スマホ情報漏洩原因を整理｜企業が先に潰すべき経路と対策

スマホ情報漏洩は、紛失・盗難やフィッシング（SMS経由）だけでなく、業務アプリ運用やクラウド共有設定など複数の経路が重なって起きます。経営・法務・情シスとして原因の棚卸しが曖昧なままだと、MDMの統制項目やBYODの許容範囲、事故時の報告判断（個人情報保護委員会への報告等）を社内ルールに落とし込めず、初動が遅れる不利益に繋がります。端末管理・運用ルール・初動対応を一体で見直す前提として、まず「どこから漏れるか」を原因別に整理することが必要です。以下では、対策の判断材料として漏洩経路と統制ポイントを示します。

スマホ情報漏洩リスクの全体像

企業利用で情報漏洩が起きやすい理由

業務スマートフォンは、社外に持ち出される前提のため、紛失・盗難が起点になりやすい点がパソコン以上の特徴です。外出先での業務（移動中のメール処理、クラウド閲覧、チャット対応など）は、端末の置き忘れだけでなく、第三者の視線が近い環境での操作により、画面ののぞき見や誤操作による共有ミスも誘発します。

また、SNS投稿による事故（業務画面や書類、ホワイトボード等の写り込みを含む）は、本人に悪意がなくても発生しやすい類型です。特に「私物端末だから」という感覚が残っていると、業務データを私用アプリに送る・私用クラウドに置くなどのシャドーITに繋がりやすく、会社として把握できない経路で情報が持ち出されます。

さらに、退職局面では、端末内・クラウド内に残ったデータや、個人の端末に同期されたデータが退職社員の情報持ち出しとして顕在化しやすいため、日常運用の段階から「端末に残さない」「権限を残さない」設計が重要です。

スマホのセキュリティ構造と限界

スマートフォンOS（iPhoneのiOS、AndroidOS）は、設計段階からセキュリティが考慮されており、レガシー環境を抱えがちなPCに比べると、過度に恐れる必要はありません。一方で、脆弱性は継続的に見つかるため、OS・アプリを最新状態に保つことが前提条件です。

運用面の限界として、端末側の機能が強力でも、

といった要因で、防御力は容易に低下します。したがって、端末任せではなく、会社として統一的に更新・設定を管理する仕組み（後述のMDM等）を組み合わせることが実務的です。

社用端末とBYODで管理基準を分ける判断軸｜MDM必須項目と業務許容範囲

社用端末（会社貸与）とBYOD（私物端末の業務利用）は、所有権が異なるため、企業がコントロールできる範囲と、従業員のプライバシー保護の境界が変わります。参照情報では、会社から貸与され、コントロールされた端末を利用することを「初歩の初歩の基本対策」と位置付けており、可能ならBYODを禁止し貸与端末へ寄せる判断が「ファーストステップ」とされています（特にスタートアップでBYODが見受けられるため注意が必要とされています）。

社用端末の場合は、Mobile Device Management（MDM：モバイルデバイス管理）を前提に、端末を一元管理します。MDMは直訳するとモバイルデバイスの管理で、法人がスマホを貸与して利用させる場合に導入・活用が必須とも言える仕組みです。

BYODを許容する場合は、端末全体を監視・統制する設計は反発や法的論点を招きやすいため、業務アプリ領域のみを管理対象に限定するなど、会社が管理する範囲を限定する設計が現実的です。ただし、BYODや私用クラウドは「会社でコントロールのしようがない」側面が強く、退職時に端末に保存されていた情報がそのまま持ち出される状況を生みやすい点が、管理上の大きな論点になります。

スマホ情報漏洩の主な原因

紛失・盗難・のぞき見の典型経路

スマホ起点の漏洩では、紛失が典型です。外出先で業務をする（移動・出張・訪問先・店舗等）ほど、置き忘れや盗難の機会が増え、端末内のメール、チャット、クラウドへの自動ログイン状態が悪用されます。

対策の基本は、端末を確実にロックする（生体認証・パスコード・パターンロック等）、通知表示を最小化する、公共空間での覗き見対策（覗き見防止フィルター等）を組み合わせ、さらにMDMで位置確認・リモートロックができる状態を平時から作ることです。

アプリとフィッシングによる流出

スマホの乗っ取りは、主にOSの脆弱性か、悪意のあるアプリ（不正アプリ）の導入で起きると整理できます。そのため、会社としてOS更新を継続し、アプリの導入可否を統制できれば、不正アプリが入り込む余地を大きく削れます。

