高知市の小学校で、教員がパソコンに表示されたニセの警告画面をきっかけに電話をかけ、相手に遠隔操作される事案が発生し、児童など約1800人分の個人情報が漏えいした可能性があると報じられました。教育現場の端末は児童・保護者・教職員の情報が集約されやすく、ひとたび侵害されれば影響範囲が広がります。本稿では、今回のような「偽警告（サポート詐欺）」の典型的な手口、学校・自治体でのリスク要因、そして再発防止に向けた実務的な対策を整理します。
偽警告（サポート詐欺）とは何か
偽警告とは、ブラウザ閲覧中などに「ウイルスに感染した」「至急サポートに電話を」などの警告を表示し、ユーザーに電話やチャットをさせる社会工学的攻撃です。電話先では、サポート担当者を装った攻撃者が不安をあおり、遠隔操作ツールの導入や、画面共有の許可、追加のソフトウェア実行などを誘導します。
重要なのは、端末が本当にマルウェア感染していなくても被害が成立する点です。ユーザーが自ら遠隔操作を許可してしまうことで、攻撃者は正規の手順を踏んだかのように端末へ入り、情報探索や設定変更、認証情報の窃取を実行できます。
今回の事案で想定される攻撃の流れ
報道内容から一般的に想定される流れは次のとおりです。
ニセ警告の表示
不正広告（マルバタイジング）や誘導サイト、誤クリックなどを起点に、全画面表示で警告を出し、閉じにくくして心理的圧力をかけます。
電話誘導と遠隔操作の開始
攻撃者は「今すぐ対応しないとデータが消える」などと説明し、遠隔操作ツールのインストールや実行、操作権限の付与をさせます。ここで利用されるツール自体は、正規の遠隔支援用途のものが悪用されることがあります。
情報探索と持ち出し
遠隔操作下では、ファイルサーバーへの接続情報、ブラウザ保存パスワード、校務支援システムのログイン情報、共有フォルダ内の名簿・成績・健康情報などが探索対象になります。端末内に直接保存されていなくても、ログイン状態や共有ドライブのマウント状況次第で閲覧・コピーが可能です。
追加侵害の足掛かり作り
攻撃者が短時間で狙うのは「次も入りやすくする」ことです。リモート常駐設定、認証情報の収集、メール転送設定の悪用、端末のセキュリティ機能の無効化などが行われると、発覚後の再侵入や被害拡大につながります。
教育機関が狙われやすい理由
個人情報の密度が高い
児童・生徒の氏名、住所、保護者連絡先、学籍、健康情報、配慮事項など、漏えい時の影響が大きい情報を扱います。人数が多いほど社会的影響も拡大します。
多様な利用環境と運用の複雑さ
教員端末、校務系・学習系ネットワーク、クラウドサービス、USB利用、持ち帰り業務など、現場運用が複雑になりやすく、統制が難しくなります。
「困ったら電話する」心理が突かれる
警告画面は緊急性を演出し、IT専任でない利用者ほど「指示に従う」行動を取りがちです。攻撃は技術よりも心理の隙を突きます。
漏えい疑いが出たときの初動で差がつくポイント
遠隔操作の疑いがある場合、初動の品質が被害拡大と調査コストを左右します。
端末の隔離
ネットワークから切り離し、電源はむやみに落とさず、画面表示や実行中プロセス、接続状況などの状況を記録します。可能なら管理者・CSIRTが確保して保全します。
認証情報のリセット
当該端末で利用したアカウント（メール、校務システム、クラウド、VPN等）のパスワード変更、セッション失効、MFA再登録を速やかに実施します。特にメールは二次被害の起点になりやすい領域です。
ログの確保
端末のイベントログ、EDR/アンチウイルスの検知履歴、プロキシ/DNS/ファイアウォールログ、クラウド監査ログを保存し、時系列で追える状態にします。
関係者への連絡と判断
管理職、情報管理責任者、教育委員会、委託先、必要に応じて警察・監督官庁へ連携し、個人情報保護の観点で通知・公表方針を整理します。児童・保護者への説明は「事実」「影響」「対策」を切り分け、過不足なく行うことが信頼回復の前提になります。
再発防止のための実務対策
「電話してはいけない」を明文化し、訓練で体に覚えさせる
偽警告の最も強い対策は、利用者が「番号に電話しない」ことです。校内ルールとして、警告画面が出たら画面を閉じる・ネットワークを切る・所定の窓口へ連絡という手順を1枚のフローにし、定期的に短時間の訓練を行います。年1回の研修だけでなく、数分のマイクロ学習を継続するほうが効果的です。
遠隔操作ツールの実行を技術的に止める
アプリケーション制御（許可リスト方式）、Windowsの制限ポリシー、管理者権限の最小化により、教員端末で任意の遠隔操作ツールが実行されない状態を目指します。正規ツールの悪用も想定し、未知の実行ファイルだけでなく、特定カテゴリ（リモート支援、画面共有、RMM）の利用を原則禁止し、必要な場合は申請制にします。
ブラウザ起点の被害を減らす設定
ポップアップ・通知許可の制限、不要な拡張機能の禁止、URLフィルタリング、DNSセキュリティを有効化します。特に「通知を許可してください」を誤って押させる手口が多いため、通知許可の既定を禁止または厳格化すると効果が出ます。
MFA徹底と条件付きアクセス
遠隔操作で最終的に狙われるのはアカウントです。メール、クラウドストレージ、校務支援システムに多要素認証を必須化し、端末の準拠状態や接続元条件でアクセス制御（条件付きアクセス）を行います。漏えい疑いが出た際にセッション一括失効できる仕組みも重要です。
端末・サーバーのデータ持ち出し耐性を上げる
重要データは端末ローカルに置かず、権限管理された保管場所に集約します。共有フォルダは「全員が閲覧可能」になりがちなので、学級・学年・校務役割に応じた最小権限に再設計します。暗号化、DLP（情報漏えい対策）、監査ログも併用し、持ち出しを検知できる状態にします。
検知と封じ込めを前提にしたEDR運用
サポート詐欺は「ユーザー操作を伴う」ため、従来型のウイルス検知だけでは見逃されることがあります。EDRで遠隔操作ツールの起動、異常な外部通信、権限昇格、認証情報へのアクセスなどを検知し、端末隔離を素早く行える体制を整えます。
学校現場に必要なのは「完璧な防御」ではなく「迷ったときの正解」を増やすこと
今回のような偽警告は、巧妙なゼロデイ攻撃よりも、日常の不安と焦りを突いて成立します。したがって対策の要点は、利用者が迷ったときに取るべき行動をシンプルにし、技術側で「うっかり」を重大事故にしない防波堤を用意することです。
教育現場では限られた人員で多くの業務を回しており、個々の注意力だけに依存する設計は長期的に破綻します。ルールの明文化、訓練、実行制御、MFA、ログと監視、そして初動対応の整備を組み合わせることで、同種事案の再発と被害拡大を現実的に抑えられます。
参照: 児童など1850人分の情報漏えいか 高知市の小学校、教師がニセ警告に電話し遠隔操作される « 高知のニュース – 高知さんさんテレビ