IPA発表(2026年7月22日)｜サポート詐欺の相談が1,428件・構成比37.3%に急増—従業員が偽警告を踏んだ日に会社を守る「1枚対応フロー」の作り方

結論：サポート詐欺は「セキュリティ製品で止める攻撃」ではなく「対応手順で止める攻撃」です

IPA(情報処理推進機構)は2026年7月22日、「情報セキュリティ安心相談窓口の相談状況[2026年第2四半期(4月〜6月)]」を公表しました。2026年4月〜6月の相談総数は3,832件で、前四半期比約8.5%増、前年同期比約30.3%増。そのうち最多が「ウイルス検出の偽警告(いわゆるサポート詐欺)」の1,428件で、構成比37.3%、前四半期比約23.7%増です。一次ソースはIPAの公表ページで確認できます。

注目すべきは推移です。IPAの同レポートによると、サポート詐欺の相談件数は2025年5月30日に警察庁が被疑者6人の検挙を発表した後に一時的に減少したものの、その後再び増加に転じ、2025年7〜9月期の647件から2026年4〜6月期の1,428件へと、3四半期連続で増え続けています。検挙で一時的に沈静化しても手口自体は生き残り、検挙発表前の2025年4〜6月期(912件)を5割以上上回る水準に達した——これがこの統計が示す事実です。

経営者にとっての結論は一つです。サポート詐欺は、EDRやUTMといったセキュリティ製品の性能で防ぐタイプの攻撃ではありません。正規のブラウザに「表示されるだけ」の偽警告が、人の焦りを突いて電話をかけさせ、遠隔操作ソフトを入れさせる。つまり防御の主戦場は製品ではなく、従業員が偽警告を見た瞬間に取る行動、すなわち「対応手順」と「相談先」の設計にあります。本記事では、統計の詳細に続けて、企業での実害パス、社内に掲示できる1枚対応フローの作り方、そして「相談窓口が社内にない」会社が取るべき選択肢まで整理します。

この記事を読むべき人

• 情シスが0〜1名(または総務兼任)で、従業員のPCトラブルが実質「本人任せ」になっている中堅・中小企業の経営者・役員
• UTMやウイルス対策ソフトは導入済みで、「うちは対策している」と思っているが、従業員向けの対応手順は作っていない会社の管理部門責任者
• 従業員から「変な警告が出て電話してしまった」という報告を受けた経験がある、あるいは報告が上がってくるか自信がない事業責任者
• 年1回の情報セキュリティ研修は実施しているが、効果を測ったことがない人事・総務担当役員
• 経理・銀行取引用のPCと日常業務用のPCを分離していない会社の決裁者

IPA統計の詳細：何がどれだけ増えたのか

まず一次ソースの数字を正確に押さえます。IPAの「情報セキュリティ安心相談窓口」に寄せられた2026年第2四半期(4〜6月)の相談状況は次のとおりです。

サポート詐欺単独の四半期推移も、レポート内のデータから読み取れます。

この推移が示すのは、「摘発は特効薬にならない」という構造です。サポート詐欺は偽警告の表示→電話誘導→遠隔操作という分業型のオペレーションであり、一部の実行者が検挙されても、同じ型の別グループが穴を埋めます。底の647件から1年足らずで2.2倍に戻った以上、企業側は「そのうち廃れる手口」ではなく「常在する手口」として扱う必要があります。

なお、IPAの統計は「相談件数」であり、被害件数や被害金額の統計ではありません。実際に金銭被害に至った割合や金額規模はこの統計からは分からない、という限界も正しく理解しておくべきです。それでも、相談として表面化する件数がこのペースで増えていること自体が、遭遇確率の上昇を示す実務上のシグナルとして十分に重い、というのがGXOの読み方です。

なぜEDRもUTMも「すり抜けられる」のか：技術ではなく心理を突く攻撃

経営者からよく聞くのが「うちはUTMもEDRも入れているから大丈夫では」という疑問です。結論から言うと、サポート詐欺の中核の防御にはなりません。理由は攻撃の構造にあります。

