NTTセキュリティ診断電話の見分け方と断り方

NTTセキュリティ診断を名乗る電話が固定電話・オフィス回線にかかってきたとき、相手が本物の案内なのか詐欺・悪質営業なのかをその場で判断できず、不安のまま会話が進んでしまうことがあります。放置すると「情報提供だけ」「確認だけ」のつもりで訪問や遠隔操作、回線・機器の契約変更に同意してしまい、不要な契約や設定改変のトラブルにつながりかねません。番号表示がない場合でも「136」→「1」で最後の着信情報を確認できることがあるなど、実務で取れる手順を先に押さえると、社内での判断が揺れにくくなります。以下では、NTTセキュリティ診断電話の判断材料として見分け方と断り方・社内対応を示します。

NTTセキュリティ診断電話の全体像

電話にある3つのパターン

「NTTのセキュリティ診断です」「ルーター診断をします」といった電話は、実務上は内容で類型化すると見極めやすいです。相手の肩書きではなく、何を目的に・何をさせようとしているかで整理して確認します。

これらに共通するリスクは、新規営業だと思わせない言い回しで話を継続させ、担当者が状況を整理できないまま「情報提供だけ」「確認だけ」として合意を取り付ける点です。参照情報でも、新規営業の場面で「今すぐ乗り換えてくれという話ではない」「比較検討のための情報提供だけ」と意味づけして、受付が責任者に回すよう誘導するトーク例が示されています。したがって、受電側は「情報提供だけなら結構です」で終え、申込や訪問の同意は社内手続を通す運用が必要です。

サイバー攻撃増加が背景にある

不審な「診断」電話が成立しやすい背景として、中小企業がサイバー攻撃の対象になっている現実があります。警察庁が2022年4月に公表した「令和3年におけるサイバー空間をめぐる脅威の情勢等について」では、ランサムウェア被害を受けた組織146件の規模別内訳として、大企業34%、中小企業54%とされています。中小企業は「資産がないから狙われない」とは言い切れず、規模を問わず攻撃対象になり得ます。

一方で、こうした脅威認識があるからこそ、電話勧誘側は「診断」「点検」「義務」といった言葉で圧力をかけ、拙速な契約に誘導しやすくなります。実務対応としては、脅威自体は正しく受け止めつつも、突然の電話での契約や入室・遠隔操作は避け、後述の正規ルート確認と社内ルールで切り分けることが重要です。

NTTのセキュリティ診断を確認する

東日本など公式サービスの案内

公式の診断サービスは、原則として企業側が申し込み、条件（範囲・料金・日程）に合意した上で実施されます。突然の受電だけで「今すぐ診断しないと危険」と迫る進め方は、公式案内の運用と整合しにくいです。

また、参照情報にあるとおり、サイバー被害後の対応では、再構築したパソコン・サーバ・クラウド・ネットワーク等について、第三者である外部専門組織により安全性を確認する「セキュリティ第三者チェック」が重要とされています。ここでいう第三者チェックは、外部公開サーバや通信機器への脆弱性診断、ネットワーク環境診断、クラウド移行後の設定不備（設定ミス）確認など、対象と目的が具体化されているのが特徴です。電話口で対象・範囲・成果物が曖昧なまま進む「無料診断」とは、まず区別して捉えてください。

正規の案内ルートと申込窓口

不審電話の多くは「折り返し」を促し、相手が指定する番号や担当直通へ誘導します。しかし、実務上の安全策は、相手が告げた連絡先を使わないことです。会社側が自分で正規の窓口を調べ、代表窓口へ照会して、委託の有無や用件の真偽を確認します。

加えて、社内の証拠保全としては、発信者番号の把握を補助する手段もあります。参照情報では、番号表示がない場合でも「番号お知らせサービス」を利用し、電話後に「136」→「1」をダイヤルすると、最後にかかってきた電話の日時と電話番号を音声で確認できる場合があるとされています。必要に応じてこの音声も録音しておくと、後日の社内共有や相談時の説明がしやすくなります（なお、通常提供される通話明細は発信履歴中心で、着信履歴が出ないことがある点にも留意します）。

