禁煙化推進を頑張る人が知っておきたい情報セキュリティの話
禁煙化推進活動にかかわる研究者・医療従事者・活動家が知っておきたい、情報セキュリティやAI、知的財産などインターネットやAIを利用するうえで注意したい50テーマを取り上げました。
目次
※これのスライド化した版もあります。私と面識のある方でスライド版で見たい方はおしらせください。
A. SNS・なりすまし・アカウント系
1. SNSでのなりすまし(自分が偽装される)
入り口
ある日突然「あなたのアカウントがもう一つある」と知人から連絡が来る。プロフィール写真・肩書・過去の投稿をコピーした偽アカウントが作られ、本人になりすまして会員や支援者、講演先の関係者にフォロー申請やDMを送っている。「新しいアカウントに移行しました」「LINEを教えてください」などと接触し、投資話や偽サイトへ誘導するのが典型。顔出しで発信する医師・研究者・活動家は写真も経歴も公開されているため、なりすましの材料がそろっており、誰でも標的になり得る。団体の公式アカウントも同様に偽装される。
リスク
被害を受けるのは本人よりまず周囲。偽アカウントを信じた知人や会員が金銭をだまし取られたり、偽サイトでパスワードを盗まれたりする。「あの先生の紹介だから」と信用させる道具に自分の名前と顔が使われ、気づかぬうちに詐欺の看板にされる。放置すれば「本人が関与しているのでは」という疑念や、団体の信用低下にもつながる。被害者からの問い合わせや抗議が本人に届き、その対応に追われることも。活動歴が長く知名度があるほど、悪用されたときの影響範囲は大きくなる。
防ぎ方
①自分の名前を定期的に検索し、偽アカウントがないか確認する。②見つけたら各SNSの「なりすまし報告」機能で通報し、同時に本物のアカウントで「偽物が存在する。DMでお金や連絡先を求めることはない」と告知する。③知人・会員にも通報を依頼すると削除が早まる。④普段から「公式アカウントはこれだけ」とプロフィールやWebサイトに明記しておく。⑤金銭や個人情報を求めるDMが自分名義で届いたと聞いたら、即座に注意喚起を発信する。
2. 乗っ取られた知人アカウントからのメッセージ
入り口
学会や研究会で実際につながっている知人のアカウントから、ごく自然なDMが届く。「久しぶり。今ちょっといい?」から始まり、「携帯が壊れて認証できない。代わりに届く6桁の番号を教えて」「この投票に協力して」「このリンクから登録をお願い」など。実在の知人本人の言葉遣いに見えるが、実はそのアカウントは乗っ取られており、操作しているのは攻撃者。信頼関係のある相手の名前で届くため、警戒心が働きにくいのが最大の特徴。
リスク
「6桁の番号」を教えると、それは自分のLINEやSNSの認証コードであり、今度は自分のアカウントが乗っ取られる。乗っ取られたアカウントは自分の友人・会員全員への攻撃の踏み台になり、被害が連鎖する。リンクを踏めば偽ログイン画面でパスワードを盗まれたり、不正アプリを入れられたりする。復旧には時間がかかり、その間、活動用の連絡手段を失う。知人・会員への謝罪と注意喚起に追われ、信用にも傷がつく。
防ぎ方
①「認証コード・番号を教えて」は100%詐欺と機械的に判断する。正当な理由で他人の認証コードが必要になることはない。②お金・投票・登録を頼むDMが来たら、SNS以外の手段(電話・対面・別アプリ)で本人に確認してから動く。③少しでも違和感があれば返信せず放置する。④自分側の防御として二段階認証を設定し、同じ被害の踏み台にならないようにする。⑤乗っ取りに気づいたら、本人に別ルートで知らせる。
3. 自分のアカウントの乗っ取り(使い回しの罠)
入り口
どこかのサービスから漏れたメールアドレスとパスワードの組み合わせが闇市場で出回り、攻撃者はそれを使ってSNS・メール・クラウドに機械的にログインを試す(リスト型攻撃)。複数のサービスで同じパスワードを使い回していると、どれか一つの漏えいで全部が開く。「昔登録した通販サイト」の漏えいが、活動用のSNSやメールの乗っ取りにつながる。誕生日や名前を含む推測しやすいパスワードも、総当たりで破られやすい。
リスク
乗っ取られたアカウントからは会員・知人全員に詐欺DMが送られ、自分が加害の発信源になる。過去のDMに含まれる個人情報・内部のやり取りもすべて読まれる。投稿の削除や改ざん、団体名を使った虚偽発信をされることも。復旧できずアカウントを放棄すれば、長年積み上げたフォロワーと発信基盤を失う。メールを乗っ取られると、パスワード再設定を通じて他のサービスにも芋づる式に侵入される。
防ぎ方
①パスワードの使い回しを今日やめる。特にメール・SNS・クラウドの主要3つは、それぞれ固有の長いパスワードにする。②覚えるのは無理と割り切り、パスワード管理ツールかブラウザの保存機能を使う。③長さが最重要。12文字以上を目安に。④ログイン通知をオンにし、心当たりのない通知が来たら即パスワード変更。⑤二段階認証(次項)を必ず併用する。使い回し+二段階認証なしが、最も破られやすい組み合わせ。
4. 二段階認証を設定していない
入り口
「設定が面倒」「自分は狙われない」と後回しにしているうちに、パスワードだけで守られたアカウントが攻撃対象になる。パスワードはどれだけ複雑でも、フィッシングや漏えいで盗まれれば終わり。攻撃者は盗んだパスワードでログインを試み、二段階認証がなければそのまま入れてしまう。SNS乗っ取り被害の多くは二段階認証が未設定のアカウントで起きているとされる。団体の共用アカウントは、特に未設定のまま放置されがち。
リスク
パスワード一つが最後の砦になり、それが破られた瞬間にアカウント全体——DM履歴、会員との連絡、投稿権限——を失う。乗っ取り後に攻撃者が二段階認証を「攻撃者の端末で」設定してしまうと、本人でも取り戻すことが極めて困難になる。運営への復旧申請には時間がかかり、その間もなりすまし投稿や詐欺DMが自分の名前で流れ続ける。「設定していれば防げた」被害には、後悔しか残らない。
防ぎ方
