情報漏えいが続くいま、社員に伝えたい6つのこと

情報漏えいのお知らせが続いています。社員の方も、ふだん使っているサービスから「お客様の情報が漏えいしたおそれがあります」という連絡を受け取っているはずです。漏れた情報は、そのあと、偽のメールや不正なログインに使われます。入口になるのは、個人のスマホだけではありません。会社のメールやアカウントも同じです。

この記事では、いま社員に伝えておきたいことを6つにまとめ、朝礼やチャットでそのまま使える文例を添えます。何が起きているのかと、会社として確認したいことは、相次ぐ情報漏えい、小さな会社がいま確認したい5つのことにまとめています。内容は、2026年11月11日時点で公表されている情報にもとづいています。

漏えいの「あと」に起きること

漏えいは、お知らせが出た時点で終わりではありません。公的機関は、そのあとに起きる被害への注意を呼びかけています。

• 警察庁は2026年10月、流出したメールアドレスに偽のメールが送られ、さらなる情報の流出や金銭の被害につながるおそれがあると注意を促しました
• 政府の「サイバーセキュリティ緊急対策パッケージ」（2026年11月6日）は、漏えいした個人情報を悪用した詐欺の電話、フィッシング、なりすましなどの二次被害が、今後も事案のたびに起こり得るとしています

実際の例もあります。不正アクセスを受けたメール配信サービスのアララは、同社のサービスが不正に使われ、クレジットカード会社を装った不審なメールが最大で約713万通送信されたと公表しました。送信元は、同社のドメインのメールアドレスでした。送信元のアドレスが本物に見えることは、安全の目印になりません。

会社にとっての問題は、2つあります。

• 社員が、私用のサービスと会社のアカウントで同じパスワードを使っていると、私用のサービスからの漏えいが、会社への不正なログインにつながる
• 会社のメールアドレスで登録した外部のサービスから漏えいすると、会社あてに偽のメールが届くようになる

つまり、社員ひとりひとりの備えが、そのまま会社の備えになります。

社員に伝えたい6つのこと

1. メールやSMSのリンクから、手続きをしない

漏えいのあとに届く偽のメールは、「お詫び」「補償」「返金」「ご本人確認」「パスワードの再設定」など、いまの状況に合わせた名目で来ます。文面や見た目では、見分けがつきません。

伝える約束は、1つです。届いたメールやSMSのリンクからは、ログインも入力もしない。確認したいときは、いつも使っている公式のアプリか、自分で登録したブックマークから開きます。IPA（情報処理推進機構）も、突然届くメールやSMSは基本的に詐欺と考えて、リンクを開かないよう案内しています。

2. 同じパスワードを、ほかで使っていないか確かめる

漏えいの連絡が来たサービスのパスワードを変えるだけでは、足りません。同じパスワードを使っているほかのサービスも、あわせて変える必要があります。攻撃する側は、漏れたIDとパスワードの組み合わせを、ほかのサービスでも試すからです。

社員には、「会社のアカウントと同じパスワードを、私用のサービスで使っていたら、今週中に会社のほうを変える」と、期限をつけて伝えます。覚えきれないという声には、パスワード管理のツールを使う方法を案内します。

3. 多要素認証とパスキーを設定する

多要素認証は、パスワードに加えて、スマホに届く確認などを求める仕組みです。パスワードが漏れても、それだけでは入れなくなります。パスキーは、指紋や顔の認証などを使い、パスワードを入力せずにログインする仕組みです。警察庁や消費者庁も、利用者に向けて、この2つの活用を呼びかけています。

会社のメールとクラウドは、会社として設定を必須にします。私用のサービスは強制できませんが、「銀行、買い物、メールの3つは設定しておくと安心です」と勧めておくと、社員自身を守ることにつながります。

4. 会社のメールアドレスで登録したサービスを、教えてもらう

業務のために、社員がそれぞれ登録した外部のサービスがあるはずです。資料の作成、ファイルの受け渡し、情報収集のための会員登録などです。会社が把握していないサービスは、漏えいが起きても、会社として気づけません。

「会社のメールアドレスで登録しているサービスを、教えてください」と呼びかけ、一覧にします。このとき、勝手に使っていたことを責めないのが大切です。責めると、次からは出てこなくなります。あわせて、「会社のアドレスに漏えいの連絡が届いたら、担当者に転送する」ことも決めておきます。

5. 電話も疑う。その場で答えない

漏れた情報に電話番号が含まれていると、サービスの事業者、取引先、公的機関などを名乗る電話がかかってくることがあります。名前や利用しているサービスを言い当てられると、信じてしまいがちです。

