サポート詐欺で遠隔操作、情シスの初動と対策

サポート詐欺で遠隔操作 — 情シスの初動 インシデント対応
2026.07.02

【更新 2026-07-27】本記事を見直し、修正しました。主な修正点：①IPAの「偽警告」相談件数を2026年第2四半期（4〜6月）の最新データ（1,428件・前期比約23.7%増、企業・組織向け窓口のサポート詐欺相談は68件）に更新、②「Windows 11 ProはAppLocker非対応」との記述を訂正（KB 5024351 によりエディション要件は撤廃され、Windows 11は全エディションでAppLockerポリシーを適用可能）。

大学の教員が業務用パソコンでサポート詐欺に遭い、外部から端末を遠隔操作されるインシデントが公表されました。IPAへの「偽警告」の相談は2026年4〜6月に1,428件に達し、1年足らずで2倍以上に増えています。もはや個人の問題では済みません。従業員1人の1クリックが、業務端末の乗っ取りと情報流出に直結する——情シスが向き合うべき現実的な脅威です。

この記事でわかること：

  • 今回の東北文化学園大学の事案で何が起きたのか
  • サポート詐欺の相談がどれだけ増えているか（IPAの最新データ）
  • 被害に遭ってしまったときの情シスの初動
  • 社内に徹底すべき「正しい対処法」と啓発のポイント

何が起きたのか

東北文化学園大学は2026年6月19日、教員がサポート詐欺の被害に遭ったことを公表しました。教員が業務用パソコンの使用中に偽のセキュリティ警告画面に騙され、外部から端末を遠隔操作されたとされています。同大は、端末内に保存されていた個人情報が流出していないかなど、影響の範囲を調査中としています。

公表時点では、発生時期や流出した情報の具体的な種類、講じた対応の詳細は明らかにされていません。本記事は同大の発表と報道（Security NEXT）に基づいており、続報で状況が更新される可能性があります。

「サポート詐欺」とはどんな手口か

サポート詐欺とは、Web閲覧中に突然「ウイルスに感染しました」といった偽の警告画面を全画面で表示し、不安を煽って画面内の電話番号に連絡させる手口です。電話に出た偽サポート窓口は、遠隔操作ソフトの導入を求め、端末を乗っ取ったうえで、サポート契約名目の金銭や、電子マネー・クレジットカード情報をだまし取ろうとします。

ここが重要な点ですが、偽警告が表示されただけでは、実際にウイルスに感染しているわけではありません（IPA）。危険なのは「電話をかけてしまう」「遠隔操作ソフトを入れてしまう」その先です。つまり、被害の分岐点は技術ではなく人間の行動にあります。

相談は急増している——IPAの最新データ

この手口は減るどころか増えています。IPAの「情報セキュリティ安心相談窓口」に寄せられた「ウイルス検出の偽警告」に関する相談件数は、以下のように推移しています。

時期 「偽警告」相談件数
2025年 7〜9月 647件
2025年 10〜12月 789件
2026年 1〜3月 1,154件（前期比 約46.3%増）
2026年 4〜6月 1,428件（前期比 約23.7%増）

2025年5月30日に警察庁が被疑者6人を検挙し一時的に相談は減ったものの、その後は再び増加に転じ、2026年1〜3月は前四半期比で約46%、続く4〜6月もさらに約24%伸びて1,428件となりました。増加は止まっていません。企業・組織向けの「サイバーセキュリティ相談窓口」でも、サポート詐欺の相談は2026年1〜3月の41件から4〜6月は68件へ増えています。個人だけでなく、業務端末での被害が着実に発生していることを示す数字です。

被害に遭ったら——情シスの初動

今回のように「遠隔操作された疑いがある」場合は、通常のインシデントとして扱う必要があります。偽警告を閉じるだけで済む段階と、遠隔操作ソフトを入れてしまった段階では、リスクがまったく異なるためです。

遠隔操作された恐れがある場合、まず何をすべきか

端末をネットワークから切り離し、単独では判断せず情シス・専門窓口に連絡することが最優先です。具体的には、次のような初動が考えられます。

  • ネットワークからの隔離：LANケーブルを抜く、Wi-Fiをオフにするなどして、遠隔操作と情報送信の経路を断つ。
  • 端末をそのまま情シスへ連絡：自己判断で初期化・削除をせず、状況（表示された画面、かけた電話、入れたソフト、伝えた情報）を保全・聞き取りする。
  • 認証情報の変更：その端末で使っていたパスワードや、業務アカウントのクレデンシャルを変更・無効化する。多要素認証の再設定も検討する。
  • 影響範囲の調査：遠隔操作ソフトの残存、不審な通信、他端末への横展開の有無を確認する。
  • 関係先への報告：個人情報の流出が疑われる場合は、社内規程に沿って個人情報保護委員会等への対応も視野に入れる。

