「大丈夫」と思いながら毎日やっている、危険な操作
「うちの会社にサイバー攻撃なんて来ない」——そう思いながら、今日もメールを開いて、ブラウザでパスワードを保存して、業務を進めているはずです。
しかし、攻撃者が狙うのは「大企業のシステムの穴」だけではありません。最も狙いやすいのは、社員一人ひとりの「毎日の何気ない操作」です。
以下に挙げる行動、あなたの会社でも心当たりはありませんか？
メールで無意識にやっていること
- 取引先や銀行を名乗るメールの添付ファイルを、内容を確認せず開く
- 「送信者名」が正しければ安全だと思い、メールアドレスのドメインを確認しない
- 「パスワードを変更してください」「請求書を確認してください」というリンクをクリックする
- スマートフォンで出先から承認メールを素早く処理する（内容を精査せずに）
- 個人のGmailやYahooメールで業務連絡やファイルのやり取りをする
ブラウザで無意識にやっていること
- ChromeやSafariの「パスワードを保存しますか？」で保存し続け、何十件もたまっている
- URLの「🔒」（錠前マーク）があれば安全なサイトだと思っている
- 「この接続は安全ではありません」という警告を無視して「詳細設定」からアクセスする
- 社内の複数システムに同じID・パスワードを使い回している
- 業務に関係のないブラウザ拡張機能（翻訳ツールや広告ブロッカーなど）を何十個も入れている
「これのどこが危険なの？」と感じた方も多いはずです。それが最大の落とし穴です。
その操作が、どうサイバー攻撃の入口になるか
攻撃者は、あなたが「当たり前」だと思っている行動の隙間に入り込みます。それぞれの操作が実際にどんなリスクにつながるか、具体的に見てみましょう。
落とし穴①：「送信者名」を信じたら自社ドメインが踏み台になる
メールの「送信者名」は誰でも自由に設定できます。「株式会社〇〇経理部」と表示されていても、実際の送信アドレスが ○○@xn--gmail-ys4e.com のような偽装ドメインであるケースは日常的に発生しています。
さらに深刻なのが、あなたの会社のドメインが踏み台にされるケースです。自社のメール認証設定（SPF・DKIM・DMARC）が不完全だと、第三者があなたの会社のメールアドレスになりすましてフィッシングメールを送れる状態になります。取引先や顧客が「御社から来たメール」を信じてクリックし、被害を受けるのです。
落とし穴②：「錠前マーク＝安全」は2016年までの常識
ブラウザの錠前（🔒）マークは「通信が暗号化されている」ことを示すだけで、「サイトが本物である」ことを保証しません。現在、フィッシングサイトの80%以上がHTTPSを取得しており、錠前マークが表示されています。
「https://amaz0n.co.jp」のような紛らわしいURLにも錠前マークはつきます。「鍵がかかっているから安全」という思い込みは、今日時点では完全に古い知識です。
落とし穴③：ブラウザ保存パスワードは「鍵の束ごと渡す」リスク
ChromeやSafariへのパスワード保存は便利ですが、そのPCにマルウェアが入ると、保存されたパスワード一覧がすべて盗まれます。同じパスワードを複数サービスで使い回していれば、一つの流出がバンキングシステム・社内ツール・メールへのドミノ侵害につながります。
「パスワードを変更した覚えはないのにログインされていた」という事件の多くは、この経路で発生しています。
落とし穴④：個人メール使用で情報管理が消える
社員がGmailで顧客情報や契約書を送受信していた場合、その情報はGoogleのサーバーに蓄積されます。退職後もアクセス可能な状態になることがあり、情報管理の観点から個人情報保護法上のリスクが生じます。「便利だから」の一言が、インシデント発生時に企業の過失として問われます。
攻撃者が実際に使う手口（2026年最新）
- BEC（ビジネスメール詐欺）：経営者や財務担当を装い、振込先変更を指示するメール
- AIボイスクローニング：社長の声を模倣した音声で経理担当に送金を指示
- ブラウザ拡張機能マルウェア：便利ツールに偽装してパスワードを収集
- QRコードフィッシング：メールのQRコードからスマホ経由で偽サイトへ誘導
「気をつけます」では防げない理由と、Custosによる解決
「これからメールに気をつけます」「ブラウザの警告は無視しません」——研修でそう誓っても、翌週には元に戻ります。それは意識の問題ではなく、人間の注意力には限界があるという構造的な問題です。
1日に100通のメールを処理しながら、すべての送信者ドメインを目視確認し続けることは現実的ではありません。「気をつける」に頼ったセキュリティは、必ずどこかで破綻します。
だからこそ、人ではなく仕組みで防ぐことが必要です。
Custosが解決すること①：自社ドメインのなりすまし防止
CustosはSPF・DKIM・DMARCのメール認証設定を自動でチェックします。設定が不完全な場合は即時アラートで通知。あなたの会社のドメインが踏み台にされる状態を自動で検知・防止します。取引先への偽メール送信リスクをゼロに近づけます。
Custosが解決すること②：SSL/TLS証明書・暗号化設定の継続監視
自社Webサイトの暗号化設定（TLS 1.3対応、証明書の有効期限、混在コンテンツなど）を毎月自動スキャン。「保護されていない接続」の警告がユーザーに表示される状態を事前に検知します。顧客がサイトを訪れた際に「危険」と表示されることを防ぎます。
Custosが解決すること③：自社メールアドレスの流出チェック
HaveIBeenPwned（世界最大の情報漏洩データベース）と連携し、自社ドメインのメールアドレスが過去の漏洩事件でダークウェブに流出していないかを継続監視します。「すでに流出している」という事実を知ることで、パスワード変更・二要素認証の導入を先手で実施できます。
メールやブラウザの「使い方」を変えることは難しい。しかし、自社のWebサイトとドメインの穴を塞ぐことは、Custosがすべて自動でやってくれます。人の行動に頼らず、仕組みで守る——それが2026年の現実解です。