①今日、主要なアカウント(メール・SNS・クラウド・ネットバンキング)すべてで二段階認証をオンにする。各サービスの「セキュリティ」設定にあり、数分で終わる。②方式はSMSより認証アプリや物理キーが強い。SMSしか選べないなら、ないよりはるかにまし。③復旧用のバックアップコードを印刷し、安全な場所に保管する。④団体アカウントにも必ず設定し、担当者交代時の引き継ぎ方法まで決めておく。
5. SNSでの公開の顔出し
入り口
講演や学校での禁煙教育の様子を、良かれと思って顔がはっきり写った写真付きで公開投稿する。集合写真、会場の風景、名札が読める距離の写真。本人は活動報告のつもりでも、タバコ規制に反発する層や活動を快く思わない人物も、同じ投稿を見ている。顔・氏名・所属・活動地域・行動パターンがそろえば個人の特定は難しくない。過去の投稿をさかのぼり、情報を組み合わせて調べ上げる手法も広く行われている。
リスク
攻撃的なリプライや晒し、誹謗中傷の標的になる。自宅や勤務先が特定されれば、嫌がらせが現実世界に及ぶ可能性もある。一緒に写った会員・関係者・児童まで巻き込み、「勝手に顔を出された」と信頼関係が壊れることも。一度拡散した画像は完全には消せない。政策に関わる活動では、発信者個人への攻撃が活動全体への攻撃の入り口として使われることがあり、本人だけの問題では済まない。
防ぎ方
①投稿前に「この写真で誰が・どこまで特定できるか」を一呼吸置いて確認する習慣を。②他人が写る写真は必ず本人の了承を得る。児童は保護者・学校の同意が大前提。③名札・資料・背景の掲示物にも目を配り、必要ならぼかす。④公開範囲設定(全体公開/フォロワー限定)を用途で使い分ける。⑤顔出しは「出す価値がある場面だけ、自分の判断で」。惰性で全部出さない。⑥攻撃を受けたらスクショで記録し、一人で抱えず通報・相談する。
6. 位置情報付き写真の掲載
入り口
スマホの設定によっては、撮影した写真に緯度経度(Exif情報)が自動で埋め込まれる。それを知らずに写真をそのまま送ったり一部のサービスに載せたりすると、撮影場所が正確にわかる。Exifが消えても、写り込んだ電柱の管理番号、マンホール、店舗、窓からの風景などから場所を割り出す手法は広く知られている。「自宅で作業中」「今日はこの学校で禁煙教育」といった何気ない投稿が、居場所の生中継になる。
リスク
自宅・勤務先・よく行く場所が特定され、待ち伏せや嫌がらせ、ストーカー被害につながり得る。学校訪問の投稿なら児童の生活圏まで晒すことになり、学校・保護者との信頼問題に発展する。「今から2泊で出張」という投稿は、自宅が留守だという告知でもある。リアルタイム投稿は「今この場所にいる」と「自宅にいない」という2つの情報を同時に発信していることを忘れてはいけない。
防ぎ方
①スマホのカメラ設定で位置情報の記録をオフにする(iPhone:設定→プライバシー→位置情報サービス→カメラ/Android:カメラアプリの設定)。今すぐ確認を。②主要SNSは投稿時にExifを削除するが、メール添付やクラウド共有では残る。送る前に意識する。③投稿は「その場でリアルタイム」ではなく、離れてから・帰ってからの「事後報告」を基本にする。④写り込む背景(住所表示、車のナンバー、窓の景色)を確認してから載せる。
7. 子どもが写った写真の扱い(禁煙教育の現場)
入り口
小学校での禁煙教育や地域イベントの後、「活動の成果を伝えたい」と児童の顔が写った写真を報告書やSNS、団体の会報に使いたくなる。学校から提供された写真、主催者として撮影した写真、参加者が撮った写真——それぞれ扱いのルールが違うのに、「記録用だから」「後ろ姿だから」と曖昧なまま使ってしまいやすい。撮影時は問題がなくても、「公開」の同意までは取れていないことがほとんど。
リスク
児童の肖像権・プライバシーの侵害となり、保護者からの抗議、学校との関係悪化、以後の教育活動への出入り自体を断られる事態になり得る。写真から学校名や生活圏が特定されれば、児童を危険に晒すことにもなる。学校での禁煙教育は学校・保護者の信頼の上に成り立つ活動であり、写真1枚の扱いを誤るだけで、長年かけて築いた協力関係と、後に続く活動の場を失いかねない。
防ぎ方
①「撮影の同意」と「公開の同意」は別物と心得る。公開には保護者の明示的な同意が必要。②学校経由で書面の同意を取るのが基本。取れない場合は、顔が識別できない写真(後ろ姿・手元・遠景)だけを使う。③ぼかし加工でも輪郭や持ち物で特定されることがあるため、迷ったら使わない。④事前に学校側と「撮影・公開のルール」を確認しておくと当日慌てない。⑤同意の記録は保管しておく。
8. 偽の学会・偽の講演依頼
入り口
「貴殿のご研究に感銘を受けました。国際会議で基調講演をお願いしたい」——丁寧な英文や日本語のメールが届く。実在の学会名に似せた名称、それらしいWebサイト、著名研究者の名前(無断掲載)まで用意されている。講演者として登録させ、「手続きのため」と個人情報や参加費・保証金を求めてくる。講演実績を重ねてきた人ほど「ついに海外から声がかかった」と思いやすい心理を、正確に突いてくる。
リスク
参加費・渡航手配費などの金銭をだまし取られる。渡航しても会議自体が存在しない、または名ばかりの集まりだったという事例も知られる。パスポート情報や経歴などの個人情報が詐欺グループに渡る。実体のない会議での「講演歴」は経歴の汚点にもなり、研究者・活動家としての信用に傷がつく。招待メールに返信しただけでも「反応する人のリスト」に載り、以後も勧誘が続く。
防ぎ方
①身に覚えのない招待は、まず主催団体名をそのまま検索し、「predatory」「詐欺」等の語と併せて評判を確認する。②実在学会の公式サイトに当該会議の記載があるか、開催実績や運営者の所属が確認できるかを見る。③「先に支払い」「今週中に返事を」と急がせるのは危険信号。④判断に迷ったら、所属学会や周囲の研究者に聞く。本物の招待は、確認の質問に誠実に答えてくれる。
9. 取材・コラボ依頼を装ったDM
入り口
「メディアで禁煙化推進の活動を紹介したい」「企業の健康経営企画で連携したい」——記者やメディア、企業担当者を名乗るアカウントからDMが届く。実在の媒体名やロゴを使い、「詳細はこちらのフォームに」「資料をこのリンクから」と外部リンクへ誘導する。活動を広めたい人にとって取材依頼は嬉しい話であり、警戒がゆるむ瞬間を狙っている。偽の依頼書ファイルにウイルスを仕込む手口もある。
