不正アクセスとは、正当なアクセス権限を持たない第三者が、窃取したID・パスワードやシステムの脆弱性などを悪用して、ネットワークやシステムへ不正にアクセスする行為を指します。

企業を狙うサイバー攻撃は手口が多様化しており、不審なアクセスや通信を検知した際には、「本当に侵害されているのか」「どこから侵入されたのか」「どこまで影響が広がっているのか」を客観的な情報から確認することが重要です。

本記事では、不正アクセスが疑われる場合の初動対応から、確認すべきログ、侵入経路・被害範囲・情報漏えいの調査方法、自社での調査が難しい場合の判断基準まで解説します。

INDEX

はじめに

不正アクセス調査とは？その目的と重要性

【緊急】不正アクセス発覚時の初動対応フロー

不正アクセス調査で確認すべき3つの重要ポイント

【実践】不正アクセス調査で確認すべきログの種類と調査方法

自社調査の限界とフォレンジック調査を検討する判断基準

不正アクセス調査を外部へ依頼する際の確認ポイント

不正アクセスを未然に防ぐための恒久対策

まとめ：不正アクセスは早期の状況把握と正確な調査が重要

不正アクセス調査とは？その目的と重要性

不正アクセス調査とは、不審なアクセスやセキュリティインシデントが確認された際に、システムや端末、ネットワークなどに残されたログやデジタル上の痕跡を収集・分析し、「いつ、どこから、どのようなアクセスが行われ、どの範囲まで影響したのか」を確認する一連のプロセスです。

単一のログだけで判断するのではなく、端末、サーバー、認証基盤、ネットワーク、クラウドサービスなど複数の情報を時系列で関連付けながら、確認できた事実を積み上げていくことが重要です。

なぜ不正アクセスの調査が必要なのか？

不審なアクセスが単なる操作ミスやシステム上の事象なのか、それとも悪意ある第三者による侵入なのかを判断するためには、客観的な調査が必要です。

原因や影響範囲が分からないまま復旧だけを進めると、攻撃者が利用した認証情報や脆弱性、侵入経路などが残り、再び同じ経路から侵害される可能性があります。

被害の拡大を防ぎ、適切に封じ込めるため

どの端末やサーバー、アカウントが侵害されている可能性があるのか分からなければ、ネットワーク隔離やアカウント停止などの対応範囲を適切に判断できません。

調査によって影響を受けた可能性のある資産を整理することで、必要な範囲を封じ込めながら、影響を受けていないシステムまで不必要に停止することを避けられる可能性があります。

事業継続への影響とセキュリティ上のリスクを考慮しながら、適切な範囲で封じ込めを行うことが重要です。

原因を特定し、再発を防止するため

攻撃者がシステムへ侵入した原因としては、外部公開システムの脆弱性、窃取された認証情報、設定不備、フィッシングなどさまざまな可能性が考えられます。

単に検出されたマルウェアを削除するだけでは、攻撃者が利用したアカウントや脆弱性、永続化のために残された設定などが解消されない場合があります。

侵入経路と攻撃者が行った活動を調査し、その原因に応じた対策を実施することが再発防止につながります。

社内外への説明責任を果たすため

不正アクセスによって個人データの漏えい等が発生した、またはそのおそれがある場合には、事案の内容によって個人情報保護委員会への報告や本人への通知が必要になることがあります。

個人情報保護法では、要配慮個人情報を含む漏えい等、財産的被害のおそれがある漏えい等、不正の目的で行われたおそれのある行為による漏えい等、1,000人を超える漏えい等などが報告対象です。特に、不正アクセスなど「不正の目的をもって行われたおそれがある行為」による個人データの漏えい等は、人数にかかわらず対象となり得ます。個人情報保護委員会では、対象事案について速報を発覚から概ね3～5日以内、確報を原則30日以内、不正目的による事案では60日以内と案内しています。

また、経営層、取引先、顧客、監査部門などへの説明が必要となるケースもあります。そのため、「確認できた事実」と「現時点では確認できていない事項」を切り分けながら、客観的な情報を整理することが重要です。

