遊園地を思い浮かべてください。

入口では、チケットと本人確認をします。ここが厳しいほど、他人が勝手に入ることはできません。これがID・パスワードと、二段階認証にあたります。

無事に入場できると、手首にリストバンドを巻いてもらえます。園内では、このリストバンドを見せるだけで、どのアトラクションにも乗れます。いちいち入口の本人確認をやり直したりはしません。

このリストバンドが、Cookie（クッキー）やセッショントークンと呼ばれるものです。

ここが問題です。リストバンドを盗まれてしまったら、泥棒は入口の本人確認を受けずに園内へ入れてしまいます。 顔写真つきの身分証をいくら厳しくチェックしても、リストバンドの盗難は防げません。

実際の攻撃も同じ形をしています。パソコンに入り込んだウイルスが、ブラウザに保存されたCookieを丸ごと抜き取る。すると攻撃者は、パスワードも二段階認証のコードも知らないまま、あなたとしてメールやファイルにアクセスできてしまいます。

通行証が持ち出される場面を考えると、真っ先に浮かぶのがテレワークです。では、テレワークは今どうなっているのでしょうか。

総務省の「通信利用動向調査」（企業編）を、2023年から2025年まで並べてみました。

読み取れることは2つです。

ひとつ。導入している企業の割合は、ほとんど変わっていません。 49.9%から50.1%です。「テレワークは終わった」という印象とは違います。

ふたつ。しかし中身は変わりました。 社内の多く（30%以上）が使う会社は30.9%から28.1%へ減り、逆にごく一部（10%未満）しか使わない会社が48.7%から52.2%へ増えています。

つまり全体像はこうです。全社をあげてリモート、という形は減り、「一部の人が、たまに社外から」という形が増えました。

ここから1つの仮説が立ちます。全社的にリモートをする会社ほど、専用のパソコン、管理されたブラウザ、申請のルール、トラブル時に通行証を無効にする手順が整っているはずです。 逆に、月に数回だけ数人が使う会社では、そうした仕組みが「例外扱い」のまま残りやすいのではないか——という見立てです。

業種ごとに見ると、形の違いがはっきりします。2025年の数字です。

「広く使っている企業の推定」は、導入率 ×（導入企業のうち30%以上が使う割合）で計算した参考値です。正式な統計項目ではなく、この記事のために2つの数字を掛け合わせたものです。

ここで製造業に注目してください。広く使っている企業は7.6%しかないのに、外出先で働く仕組み（モバイルワーク）の導入は18.6%あります。 比べると2.4倍です。

同じ「テレワークのリスク」でも、対策の中身が変わります。

• 情報通信・金融＝多くの人が社外から使う。だから量への対策（強い認証を全体へ）
• 製造・建設・運輸＝使う人は少ないが、現場や移動先へ持ち出す。だから持ち出しの管理（共有端末に通行証を残さない）

もうひとつ、意外なのが製造業の「薄い層」の増え方です。「導入しているが、使う人は10%未満」に当たる企業は、製造業全体の29.2%（2023年）から34.1%（2025年）へ増えています。営業・保守・設計・管理職だけが、月に数回だけ社外から接続する——そういう使われ方が広がっている可能性があります。

ここまでは「持ち出しやすさ」の話でした。では実際に、いまどんな攻撃が報告されているのでしょうか。

当サイトでは、認証まわりのニュースや技術記事を自動で集めています。直近で集まった44件を、手口ごとに分けました。

44件のうち約3分の1が、「ログイン後の通行証」を狙う手口でした。

とくに2番目のAiTMは、多くの人の想像を裏切ります。偽サイトが本物のログイン画面を中継するため、あなたは本物の画面で、本物の二段階認証を正しく通します。 それなのに、その結果として発行された通行証だけが、途中で抜き取られるのです。

攻撃の流れをまとめると、こうなります。

ここで、まったく別のデータを重ねてみます。当サイトが集計している国内の情報漏えい731件です。

このうち137件は、自社ではなく委託先など「外部の会社」が起点で起きたものでした。この137件と、それ以外の594件で、原因の内訳を比べます。

外部の会社が起点の場合、攻撃が原因である割合は2.07倍でした。（統計的なブレを見込んだ範囲は1.50倍〜2.85倍。この範囲が1倍をまたいでいないので、偶然の差とは考えにくい、という意味です）

ここで気づくことがあります。テレワークと外部委託は、まったく別の話に見えて、行き着く先が同じです。

どちらも最後は同じ問いになります。「会社の外にある正規の通行証を、どこまで信用するか」です。だから対策も、場所ごと・取引先ごとにバラバラに考えるより、ID と通行証を管理する場所を1つにまとめるほうが筋がいい、ということになります。

数字を出す記事では、その数字で何が言えないかも同じ場所に書くべきだと考えています。今回は特に大事な注意が4つあります。

使わなかった数字があります

今回、いったん出したものの、記事に載せないことにした数字があります。誠実さのために書いておきます。

漏えいの「被害人数」を外部起点とそれ以外で比べたところ、中央値で550対120という大きな差が出ました。4倍以上です。ところが元のデータを確認すると、単位が混ざっていました。「〇〇人」と「〇〇件」と「〇〇社」が同じ列に入っていたのです。

単位を揃えたら、劇的な差はほとんど消えました。 外部起点のデータには「件」で数えられた事案が多く含まれており、「件」は数が大きくなりやすかったのが理由です。

もし単位を確認せずに「外部委託が絡むと被害規模が4倍」と書いていたら、それは誤りでした。第5章の「攻撃が原因である割合が2.07倍」のほうは、単位に関係ない件数の比較なので、この問題の影響を受けません。

結論はひとつです。守る対象を「ログインできるか」から「ログインした後の権限が、どこまで持ち運べるか」へ移すこと。

チェックリスト