プロモーション用の動画

​同社は、影響を受けた可能性のある取引先に個別に連絡し、謝罪するとともに、個人情報保護委員会へ報告を行いました。

再発防止策として対策委員会を設置し、従業員へのアカウント管理や情報端末、個人情報の取り扱いに関する指導を徹底するとしています。

スマホのセキュリティを高めて適切な情報漏洩対策を

スマホは、現代のビジネスシーンには欠かせないツールですが、セキュリティが甘い場合には、インシデントの原因になることもあります。

万が一従業員のスマホから重要データが流出すれば、企業の信用や業績に大きな影響を及ぼす恐れがあります。

情報漏洩の原因は、デバイスの盗難や、フィッシング詐欺によるアカウントの乗っ取りなど多岐にわたるため、さまざまな状況を想定した対策が求められます。

FLESPEEQ UTMは、多層的なセキュリティ機能により外部攻撃や不正アクセスを防ぎ、安全な通信を可能にするセキュリティシステムです。

インターネット接続とセットでご提供するクラウド型なら、スマホを含めたインターネット環境もより安全にご利用いただけます。

 

 

また、併せて活用したいのが「資産管理ツール」です。

このツールでは、PCやスマホ、タブレットといった複数の端末情報を統合管理できるだけでなく、万が一の紛失・盗難時にも遠隔からの端末ロックや業務データの削除、初期化が可能で、機密情報の漏洩を未然に防ぐことができます。

どちらのソリューションも、導入から運用までをサポートしており、企業のセキュリティ体制強化に貢献します。

まずはお気軽にお問い合わせください。

 

日本通信ネットワークは、企業ごとに、企画立案から構築・運用までワンストップで、ICTソリューションサービスを提供しています。
IT担当者様が、ビジネス拡大や生産性向上のための時間を確保できるよう、全面的に支援します。
お問い合わせ・ご相談・お見積りは無料ですので、お気軽にお問い合わせください。