リスク
リンク先の偽フォームで個人情報やログイン情報を盗まれる。添付ファイルを開けばウイルスに感染し、PC内の名簿・資料が流出する。「取材準備」の名目で顔写真・経歴・活動内部の情報を渡してしまい、なりすましや標的型攻撃の材料にされる。実在メディアの名を騙られていた場合、こちらから問い合わせるまで偽物と気づけないことも多い。断った後にしつこく別名で接触されることもある。
防ぎ方
①依頼が来たら、DMに返信する前に、その媒体・企業の公式サイトに載っている連絡先から「このような依頼を出していますか」と確認する。本物なら確認を嫌がらない。②DM内のリンク・添付は、確認が取れるまで開かない。③「本日中に」「限定で」と急がせる依頼は疑う。④名乗られた記者名を検索し、署名記事が実在するか確かめる。⑤本物の取材でも、渡す情報は公開してよい範囲に絞る。
10. SNSでの炎上・論争への深追い
入り口
タバコ対策の投稿には、喫煙者・業界寄りの立場からの反論や挑発的なリプライがつきやすい。「非喫煙者の押し付けだ」「科学的根拠はあるのか」——最初は冷静に返していても、相手の挑発がエスカレートし、つい強い言葉で応酬してしまう。相手は議論ではなく「怒らせて失言を引き出すこと」自体が目的の場合もある。深夜や移動中など、疲れているときほど売り言葉に買い言葉になりやすい。
リスク
感情的な一言がスクショで切り取られ、文脈を外して拡散される。「攻撃的な活動家」というレッテルは、本人だけでなく所属団体や協働する行政・医療関係者にまで及ぶ。禁煙化推進は喫煙者も非喫煙者もタバコの害から守る活動なのに、「喫煙者を敵視する人」という誤った印象が広がれば、活動の目的そのものが伝わらなくなる。投稿を削除しても消えず、謝罪・釈明に時間を奪われる。
防ぎ方
①挑発的なリプライには「返信しない」を基本方針にする。反論の義務はない。②どうしても返す場合は即レスせず時間を置き、第三者が読む前提で書く。③人格への言及は絶対にしない。データと事実だけ。④悪質な相手はミュート・ブロック・通報を淡々と行う。⑤団体アカウントは、論争対応の方針(返信基準・対応者)を事前に決めておく。⑥送信前の基準は「この返信は1年後に見ても恥ずかしくないか」。
11. 鍵アカウント・限定グループへの過信
入り口
「鍵アカウントだから」「会員限定グループだから」と、公開の場では書かない愚痴や批判、未公表の内部情報を投稿してしまう。閲覧者が限定されているのは事実でも、その中の誰か一人がスクショを撮れば一瞬で外に出る。人間関係の変化(退会・対立)により、昨日までの仲間が今日は情報の持ち出し元になることもある。「内輪」という感覚が、公開投稿よりかえって無防備な発言を生む。
リスク
内部の批判や個人への言及がスクショで流出し、名指しされた相手との関係が修復不能になる。行政や他団体への率直すぎる評価が漏れれば、協働関係そのものが壊れる。「限定のつもりだった」は言い訳にならず、発言内容だけが独り歩きする。流出元の特定はほぼ不可能で、グループ全体に疑心暗鬼が広がり、組織の空気が悪くなるという二次被害も起きる。
防ぎ方
①「スクショされたら公開と同じ」を大原則に、限定の場でも公開に耐える書き方をする。②特に人物評価・団体批判・未公表情報は、文字に残さず対面や電話で話す。③グループ運営側は、参加時に「スクショ・転載禁止」のルールを明示する(完全には防げないが抑止になる)。④退会者が出たら、共有済み情報の範囲を確認する。⑤書く前の基準は「この文面が明日、本人に届いても説明できるか」。
12. 放置したアカウントの乗っ取り再利用
入り口
昔作って使わなくなったSNSアカウント、終了したイベント用のアカウント、前任者が作った団体アカウント。ログインもせず放置されたアカウントは、パスワードが古く二段階認証もなく、乗っ取りの格好の標的になる。持ち主が見ていないため、乗っ取られても長期間発覚しない。登録していたメールアドレスのドメインが失効している場合、そのドメインを第三者に取得されると、メールごと乗っ取られることもある。
リスク
団体の名前とフォロワーを引き継いだまま、詐欺広告や偽情報の発信源に変わる。フォロワーは「あの団体の公式」と信じて騙される。過去のDMや登録情報も抜かれる。乗っ取りに気づいても、担当者が退任済みでパスワードも登録メールも不明だと復旧申請すら難しい。「あの団体のアカウントが変な投稿をしている」という連絡で初めて発覚し、信用回復に追われることになる。
防ぎ方
①使っていないアカウントを棚卸しし、今後使わないものは正式に削除する。「放置」が一番危険。②残すものはパスワードを更新して二段階認証を設定し、年に一度はログインして確認する。③団体アカウントは登録メール・電話番号・管理者を一覧化し、役員交代時に必ず引き継ぐ。④イベント用など期間限定のアカウントは、終了時の扱い(削除するか、告知して休眠か)を作る時点で決めておく。
B. メール・詐欺・金銭系
13. フィッシング(偽ログイン画面)
入り口
「アカウントに異常なログインがありました」「お支払い方法に問題があります」——学会マイページ、クラウド、銀行、通販を装ったメールやSMSが届き、「確認はこちら」のリンクから本物そっくりの偽ログイン画面へ誘導される。ロゴもデザインも本物のコピーで、URLも一文字違いなど巧妙。近年は生成AIの悪用で不自然な日本語が減り、文面だけでの見分けはほぼ不可能になっている。「緊急」「24時間以内」と焦らせるのが共通項。
リスク
偽画面に入力したIDとパスワードは即座に盗まれ、本物のアカウントに不正ログインされる。メールを取られれば、他サービスのパスワード再設定を通じて被害が連鎖する。カード情報を入れれば不正利用に直結する。学会や団体のマイページが破られれば会員名簿や個人情報の流出につながり、自分が漏えい事故の当事者になる。「入力してしまった」と気づいたときには、手遅れのことが多い。
防ぎ方
①メール・SMS内のリンクからはログインしない。これだけで大半は防げる。ログインは必ずブックマークか公式アプリから。②「緊急」と焦らされたときほど、一度閉じて公式サイト・公式アプリで確認する。③入力してしまったら、即座にそのサービスのパスワードを変更し、同じパスワードを使う他サービスも変更、カード情報ならカード会社へ連絡する。④二段階認証を設定していれば、パスワードが盗まれても最後の防壁になる。