被害の相談先として、IPAの相談窓口や、警察の相談窓口（サイバー事案）を活用できます。金銭をだまし取られた場合は、決済手段に応じてカード会社等への連絡も急ぐ必要があります。

被害に遭う前に——正しい対処法を全員に

サポート詐欺の最大の防御は、遭遇したときに「電話をかけない・画面を正しく閉じる」ことを全従業員が知っていることです。技術的な検知よりも、まず一次対応の周知が効きます。

偽警告が出たらどうすればいい？

慌てて電話せず、まずは警告画面を閉じるだけで解決します。IPAは、キーボードの「ESCキーの長押し」で「閉じる」ボタンを出す方法や、それでも閉じられない場合はパソコンの再起動を推奨しています。前述のとおり、画面が出ただけでは感染していないため、電話番号には絶対に連絡しないことが肝心です。

現場目線の課題

正論としては「電話しなければいい」で終わりますが、現場はそう単純ではありません。全画面で警告音が鳴り、マウスで閉じられない状況に置かれれば、ITに不慣れな職員ほど動転して電話をかけてしまいます。今回のように、教育・研究機関では利用者の裾野が広く、情シスの目が端末の隅々まで届かない——というもどかしさは、多くの組織に共通する実感ではないでしょうか。限られた人員で全員の「とっさの判断」を底上げするには、一度の通達で終わらせず、繰り返しの啓発と、実際に体験させる訓練が欠かせません。

情シスはどう啓発すべきか（公的指針の活用）

自前で長大なマニュアルを作り込むより、まずは信頼できる公的教材を配ることをおすすめします。IPAは、サポート詐欺の手口と対処法をまとめたレポートや、実際の偽警告画面を安全に疑似体験できる「体験サイト」を公開しています。「頭で知っている」から「手が動く」へ引き上げるのに有効です。

ここまでは人的対策が中心でしたが、現場では「全画面で警告音が鳴る」状況で誰かが必ず動転して電話をかけ、遠隔操作ソフトを入れてしまいます。だからこそ、「入れさせない」「偽画面に主導権を握らせない」技術的な下支えが人的対策の穴を埋めます。サポート詐欺の被害は突き詰めると2つの分岐点――遠隔操作ソフトを導入させられることと偽の全画面警告に画面と操作を乗っ取られること――で成立します。前者を「アプリ実行・ネットワーク」で、後者を「ブラウザ設定」で塞ぐ、というのが基本方針です。以下、情シスがすぐ着手できる設定例つきで掘り下げます。

技術的な下支え①：業務端末での遠隔操作ソフトの無断インストールを制限する

まず「何が悪用されるのか」を押さえる

サポート詐欺の犯人は、たいてい正規の遠隔操作ツールを使います。よく悪用されるのは次のようなソフトです。

  • AnyDesk／TeamViewer／UltraViewer／Remote Utilities
  • ConnectWise ScreenConnect／NetSupport Manager
  • Chrome Remote Desktop／Splashtop／LogMeIn

見落としがちなのが、Windows標準の「クイックアシスト（Quick Assist）」です。2024年4月以降、攻撃グループStorm-1811がクイックアシストを悪用し、ヴィッシング（音声フィッシング）で電話をかけさせてから遠隔操作を許可させ、最終的にランサムウェア「Black Basta」を展開する事例が確認されています。外部ソフトを禁止しても、標準ツールが素通りでは意味がない――これが最初の盲点です。

「管理者権限を外すだけ」では止まらない理由

「標準ユーザーにしておけばインストールできない」と考えがちですが、これだけでは不十分です。AnyDeskやTeamViewerはポータブル版（インストール不要）で起動でき、管理者権限がなくても遠隔操作を確立できるからです。したがって、権限管理に加えて「実行そのものの制御」と「通信の遮断」を重ねる多層防御が要ります。

レイヤー1：アプリの実行制御（許可リスト方式）

もっとも効くのは、許可したソフト以外は実行させないアプローチです。Windowsではおもに次の2つの手段があります。

  • AppLocker（Windows 11は全エディションで利用可）：かつてはグループポリシーでの適用がEnterprise／Educationに限られていましたが、KB 5024351 によりエディションの制限は撤廃されました。Microsoftの現行ドキュメントでも「Windows 10 バージョン2004以降と全てのWindows 11では、AppLockerポリシーの適用に特定のエディションを必要としない」と明記されています。Proの端末でも利用できます。
  • App Control for Business（旧WDAC）：より堅牢な保護が目的ならこちら。MicrosoftはAppLockerを「多層防御の機能」と位置づけ、強固な保護を狙う場合は App Control for Business を使うよう案内しています。