【緊急】不正アクセス発覚時の初動対応フロー

不審な通信や認証ログを検知し、不正アクセスの可能性が確認された場合には、被害拡大を防ぐと同時に、その後の調査に必要となるデータを失わないよう注意する必要があります。

初動対応はインシデントの内容によって異なるため、「必ず電源を切る」「必ずネットワークから切断する」といった一律の対応ではなく、自社のインシデント対応手順や専門家の助言をもとに判断することが重要です。

Step1. 状況把握と被害拡大防止の判断

まず、どの端末・サーバー・アカウントで異常が発生しているのか、現在どのような事象が進行しているのかを確認します。

マルウェア感染や攻撃者による操作が継続している可能性が高い場合には、影響が疑われる端末やシステムをネットワークから隔離することが被害拡大防止につながります。

一方で、端末の電源を切るとメモリ上に存在するプロセスやネットワーク接続情報などの揮発性データが失われる可能性があります。CISAもランサムウェア対応において、影響を受けたシステムの隔離を推奨する一方、ネットワークから切り離せない場合の電源断は、揮発性メモリ上の証拠を失うことに注意するよう示しています。

アカウント侵害が疑われる場合も、対象アカウントの一時停止、セッションの無効化、認証情報の変更などを検討します。実施する際は、侵害された可能性のある端末から操作するのではなく、安全が確認された管理環境から対応することが重要です。

Step2. 調査に必要なログ・データの保全

原因を確認する前に端末を初期化したり、不審なファイルやソフトウェアを削除したりすると、その後の調査に必要な痕跡が変更・消失する可能性があります。

また、端末のシャットダウンによって失われる可能性が高いのは、主にメモリ上の実行中プロセスや通信状態などの揮発性情報です。シャットダウンしただけですべてのシステムログが消失するわけではありませんが、再起動や各種操作によってログ・一時ファイルなどの状態が変化することがあります。

そのため、原因確認を目的とした不要な操作を避け、EDRの検知情報、Windowsイベントログ、認証ログ、ファイアウォールログなど必要なデータを可能な範囲で保全します。

画面に表示されているエラーや不審なメッセージについては、日時などとともにスクリーンショットや写真で記録しておくことも状況整理に役立ちます。ただし、画面撮影だけで証拠保全が完了するわけではなく、ログや端末データについて適切な方法で取得・保全する必要があります。

Step3. 関係部署・関係先への報告・連絡

現場担当者だけで判断を抱え込まず、社内のセキュリティ責任者やCSIRTなど、インシデント対応を担当する部署へ速やかに状況を共有します。

情報漏えいの可能性や事業への影響が大きい場合には、法務、広報、経営層などとも連携し、必要となる対外説明や関係機関への報告について検討します。

個人データの漏えい等が疑われる場合には、個人情報保護法上の報告対象に該当するかについても早い段階で確認しておくことが重要です。個人情報保護委員会も、漏えい等発生時には、内部報告、被害拡大防止、事実関係の調査、影響範囲の特定、再発防止などを進めることを示しています。

不正アクセス調査で確認すべき3つの重要ポイント

不正アクセスの全体像を整理し、その後の封じ込め、復旧、再発防止につなげるためには、大きく3つのポイントを確認します。

1. 侵入経路の特定：どこから侵入されたのか？

最初に確認したいのが、攻撃者がどのような経路からシステム内部へアクセスしたのかです。

代表的な侵入経路として、外部公開サーバーやVPN機器などの脆弱性、窃取されたID・パスワードを利用した認証、リモートアクセス環境、フィッシングメールを起点としたマルウェア感染などが考えられます。

外部公開システムのアクセスログ、VPNログ、認証ログ、EDRの検知履歴などを時系列で関連付け、最初の侵害がどこで発生した可能性があるのかを確認します。

2. 被害範囲の特定：どこまで影響が及んでいるのか？

攻撃者が最初に侵入した端末だけを利用し続けるとは限りません。

侵害したアカウントや端末を起点として、社内の別のPCやサーバーへアクセスする「ラテラルムーブメント（横展開）」を行い、権限を拡大していくケースがあります。

そのため、最初に異常が確認された端末だけでなく、関連するPC、サーバー、Active Directory、クラウドサービス、アカウントなどについてもログや痕跡を確認し、影響を受けた可能性のある範囲を整理します。