14. ビジネスメール詐欺(BEC)
入り口
団体の会計担当者宛に、取引先の印刷会社やイベント業者、あるいは代表者本人を装ったメールが届く。「振込先口座が変更になりました」「至急この口座へ」——過去のやり取りを盗み見た上で、実在の案件名や担当者名を織り込んでくるため、文面に不自然さがない。メールアドレスは本物と一文字違い、あるいは本物のアカウントが乗っ取られている場合すらある。支払い時期を正確に狙って送られてくる。
リスク
偽口座に振り込んだお金は、まず取り戻せない。会費や寄付で成り立つ団体にとって、数十万円の被害でも活動の存続に関わる。「なぜ確認しなかったのか」と担当者個人が責任を問われ、役員間の信頼関係にも亀裂が入る。取引先のアカウントが乗っ取られていた場合は、どちらの責任かを巡って関係がこじれることも。被害の公表や会員への説明という重い仕事も残る。
防ぎ方
①「振込先の変更」を告げるメールが来たら、必ずメール以外の手段(登録済みの電話番号)で相手に直接確認する。この一手間をルール化する。②メールアドレスを一文字ずつ確認する。「返信」ではなくアドレス帳から新規作成で送るのも有効。③一定額以上の支払いは二人以上の承認を必須にする。④「至急」「本日中」と急がせる支払い依頼ほど疑う。⑤代表者名義の「極秘で送金を」という指示は典型的な手口と知っておく。
15. ハゲタカジャーナルからの投稿勧誘
入り口
「あなたの論文を拝読した。ぜひ本誌に投稿を」——研究発表や学会抄録を出した直後に、英文の勧誘メールが届く。国際的な学術誌を名乗り「迅速な査読」「確実な掲載」をうたうが、実態は掲載料(APC)目当てで、査読はほとんど行われない。誌名は有名誌に酷似させてあり、編集委員に実在の研究者名を無断で載せていることもある。査読付き業績を増やしたい時期の研究者・実践者の心理を、的確に突いてくる。
リスク
数万〜数十万円の掲載料を支払っても、学術的価値の乏しい媒体に載るだけで、業績としてはむしろ経歴の汚点になり得る。一度掲載されると取り下げも難しい。真面目な調査・実践報告が、きちんとした査読を経ないまま公開されることで、内容自体の信頼性まで疑われる。共著者や所属団体の名前にも傷がつく。「ハゲタカ誌の常連」という評価は、研究コミュニティで広まりやすい。
防ぎ方
①届いた勧誘メールから投稿先を決めない。投稿先は自分から探すのが原則。②実態は、誌名+「predatory」での検索、DOAJ(信頼できるオープンアクセス誌のリスト)への収載有無、出版社の所在地や過去の巻号の質で確認する。③「どんな分野でも歓迎」「数週間で掲載」は危険信号。④迷ったら、投稿経験の豊富な共同研究者や大学・研究機関の図書館に相談する。⑤掲載料の金額と請求時期を、投稿前に必ず確認する。
16. 偽の国際会議(ハゲタカ学会)への招待
入り口
「東京開催の国際会議に、あなたをスピーカーとして招待します」——分野が微妙にずれた学際的な会議名で招待メールが届く。Webサイトは立派で、過去の開催写真や著名研究者の基調講演者リスト(多くは無断掲載か虚偽)もある。参加登録費は数万〜十数万円。会場は実在し「開催」もされるが、中身は寄せ集めの発表を形だけ流す集まりで、学術的な交流も査読も実質ない——という類の会議が知られている。
リスク
登録費・渡航費・宿泊費で数十万円を失う。得られるのは学術的価値の乏しい「発表実績」で、経歴に書けばむしろ疑問符がつく。会議に合わせて論文集への掲載料を追加請求されることもある。個人情報・パスポート情報が渡り、以後の勧誘リストに載る。所属団体の名前で参加していれば、団体の経費と信用を同時に損なう。準備した発表の労力も無駄になる。
防ぎ方
①その会議の主催学会が実在し、継続的な活動実績(過去の大会プログラム、会誌)を持つか確認する。②自分の分野の信頼できる研究者が実際に運営・参加しているかを見る。名前が載っていても無断掲載の可能性があるため、本人に確認するのが確実。③「幅広い分野を歓迎」「登録費は先払いのみ」「キャンセル規定が曖昧」は危険信号。④参加費を払う前に、所属学会や経験者に一言相談する。それだけでほぼ防げる。
17. サポート詐欺(偽のウイルス警告画面)
入り口
調べ物の途中、突然「ウイルスに感染しています!」という警告画面が全画面で表示され、けたたましい警告音が鳴る。大手IT企業のサポートを名乗る電話番号が表示され「今すぐ電話を」と迫る。画面は閉じにくいよう細工されており、慌てた人が電話をかけると「遠隔操作で修理する」と誘導され、遠隔操作ソフトのインストールと、サポート料金の支払い(コンビニで電子マネーを買わせる等)を要求される。
リスク
支払った「サポート料金」はだまし取られ、電子マネーは追跡も返金もほぼ不可能。遠隔操作ソフトを入れてしまうと、PC内のファイル・保存されたパスワード・ネットバンキングまで覗かれ、操作され得る。会員名簿や活動資料が入ったPCなら、個人情報漏えい事故に発展する。「解約にはまた電話を」と繰り返し請求されるケースも。そもそも警告画面自体が偽物で、実際には感染していないのに、である。
防ぎ方
①「警告画面+電話番号+警告音」の組み合わせは詐欺と覚える。本物のセキュリティ警告が電話を求めることはない。②電話をかけない。画面が閉じられなければ、Escキー長押し→Ctrl+Alt+Delでブラウザを強制終了、それでもだめなら電源長押しで再起動。③遠隔操作ソフトを入れてしまったら、ネット接続を切って削除し、公的窓口(IPAの安心相談窓口等)に相談。④支払ってしまったら、消費生活センター・警察へ。
18. QRコード詐欺(クイッシング)
入り口
講演会場の掲示物、駐車場の精算機、飲食店のテーブル、届いた郵便物——日常のあらゆる場所にあるQRコードに、偽のコードを上から貼り付ける手口。読み取ると本物そっくりの偽サイトに飛び、ログイン情報やカード情報の入力を求められる。QRコードはURLが目視できないため、リンクの偽装に気づきにくい。メール内のリンクは警戒する人でも、紙に印刷されたQRコードは無条件に信じやすい——その心理の隙を突く。
