会社が不正アクセスを受けたら。2026年秋に整った相談先と初動

結論

自社のシステムに不正アクセスされたかもしれない、と気づいたら、一人で抱え込まずに早めに相談してください。2026年10月16日、IPA は企業・組織向けの「不正アクセス特別相談窓口」を開きました。政府も10月26日の関係閣僚会議で、IPA や警察の相談対応を充実させ、どこに相談しても必要な支援が受けられる体制を整えるよう指示しています。技術的な初動は IPA、犯罪としての相談は警察、個人データが漏れたおそれがあれば個人情報保護委員会への報告、と覚えておくと迷いません。

相談先の使い分け

技術的な初動：IPA

特別相談窓口は、被害を受けている、または受けたかもしれない企業・組織が対象です。起きていることを聞き取ったうえでの助言、応急の手当ての案、対応を行う専門の事業者の一覧の紹介、ほかの相談先や報告先の紹介が受けられます。受付は電話（平日9時30分〜17時30分、12時〜13時を除く）とメールです。不正アクセス以外のトラブルや予防の相談は、「企業組織向けサイバーセキュリティ相談窓口」が受けています。

犯罪としての相談：警察

警察庁の案内では、オンラインでの相談は e-Gov の受付から都道府県の警察を選んで送ります。被害の届け出は最寄りの警察署です。ランサムウェアやサイトの改ざんも、相談の例に挙げられています。

個人データの漏えい：個人情報保護委員会への報告

ここは相談ではなく法律上の報告です。不正な目的で行われたおそれがある漏えいは、人数にかかわらず報告の対象です。漏えいなどを知ったら速やかに速報を出し（個人情報保護委員会のガイドラインでは、知った時点からおおむね3〜5日以内が目安）、知った日から30日以内（不正な目的のおそれがある場合は60日以内）に確報を出します。調べ終わるのを待たず、分かっている範囲で速報を出す前提で動きます。この記事は一般的な説明で、個別の法律の助言ではありません。報告が要るかどうかは、個人情報保護委員会の案内や専門家に確かめてください。

顧客や社員から「自分の情報は大丈夫か」と聞かれたら、IPA の個人向け「情報セキュリティ安心相談窓口」を案内できます。11月2日から、個人情報が漏れて不安な人の相談の受付が強化されました。

気づいてから最初にやること

IPA は10月9日の注意喚起で、異常な記録やアカウントが見つかったら速やかにセキュリティインシデントと判定して対応し、専門の事業者に詳しい調査を頼むことを強く勧めています。

1. 気づいた日時、誰が何を見ておかしいと思ったかを記録する。
2. 社内で責任者を一人決め、連絡の窓口を一本にする。
3. 保守会社やシステムの提供元に連絡し、IPA の特別相談窓口にも相談する。
4. 個人データが関わるかを確かめ、速報の準備に入る。必要に応じて警察に相談する。

何も起きていない今、準備しておくこと

IPA は、記録の取り方と残す期間の見直しや、アカウントの棚卸しも挙げ、「不要な情報は持たない」を基本に保有する情報を最小限にするよう求めています。相談先の電話番号は、届いたメールに書かれたものではなく、各機関の公式サイトで確かめてから使ってください。