3. 攻撃活動と情報漏えいの確認：侵入後に何が行われたのか？

侵入経路と被害範囲に加えて、攻撃者が侵入後に何を行ったのかを確認します。

例えば、重要なファイルや個人情報へのアクセス、大量のデータ取得、外部への不審な通信、アカウント追加や権限変更、マルウェアの実行、ランサムウェアによるファイル暗号化などです。

ファイルアクセス、認証、プロセス実行、ネットワーク通信などの記録を時系列で関連付けることで、侵入後の攻撃活動や情報が外部へ持ち出された可能性について確認します。

ただし、「ファイルへのアクセスが確認された」ことと「実際に外部へ情報が送信された」ことは同じではありません。情報漏えいの有無を判断する際には、通信ログやクラウドの監査ログなど複数の情報を組み合わせて評価することが重要です。

【実践】不正アクセス調査で確認すべきログの種類と調査方法

不正アクセスの実態を把握するためには、一つのログだけではなく、端末、認証基盤、ネットワーク、クラウドなど複数の情報を関連付けて調査します。

エンドポイント（PC・サーバー）のログ

PCやサーバーには、OSやアプリケーションの実行状況、認証、ファイル操作などに関するさまざまな情報が記録されています。

Windows環境では、Windowsイベントログからログオン・ログオフ、アカウント操作、システムエラーなどを確認できます。

EDRを導入している場合には、プロセス実行、ファイル操作、ネットワーク接続などのテレメトリをさかのぼって確認できる場合もあります。ただし、取得できる情報や保存期間は製品・設定によって異なります。

単一のイベントだけで不正アクセスと判断するのではなく、発生日時やユーザー、端末、関連するプロセスなどを複数の記録から確認します。

ネットワーク機器のログ

ファイアウォール、IDS/IPS、VPN、プロキシなどのログから、社内外の通信状況を確認します。

例えば、通常とは異なる送信先への通信、業務上想定されない時間帯の接続、大量のデータ送信、既知の不審なIPアドレスやドメインとの通信、長時間継続する外部接続などです。

「海外IPアドレスだから不正」といった単純な判断ではなく、その組織で通常発生する通信と比較して異常性を確認することが重要です。

認証基盤・サーバーのログ

Active Directory、ドメインコントローラー、VPN、SSOなどの認証ログは、侵害されたアカウントを特定するうえで重要です。

短時間に多数の認証失敗が発生していないか、通常利用しない端末や場所からログインしていないか、業務上想定されない時間帯に管理者権限を持つアカウントが使用されていないかなどを確認します。

さらに、ログイン成功後の権限変更、新規アカウント作成、グループ変更などの操作もあわせて確認することで、攻撃者が認証情報を取得した後の活動を追跡しやすくなります。

クラウドサービスのログ

Microsoft 365、Google Workspace、AWS、Microsoft Azureなどを利用している場合には、各サービスの監査ログやアクティビティログも重要な調査対象です。

通常とは異なる場所や端末からのサインイン、短時間での複数地域からのアクセス、管理者権限の変更、MFA設定の変更、新しい認証方法の登録、メール転送設定やアクセス権限の変更などを確認します。

クラウド環境ではサービスや契約プラン、設定によってログの種類や保存期間が異なるため、インシデント発生時だけでなく平時から必要なログが取得できる状態になっているか確認しておくことが重要です。