リスク
偽サイトに入力した情報が盗まれ、不正ログインやカードの不正利用につながる。読み取った先で不正アプリのインストールに誘導されることもある。自分の団体が配布した資料やポスターのQRコードに偽物を貼られた場合、被害者は「あの団体の資料から詐欺サイトに飛んだ」と認識し、まったく身に覚えのないまま団体の信用が傷つく。イベント主催者としての管理責任を問われる可能性もある。
防ぎ方
①QRコードを読み取ったら、開く前に表示されたURLを確認する習慣を。公式ドメインと違う・不自然な文字列なら開かない。②読み取った先でログインやカード情報を求められても、そこからは入力せず、公式アプリ・ブックマークから操作し直す。③物理的に掲示されたQRコードは「上から別のシールが貼られていないか」を見る。④主催者側としては、自団体の掲示物・配布物のQRコードが改ざんされていないか、会期中に時々確認する。
19. ランサムウェア(データの人質化)
入り口
「請求書」「講演依頼書」を装ったメールの添付ファイル、出所不明のUSBメモリ、偽の更新プログラム——さまざまな経路でPCに侵入し、ある日突然、ファイルがすべて開けなくなる。画面には「データを暗号化した。戻したければ金銭を支払え」という脅迫文。会員名簿、講演スライド、研究データ、十数年分の活動記録が一瞬で人質になる。近年は「支払わなければデータを公開する」と二重に脅す手口が主流とされる。
リスク
支払っても復旧の保証はなく、支払い自体が犯罪組織への資金提供になる。バックアップがなければ、活動の記録・教材・名簿を失い、活動が長期間停止する。名簿が公開されれば会員の個人情報漏えいとなり、謝罪・報告・信頼回復という重い対応が続く。個人のPCでも、団体の役割を担っていれば被害は団体全体に及ぶ。「小規模な相手は狙われない」は誤りで、攻撃は無差別にばらまかれる。
防ぎ方
①最大の防御はバックアップ。重要データは「PCとは別の場所」(普段は取り外しておく外付けHDD+クラウド)に定期的に複製する。②心当たりのないメールの添付・リンクを開かない。「請求書」「至急」は定番の釣り文句。③OS・ソフトの更新を放置しない。古い脆弱性が侵入口になる。④出所不明のUSBメモリは挿さない。⑤感染したら、まずネットとUSBを物理的に切断し、公的窓口へ相談。支払いには応じない。
20. 行政・宅配便を装うSMS(スミッシング)
入り口
「お荷物をお届けしましたが不在のため持ち帰りました」「保健所です。重要なお知らせがあります」「税金の未納があります」——スマホのSMSに、宅配業者や行政機関を名乗る短いメッセージとリンクが届く。行政や医療と日常的にやり取りする活動関係者は「保健所から」「市役所から」という文言に反応しやすく、それを見越した文面が使われる。リンク先は偽サイトか、不正アプリのインストール画面。
リスク
偽サイトで入力した認証情報やカード情報が盗まれる。不正アプリを入れてしまうとスマホが乗っ取られ、自分の電話番号から同じ詐欺SMSが知人に大量送信される——自分が加害の発信源になる。電話帳の連絡先も抜かれ、キャリア決済を勝手に使われる被害もある。スマホには活動のメール・SNS・写真・連絡先が集約されており、乗っ取られたときの被害範囲はPC以上に広い。
防ぎ方
①SMS内のリンクは開かないことを原則に。宅配の不在通知は公式アプリか、手元の伝票・公式サイトで追跡番号を確認する。②行政機関がSMSのリンクから個人情報や支払いを求めることは基本的にない。用件は代表番号を調べて自分からかけ直す。③「提供元不明のアプリ」のインストールを許可しない(Androidの設定)。④リンクを開いてしまっても、入力・インストールをしなければ被害を防げることが多い。慌てず閉じる。
21. 寄付・助成金を装う詐欺
入り口
「貴団体の禁煙化推進活動に感銘を受けました。ぜひ寄付をさせていただきたい」——企業や財団、篤志家を名乗るメールやDMが届く。資金に悩む市民団体には願ってもない話に見えるが、話を進めるうちに「受け取りには先に手数料・保証金が必要」「口座情報と代表者の身分証を送ってほしい」と要求が始まる。実在の財団名を騙るケースや、偽の助成金交付決定通知を送りつけるケースもある。
リスク
「手数料」名目で支払ったお金はだまし取られ、戻らない。口座情報・代表者の身分証・団体の内部情報が犯罪グループに渡り、口座の不正利用やなりすましの材料にされる。「大口の寄付が入る」前提で活動計画を立てていれば、計画ごと崩れる。会員に報告した後で詐欺と判明すれば、団体運営への信頼も揺らぐ。以後、誠実な支援の申し出まで疑わざるを得なくなることも損失。
防ぎ方
①「お金を受け取るために先にお金を払う」ことは絶対にない。手数料・保証金の要求が出た時点で詐欺と断定してよい。②申し出があったら、名乗られた企業・財団の公式サイトの連絡先に自分から照会する。③実在の助成制度は、公募要領・申請・審査・交付決定という手順を必ず踏む。突然の「交付決定」はあり得ない。④身分証や口座情報は、正式な手続きの確認が取れるまで渡さない。⑤役員間で共有し、一人で進めない。
22. 請求書偽装とパスワード付きZIPの限界
入り口
「請求書を添付いたします」「パスワードは別途お送りします」——見慣れた形式のメールに、ウイルス入りのファイルが添付されてくる。パスワード付きZIPはウイルス対策ソフトの検査をすり抜けやすく、「パスワード別送」という日本の商習慣自体が攻撃の隠れ蓑に使われている。実在の取引相手のメールが乗っ取られ、過去のやり取りへの「返信」として届くケースもあり、文脈が自然なため開いてしまいやすい。
リスク
添付を開くとウイルスに感染し、PC内の情報が盗まれる。Emotetと呼ばれたウイルスのように、感染PCからメール履歴と連絡先を盗み、今度は自分の名前で知人・会員にウイルスメールをばらまくものもある——被害者が加害者になる連鎖。「あなたからのメールで感染した」という連絡が各所から届き、謝罪と注意喚起に追われる。団体の連絡網全体が攻撃基盤にされる恐れもある。
防ぎ方