サポート詐欺の入口は、マルウェアではなく「Webページの表示」です。改ざんされたサイトや不正広告を経由して、正規のブラウザ上に「ウイルスに感染しました」「Microsoftサポートに今すぐ電話してください」といった全画面の警告と警告音を表示する。この時点でPC上では、ブラウザがWebページを表示しているだけです。実行ファイルは動いておらず、不正な通信もまだ発生していません。EDRが監視する「不審なプロセスの挙動」も、UTMが遮断する「既知の悪性通信」も、この段階では存在しないのです。

攻撃が本格化するのは、従業員が画面の番号に電話をかけた後です。電話口の「サポート担当者」に誘導されて、従業員自身の手で遠隔操作ソフトをインストールする。ここで使われるのは多くの場合、正規の遠隔サポート用ソフトウェアです。IT業界で日常的に使われている正規ツールですから、セキュリティ製品は原則として警告しません。「ユーザー本人が、正規ツールを、自分の意思でインストールして、自分で接続を許可する」——この一連の流れは、技術的にはヘルプデスク対応と区別がつかないのです。

つまりサポート詐欺は、防御側の投資が集中してきた「マルウェア検知」「境界防御」のレイヤーを最初から迂回するよう設計されています。突いているのは技術的脆弱性ではなく、「警告音が鳴り続ける」「業務PCを壊したかもしれない」という焦りと、「表示された窓口に従えば解決する」という心理です。だからこそ対策の中心も、製品の追加購入ではなく、焦った人間が正しい行動を取れる仕組みづくりに置く必要があります。

個人被害と企業被害は別物：従業員の1クリックから始まる実害パス

サポート詐欺は報道では個人被害(電子マネーやプリペイドカードをだまし取られる等)の文脈で語られがちです。しかし企業の端末で起きた場合、リスクの質が根本的に変わります。違いは「その端末に何が入っていて、何にアクセスできるか」です。

企業での実害パスを段階で整理すると、次のようになります。

1. 偽警告の表示：従業員が業務中の調べ物などで偽警告に遭遇。全画面表示と警告音で操作不能に見える状態になる
2. 電話：画面の番号に社用携帯や自席の電話から発信。この時点で攻撃者に「企業の従業員である」ことが伝わり得る
3. 遠隔操作ソフトの導入：指示に従って正規リモートツールをインストールし、接続を許可。攻撃者がその端末を操作できる状態になる
4. 端末内の資産への到達：ブラウザに保存されたパスワード、社内システムへのログイン済みセッション、共有フォルダ、経理端末であればネットバンキングへのアクセス経路が、攻撃者の視界に入る
5. 金銭・情報への波及：「修理費」「サポート契約」名目の支払い誘導に加え、企業端末の場合はネットバンキングの不正送金や、社内システム・取引先情報への横展開が問題になり得る

個人のPCなら被害の上限はおおむね「その人の資産」ですが、企業端末は違います。従業員のアカウントには業務上の権限が紐づき、端末には取引先情報や社内システムへの入口が詰まっています。特に、経理担当者の端末で発生した場合と、営業担当者の端末で発生した場合ではリスクの桁が変わる——この「誰の端末か」という視点は、後述する対応フローの設計にも直結します。

もう一つ重要なのは、遠隔操作を許してしまった時点で「何をされたか従業員本人には分からない」ことです。接続中に何を見られ、何を持ち出され、何を仕込まれたのかは、本人の記憶では確定できません。だからこそ「電話してしまった」「操作させてしまった」の後の初動(切断・隔離・パスワード変更・調査)まで含めて手順化しておく必要があります。ここは事後対応の領域であり、インシデント対応の支援体制を平時に確認しておくかどうかで、当日の混乱の度合いが大きく変わります。

社内に掲示できる「1枚対応フロー」の設計図

サポート詐欺対策の中核は、A4一枚で全従業員に配れる(そして執務室に貼れる)対応フローです。分厚い規程は当日読まれません。焦っている人間が10秒で参照できることが唯一の要件です。GXOが推奨する構成は次の4ブロックです。

ブロック1：偽警告が出たら——「電話しない」だけ先に太字で

• 画面に表示された電話番号には絶対に電話しない(本物のセキュリティ警告が電話を要求することはありません)
• 警告音が鳴っても、画面が消せなく見えても、それは「ブラウザの表示」であり感染確定ではない