自社調査の限界とフォレンジック調査を検討する判断基準

不審なログが見つかったとしても、侵入経路や攻撃者の活動を複数のシステムにまたがって時系列で追跡するには専門的な知識が必要です。

社内の情報システム部門やセキュリティ担当者だけでは調査が難しい場合には、デジタルフォレンジックやインシデントレスポンスの専門会社への相談を検討します。

専門家への相談を検討すべきケース

状況の深刻度や調査の目的から、専門の事業者に調査を依頼すべきかを以下の判断基準から確認するすることを推奨します。

ランサムウェアなど高度な攻撃が疑われる

ランサムウェアや高度な標的型攻撃では、最初に侵害された端末だけでなく、認証情報の窃取、横展開、権限昇格、永続化など複数の攻撃活動が組み合わされる場合があります。

暗号化された端末だけを復旧しても、侵入に利用されたアカウントや脆弱性、攻撃者が残した仕組みなどが環境内に残っていれば、再び侵害される可能性があります。

複数端末やサーバーに影響が及んでいる場合や、攻撃の全体像が把握できない場合には専門的な調査を検討します。

侵入経路や被害範囲を特定できない

一部の端末やログに不審な痕跡が確認されているものの、どこから侵入したのか、ほかの端末やアカウントまで影響しているのか判断できないケースです。

複数のシステムに分散したログを関連付け、時系列で攻撃活動を整理する必要がある場合には、フォレンジック調査が有効な選択肢となります。

必要なログが不足・消失している可能性がある

ログの保存期間を過ぎている、攻撃者によってログが削除された可能性があるなど、通常のログ確認だけでは十分な情報が得られないケースです。

フォレンジック調査では、端末やストレージ上に残されたファイルシステム情報、各種アーティファクト、EDRやほかのシステムに残存する情報などを組み合わせて調査できる場合があります。

ただし、削除されたログやファイルを必ず復元できるわけではありません。データの上書き状況や記憶媒体の種類などによっては復元できない場合もあるため、ログ不足をフォレンジックだけで必ず補えるとは限りません。

監査・法務・対外説明を見据えた調査が必要

個人情報漏えいへの対応、取引先への説明、監査、警察への相談、将来的な法的手続きなどを想定している場合には、調査結果を第三者へ説明できるよう、調査対象や手順、確認された事実を適切に記録しておくことが重要です。

外部の専門会社による調査報告書は、そのような説明を行う際の資料として活用できる場合があります。

ただし、フォレンジック会社が作成した報告書であるという理由だけで、裁判上の証拠能力や法的有効性が自動的に保証されるわけではありません。法的手続きでの利用を想定している場合には、必要に応じて弁護士などとも連携して調査方法や成果物を検討しましょう。

フォレンジック調査を依頼するメリット

専門的なフォレンジック調査では、端末、サーバー、認証、ネットワークなどに残された複数の情報を関連付けながら、攻撃者がどのように侵入し、その後どのような活動を行った可能性があるのかを時系列で整理します。

これにより、単に「不審な通信があった」という情報だけではなく、侵入経路、影響を受けた可能性のある端末やアカウント、情報漏えいの可能性などについて確認できる範囲を整理できます。

また、「確認できたこと」と「データ不足などにより確認できなかったこと」を切り分けた調査結果は、経営判断や社内外への説明を行う際の重要な判断材料になります。

不正アクセス調査を外部へ依頼する際の確認ポイント

外部の専門会社へ不正アクセス調査を依頼する場合には、調査をスムーズに進めるため、対応範囲や開始時期、成果物などを事前に確認しておきます。

自社の環境・インシデントに対応できるか

自社で利用しているOS、サーバー、クラウドサービス、セキュリティ製品などに対応できるかを確認します。

また、不正アクセス、ランサムウェア、情報漏えいなど、自社で発生しているインシデントと同種・類似の調査経験があるかも確認ポイントとなります。

特にクラウドサービスでは、サービスごとに取得できるログや調査方法が異なるため、自社の環境への対応可否を事前に伝えておくことが重要です。

必要なタイミングで調査を開始できるか

インシデント発生後は、時間の経過によってログがローテーションされ、必要なデータが失われる場合があります。

そのため、問い合わせ受付時間だけでなく、初期ヒアリングを開始できる時期、データ保全や調査に着手できる時期、オンサイト対応の可否なども確認しましょう。

緊急度が高い場合には、すべての情報が揃うのを待つのではなく、まず現在確認できている事象を伝えて相談することが重要です。

調査範囲・報告内容・費用が明確か

フォレンジック調査の費用は、対象となる端末やサーバーの台数、データ容量、ログの種類、調査期間、解析内容などによって異なります。

契約前に、「何を調査対象とするのか」「何を明らかにすることを目的とするのか」「報告書には何が含まれるのか」「追加調査が必要になった場合にどのように費用が発生するのか」を確認しましょう。