①その請求書・依頼書が届く「心当たり」があるかをまず考える。予期しない添付は、送信者に電話等で確認してから開く。②パスワード付きZIPは安全の証ではなく、むしろ検査をすり抜けやすい形式だと認識を改める。③ファイルの受け渡しはZIP添付ではなく、権限設定のできるクラウドの共有リンクへ移行する。④WordやExcelを開いたときの「コンテンツの有効化」「マクロを有効にする」ボタンは押さない。これが感染の最後の引き金になる。
C. 情報の取り扱い・うっかり系
23. メールの誤送信(宛先間違い)
入り口
メールソフトの宛先欄に名前を数文字入れると、過去の送信先から候補が自動表示される(オートコンプリート)。同姓の別人、似た名前の団体、退会した元会員——一文字違いの候補を急いでクリックし、そのまま送信。会議資料、名簿、行政とのやり取り、個人的な相談内容が、まったく関係のない相手や、最も見せたくない相手に届く。忙しい時間帯、スマホからの返信、深夜の作業で特に起きやすい。
リスク
個人情報を含む資料なら、その瞬間に個人情報漏えい事故となり、内容によっては本人への通知や公的機関への報告が必要になり得る。内部の率直な議論や人物評価が本人や外部に届けば、人間関係と協働関係に深い傷を残す。「削除してください」と依頼はできても、相手が読んだ事実も転送された可能性も消せない。たった1クリックのミスが、数年分の信頼を損なうことがある。
防ぎ方
①送信ボタンを押す前に、宛先を「氏名とアドレスの両方」で指さし確認する習慣をつける。②重要なメールは宛先を最後に入力する(本文・添付を整えてから宛先を入れる)。書きかけのまま送る事故も防げる。③送信を数十秒保留する設定を有効にする(Gmailの送信取り消し、Outlookの送信遅延ルール)。④オートコンプリートの古い候補・不要な候補は削除しておく。⑤機微な添付はパスワード等で保護し、開く鍵を別経路で渡す。
24. CC/BCC混同によるアドレス漏えい
入り口
会員への一斉連絡、研究会の開催案内、講演会参加者への御礼——数十〜数百人にメールを送る場面で、本来BCC(受信者同士に見えない)に入れるべき全員のアドレスを、CC(全員に見える)に入れて送信してしまう。操作としては欄を一つ間違えるだけ。企業や自治体でも繰り返し発生している定番の事故で、担当者の善意の連絡業務の中で起きるのが特徴。急ぎの案内や、慣れない代理送信のときが危ない。
リスク
受信者全員のメールアドレスが全員に開示される。アドレスは個人情報であり、同時に「誰がこの活動に関わっているか」という参加者リストの情報も漏れる。患者会や支援対象者が含まれていれば、その属性ごと開示することになり、より深刻。個人情報保護法上の漏えいとして、本人への通知や報告の要否を判断する事態になり得る。謝罪と再発防止策の報告など、事後対応の負担も大きい。
防ぎ方
①一斉送信は「宛先(To)は自分自身、全員をBCC」を鉄則として型で覚える。②送信前にTo/CC欄に自分以外が入っていないかを指さし確認する。③人数の多い定期連絡はメールの手作業をやめ、メール配信サービスや連絡用アプリ(BCCミスが構造的に起きない仕組み)へ移行するのが根本対策。④起きてしまったら、隠さず速やかに謝罪と削除依頼を送り、団体内で報告する。対応の速さと誠実さが、その後の信頼を左右する。
25. クラウド共有設定のミス(リンクの公開誤設定)
入り口
GoogleドライブやDropboxで資料を共有するとき、相手のアドレス指定が面倒で「リンクを知っている全員が閲覧可」に設定して送る。そのリンクは会議案内と一緒に転送され、想定外の範囲へ広がっていく。フォルダごと共有していると、後から入れた無関係のファイルまで見える状態になっていることに気づかない。「リンクを知っている人だけ」という言葉の安心感とは裏腹に、リンクは容易に流通する。
リスク
名簿・議事録・未公表の要望書案・財務資料が、誰でも閲覧できる状態に置かれる。設定によっては検索エンジンに載ることすらある。誰がいつ閲覧したか分からないため、漏えいの範囲を事後に特定できないのが深刻。調整中の行政資料が先方以外に見られれば、協働関係の信頼を損なう。「公開設定のまま数年間放置されていた」と後から発覚するケースも多く、影響が長期に及ぶ。
防ぎ方
①共有は「特定の相手のアドレスを指定」を原則にし、「リンクを知っている全員」は誰に渡っても構わない資料だけに限定する。②編集と閲覧の権限を使い分け、既定は閲覧のみにする。③フォルダ共有は中身が増えることを前提に慎重に。機微な資料は共有フォルダに入れない。④半年に一度、各サービスの「共有中のアイテム」一覧を見直し、不要な共有を解除する。⑤有効期限付きリンクが使えるサービスでは積極的に使う。
26. 名簿・データの持ち出しと紛失
入り口
「自宅で作業したいから」と会員名簿や講演資料をUSBメモリに入れて持ち歩く。私物PCに団体のデータを保存する。講演後の懇親会の帰り、カバンごと電車の網棚に忘れる——紛失・置き忘れは、情報漏えいの古典的で、今も多い原因。暗号化されていないUSBやPCは、拾った人が中身をそのまま読める。スマホに名簿ファイルをダウンロードしたまま、という「気づかない持ち出し」も増えている。
リスク
名簿の紛失は個人情報漏えい事故そのもの。会員・関係者への謝罪と経緯説明、内容によっては公的機関への報告が必要になり得て、団体の信頼が大きく揺らぐ。悪意ある人の手に渡れば、名簿は詐欺の標的リストとして売買・悪用され得る。私物PCの紛失では団体データと個人データが混在しているため、被害範囲の特定も難しい。「どこで失くしたか分からない」と、打てる手も限られる。
防ぎ方
①発想を変える:データを「持ち歩く」のではなく、権限管理されたクラウドに置き、必要なときにアクセスする形へ。②どうしてもUSBやPCで持ち出すなら、暗号化(BitLocker、パスワード付きファイル等)を必須にする。③スマホ・PCには画面ロックと遠隔消去(「探す」機能)を設定しておく。④名簿は全件を持ち出さず、必要な部分だけに絞る。⑤紛失時の初動(遠隔ロック→団体へ報告)を事前に決めておく。
27. 団体アカウントの引き継ぎ不備
入り口