AppLockerを使う場合、まず実行制御サービス（Application Identity）を有効化します。

# AppLocker の実行制御サービスを自動起動に
Set-Service -Name AppIDSvc -StartupType Automatic
Start-Service -Name AppIDSvc

ルールはグループポリシーの「コンピューターの構成 > Windowsの設定 > セキュリティの設定 > アプリケーション制御ポリシー > AppLocker」で作成します。運用しやすいのは「業務で使う正規ツールだけを発行元（署名）で許可し、それ以外の実行ファイルは既定でブロック」する許可リスト方式です。ヘルプデスクが使う遠隔保守ツールを1本に統一しておくと、例外が最小化できて運用が楽になります。なおSRP（ソフトウェアの制限ポリシー）はWindows 10 バージョン1803の時点で非推奨（deprecated）とされており、新規に採用するのは避け、AppLockerまたはApp Control for Businessを使うのが妥当です。

レイヤー2：Windows標準ツールの棚卸し（クイックアシスト）

遠隔保守でクイックアシストを使っていない組織は、無効化・削除しておくのが安全です。Windows 11ではストアアプリとして提供されているため、次のいずれかで対応します。

# ストアアプリ版：全ユーザーからアンインストール
Get-AppxPackage -AllUsers *MicrosoftCorporationII.QuickAssist* |
    Remove-AppxPackage -AllUsers

オプション機能（Windows Capability）として入っている場合はこちらです（バージョン番号は環境で異なります）。

Get-WindowsCapability -Online | Where-Object Name -like "App.Support.QuickAssist*"
Remove-WindowsCapability -Online -Name "App.Support.QuickAssist~~~~0.0.1.0"

正規の遠隔サポートが必要な組織は、クイックアシストを消したうえでIntuneの「リモート ヘルプ（Remote Help）」へ置き換える手があります。条件付きアクセス・RBAC・監査ログが効くため、詐欺に悪用されうる標準ツールを残すより統制が利きます。

レイヤー3：ネットワーク層で通信を遮断する

端末側をすり抜けても、遠隔操作ツールが外部の中継サーバーに到達できなければセッションは張れません。ここで実務的に重要なのは、AnyDeskもTeamViewerも専用ポート（AnyDesk:6568、TeamViewer:5938など）が塞がれるとTCP 443へフォールバックするという点です。つまり独自ポートだけを閉じるACLでは止まりきりません。現実解はドメイン／アプリケーション単位での遮断です。

  • DNSレイヤー（Cisco Umbrella等）：*.anydesk.com／*.teamviewer.comなどツール系ドメインをカテゴリ／個別でブロック。手軽で443フォールバックにも強い。
  • 次世代ファイアウォールのアプリケーション制御（Cisco Secure Firewall／Firepowerのアプリディテクター等）：ポート番号に依存せずアプリを識別し、「リモートアクセス」系をポリシーで拒否できる。

「正規保守で使う1本だけ許可し、他のリモートアクセス系アプリはカテゴリごと拒否」という構成にしておくと、新種ツールが増えても追随しやすくなります。

レイヤー4：EDR／アンチウイルスのPUA検出

多くのEDR・アンチウイルス製品は、遠隔操作ツールをPUA（望ましくない可能性のあるアプリ）として検出できます。既定でオフの製品もあるため、PUA／リスクウェア検出を明示的に有効化しておくと、実行制御をすり抜けた分の最終防波堤になります。

技術的な下支え②：標準ブラウザのポップアップ・通知を適切に管理する

サポート詐欺が悪用するブラウザ機能

偽警告画面は、ブラウザの正規機能を組み合わせて「閉じられない」状況を作ります。仕組みを知ると、どこを塞げばよいかが見えてきます。

  • 全画面表示（Fullscreen API）：画面全体を占有し、OSのUIを隠して本物らしく見せる。
  • Web Push通知の許可取り：最大の盲点。「通知を許可」を一度押させると、そのサイトを閉じたあとでも偽の警告通知を出し続けられる。
  • ダイアログループ：beforeunloadや連続したalert()で「ページを離れますか？」を延々表示し、閉じさせない。
  • 音声の自動再生：警告音でパニックを誘発する。

レイヤー1：Edgeの「スケアウェア ブロック」を有効化する

Microsoft Edgeには、全画面のサポート詐欺サイトを端末上のAI（ローカルモデル）が検知し、全画面の解除・警告音の停止・警告表示まで自動で行う「スケアウェア ブロック」が搭載されています。一定スペックの端末では既定で有効ですが、組織で確実に効かせるならポリシーで固定します（Edge 134前後以降で利用可）。