ブロック2：画面の消し方——閉じてよい、を明文化する

• まず Ctrl+W(タブを閉じる)または Alt+F4 を試す
• 消えない場合は Ctrl+Shift+Esc でタスクマネージャーを開き、ブラウザを終了する
• 全画面表示で操作できないように見える場合も、Escキー長押しや F11 で全画面解除を試す

「勝手に閉じて余計に悪化したらどうしよう」という心理が、従業員を偽警告の指示に従わせます。だからフローには手順だけでなく「閉じてよい。閉じたことで責任は問わない」という会社としての宣言を明記してください。これが入っているかどうかが、実際に機能するフローと形だけのフローの分かれ目です。

ブロック3：やってはいけないこと——慌てた時の典型ミスを先回りで潰す

• 表示された番号への電話、チャットへの返信
• 指示されたソフトのインストール、コンビニでのプリペイドカード購入、金銭の支払い
• 慌てて電源ボタン長押しで強制断——多くの場合は不要であり、万一実害があった場合には調査に必要な情報が失われる可能性があります。原則は「ネットワークから切り離して、電源は保持したまま報告」です

ブロック4：連絡先——「誰に・何を・いつまでに」を具体名で

• 第一報の宛先(担当者名・内線・チャットチャンネル)を実名で書く。「情報システム部門へ」のような抽象表現は、専任情シスがいない会社では機能しません
• 電話してしまった/操作させてしまった場合も同じ宛先に「正直に・即時に」報告する。報告者を叱責しないことを明記する
• 社内で判断できない場合の外部連絡先(契約しているセキュリティ会社、IPAの安心相談窓口)も併記する

このフローは作って終わりではありません。四半期に一度、記載の連絡先が現在も有効か(担当者の異動・退職)を確認する運用までがセットです。掲示物の連絡先が退職者のままだった、というのは中小企業で実際に起きがちな形骸化パターンです。

「相談窓口が社内にない」問題：ひとり情シスの限界と外部窓口という選択肢

前節のフローには構造的な弱点があります。ブロック4の「連絡先」に書ける相手が社内にいない、あるいは一人しかいない会社が非常に多いことです。

ひとり情シス・兼任情シスの会社で実際に起きるのはこうです。従業員が偽警告に遭遇して内線をかけたが、担当者は会議中・外出中・休暇中で捕まらない。従業員は数分待った末に「早く解決しないと仕事にならない」と画面の番号に電話してしまう。つまり、窓口が「一人の稼働状況」に依存している限り、フローを整備しても穴が残ります。さらに、運よく担当者に繋がっても、その担当者自身がサポート詐欺の最新手口や、遠隔操作を許した後の調査手順に習熟しているとは限りません。ひとり情シスの業務範囲は資産管理からヘルプデスク、基幹システム保守まで広大で、インシデント対応の専門性まで求めるのは酷というのが実情です。

選択肢は大きく三つあります。第一に、社内で複数名の「一次受け」を育てる。ただし専門性の維持コストが継続的にかかります。第二に、都度スポットで外部業者に依頼する。ただし発生してから探すのでは初動が遅れ、足元を見られるリスクもあります。第三に、外部のセキュリティ専門家を月額の顧問として確保し、「困ったらここに聞く」先を常設する。従業員向けフローの整備、疑わしい事象の一次判断、発生時の初動指示までを外部に持たせる形です。GXOが提供しているセキュリティ顧問(リテイナー)はこの第三の形に該当しますが、どの形を選ぶにせよ重要なのは、「偽警告が出た瞬間に、従業員が10分以内に専門的な判断を得られる経路があるか」という基準で自社の現状を評価することです。この基準で見て経路がないなら、フローの紙を作っても最後の一マスが空欄のままだ、ということになります。

経営者が四半期ごとに見るべき指標：この統計の読み方と「自社の報告件数」

IPAのこの相談状況レポートは四半期ごとに公表されます。経営者がセキュリティ専門誌を読み込む必要はありませんが、この統計だけは四半期に一度、次の三点をチェックする価値があります。

第一に、最多カテゴリが何か。今回はサポート詐欺が37.3%で突出していますが、構成比の首位が変われば、従業員教育で優先すべきテーマも変わります。統計の構成比は、限られた教育時間の配分を決めるための客観材料として使えます。

