サイバー攻撃からあなたを守る、究極の考え方があります。それは——

スマホ・PCの守り方

「完璧に守ることを目指すより、攻撃者に”割に合わない”と思わせること」です。

泥棒に例えるとわかりやすいでしょう。同じ街に、鍵のかかっていない家と、二重ロックに加えて防犯カメラ・センサーライトまで備えた家があったとします。泥棒はほぼ確実に「鍵なし」の家を選びます。防犯設備の整った家を狙うと、時間がかかり、リスクも高い。わざわざ選ぶ理由がないのです。

サイバー攻撃も同じです。攻撃者の多くは「効率」を重視しています。セキュリティ対策が手薄な標的を自動的に探し出し、簡単に侵入できるところから攻めていきます。あなたが「攻撃しにくい標的」になれば、多くの攻撃者はより簡単な標的に移っていくのです。

この記事では、個人でも今日から実践できる「狙いにくい標的になるための具体的な方法」を、理由と効果まで含めて徹底解説します。

📋 この記事でわかること

  • 攻撃者が「楽な標的」を選ぶ理由と行動原理
  • パスワード管理を劇的に改善する方法
  • 多要素認証（MFA）の正しい使い方
  • ソフトウェア更新がなぜ最重要なのか
  • ネットワーク・Wi-Fiのリスクと対策
  • 個人情報の「デジタル足跡」を減らす方法
  • バックアップの正しい取り方（3-2-1ルール）
  • 今日から始める「多層防御」の考え方

1. 攻撃者の「行動原理」を理解する

対策を学ぶ前に、まず攻撃者がどのように標的を選ぶかを知っておきましょう。相手の動き方を知ることが、もっとも効率的な防御につながります。

攻撃者の大半は「日和見的」である

「サイバー攻撃」と聞くと、高度なハッカーがあなただけを狙い撃ちにするイメージがあるかもしれません。しかし現実は異なります。

攻撃者の多くは、特定の個人を狙うのではなく、インターネット上に存在する無数のデバイスを自動的にスキャンし、セキュリティが弱い標的を探し続けています。これを「日和見的攻撃（Opportunistic Attack）」と呼びます。

📊 FACT：インターネット上のスキャンは絶え間なく続いている

セキュリティ研究者のデータによると、インターネットに接続した新しいデバイスは、接続からわずか数分以内にスキャン（不正アクセスの試み）を受け始めることが観測されています。あなたが意識していなくても、世界中の攻撃者の自動ツールが常時スキャンを実行しており、脆弱なデバイスや設定の甘いサービスを探し続けているのです。

攻撃者が嫌がること

攻撃者が避けたい状況は、大きく3つあります。

攻撃者が嫌がること対応する対策の方向性
時間がかかる複雑なパスワード・多要素認証・暗号化など、突破に時間を要する仕組みを設ける
発見される可能性があるログ・監視・アラートで異常をすぐ検知できる環境を作る
得られるものが少ない不要な個人情報の公開を減らし、奪われる価値を下げる

これら3つを意識した対策を組み合わせることで、攻撃者にとって「コストに見合わない標的」になることができます。

2. パスワード管理を根本から見直す

「狙いにくい標的」になるうえで、パスワード管理の改善は最初に取り組むべき課題です。なぜなら、弱いパスワード・パスワードの使いまわしは、攻撃者にとって最も突破しやすい入口だからです。

パスワードがどのように破られるか

攻撃者がパスワードを破る主な方法を知っておきましょう。

  • ブルートフォース攻撃（総当たり）：考えられるすべての文字の組み合わせを試す。「123456」や「password」のような単純なものは数秒で解読される
  • 辞書攻撃：一般的な単語・よく使われるパスワードのリストを使って試す。「日付＋名前」のような組み合わせも辞書に含まれていることが多い
  • クレデンシャルスタッフィング：過去に流出したID・パスワードの組み合わせリストを使って、他のサービスへのログインを試みる。パスワードの使いまわしが致命的な理由はこれ
  • フィッシング：偽サイトに誘導してパスワードを直接入力させて盗む

⚠️ FACT：流出したパスワードは闇市場で売買されている

世界中のデータ漏えい事件で流出したID・パスワードは、ダークウェブと呼ばれる闇のネットワーク上で売買されています。「Have I Been Pwned（ハブ・アイ・ビーン・ポウンド）」（https://haveibeenpwned.com/）というサービスでは、自分のメールアドレスが過去の漏えいに含まれているか無料で確認できます。

