こんにちは！
最近のサイバー攻撃に怯えているエンジニアmaroです・・・。
2026年10月、日本では不正アクセスによる個人情報の流出が、かつてないペースで相次いでいますね。
旅行サイト「スカイチケット」を運営するアドベンチャーでは1400万件あまりの利用客情報が流出したおそれがあると発表されました。
また同じ週には、JR東日本とビューカードで最大600万件余り、ブックオフで最大643万件の会員情報の漏えいが報じられています。
流出したのは名前や住所、メールアドレスだけではありません。
カーシェアのシステムからは、運転免許証の画像まで流出したと報じられました。
ニュースを見て「自分の情報も漏れているかもしれない」と不安になった方も多いのではないでしょうか。
しかし、本当に気をつけたいのは、流出した「その後」です。
漏れた情報は、私たちをだますための「本物らしい材料」として使われることがあります。
そしてそのとき攻撃者が狙うのは、パソコンの弱点ではなく、私たちの心の働きです。
この記事では、不正アクセスの主な手口と、そこで利用される心理の仕組み、そして私たちにできることを、心理学の視点から紹介します！
不正アクセスの主な手口
不正アクセスには、大きく分けて
「企業のシステムを狙うもの」と
「私たち個人を狙うもの」があります。
それぞれ見ていきましょう。
企業のシステムを狙う手口
企業を狙う際の主な手口は主に以下です。
- システムの弱点（脆弱性）を突く
更新が追いついていないソフトや機器のすき間から侵入します。 - 盗んだID・パスワードを使う
どこかで手に入れた正規のログイン情報で、堂々と入ります。 - 委託先・取引先を経由する
セキュリティが比較的手薄な関連会社を足がかりにします。 - ランサムウェア
データを暗号化したり盗んだりして、身代金を要求します。
これらは企業側の対策の問題で、私たち利用者が直接防ぐことはほとんどできません。
私たち個人を狙う手口
一方で、私たちを狙う際の手口として主に以下があります。
- フィッシング
銀行や通販サイトなどを装ったメールやSMSで偽サイトに誘導し、ID・パスワードやカード情報を入力させます。 - なりすまし電話
企業のサポート窓口や警察官などを名乗り、情報やお金を引き出そうとします。 - パスワードの使い回し狙い
不正に入手したID・パスワードを、別のサービスでも次々に試します。
共通点は「人が入口になる」こと
アメリカの通信大手Verizonが毎年まとめている調査では、2025年版で分析されたデータ侵害のおよそ60%に、だまされる・誤操作をするといった「人の要素」が関わっていたと報告されています。
人の心理につけこんで情報を引き出す手法は、「ソーシャルエンジニアリング」と呼ばれます。
どれほど技術的な守りが固くても、人がドアを開けてしまえば意味がありません。
では、攻撃者はどうやって私たちに「ドアを開けさせる」のでしょうか。
攻撃に使われる「心のスキ」7つ
最初にお伝えしたいのは、だまされるのは「知識が足りないから」でも「注意力がないから」でもない、ということです。
攻撃者は、ふだん私たちの生活を助けているごく正常な心の働きを、逆手に取っています。
権威への服従
人は肩書きや立場のある相手の指示に従いやすい傾向があります。
心理学者ミルグラムがおこなった有名な実験に「ミルグラム実験」というものがあります。
実験では、「白衣の実験者(立場ある人物)に指示された」参加者の多くが、心身に影響を与えるレベルの最高電圧の電気ショックを与え続けました。
攻撃者が「警察」「銀行」「〇〇社セキュリティ担当」を名乗るのは、この傾向を利用するためです。
緊急性と希少性
「24時間以内に手続きしないとアカウントが停止されます」
このような文言のメールが届いたことありませんか。
時間や機会が限られていると感じると、人は冷静な比較や確認を後回しにしがちです。
アメリカの心理学者チャルディーニは、こうした「希少性」を人を動かす代表的な原理の一つに挙げています。
恐怖訴求
「あなたの個人情報が流出しています」
「不正ログインを検知しました」
このような恐怖を煽るようような文言も届いた方がいらっしゃるのではないでしょうか。
人は恐怖を感じると、「とにかく早くこの不安を消したい」と考えます。
メッセージに用意された「解決策（リンクを押す、電話をかける）」に、飛びつきやすくなるのです。
今回のように流出のニュースが続く今は、ますます不安が高まっているため、この手口がとくに効きやすくなります。
考える前に動く脳(二重過程理論)
アメリカの心理学者カーネマンが唱えた理論に「二重過程理論」というものがあります。
二重過程理論では、人間の思考や意思決定を以下の2つに分けて説明したました。
速く直感的な「システム1」
遅く慎重な「システム2」
急かされたり、忙しかったりすると、
私たちは「システム1」に頼って判断します。
「いつもの通知っぽい」
「見慣れたロゴだ」
という直感だけでボタンを押してしまうのは、この仕組みによるものです。
一貫性の原理
「一貫性の原理」とは、
人は一度とった行動と矛盾しないように振る舞おうとする傾向
のことで、アメリカの心理学者ロバート・チャルディーニが著書『影響力の武器』で説明されています。
気になる方はこちら
攻撃者は最初に「お名前の確認だけさせてください」と小さなお願いをし、答えてもらえたら、少しずつ重要な情報へと要求を広げていきます。
ちょこっとコラム：一貫性の原理を利用した「フットインザドア」法とは？
小さな要求から段階的に大きな要求へ進める方法を「 フット・イン・ザ・ドア」法 と呼びます。
「一度OKした自分」と矛盾したくない気持ちが、断りにくさを生むという現象です。よく似た名前に、逆の順番で迫る ドア・イン・ザ・フェイス法があります。
最初にわざと断られるような大きな要求をし、そのあと引き下げた本命の要求を出す方法です。