公式サービスか営業電話かを分ける基準――申込履歴・契約主体・当日の実施内容で確認する

相手の肩書きではなく、次の3点を機械的に確認すると、公式対応と営業を分離できます。

とくに「当日の実施内容」は重要です。参照情報にあるネットワーク機器の設定確認では、ルーター／ファイアウォール／VPN機器について、設定変更の有無を確認し、攻撃者が狙う目的としてC2サーバーへの通信確立、別セグメントへの侵入、多要素認証の回避や認証情報を使わないVPN接続の確立などが例示されています。公式・正規の診断であれば、こうした観点で「何を確認するのか」を説明できるのが通常で、逆に「よく分からないが一度見せてほしい」「今すぐ入れ替えが必要」だけで進む提案は慎重に扱うべきです。

電話と訪問の見分け方

典型トークと悪質勧誘の特徴

悪質勧誘は、断定的な不安あおりだけでなく、「新規営業ではない」ように見せる言い回しも多いです。参照情報のトーク例でも、次のように合理的な意味づけで話を継続させる方向性が示されています。

また、「法律で義務化された」「このままだと回線が使えなくなる」といった断定で即決を迫る場合は、後段のFAQのとおり法令名・根拠の提示を求める対応が有効です。さらに、診断名目で遠隔操作や機器の設定変更に触れる場合は、参照情報のとおり、設定変更は攻撃者の目的（C2通信やVPN悪用等）に直結し得るため、その場で操作を許可しないことが実務上の安全策です。

公式と代理店の確認ポイント

公式か代理店かの確認は、相手の説明の上手さではなく、確認項目を固定して実施します。

加えて、相手が「こちらから折り返せ」「電話してこい」と強く迫る場合でも、参照情報の実務対応では、会社としての見解を明確に伝えた上で「こちらから電話をおかけすることはお約束できません」「責任を認めた趣旨ではございません」と同趣旨の回答に終始すればよいとされています。折り返しを強要されても、約束しない運用にしておくと、担当者が抱え込みにくくなります。

『回線工事の確認』『地域担当になった』と言われたときの線引き――入室前に止める確認項目

訪問を伴う話が出た時点で、社内の線引きを「入室前」に置くのが安全です。特にルーターやVPN機器は、参照情報のとおり設定変更が不正侵入やC2通信に悪用され得るため、現場判断で触らせないことが重要です。

不審な設定変更が疑われる場合の実務は、参照情報に沿って、バックアップから元の設定へ戻す、戻せない・バックアップの安全性が担保できない場合は初期化を検討する、VPN機器で不審アカウント追加等があればファームウェアのバージョンを確認し必要に応じてアップデート、すぐにアップデートできない場合は一時的な機能停止も検討するといった整理になります。これらは社内の情シス等が判断すべき領域であり、飛び込み訪問の作業員に委ねる設計にはしない方が安全です。

セキュリティ診断電話への対応

折り返し確認と社内共有の流れ

受電担当者の不安を減らし、個人判断のブレをなくすには、折り返し確認と共有の流れを定型化します。

また、参照情報のとおり、通話履歴の提供を通信事業者に求めることも考えられますが、通常の履歴は通信料把握のための発信履歴中心で、着信履歴が載らない場合がある点は社内で認識しておくと、証拠収集の期待値を誤りにくいです。

不要な契約を断る社内ルール

断り方は「担当者の腕」ではなく、社内ルールとして固定します。曖昧な返答は再架電の呼び水になります。

電話勧誘で申込みを受ける取引は「電話勧誘販売」と整理され、電話をいったん切った後に郵便や電話等で申込みをする場合も含まれる、と参照情報で説明されています。したがって「一度切って申込書を送るので大丈夫」という説明でも、取引類型としては電話勧誘に該当し得るため、社内稟議・契約審査を必ず通す設計が安全です。