見積金額だけでなく、調査範囲と成果物をあわせて比較することが重要です。

不正アクセスを未然に防ぐための恒久対策

インシデント対応が完了した後は、調査によって確認された侵入経路やセキュリティ上の弱点をもとに再発防止策を検討します。

技術・組織・人の3つの観点から継続的に対策することが重要です。

技術的対策：侵入を防ぎ、早期に検知する仕組み

認証情報の悪用を防ぐため、パスワードの使い回しを避け、十分な長さを持つ固有のパスワードを使用するとともに、特に管理者アカウント、クラウドサービス、VPNなど外部からアクセスできるシステムでは多要素認証（MFA）の導入を検討します。

「10文字以上で大文字・小文字・記号を必ず混ぜる」といった文字種類の複雑性だけを重視する考え方は現在のNISTガイドラインとは異なります。NIST SP 800-63B-4では、単一要素として使用するパスワードは15文字以上を求め、文字種を強制する構成ルールは設けない考え方が示されています。

OS、アプリケーション、VPN機器などについても、脆弱性情報や自社のリスクを確認しながら適切にアップデート・パッチ適用を行います。

さらに、EDR、IDS/IPS、SIEMなどを活用して、不審なプロセス、認証、通信などを早期に検知できる仕組みを整備することも重要です。

組織的対策：インシデントに備える体制づくり

インシデント発生時に「誰が判断し、誰へ報告し、どのような基準でシステムを隔離するのか」を事前に決め、CSIRTなどの対応体制やインシデントレスポンス手順を整備します。

NISTも2025年に改訂したSP 800-61 Rev.3で、インシデント対応を日常的なサイバーセキュリティリスク管理の一部として組み込み、準備・対応・復旧能力を継続的に高めることを推奨しています。

ログについても、すべての企業で一律に「最低1年以上保存」が必要という基準があるわけではありません。

自社のリスク、利用しているシステム、法令・契約上の要件、調査に必要となる期間などを考慮して適切な保存期間を設定し、重要なログについては集中管理やバックアップ、時刻同期などを行い、インシデント発生時にすぐ確認できる状態にしておくことが重要です。

人的対策：従業員のセキュリティ意識向上

フィッシングメールの見分け方、不審なリンクや添付ファイルを開かないための注意点、パスワードの使い回しによるリスクなどについて定期的なセキュリティ教育を行います。

また、不審なメールを開いた、誤って認証情報を入力した、端末に異常が発生したといった場合に、担当者が責任追及を恐れて報告を遅らせない環境づくりも重要です。

早期に情報が共有されれば、被害拡大を防ぎ、調査に必要なログやデータを保全できる可能性も高まります。

まとめ：不正アクセスは早期の状況把握と正確な調査が重要

不正アクセスが疑われる場合には、目に見えている異常だけを取り除くのではなく、端末、サーバー、認証基盤、ネットワーク、クラウドなどに残されたログやデジタル上の痕跡を確認し、侵入経路、被害範囲、攻撃者の活動、情報漏えいの可能性を整理することが重要です。

また、被害拡大防止と調査に必要なデータの保全を両立させる必要があります。自己判断による初期化や不要な操作を避けながら、自社のインシデント対応手順に従って状況を整理しましょう。

自社だけでは侵入経路や影響範囲を判断できない場合や、複数の端末・サーバーに侵害が広がっている可能性がある場合、対外説明や法務対応を見据えた調査が必要な場合には、早い段階でフォレンジック調査などの専門家へ相談することも選択肢となります。

調査によって確認された事実をもとに適切な封じ込め・復旧・再発防止を進めることが、不正アクセスによる被害を抑え、今後のセキュリティ体制を強化することにつながります。