Windows Registry Editor Version 5.00

; --- Microsoft Edge：スケアウェア ブロック関連 ---
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge]
"ScarewareBlockerProtectionEnabled"=dword:00000001
"ScarewareBlockerBlocksDetectedSitesEnabled"=dword:00000001
"ScarewareBlockerSendDetectedSitesToSmartScreenEnabled"=dword:00000001
"SmartScreenEnabled"=dword:00000001

ScarewareBlockerProtectionEnabledが親スイッチで、これを有効にすると検出サイトのブロックやSmartScreen連携が機能します。SmartScreenは既知の詐欺サイトをそもそも開かせない一次防御として合わせて有効化しておきます。

レイヤー2：通知・ポップアップを既定でブロックする

新規の通知許可とポップアップを、組織ポリシーで既定ブロックにします。EdgeとChromeで書き込む先が違うだけで、値の考え方は共通です（2＝ブロック）。

Microsoft Edge

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge]
"DefaultNotificationsSetting"=dword:00000002
"DefaultPopupsSetting"=dword:00000002

Google Chrome

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome]
"DefaultNotificationsSetting"=dword:00000002
"DefaultPopupsSetting"=dword:00000002
"SafeBrowsingProtectionLevel"=dword:00000001
"AbusiveExperienceInterventionEnforce"=dword:00000001

SafeBrowsingProtectionLevel（1＝標準／2＝拡張）で既知の詐欺・ソーシャルエンジニアリングサイトを、AbusiveExperienceInterventionEnforceで偽のシステムダイアログや不正リダイレクトを含む「不正な操作」を抑止できます。業務で通知が必要な社内サービスだけはNotificationsAllowedForUrlsに列挙して例外化します。

教育・研究機関などブラウザが混在する環境では、Firefox向けにも同等の設定を配っておくと穴が減ります（policies.jsonに配置）。

{
  "policies": {
    "PopupBlocking": { "Default": true, "Locked": true },
    "Permissions": {
      "Notifications": { "BlockNewRequests": true, "Locked": true }
    }
  }
}

レイヤー3：「すでに許可済みの通知」を棚卸しする

ここが最も見落とされる点です。上記のポリシーは新規の許可要求を止めますが、過去にユーザーが「許可」してしまった通知は残ったままで、攻撃者はまさにこの「許可済み」を狙って偽警告を送り続けます。DefaultNotificationsSetting=2の配布で新規は全ブロックになりますが、既存の許可を洗い替えたい場合は、キッティング時のプロファイル初期化や通知権限の一括クリアといった運用も検討します。「ポリシーを入れたから安心」ではなく、既存の許可状態まで確認するのが実務のポイントです。

この2領域は、どこから手をつけるか

限られた人員で全部を一度にはできません。費用対効果でいえば、着手順は次のとおりです。

  1. クイックアシストの棚卸し（PowerShell数行・即日）――標準ツールの穴を先に塞ぐ。
  2. ブラウザポリシーの配布（.reg／GPO・低コスト）――スケアウェア ブロック＋通知・ポップアップの既定ブロック。
  3. ネットワーク層の遮断（DNS／次世代FW）――443フォールバックに強いドメイン・アプリ単位の遮断。
  4. アプリ実行制御（App Control for Business／AppLocker・要設計）――恒久策として腰を据えて。

いずれも「人が動転してもソフトが入らない・偽画面に主導権を渡さない」ための下支えです。啓発と技術対策は二者択一ではなく、両輪でこそ効きます。

まとめ

  • 大学教員がサポート詐欺で業務用PCを遠隔操作され、情報流出の有無を調査中。1人の被害が組織のインシデントに直結する。
  • IPAへの「偽警告」相談は2026年4〜6月に1,428件（前期比約24%増）と3四半期連続で増加。減っていない脅威である。
  • 防御の要は「電話しない・ESCキー長押しで閉じる」の全員周知と、遠隔操作された場合の隔離・保全・認証情報変更という初動の徹底。IPAの体験サイト等を活用したい。
  • 人的対策は技術で下支えする。端末側はクイックアシスト等の棚卸し・アプリ実行制御・通信遮断で遠隔操作ソフトを入れさせない、ブラウザ側はスケアウェア ブロックと通知・ポップアップの既定ブロックで偽画面に主導権を渡さない。着手はクイックアシスト棚卸し→ブラウザポリシー→ネットワーク遮断→アプリ実行制御の順が費用対効果に優れる。

出典

タイトルとURLをコピーしました