第二に、増加率。総数の前年同期比+30.3%、サポート詐欺の前四半期比+23.7%という伸びは、「昨年並みの対策で今年も足りる」という前提を崩す数字です。予算議論で「なぜ今期セキュリティに追加投資するのか」の根拠として、一次ソース付きで示せます。

第三に、これが最も重要ですが、自社内の報告件数との突き合わせです。世の中でこれだけ相談が増えているのに、自社では「偽警告を見た」という報告がゼロだとしたら、それは遭遇がゼロなのではなく、報告が上がっていない可能性を疑うべきです。従業員数十人規模の会社で、Web閲覧が日常業務に含まれる以上、遭遇ゼロは考えにくい。報告ゼロの意味は「うちは安全」ではなく「うちの報告文化は機能していない」かもしれない——この読み替えができるかどうかが、経営指標としてのセキュリティの見方です。逆に、「変な警告が出たので閉じて報告しました」という軽微な報告が毎月数件上がってくる状態は、健全そのものです。報告件数はゼロを目指す数字ではなく、実態を映す数字として扱ってください。

自社の対策全体を棚卸ししたい場合は、GXOのセキュリティ対策の全体像と診断メニューも参考になります。サポート詐欺は入口の一つに過ぎず、不正ログイン(統計で構成比11.0%)のようにパスワード管理の問題が根にある手口とは、打ち手が異なるためです。

年1回の座学研修が効かない理由と、機能する訓練の設計

「セキュリティ研修は毎年やっている」という会社でも、サポート詐欺の被害は起きます。理由は単純で、年1回の座学は「知識」を与えますが、サポート詐欺が突くのは「焦った瞬間の行動」だからです。警告音が鳴り響く画面を前にした従業員が思い出せるのは、10か月前のスライドではなく、体で覚えた手順だけです。

機能する訓練には三つの設計要素があります。

第一に、頻度と分量の逆転。年1回60分より、四半期に1回5分の方が効きます。朝礼やチャットでの「今四半期の手口共有」+「対応フローの再確認」だけで十分です。記憶の鮮度が行動を決める領域では、内容の網羅性より接触頻度が優先します。

第二に、「見せる」こと。サポート詐欺の偽警告画面がどんな見た目か、警告音がどんな音か、スクリーンショットや再現デモで一度見せておくだけで、遭遇時の心理的衝撃は大きく下がります。「あ、研修で見たやつだ」と思えた従業員は電話をかけません。初見の衝撃を訓練で消費しておく、という発想です。

第三に、報告の練習。訓練の到達目標を「手口を説明できる」ではなく「所定の宛先に第一報を送れる」に置きます。フローのブロック4に書いた宛先へ、実際にテスト報告を送ってもらう。これを一度やっておくと、本番での報告の心理的ハードルが目に見えて下がります。あわせて、訓練やヒヤリハット報告を人事評価でマイナスに扱わないことを経営者自身の言葉で明言してください。「電話してしまった」を隠される会社と、即報告される会社の差は、技術ではなく経営メッセージで決まります。

なお、フィッシング訓練メールのような既製の訓練サービスをすでに使っている会社も、サポート詐欺(偽警告→電話)のシナリオはメール訓練ではカバーされない点に注意が必要です。手口ごとに「従業員に求める行動」が違う以上、訓練シナリオも手口に合わせて設計する必要があります。

よくある質問(FAQ)

Q1. 偽のセキュリティ警告が消えません。PCは感染しているのでしょうか。

多くの場合、その時点ではブラウザが悪意あるWebページを表示しているだけで、感染が確定したわけではありません。Ctrl+W、Alt+F4、またはタスクマネージャー(Ctrl+Shift+Esc)からブラウザを終了すれば表示は消えます。表示された電話番号には絶対に電話せず、社内の決められた窓口に報告してください。ただし、指示に従って遠隔操作ソフトをインストールしてしまった後であれば話は別で、速やかにネットワークから切り離した上で専門的な調査が必要です。