強いパスワードの条件

現在のセキュリティの標準的な考え方では、パスワードの強度は「複雑さ」より「長さ」のほうが重要とされています。

パスワードの種類解読にかかる推定時間
6文字（小文字のみ）約1秒以下
8文字（大小文字＋数字）約1時間
12文字（大小文字＋数字＋記号）数百年以上
16文字以上のランダム文字列現実的に解読不可能

※解読時間はコンピューターの性能によって変化します。参考値としてご覧ください。

理想的なパスワードは、16文字以上のランダムな文字列を、サービスごとに異なるものを使うことです。

パスワードマネージャーを使う

「サービスごとに異なるランダムな長いパスワードなんて覚えられない」——それが普通の反応です。だからこそ、パスワードマネージャーの使用を強く推奨します。

パスワードマネージャーとは、すべてのパスワードを暗号化して安全に保管し、必要なときに自動入力してくれるアプリです。覚えるべきパスワードは「マスターパスワード」の1つだけになります。

✅ 主要なパスワードマネージャー（参考）

  • Bitwarden：オープンソース・無料プランが充実・日本語対応
  • 1Password：UIが使いやすく機能が豊富・有料（月額）
  • Keepass：完全無料・オフライン利用可能・やや上級者向け
  • iCloudキーチェーン：Apple製品ユーザーなら標準搭載・無料
  • Googleパスワードマネージャー：Androidユーザーなら標準搭載・無料

ブラウザ内蔵のパスワード保存機能（Chrome・Edgeなど）も手軽ですが、マルウェアによって保存パスワードが盗まれる事例があるため、専用のパスワードマネージャーのほうがより安全です。

3. 多要素認証（MFA）で「鍵を2本」にする

パスワードが漏れても、不正ログインを防げる仕組みが多要素認証（MFA：Multi-Factor Authentication）です。これは「パスワードだけでなく、別の方法でも本人確認を行う」仕組みです。

認証の「3つの要素」

認証に使える要素は大きく3種類あります。

要素種類具体例
知識要素あなたが「知っている」ものパスワード、暗証番号、秘密の質問
所持要素あなたが「持っている」ものスマートフォン、セキュリティキー（YubiKeyなど）、ICカード
生体要素あなた「自身」のもの指紋、顔認証、虹彩

多要素認証とは、これらのうち異なる2つ以上を組み合わせることです。「パスワード（知識）＋スマホへのSMS（所持）」が最も普及している組み合わせです。

MFAの種類と安全性の違い

一口にMFAといっても、その方法によって安全性に差があります。

  • SMS認証（ショートメッセージ）：最も普及しているが、SIMスワッピング（電話番号の不正乗っ取り）という攻撃に弱い面がある。ないよりはるかに良いが、最高レベルとは言えない
  • 認証アプリ（TOTP）：Google AuthenticatorやMicrosoft Authenticatorなどが生成する6桁の数字（30秒ごとに変わる）を使う方式。SMS認証より安全性が高い
  • ハードウェアセキュリティキー：YubiKeyなどの物理的なデバイスをUSBやNFCで使う。フィッシング攻撃にも強く、最高レベルの安全性を持つ
  • パスキー（Passkey）：パスワードを不要にする新しい認証方式。GoogleやAppleが対応を進めており、フィッシング攻撃への耐性が非常に高い

💡 まずここから始めよう：MFAを設定すべき優先サービス

  1. メールアカウント（Gmail、Outlookなど）——他のサービスのパスワードリセットに使われるため最重要
  2. ネットバンキング・証券口座
  3. SNS（X、Instagram、Facebookなど）
  4. クラウドサービス（Google Drive、iCloud、Dropboxなど）
  5. ショッピングサイト（Amazon、楽天など）

⚠️ FACT：MFAを設定するだけで自動攻撃の99%以上を防げる

Microsoftの調査（2019年発表）によると、多要素認証を有効にすることで、アカウントへの自動攻撃の99.9%以上をブロックできることが確認されています。パスワードが流出していても、MFAがあれば不正ログインを防げるのです。

4. ソフトウェアの更新を欠かさない

「アップデートを後で…」が口癖になっていませんか？ ソフトウェアの更新は面倒に思えるかもしれませんが、セキュリティの観点では最も費用対効果の高い対策のひとつです。