総務・情シス・店舗責任者の誰が止めるか――初回受電から折り返し判断までの役割分担

拠点や受付が「止める」ためには、役割を先に決めておきます。

参照情報では「脆弱性診断士」が、ネットワーク、OS、ミドルウェア、アプリケーションがセキュアに実装されているか検査し、診断結果の評価を担う役割とされています。こうした専門性が必要な評価を、受付・店舗の現場で即断しない体制にすることが、過剰契約と事故（設定改変・情報漏えい）双方の予防になります。

ルーター契約のリスクを抑える

機器や回線契約の注意点

ルーターや回線契約は、価格よりも「途中解約時の負担」と「何を触らせるか」が事故になりやすい領域です。特に、診断名目でルーター／VPN機器の設定へ触れる提案は、参照情報のとおり、攻撃者がC2通信確立や別セグメント侵入、多要素認証回避等の目的で設定を変更する可能性があるため、社内統制がない状態で外部業者に触らせるのは高リスクです。

また、継続的な契約については、参照情報でも「契約が有効な期間を記載しておく」重要性が触れられています。口頭説明ではなく、見積書・契約書で次を確認します。

契約後の見直しと相談先

不本意な契約に気づいた場合は、早期に事実関係を整理し、外部相談を使って交渉材料を整えます。社内では、通話メモ（日時・相手名・要件）、受領した書面一式、着信番号（必要なら「136」→「1」で確認した情報）など、説明経緯が分かる資料を揃えます。

加えて、技術面で不審がある場合は、参照情報が推奨する「セキュリティ第三者チェック」の考え方に沿い、外部専門組織に確認を依頼する選択肢があります。参照情報には、無償の相談窓口（条件付きのものを含む）として、次のような企業名と受付時間帯が整理されています。

どこに相談するにせよ、相手方の言い分（「義務」「点検」等）をそのまま伝えるのではなく、こちらが把握した事実（通話内容、書面の記載、作業の有無）を分離して説明すると、助言が具体化しやすいです。

リース・保守・回線オプションのどれが増えているか――見積書で先に見るべき金額欄と契約期間

見積書の精査は「初期費用が安いか」より、継続費用と期間の縛りを先に見るのが実務です。参照情報でも、継続的契約については有効期間の記載が重要とされているため、金額欄とセットで確認します。

また、技術面では、参照情報の「ネットワーク機器の設定確認」にある観点（不審な設定変更、VPNの不審アカウント追加、ファームウェアのバージョン確認と必要なアップデート等）を、見積・作業計画の段階で社内情シスが確認できる形になっているかも重要です。見積書が「診断一式」等でブラックボックス化している場合は、目的外の設定変更や不要なオプション追加が混入しても発見が遅れます。

中小企業の診断導入を考える

脆弱性診断の役割と対象範囲

脆弱性診断（ぜいじゃくせいしんだん）は、システムの弱点を洗い出して修正方針を決めるための工程であり、「電話で突然やるもの」ではなく、対象と範囲を定めて実施するのが通常です。参照情報でも、第三者によるチェックとして、パソコン、サーバ、クラウド、ネットワーク等について安全性を外部専門組織に確認してもらう重要性が述べられています。

特にネットワーク機器については、参照情報で、攻撃者が設定変更を通じてC2サーバーへの通信確立や別セグメント侵入、多要素認証回避等を狙う可能性が示されています。よって、診断の設計段階で「どの機器を、どの権限で、どの手順で確認するか」を文書化し、ログとバックアップの前提を確保してから実施することが実務上の基本です。

診断の流れとサポートの見方

診断の品質は「診断した」だけでは判断できず、報告の粒度と、修正支援（改善支援）の範囲で差が出ます。参照情報にある「脆弱性診断士」の役割のとおり、診断はネットワーク、OS、ミドルウェア、アプリケーションにまたがり、結果の評価が必要です。