相手が譲ってくれたのだから自分も譲らなければ、という 返報性の心理を利用しています。
正常性バイアス・楽観バイアス
「自分は大丈夫」
「よくある通知だろう」
このように異常事態を過小評価して自分だけは被害に遭わないと考える傾向にあります。
これが「正常性バイアス」や「楽観バイアス」と呼ばれます。
この油断が、私たちの確認の手間を省かせてしまいます。
「知っている＝本物」という思い込み
ここが、今回の大規模流出と最も深く関わるポイントです。
電話の相手があなたの本名、住所、購入した商品まで正確に知っていたら、どう感じるでしょうか。
多くの人は「本物の会社からの連絡だ」と信じてしまいまうでのはないでしょうか。
しかし今は、その情報そのものが流出しているかもしれません。
相手が自分の情報を知っていることは、もはや本物である証拠にはなりません。
手口と心理のまとめ
紹介した7つの「心のスキ」と悪用のされ方についてまとめました。
| 心理の仕組み | 悪用のされ方（例） |
|---|---|
| 権威への服従 | 警察・銀行・企業の担当者を名乗る |
| 緊急性・希少性 | 「今日中に手続きしないと停止」 |
| 恐怖訴求 | 「情報が流出しています」「不正ログインを検知」 |
| システム1（直感的判断） | 急かして“考える前に押させる” |
| 一貫性の原理 | 小さな確認から始め、徐々に要求を広げる |
| 正常性バイアス | 「自分は大丈夫」と確認を省かせる |
| 知っている＝本物 | 流出した個人情報を言い当てて信用させる |
私たちにできること
心のスキは、誰にでもあります。
だからこそ大切なのは「その場の注意力」に頼らず、仕組みとあらかじめ決めたルールで守ることです。
仕組みで守る
仕組みで守る方法としては以下です。
「パスワードを使い回さない」
1か所から漏れても、ほかのサービスまで被害が広がるのを防げます。
「パスワード管理アプリを使う」
複雑なパスワードを覚える負担がなくなり、使い回しをやめやすくなります。
「多要素認証（2段階認証）をオンにする」
パスワードが盗まれても、それだけではログインできなくなります。
「流出を発表した企業の公式サイトを自分で確認する」
自分が対象かどうか、どんな連絡が来るのかは、メールのリンクではなく公式サイトで調べましょう。
１次情報を調べることは詐欺も含め防止に有効です！
心のルールを先に決めておく
続いて、心のルールを守る方法について紹介します。
「急かされたら、一度止まる」
心理学者ゴルヴィツァーは、「もしXが起きたら、Yをする」と前もって決めておく実行意図（if-thenプランニング）が、行動を大きく変えることを示しました。
たとえば次のように決めておきます。
- もし「今すぐ」と急かされたら、その場では何もしない
- もし電話でお金や暗証番号の話が出たら、いったん切る
その場で考えるのではなく、反応をあらかじめ「予約」しておくことで、システム1の自動反応にブレーキをかけられます。
「折り返さず、自分で調べた窓口へ」
メールや電話で案内された番号やリンクは使わず、公式サイトなど、自分で調べた連絡先に問い合わせましょう。
「知っている＝必ずしも本物ではない」と覚えておく
名前や住所、購入履歴を言い当てられても、それは本物の証拠になりません。
流出が相次ぐ今は、とくにこの意識が大切です。
家族と話しておく
高齢の家族や、ネットに慣れていない家族とは「知らない番号からお金や個人情報の話が来たら、まず家族に相談する」といったルールや合言葉を共有しておきましょう。
もし、だまされてしまったら
自分を責める必要はありません。
ここまで見てきたように、攻撃は人の正常な心の働きを狙って作られています。
恥ずかしさから相談をためらうことこそ、被害を広げる原因になります。
すぐにパスワードを変更し、カード会社や関係する企業、警察の相談窓口などに連絡しましょう。
まとめ：「守る力」が試される
企業への不正アクセスそのものを、私たち個人が防ぐことはできません。
けれど、流出した情報を使った「その後の攻撃」には、備えることができます。
- 攻撃者は、権威・緊急性・恐怖など、誰にでもある心の働きを狙ってくる。
- 相手が自分の情報を知っていても、本物の証拠にはならない。
- その場の注意力ではなく、仕組みと事前に決めたルールで守る。
「人は誰でもだまされうる」と知っていることは、弱さではなく、いちばんの防御になります。
【参考文献】
- ロバート・B・チャルディーニ（著）、社会行動研究会（訳）『影響力の武器［第三版］：なぜ、人は動かされるのか』誠信書房、2014年
- スタンレー・ミルグラム（著）、山形浩生（訳）『服従の心理』河出文庫、2012年
- ダニエル・カーネマン（著）、村井章子（訳）『ファスト＆スロー：あなたの意思はどのように決まるか？』上・下、ハヤカワ・ノンフィクション文庫、2014年
- Milgram, S. (1963). Behavioral study of obedience. Journal of Abnormal and Social Psychology, 67(4), 371–378.
- Gollwitzer, P. M. (1999). Implementation intentions: Strong effects of simple plans. American Psychologist, 54(7), 493–503.
- Witte, K. (1992). Putting the fear back into fear appeals: The extended parallel process model. Communication Monographs, 59(4), 329–349.
- Verizon「2025 Data Breach Investigations Report」
コメント