なぜ更新が必要なのか

ソフトウェアには必ずバグ（欠陥）が存在し、その一部は攻撃者に悪用できる「脆弱性」になります。ベンダーが脆弱性を発見・修正した内容が「アップデート（パッチ）」として提供されます。

重要なのは、パッチが公開された瞬間に攻撃者もその脆弱性の内容を把握できるという点です。パッチ未適用のシステムは「ここに穴がある」と公言しているようなものになってしまいます。

📊 FACT：WannaCry攻撃は修正パッチが出た後に起きた

2017年に世界150カ国以上に感染を広げたランサムウェア「WannaCry」が悪用したWindowsの脆弱性（MS17-010）は、攻撃発生の約2ヶ月前にMicrosoftが修正パッチを提供していました。パッチを適用していた組織は感染しませんでした。被害を受けた多くの組織は「更新を後回しにしていた」ことが被害の根本原因でした。

更新を漏れなく行うために

  • Windows Updateを自動化する：設定→Windows Update→「更新を自動的にダウンロードしてインストールする」を有効にする
  • ブラウザの自動更新を確認する：Chrome・Edge・Firefox はバックグラウンドで自動更新されるが、「設定→バージョン情報」で確認できる
  • スマートフォンのOSも更新する：iOSやAndroidのアップデートも脆弱性修正が含まれる
  • 使っていないアプリは削除する：使わないソフトでも脆弱性は生まれ続ける。管理対象を減らすことがリスク低減につながる
  • EOL（サポート終了）製品を使わない：Windows 10のサポートは2025年10月に終了予定（記事執筆時点）。EOL製品はパッチが提供されないため、致命的なセキュリティリスクになる

5. ネットワークとWi-Fiの安全を確保する

あなたのデバイスがどのネットワークに繋がっているかも、セキュリティに大きく影響します。

自宅のWi-Fiルーターを守る

自宅のWi-Fiルーターは、家庭内ネットワークの「玄関」です。ルーターが侵害されると、接続しているすべてのデバイスが危険にさらされます。

  • 管理画面のパスワードを変更する：ルーターの管理画面は初期設定のままにしていると「admin/admin」など誰でも試せる状態になっている。必ず変更する
  • Wi-Fiのパスワードを強化する：12文字以上のランダムな文字列を設定する
  • 暗号化方式をWPA3（またはWPA2）にする：古いWEPやWPAは解読されやすく使用厳禁
  • ファームウェアを更新する：ルーター自体にも脆弱性が発見されることがある。メーカーの公式サイトで最新ファームウェアを確認する
  • リモートアクセス機能を無効化する：外出先からルーターを管理する機能は、必要でなければ無効にする

公共のフリーWi-Fiで気をつけること

カフェ・空港・ホテルなどのフリーWi-Fiは便利ですが、攻撃者が同じネットワークに接続して通信を盗み見る「中間者攻撃（MITM攻撃）」のリスクがあります。

  • フリーWi-Fiでインターネットバンキングや重要なサービスへのログインを行わない
  • VPN（仮想プライベートネットワーク）を使うことで通信を暗号化できる
  • 「https」が確認できるサイトのみを使う（通信が暗号化されている）
  • そのWi-Fiが本物かどうかを確認する（同名の偽アクセスポイントを攻撃者が立てる「Evil Twin攻撃」も存在する）

✅ VPNとは？

VPN（Virtual Private Network）は、インターネット通信を暗号化されたトンネルで包んで送受信する技術です。フリーWi-Fiで使うことで、同じネットワーク内の第三者に通信内容を見られるリスクを大幅に減らせます。無料VPNは信頼性に問題があるものも多いため、有料の信頼できるサービス（Mullvad、ProtonVPNなど）を選ぶことをお勧めします。

6. デジタル上の「足跡」を減らす

攻撃者が標的を絞り込むために行うのが「OSINT（オシント：オープンソースインテリジェンス）」と呼ばれる、公開情報の収集です。SNSや各種サービスに登録した情報が、意図せず攻撃の手がかりになることがあります。

SNSで注意すること

  • フルネームと生年月日の組み合わせを公開しない：これだけで個人特定や「秘密の質問」突破に使われる可能性がある
  • 「現在地」の投稿は慎重に：「今〇〇にいます」という投稿は、留守情報を公開しているに等しい
  • 職場・学校・家族構成の詳細な公開を控える：標的型フィッシング（スピアフィッシング）に利用される
  • プロフィール写真とアカウントの組み合わせに気をつける：アカウント名・顔・勤務先が揃うと、なりすましや詐欺に悪用されやすい