団体のSNS・ホームページ・メール・クラウドのアカウントを、その時々の担当者が個人の判断で作り、パスワードは本人しか知らない——市民団体にありがちな状態。役員交代や退会のとき、引き継ぎが口頭だけだったり、そもそも行われなかったりする。登録メールアドレスが前任者の個人アドレスのままで、パスワードの再設定すらできない。誰も管理していないアカウントが、団体の看板を掲げたまま残る。
リスク
更新できない公式サイトやSNSが放置され、乗っ取りの標的になる。退任者と関係がこじれた場合には、アカウントを「人質」に取られる形になり、最悪、団体の発信基盤を失う。ドメインやサーバーの更新料の支払いが途絶えてサイトが消え、長年の情報資産が失われることもある。前任者に悪意がなくても、連絡が取れなくなるだけで同じ結果になる。組織の記憶がアカウントと共に失われていく。
防ぎ方
①団体のアカウント一覧(サービス名・ID・登録メール・管理者・費用と支払期限)を作り、役員で共有する。まず棚卸しから。②登録メールは個人アドレスではなく団体の共用アドレスにし、その共用アドレスの管理者を複数にする。③パスワードは共有機能のあるパスワード管理ツールで管理し、担当交代時に必ず変更する。④ドメイン・サーバー等の契約名義と期限も一覧に含める。⑤退任時の引き継ぎ手順を内規で決めておく。
28. 無料Wi-Fiでの作業(講演先・カフェ・車内)
入り口
講演先のホテル、カフェ、新幹線、空港——出先の無料Wi-Fiにつないでメールの返信や資料の編集をする。パスワード不要のWi-Fiは通信が暗号化されておらず、同じ電波が届く範囲の第三者に内容を傍受される可能性がある。さらに、正規のWi-Fiと同じ名前の「偽アクセスポイント」を攻撃者が立てて待ち構える手口もあり、接続した端末の通信をまるごと監視・改ざんされ得る。
リスク
ログイン情報やメールの内容が盗み見られ、アカウントの乗っ取りにつながる。偽アクセスポイント経由では、偽サイトへの誘導や通信の改ざんも可能になる。講演で全国を移動する人ほど接続の機会が多く、リスクに晒される回数も増える。「数分メールを見ただけ」の接続でも、そのタイミングで認証情報が流れれば被害は同じ。どのWi-Fiが危険だったかを事後に特定するのは、まず不可能。
防ぎ方
①機微な作業(ログイン、名簿の編集、振込)は無料Wi-Fiでは行わず、スマホのテザリングか携帯回線で行う。テザリングは今日から使える最も簡単な代替手段。②無料Wi-Fiを使うなら閲覧程度にとどめ、アドレス欄の鍵マーク(https)を確認する。③VPNサービスを使えば通信全体が暗号化され、より安全。④端末の「Wi-Fi自動接続」をオフにし、覚えのないネットワークに勝手につながらないようにする。
29. 画面共有・スクリーンショットでの露出
入り口
オンライン研究会で資料を画面共有した瞬間、メールの新着通知がポップアップし、送信者名と冒頭の文面が参加者全員に見える。画面全体を共有していたため、開きっぱなしの別タブ、デスクトップのファイル名(「〇〇氏対応メモ」等)、ブックマークまで映る。会議の様子をスクショしてSNSに載せたら、背景に参加者の名前一覧や資料が写り込んでいた——誰にでも起こる「うっかり」の代表例。
リスク
通知に表示された人名や用件、ファイル名に含まれる人物名・案件名は、それ自体が機微情報になり得る。「あの人と揉めているのか」「あの件が動いているのか」と、断片から多くが推測される。参加者一覧の流出は「誰がこの活動に関わっているか」の開示になる。録画されている会議では、映り込みが記録として永久に残る。一瞬の露出でも、見た人の記憶とスクショには残り続ける。
防ぎ方
①画面共有は「画面全体」ではなく「特定のウィンドウ(そのファイルだけ)」を選ぶ。これを習慣にするだけで大半は防げる。②共有前に通知をオフにする(Windowsの集中モード、Macのおやすみモード。プレゼン中に自動でオンになる設定もある)。③ファイル名に人名や機微な案件名を含めない命名習慣をつける。④会議のスクショや録画を公開するときは、映り込み(名前一覧、チャット欄、背景)を必ず確認し、必要ならぼかす。
30. オンライン会議URLの公開掲載
入り口
参加者を広く集めたい一心で、ZoomやTeamsの会議URL(パスコード込み)をSNSや誰でも見られるWebページにそのまま掲載する。URLさえ知っていれば誰でも入室できる設定のままだと、案内は善意の参加希望者だけでなく、会議を荒らして回る愉快犯にも届く。公開されたURLに乱入し、差別的な画像や大音量の音声を流す迷惑行為(いわゆる会議爆撃)は実際に各地で起きている。
リスク
研究会の最中に不適切な画像・音声が流され、会は中断する。参加者、特に初参加の人や来賓に不快な思いをさせ、「あの会は運営が甘い」という印象を残す。荒らし目的の人物が静かに潜り込み、内部の議論を録画・流出させる可能性もある。講師を招いた回なら講師への信頼問題にもなる。対応に手間取れば、その回の内容自体が成立しなくなり、準備してきた時間が失われる。
防ぎ方
①会議URLの公開掲載をやめ、「申込フォーム→登録者にだけURLを送付」の二段階にする。手間は増えるが、これが最も効く。②待機室(入室承認)を有効にし、知らない名前は確認してから入室させる。③画面共有の権限は既定で「ホストのみ」にし、必要な人にだけその場で許可する。④荒らしが入った場合に備え、「参加者の削除」の操作を共同ホストと事前に確認しておく。⑤パスコードはURLとは別の経路で伝えると、さらに固い。
31. 紙資料・ホワイトボードの映り込みと廃棄
入り口
会議の記念写真の背景に、ホワイトボードの議論メモや配布資料の名簿がくっきり写っている。机の上の資料が、SNS投稿の隅に読める解像度で入り込む。あるいは、終わった会議の資料や古い名簿を、シュレッダーにかけずそのままゴミに出す——紙は「デジタルではないから安心」という思い込みの死角になりやすい。スマホカメラの高解像度化で、映り込みからの判読は年々容易になっている。
リスク
ホワイトボードに書かれた「次回の交渉方針」「個別の会員対応」といった内部情報が、写真1枚から外部に伝わる。ゴミとして出された名簿や資料は、持ち去られればそのまま個人情報の流出になる。行政や医師会など協働相手との調整中のやり取りが漏れれば、相手方にも迷惑をかけ、信頼関係に関わる。紙由来の漏えいは経路の特定が難しく、気づいたときには広がっている。