約束は、「その場で答えず、いったん切って、公式のサイトに載っている番号にかけ直す」です。業務では、もう1つ決めておきます。振込先や支払い方法の変更を求める連絡には、メールだけで応じない。以前から知っている番号に電話をかけて、確かめます。取引先になりすまして送金させる「ビジネスメール詐欺」は、IPAの「情報セキュリティ10大脅威 2026」にも入っています。

6. 「開いた」「入力した」と思ったら、すぐ言う

どれだけ気をつけていても、開いてしまうことはあります。大切なのは、そのあとの早さです。すぐに分かれば、パスワードを変える、カード会社に連絡する、パソコンをネットワークから外す、といった手を打てます。

そのために、次の2つをはっきり伝えます。

• 誰に、どの手段で連絡するか。担当者がいないときの代わりの人も決めておく
• 連絡した人を、責めない

隠されることが、いちばん被害を大きくします。「言ってくれて助かった」と返すことを、会社の約束にします。

「漏えいしました」という連絡が来たら

社員から「こういう連絡が来たのですが、どうすればよいですか」と聞かれたときのために、IPAが2026年10月26日に公開した個人向けの案内を、表にまとめます。

連絡そのものが偽物ということもあります。届いた連絡のリンクは使わず、そのサービスの公式のサイトで、お知らせが出ているかを確かめます。

対処が分からないときの相談先は、次のとおりです。

• IPA「情報セキュリティ安心相談窓口」
• 消費者ホットライン「188」
• 警察相談専用電話「#9110」

伝え方のコツ

一度に話すのは、3つまで

6つを一度に話しても、残りません。最初は、1（リンクから手続きしない）、2（同じパスワードを変える）、6（すぐ言う）の3つに絞ります。残りの3つは、翌週以降に1つずつ足します。時間は、朝礼や会議の冒頭の5分で十分です。

禁止より、理由と代わりの方法

「不審なメールを開かないこと」だけでは、行動は変わりません。見分けがつかないのが、いまの偽メールだからです。「見分けようとしない。リンクを使わず、アプリかブックマークから開く」と、代わりの方法を伝えます。

そのまま使える文例

朝礼で読み上げるか、社内のチャットに貼って使えます。○○には、連絡先の名前を入れてください。

最近、情報漏えいのお知らせが増えています。漏れたメールアドレスあてに、お詫びや補償を装った偽のメールが届くことがあります。次の3つをお願いします。

1. メールやSMSのリンクからは、ログインや入力をしないでください。確認は、公式のアプリか、いつも使っているブックマークからお願いします。
2. 会社のアカウントと同じパスワードを、ほかのサービスで使っている方は、今週中に会社のパスワードを変えてください。
3. 「開いてしまった」「入力してしまった」と思ったら、すぐに○○まで連絡してください。早く分かれば、被害を小さくできます。連絡した人を責めることはありません。

経営者と担当者が、先に決めておくこと

社員に伝える前に、会社の側で決めておくことが4つあります。決まっていないと、社員は連絡したくても動けません。

• 連絡を受ける人と、その人がいないときの代わりの人
• 連絡を受けたあとの、最初の動き。パスワードを変える、パソコンをネットワークから外す、保守を頼んでいる会社や相談窓口に連絡する、など
• 振込先の変更を求められたときの、確認の手順
• 会社として必須にする設定。会社のメールとクラウドの多要素認証など

一度で終わらせない

伝えた直後は気をつけていても、1か月たつと、もとに戻ります。次のような小さな機会を、続けて作ります。

• 社員に実際に届いた偽のメールを、画面の写真で共有する。「こういうものが来ている」と分かると、自分のこととして受け取られます
• 1か月後に、同じ3つをもう一度話す
• 新しく入った人には、最初の週に同じ内容を伝える

判断に迷ったときは

何を、どの順番で、どんな言葉で伝えるかは、会社の業務や、使っているサービスによって変わります。

nexbridgeの研修・教育では、御社の業務の場面に合わせて、社員の方に伝える内容を組み立てます。アカウントや連絡の手順など、会社の側の備えは、社外IT顧問サービスで一緒に考えます。特定の製品を売り込まない立場でお伝えします。

迷ったときは、無料のオンラインヒアリングでご相談ください。

参考にした公的な資料

• IPA「自分の個人情報等が漏えいした際の「対処」と「日頃の対策」」（2026年10月26日）、「情報セキュリティ安心相談窓口」、「情報セキュリティ10大脅威 2026」
• 警察庁「サイバー警察局便り 2026 Vol.20 フィッシングメールに注意！」（2026年10月）、「サイバー警察局便り 2026 Vol.19」（2026年10月）
• 消費者庁「不正アクセスによる個人情報の漏えい等に関する注意喚起」
• サイバーセキュリティに関する関係閣僚会議「サイバーセキュリティ緊急対策パッケージ」（2026年11月6日）
• アララ「アララメッセージへの不正アクセスによる情報流出およびサービス停止について（第2報）」（2026年11月2日）