不要なアカウントを整理する

使っていないサービスのアカウントを放置していませんか？ 休眠中のアカウントは、セキュリティ対策が疎かになりやすく、気づかないうちに情報が漏えいしているリスクがあります。

  • 使っていないサービスのアカウントは削除申請をする
  • アカウント削除前にデータのエクスポートを行い、必要な情報は手元に保管する
  • 「〇〇でログイン（Google・Facebookアカウントでのログイン）」を使っている場合、そのSNSアカウントのアクセス権を管理・削除する

メールアドレスの使い分け

メールアドレスも「デジタル足跡」の一つです。

  • メインのメールアドレスをサービス登録に使わない：フィッシングやスパムの標的になりやすい
  • 重要度に応じてメールアドレスを使い分ける：「銀行・重要サービス用」「ショッピング・登録用」「捨てアドレス用（一時的なサービス用）」の3種類に分けると管理しやすい
  • エイリアス機能を使う：Apple iCloudの「Appleでサインイン」、SimpleLogin、AnonAddyなどのメールエイリアスサービスを使うと、本当のアドレスを漏らさずにサービス登録できる

7. バックアップで「最後の砦」を作る

どれだけ対策を重ねても、100%防ぐことはできません。万が一の感染・データ損失・ランサムウェア被害から回復するために、バックアップは絶対に欠かせない「保険」です。

3-2-1バックアップルール

バックアップの業界標準的な考え方として「3-2-1ルール」があります。

📦 3-2-1バックアップルールとは

  • 3：データのコピーを3つ持つ（オリジナル＋バックアップ2つ）
  • 2：2種類の異なる媒体に保存する（例：内蔵HDD＋外付けHDD、または内蔵HDD＋クラウド）
  • 1：そのうち1つは別の場所（オフサイト）に保管する（例：クラウドストレージ、別の建物）

この構成にしておくと、ランサムウェアに感染してPCが暗号化されても、クラウドや別の場所のバックアップからデータを復元できます。

バックアップで注意すること

  • 「常時接続」のバックアップドライブは危険：外付けHDDをPCに常時接続したままにすると、ランサムウェアがそのドライブまで暗号化してしまう。バックアップ後は接続を外す習慣をつける
  • クラウドのバージョン管理機能を活用する：Google Drive・OneDrive・Dropboxなどはファイルの変更履歴を一定期間保持している。感染直前の状態に戻せる可能性がある
  • 定期的に復元テストをする：バックアップを取っていても、いざという時に復元できなければ意味がない。半年に一度程度、実際に復元できるか確認する

8. フィッシング・ソーシャルエンジニアリングに騙されない

技術的な対策を固めても、「人間の心理」を突く攻撃には注意が必要です。「ソーシャルエンジニアリング」と呼ばれる、人を騙す手口です。

代表的な手口と見破り方

手口特徴見破るポイント
フィッシングメール公式を装ったメールでリンク・添付ファイルを開かせるリンク先URLを確認・公式サイトに直接アクセス
スミッシングSMSで偽URLへ誘導する（宅配・銀行などを装う）SMS内のリンクは基本的にクリックしない
ビッシング（音声詐欺）電話でサポートスタッフ等を名乗り遠隔操作や情報収集をする「すぐに対応が必要」と急かす電話は一旦切って公式番号に折り返す
プリテキスティングIT部門・上司・取引先を名乗って情報提供を求める別の連絡手段で本人確認を行う
おとり攻撃「無料ソフト」「当選」など魅力的なオファーで誘導する「うますぎる話」は疑う

「緊急」「急いで」は詐欺のサイン

ソーシャルエンジニアリングの多くは、「今すぐ対応しないと大変なことになる」という焦りを作り出すことで、冷静な判断を奪います。

  • 「アカウントが24時間以内に停止されます」
  • 「不正アクセスが検出されました。今すぐ確認してください」
  • 「ご確認いただかないと荷物を返送します」

こういったメッセージを受け取ったとき、そのメールやSMSのリンクをクリックするのではなく、ブラウザのアドレスバーに公式サイトのURLを直接入力して確認する習慣が重要です。