電話勧誘型の「無料診断」は、ここが曖昧なまま進むことが多いため、診断導入自体は否定せず、成果物と支援範囲を先に固定して比較するのがトラブル予防になります。

自社で受けるべき診断の順番――Webサイト・ルーター・端末のどこから始めるかの判断基準

中小企業は投資と人材が限られるため、被害影響と侵入経路の観点で優先順位を付けます。その際、「中小企業は狙われにくい」という前提は置かない方が安全です。参照情報の警察庁資料では、ランサムウェア被害146件のうち中小企業が54%を占めています。

この順番であれば、電話勧誘で言われがちな「まずルーターを入れ替えるべき」という短絡に流されにくく、自社のリスクに沿った診断設計ができます。

よくある質問

NTTからの電話は折り返せば確認できますか？

確認はできますが、折り返し先は「相手が告げた番号」ではなく、会社側が調べた正規窓口にしてください。加えて、番号表示がない場合でも、参照情報にあるとおり「番号お知らせサービス」で電話後に「136」→「1」をダイヤルし、最後にかかってきた電話の日時と電話番号を音声で知ることができる場合があります。事実関係の確認に必要な材料（日時・番号・要件）を揃えた上で、正規窓口に照会するのが安全です。

法律で義務化と言われたらどう判断しますか？

「法律で義務化」と言われた場合は、まず法令名・条文番号・対象事業者・義務の内容の提示を求め、提示がなければその時点で営業トークとして扱って差し支えありません。少なくとも、電話口で特定機器の導入や長期契約を即決させるために「義務」を持ち出す説明は、根拠が曖昧になりがちです。

また、参照情報には特定商取引法上の取引類型として「電話勧誘販売」が整理され、電話を切った後に郵便・電話等で申込みをする場合も含まれるとされています。したがって「義務だから申込書を送る」「一度切って手続するだけ」という説明でも、社内の契約審査・稟議を飛ばす理由にはなりません。

無料診断でも契約は必要になりますか？

無料診断でも、結果として有償契約（保守、機器、回線オプション等）へ進む提案は十分あり得ます。参照情報でも、第三者によるチェックの重要性が述べられている一方で、相談先として「無償」とされる企業でも、要事前相談（デロイトトーマツサイバー合同会社）や要事前契約（日本アイ・ビー・エム株式会社、日本電気株式会社、株式会社日立ソリューションズ）といった条件付きの記載があります。つまり「無料」という言葉だけで判断せず、

を事前に書面で確認するのが安全です。

第三者に相談できますか？

相談できます。技術・運用面の不安がある場合は、参照情報にある「セキュリティ第三者チェック」の考え方に沿い、外部専門組織へ確認を依頼することが安全性の担保につながります。参照情報には、無償の記載がある相談先として、例えば24時間対応のセキュアワークス株式会社、株式会社ブロードバンドセキュリティ、株式会社ラックなどが挙げられています。

一方、契約トラブルや強い勧誘で困っている場合は、社内で記録を整理（日時・相手名・要件・番号）した上で、外部の相談窓口や弁護士に事実ベースで相談し、交渉方針を固めてください。

NTTセキュリティ診断への対応で次にすべきこと

NTTセキュリティ診断を名乗る電話は、肩書きではなく「申込履歴・契約主体・当日の実施内容」の3点で機械的に切り分け、曖昧なまま訪問や遠隔操作に進めないことが要点です。確認や証拠保全では、相手が告げた番号へ折り返さず正規窓口に照会する運用を基本にし、番号表示がない場合も「136」→「1」で最後の着信情報を確認できることがある点を社内手順に組み込みます。判断の軸は「無料診断」や「義務」といった言葉ではなく、書面（見積書・申込書・作業指示書）で対象範囲・成果物・費用条件が具体化されているかです。次アクションとして、受付・総務・情シスの役割分担を固定し、断り文句を短く統一したうえで、技術面に不安があれば第三者チェックの考え方に沿って外部専門組織への確認も検討してください。個別の契約可否や法的評価は事情で変わるため、記録を揃えたうえで外部相談窓口や弁護士に事実ベースで相談する前提で進めるのが安全です。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