また、フィッシングはスマホではSMS経由が目立ちます。参照情報でも、SMS（ショートメッセージサービス）を介した詐欺メールが横行しており、宅配会社、クレジットカード会社、通信事業者、国、銀行などを装うなどバリエーションがあるとされています。偽サイトへ誘導し、ID・パスワード、個人情報、クレジットカード番号等の入力を促すため、SMSで届いたメッセージは全て疑うくらいの注意喚起を社内で徹底する必要があります。

フィッシング被害が漏洩に直結する会社の共通点｜SMS承認・個人メール転送・認証例外の見落とし

フィッシングが「認証突破」で終わらず、情報漏洩に直結しやすい会社には、運用上の共通点があります。

対策は、認証方式そのものの見直しに加え、個人メール転送や私用クラウド利用を明確に禁止し、例外を作る場合も期限・対象・代替統制（追加監視等）まで含めて手続化することです。

業務運用が招く情報漏洩リスク

誤送信とクラウド共有ミスの原因

メール誤送信やクラウド共有設定ミスは、悪意ではなく人的ミスで発生し、スマホ業務では操作の即時性が高い分、誤りに気づく前に送信・共有が完了しやすい点がリスクです。

参照事例として、約1,500人分の氏名・住所・電話番号等が記載されたリストを、本来の宛先とは別の同姓同名の担当者へ誤送信したケースが示されています。この類型では、宛先のオートコンプリート（自動入力）や、添付ファイルの取り違えが典型原因になります。

さらに、自治体で2021年6月（東京都港区）にCCとBCCの誤りによりメールアドレスが流出した事案では、再発防止策として「送信先および送信方法を他の職員と確認し合うルールの徹底」や「個人情報取扱い研修の実施」が挙げられています。また、2021年11月のデジタル庁の事案では、Outlookで送信メールを送信トレイに1分保留し、送信後も一定時間宛先を確認できるようにする設定周知が再発防止策として挙げられています。

クラウド共有についても、サービス側の問題ではなく利用者側の設定不備で漏洩が起きます。たとえば、クラウドストレージの公開権限ミスで機密が公開扱いとなり、第三者が閲覧・ダウンロードできる状態になる、共有設定が非公開になっておらずゲストアカウント等でも意図せず閲覧できる、URLリンクさえ分かれば第三者でも見られる状態で放置される、といった類型です。ミスを前提に、定期監査で検知する設計が必要です。

BYOD・シャドーIT・内部不正の論点

BYOD（許可された私物利用）とシャドーIT（未許可の私用機器・私用クラウド・私用メール等の業務利用）は分けて管理する必要があります。シャドーITは、情報システム部門が把握できていない点が本質的なリスクで、中小企業では認識がなく無法地帯になっているケースもあるとされています。

シャドーITの具体例として、個人PC・タブレット・スマホ・USBメモリ等の機器のほか、Dropbox等のクラウドストレージ、Gmail（個人利用の無償版）やYahoo!メール等の私用メール、LINE（個人利用の無償版）やWhatsApp等のコミュニケーションツールが挙げられます。個人端末は、ウイルス対策やOSアップデート等の基本対策ができているか不明であり、会社の統制外で感染・漏洩が広がります。

また、退職局面では、個人端末や個人クラウドに保存された情報が、そのまま持ち出される状況になり得る点が、会社としても個人としても望ましくないとされています。内部不正対策としては、最小特権（業務に必要な最小限の権限付与）と、退職時のアカウント無効化・権限剥奪の即時実行、ログの監視が基本線です。

誰がいつ何を承認するか｜スマホ業務利用ルールを情シス・法務・現場で回す設計

スマホ業務利用を制度として回すには、情シス・法務・現場が、承認と統制の単位を揃える必要があります。参照情報の趣旨に沿えば、まず「会社として許可し、コントロールされた端末・クラウドサービスを利用する」ことが基本で、社内ネットワークへ接続できる端末は会社貸与に限定する考え方（スマホでも同様）が重要です。BYOD端末を社内Wi-Fiや有線LANに接続させない設計として、MACアドレスフィルタや認証システムの利用といった論点も挙げられています。

情報漏洩が企業に与える損害

不正アクセスと不正利用の被害

スマホ起点で認証情報が漏れると、攻撃者は正規ユーザーになりすましてクラウドや業務システムへ入り、改ざん・窃取・不正送信などの二次被害を起こします。加えて、侵害されたアカウントが社内・取引先への踏み台になり、フィッシング拡散等に利用されれば、信用・取引への影響が連鎖します。