Q2. 従業員が偽警告の番号に電話し、遠隔操作ソフトを入れてしまいました。まず何をすべきですか。

①該当PCをネットワーク(有線LAN・Wi-Fi)から切り離す、②遠隔操作ソフトをアンインストールする前に、まず状況(いつ・何を指示され・何を操作したか)を記録する、③そのPCで使っていたパスワード類を別の端末から変更する、④ネットバンキング利用端末であれば金融機関に連絡する、⑤自社で調査判断ができなければ外部の専門家に相談する、が基本の初動です。慌てて電源を強制断すると調査に必要な情報が失われる可能性があるため、原則はネットワーク切断に留めます。

Q3. EDRやUTMを導入済みなら、サポート詐欺対策は不要ですか。

不要にはなりません。サポート詐欺の入口は正規ブラウザ上の表示であり、遠隔操作にも正規ツールが使われるため、検知型の製品では原則ブロックできません。製品でカバーできるのは不正広告のフィルタリングなど周辺部分に限られ、中核対策は従業員の対応手順(電話しない・閉じてよい・報告先)の整備と訓練です。

Q4. IPAの統計で相談が増えているのは、単に相談窓口が知られてきただけではないですか。

その可能性も含めて読むべき統計です。IPAの相談件数は被害件数そのものではなく、認知度の影響も受けます。ただし今回のレポートでは、警察庁の検挙発表(2025年5月30日)後にサポート詐欺の相談が一時減少し、その後3四半期連続で増加して検挙発表前の水準を大きく超えたという推移が示されており、窓口認知だけでは説明しにくい実勢の増加を示唆しています。いずれにせよ企業側の実務判断としては、遭遇確率が上がっている前提で備えるのが合理的です。

Q5. 社内にIT担当が一人しかいません。最低限どこから手をつけるべきですか。

優先順位は、①A4一枚の対応フロー(電話しない/閉じてよい/報告先の実名)を作って全員に配る、②四半期5分の再周知をカレンダーに入れる、③担当者不在時の相談先(外部窓口を含む)をフローに明記する、の三つです。費用がほぼかからない①②だけでもリスクは大きく下がります。③は担当者一人への依存という構造的な穴を塞ぐもので、外部のセキュリティ顧問を使う場合もここが最初の接続点になります。

Q6. 被害に遭ったかどうか自社で判断できません。どこに相談できますか。

公的窓口としてはIPAの「情報セキュリティ安心相談窓口」があり、今回の統計もこの窓口への相談を集計したものです。金銭被害が疑われる場合は警察(サイバー犯罪相談窓口)にも相談してください。調査や復旧、再発防止まで踏み込んだ支援が必要な場合は、民間のセキュリティ専門会社への相談が選択肢になります。重要なのは、発生してから探すのではなく、平時に「ここに聞く」を決めておくことです。

GXOに相談すべきタイミング

サポート詐欺対策は、本記事の内容だけでもかなりの部分を自社で進められます。A4一枚のフロー作成と四半期の再周知は、今週から着手できるはずです。その上で、次のような状態に当てはまるなら、第三者を入れる価値があります。

• 対応フローの「報告先」に書ける名前が一人しかいない、またはゼロである
• 従業員からのセキュリティ関連の報告が過去半年ゼロで、それが「安全の証拠」なのか「報告文化の欠如」なのか判断できない
• 偽警告への対応だけでなく、不正ログインやフィッシングも含めた自社の弱点の全体像を一度も棚卸ししたことがない
• 過去に「電話してしまった」事案があり、その端末で何が起きたかを結局確認しないまま使い続けている

一つ目と二つ目に当てはまる会社には、月額で専門家を「社外の相談窓口」として確保するセキュリティ顧問(リテイナー)が構造的な解になります。従業員向けフローの整備支援から、疑わしい事象の一次判断、発生時の初動指示までを外部に持たせる形です。三つ目に当てはまるなら、まずセキュリティ診断で自社の現在地を把握することから始めるのが順序として正しく、四つ目のように「すでに起きたかもしれない」事案を抱えている場合はインシデント対応の相談を優先してください。

いずれの場合も、「自社の今の体制でどこまで自力対応できるか」を整理するところからで構いません。状況の壁打ちだけでもお問い合わせフォームからご相談いただけます。

参考文献

• IPA「情報セキュリティ安心相談窓口の相談状況[2026年第2四半期(4月〜6月)]」