9. デバイスの物理的なセキュリティも忘れない

サイバーセキュリティというとネットワーク上の脅威ばかりに目が向きがちですが、物理的な盗難・覗き見・紛失も重大なリスクです。

  • 画面ロックを必ず設定する：PCのスリープ時の自動ロック（5〜10分以内）、スマートフォンのPIN・生体認証を必ず設定する
  • 席を離れるときはロックする：Windowsなら「Windowsキー＋L」で即座にロックできる
  • プライバシーフィルターを使う：カフェや電車でPCを使う際、横や後方からの「ショルダーサーフィン（覗き見）」を防ぐプライバシーフィルターが効果的
  • ノートPCのWebカメラにカバーをつける：RATなどのマルウェアによる盗撮を物理的に防ぐ
  • スマートフォンを紛失した場合の対策を準備しておく：iPhoneなら「探す」、Androidなら「デバイスを探す」機能を事前に有効にしておく

10. 「多層防御」の考え方で全体を固める

ここまで紹介した対策を一つひとつバラバラに実施するのではなく、「多層防御（Defense in Depth）」の考え方で組み合わせることが重要です。

多層防御とは、城の守りを城壁・堀・番兵・城門と多重に設けるように、セキュリティの防壁を何重にも重ねて、一つが突破されても次の層が守ってくれるという考え方です。

🏯 多層防御のイメージ

  • 第1層（外堀）：ルーターのファイアウォール、不審なサイトのフィルタリング
  • 第2層（城壁）：OSとソフトウェアの最新化（脆弱性を塞ぐ）
  • 第3層（城門）：強いパスワード＋多要素認証（不正侵入を防ぐ）
  • 第4層（番兵）：ウイルス対策ソフト・EDR（侵入したマルウェアを検知・排除）
  • 第5層（宝物庫）：バックアップ（最悪の事態からデータを守る）

どれか一つが突破されても、次の層が機能することで被害を最小限に食い止めることができます。

まとめ：今日から始める「狙いにくい標的」への第一歩

「完璧なセキュリティ」は存在しません。しかし、攻撃者にとって「コストと時間がかかりすぎる標的」になることは、十分に達成可能です。

すべての対策を一度に始めようとすると挫折します。まずは優先度の高いものから順番に取り組んでいきましょう。

✅ 「狙いにくい標的」になるための優先チェックリスト

【最優先：今週中に必ずやる】

  • □ メール・SNS・ネットバンキングに多要素認証（MFA）を設定する
  • □ パスワードの使いまわしをやめ、パスワードマネージャーを導入する
  • □ OSとブラウザのアップデートを確認し、最新の状態にする

【高優先：今月中に取り組む】

  • □ 自宅Wi-Fiルーターの管理パスワードと暗号化方式を確認する
  • □ 重要データのバックアップを外付けHDDまたはクラウドに設定する（3-2-1ルール）
  • □ 使っていないアカウント・アプリを整理・削除する
  • □ ウイルス対策ソフトの定義ファイルが最新か確認する

【中優先：習慣として身につける】

  • □ フリーWi-FiでのVPN使用を習慣化する
  • □ メールやSMSの「緊急」系のリンクは公式サイトを直接確認する癖をつける
  • □ SNSに公開する個人情報を定期的に見直す
  • □ 画面ロックを離席時に必ず行う
  • □ 半年に一度、バックアップからの復元テストを行う

セキュリティは「一度やれば終わり」ではなく、攻撃手口の進化に合わせて継続的に見直すものです。とはいえ、今日紹介した基本的な対策を徹底するだけで、大多数のサイバー攻撃からあなた自身を守ることができます。

「どうせ自分は狙われない」ではなく、「対策した人だけが守られる」という意識を持つことが、デジタル時代を安全に生きる第一歩です。

疑問点やご意見があれば、ぜひコメントでお聞かせください！

📚 参考資料・公式情報源

  • IPA（情報処理推進機構）「情報セキュリティ10大脅威 2024」
  • Microsoft Security Blog「One simple action you can take to prevent 99.9 percent of attacks on your accounts」（2019年）
  • NIST（米国国立標準技術研究所）「デジタルアイデンティティガイドライン SP 800-63B」
  • 警察庁「令和5年版 警察白書」
  • Have I Been Pwned：https://haveibeenpwned.com/
  • US-CERT「Home Network Security」

コメント