参照情報の文脈では、端末乗っ取りの主要因としてOS脆弱性や不正アプリが挙げられており、裏返せば「OS最新化やアプリ統制ができていない状態」が、侵害の入口になりやすいと言えます。したがって被害を最小化するには、侵害後の対応だけでなく、平時からMDM等で更新とアプリ導入余地を狭める統制が重要です。

個人情報漏洩の法的責任と報告義務

個人データの漏えい等が一定条件を満たす場合、個人情報取扱事業者は、個人情報保護委員会（個情委）への報告および本人への通知を行う義務があります（個人情報保護法26条（個人情報保護法第26条））。あわせて、個人情報保護法のガイドライン（通則編）では、漏えい等またはそのおそれのある事案に応じて、必要な措置を講じることが求められる整理が示されています。

また、プライバシーマーク付与事業者であれば、一般財団法人日本情報経済社会推進協会（JIPDEC）の「プライバシーマーク付与に関する規約」（2022年2月28日改定）12条に基づき、可及的速やかに、漏えい等を含む事故等の発生をJIPDEC等の関係審査機関へ報告する必要がある点も、社内手順に織り込むべき実務論点です（ここでの「事故等」は漏えい等に限らず不正・不適正取得、目的外利用・提供、不正利用等も含むとされています）。

損害賠償額の水準感と事例の教訓

漏洩後のコストは、賠償だけでなく調査・封じ込め・再発防止・通知対応等が重なり、経営インパクトが拡大します。参照情報では、営業秘密情報を盗まれた事例について、簡単な管理用パスワードを設定していたことが原因とされ、取締役らが適切なリスク管理（善管注意義務）を怠ったとして、任務懈怠に基づく会社に対する損害賠償責任（会社法423条1項（会社法第423条））や、第三者に損害が生じた場合の責任（会社法429条1項（会社法第429条））を負う可能性が高い、という整理が示されています。

また、営業秘密が公開されてしまった場合でも直ちに営業秘密性が失われるとは限らず、第三者に対して当該情報が不正取得された営業秘密であることを通知し認識させることにより、不正競争行為の成立（不正競争防止法2条1項6号）や差止め・損害賠償請求（同法3条、4条）を検討し得る、という実務上の教訓が挙げられています。公開サイト管理者等への削除要請、公表の是非（拡散リスク）も含め、準備が必要です。

原因別のスマホ情報漏洩対策

Wi-Fi・パスワード・多要素認証の対策

通信と認証は、スマホ業務の基礎対策です。フリーWi-Fiや暗号化が不十分なWi-Fiでは、盗聴リスクが残ります。参照情報では、暗号化されていないサイトやPOP、FTP等でのデータやりとりは盗聴リスクがあり、またPC側の共有フォルダ設定等がある場合に同一Wi-Fiの不特定多数から見られる危険も指摘されています。

さらに、Wi-Fi暗号化方式として古いWEPが使われている場合があり、WEPは解読が容易で解読用ツールが出回っているため危険で、少なくともWPA2以上に変更すべきとされています。

外出先の業務では、

認証面では、紛失時に直ちにアクセスできないように、パスコードや生体認証を前提にし、「ロック解除が面倒」等の理由で端末ロックを解除する運用は避けます。加えてSMSフィッシングが横行しているため、SMSで届くメッセージを起点に認証情報を入力しない教育と、可能であればSMS依存の見直しも検討します。

アプリ制御とMDM運用の設計

アプリ統制と更新統制は、スマホ・タブレット対策の中核です。MDMは、会社として一元管理する仕組みであり、OSやスマホアプリを統一管理できる点が、サイバーセキュリティ上の主要な利点とされています。端末乗っ取りの主要因がOS脆弱性や不正アプリである以上、会社が「最新版への更新」と「アプリのインストール可否」をコントロールできれば、不正アプリの導入余地をほぼ消失させられます。

加えて、社内ネットワークへ接続できる端末を会社貸与に限定する設計（BYOD端末を繋げない）や、MACアドレスフィルタ、認証システムの利用も、ネットワーク面の統制として検討対象になります。

遠隔ロックと遠隔初期化はどちらを先に使うか｜位置確認・証拠保全・業務停止の分かれ目

紛失・盗難時は、端末回収の可能性、情報の機密性、調査可能性、業務停止影響を同時に考え、手順の順番を固定しておくことが重要です。参照情報でも、紛失時に位置特定・リモートロック・リモートワイプ等で漏洩可能性を下げられる点が示されています。

回線停止を先に行うと、ロックやワイプ命令が届かない設計になっている場合があるため、「命令が届いたことの確認」を含めた運用設計（誰がどの管理画面から実行するか）を事前に定めておくべきです。

情報漏洩発生時の初動対応

疑い段階で行う遮断と調査の手順

疑い段階でも初動を遅らせないことが重要です。参照情報では、初期的な事実確認として、通信している他端末の調査、各システムとの調整、疑わしい端末の特定、当該端末が他のC2サイト（攻撃者の指令サーバ）と通信していないかの確認、といった観点が示されています。

運用上は、ミスを隠蔽しないために、疑いでも即時に報告できる窓口・責任者・一次対応の権限（遮断できる範囲）を明確化しておくことが前提になります。

初期化後の確認と再発防止の進め方

リモートワイプ等の実施後は、復旧と再発防止を切り分けて進めます。参照情報の趣旨に沿えば、まずはMDM等の管理機能で、端末が管理下に戻ったこと、再発防止のための統制（OS最新化、アプリ統制、ロック強制等）が適用されていることを確認する必要があります。

あわせて、漏洩等が個人データに関わる場合は、個情委報告・本人通知（個人情報保護法第26条）が必要となる可能性があるため、技術復旧と並行して法務が判断できるよう、事実関係（漏えい等の内容、対象範囲、原因、再発防止策）を記録し、更新していく運用が重要です。

よくある質問

スマホから情報漏洩が起きていないか、自社で今すぐ何を確認すべきですか？

「漏洩したかどうか」をスマホ単体で確定するのは難しいため、まずは痕跡が残りやすい管理ログと運用実態を突き合わせます。

疑い段階で遮断・調査を走らせる前提を作ることが、結果的に被害を小さくします。

私物スマホを業務利用する場合、最低限どこまで対策を求めるべきですか？

参照情報では、セキュリティ強化の基本として「会社から貸与されコントロールされた端末の利用」や「BYOD禁止」をファーストステップとして検討する旨が示されています。したがって、まずはBYODを前提にせず、貸与端末へ寄せる検討を行うのが筋です。

それでもBYODを許容する場合、最低限としては、会社がコントロールできない領域を増やさないために、

プライバシー配慮の観点から、端末全体ではなく業務アプリ領域のみ管理する設計（管理対象の限定）も併せて検討します。

社用スマホの紛失時、最初の1時間で何をすべきですか？

参照情報では、紛失時の対策として、位置特定、リモートロック、リモートワイプ等を行える点が挙げられています。最初の1時間は「回収可能性があるうちにロックして止血する」ことを優先します。

紛失直後は判断がぶれやすいため、平時に「誰がどの画面で、どの順番で操作するか」を手順書化しておくことが重要です。

個人情報漏洩時の報告はいつまでに必要ですか？

一定の条件を満たす個人データの漏えい等が発生した場合、個人情報保護委員会への報告および本人への通知が必要です（個人情報保護法26条（個人情報保護法第26条））。期限の細部は事案類型や調査状況で変動し得るため、法務が個情委の運用（ガイドラインやQ&A等）に沿って判断する必要があります。

また、プライバシーマーク付与事業者の場合は、JIPDEC「プライバシーマーク付与に関する規約」（2022年2月28日改定）12条により、可及的速やかに、漏えい等を含む事故等の発生についてJIPDEC等の関係審査機関へ報告する必要があるため、社内手順として二重の報告ルートを用意しておくことが実務上重要です。

スマホ情報漏洩への対応で次にすべきこと

スマホ情報漏洩は、紛失・盗難、SMSフィッシング、不正アプリ、誤送信やクラウド共有ミス、シャドーIT・退職局面の持ち出しまで、技術・人・運用の組み合わせで発生します。判断の軸は、社用端末とBYODで「会社がどこまでコントロールするか」を明確にし、MDMを前提にOS・アプリ更新やインストール統制、遠隔ロック／ワイプなどの要件を揃えることです。初動では、紛失時の「最初の1時間」や、疑い段階での遮断・ログ確認を手順化し、迷いなく実行できる体制を作ることが損害の拡大を抑えます。個人データが関わる可能性がある場合は、個人情報保護委員会への報告・本人通知（個人情報保護法第26条）を含む判断が必要になるため、情シスと法務で事実関係の記録と更新を並走させてください。個別事案の該当性や対応の要否は状況で変わるため、必要に応じて社内の責任者や専門家に相談する前提で進めるのが実務的です。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