防ぎ方
①写真を撮る前・投稿する前に「背景に文字情報がないか」を確認する習慣を。会議写真はホワイトボードを消してから、資料を伏せてから撮る。②機密度の高い会議では、撮影のタイミングを進行側が指定する。③個人情報・内部資料を含む紙はシュレッダーか溶解処理で廃棄する。家庭用シュレッダーでも十分。④「とりあえず保管」の古い名簿・資料は定期的に整理し、廃棄基準(保存年限)を決めておく。
32. 公共の場での作業・会話(のぞき見・立ち聞き)
入り口
新幹線や飛行機の隣席、カフェの隣のテーブル——移動の多い活動では、公共の場でPCを開き、電話で打ち合わせる機会が多い。画面は思っている以上に周囲から見えており(ショルダーハック)、通話の声は数席先まで届く。「〇〇市の担当課がね」「あの先生が反対していて」——固有名詞入りの会話は、たまたま隣に居合わせた関係者や記者に、文脈ごと聞かれている可能性がある。世間は意外と狭い。
リスク
調整中の案件、未公表の方針、個人への評価が、意図しない相手に漏れる。聞いた側に悪意がなくても「あの団体の人が電車でこんな話を」と広まれば、脇の甘い組織という評判になる。画面ののぞき見からは、資料の中身だけでなく入力中のパスワードまで盗まれ得る。悪意ある相手なら、聞こえた断片を交渉や攻撃の材料に使う。漏れたことに本人が気づけないのが、この経路の怖さ。
防ぎ方
①機微な内容の作業・通話は「移動中はしない」と決めるのが一番確実。折り返しは降車後に。②公共の場でPCを開くなら、のぞき見防止フィルターを貼る(数千円で買える即効性の高い対策)。③電話では固有名詞を避け、「例の件」「先方」など、聞かれても特定できない言い方にする。④離席時はPCを閉じるかロックする(Windowsキー+L)。トイレの数分が危ない。⑤壁を背にした席を選ぶだけでも、のぞき見のリスクは減る。
33. 変更履歴・コメント・プロパティの消し忘れ
入り口
Wordで作った要望書の下書きを、変更履歴とコメントが残ったまま先方に送る。「この表現は強すぎるか?」という内部コメント、削除したはずの一文、作成者名や前任者の名前がファイルのプロパティに残る。PDFに変換しても、設定によっては作成者情報が引き継がれる。パワポの非表示スライドやExcelの非表示シートも、ファイルごと渡せば相手には見える。見た目に見えない情報が、ファイルには大量に含まれている。
リスク
「表に出すつもりのなかった本音」——交渉の想定ライン、内部の異論、個人への評価——がそのまま相手に届く。要望書なら、交渉の手の内を最初から全部見せることになる。第三者の名前が作成者情報に残っていれば、その人まで巻き込む。相手が指摘してくれるとは限らず、黙って読まれ、こちらだけが気づいていないという最悪の形で影響が続くこともある。
防ぎ方
①外部に出すWord・Excel・PowerPointは、送信前に「ドキュメント検査」(ファイル→情報→問題のチェック→ドキュメント検査)を実行し、コメント・変更履歴・プロパティを一括削除する。この機能を知るだけで事故は激減する。②変更履歴は「承諾/元に戻す」ですべて処理する。表示を消しただけの状態で送らない。③最終版はPDFにして送るのを基本にし、PDFのプロパティも確認する。④非表示シート・非表示スライドに機微情報を置かない。
34. スマホ・PCの紛失と画面ロックなし運用
入り口
講演の帰り、懇親会の後、タクシーの座席——疲れた瞬間に端末は置き忘れられる。スマホ1台には、メール、SNS、連絡先、写真、クラウド上の全資料へのアクセスが集約されており、いわば「活動の全部が入った鍵束」。画面ロックをかけていない、あるいは推測されやすいパスコード(生年月日等)だと、拾った人がそのまま中身に到達する。ロック中でも、通知に表示される内容から情報が漏れることもある。
リスク
端末内の名簿・写真・メールが第三者に渡り、個人情報漏えいになる。SNSやメールにログインしたままなら、なりすまし発信も可能になる。決済アプリの不正利用という直接の金銭被害もあり得る。仕事・活動・私生活の全データを同時に失うため、被害の全容把握すら難しい。紛失に気づくのが翌朝なら、対応の初動も遅れる。バックアップがなければ、データそのものも戻らない。
防ぎ方
①画面ロックを必ず設定する(生体認証+6桁以上のパスコード)。これが最初で最大の防壁。②「iPhoneを探す」「デバイスを探す」を有効にしておく。紛失時に位置確認・遠隔ロック・遠隔消去ができる。③ロック画面に通知の内容を表示しない設定にする。④紛失に気づいたら、別端末から位置確認→遠隔ロック→主要アカウントのパスワード変更→必要なら遠隔消去、の順で動く。⑤日頃からクラウドバックアップを有効にしておくと、消去の決断もしやすい。
D. AI利用系
35. AIに機密情報・個人情報を入力する
入り口
「この相談メールへの返事を書いて」と相談者の実名入りメールをそのまま貼り付ける。「知人の写真をイラスト風にして」と顔写真をアップロードする。個別の患者・相談者の事例を、特定できる形のまま要約させる——AIは便利な相談相手に見えるため、人に見せない情報まで気軽に渡してしまいやすい。サービスや設定によっては、入力内容がAIの学習に使われたり、事業者側に保存されたりする場合がある。
リスク
入力した個人情報・相談内容・団体の内部情報が、自分の管理の及ばない外部サーバーに渡る。学習に使われる設定なら、将来の出力に影響する可能性も否定できない。医療に関わる情報なら守秘や個人情報保護の問題に直結し、本人の同意なく第三者に提供した形になり得る。他人の顔写真の無断アップロードは、肖像権・プライバシーの侵害になり得る。一度漏れた情報を後から回収する手段はない。
防ぎ方
①入力の大原則を決める:「その内容を外部の人に見せられないなら、AIにも入れない」。②固有名詞を伏せる・置き換える(Aさん、B市)だけで、目的の多くはそのまま達成できる。③使うサービスの設定を確認し、「入力データを学習に使わない」設定(オプトアウト)があれば有効にする。④他人の顔写真・患者情報・名簿は入力しない。⑤団体としてのAI利用ルール(入れてよい情報の線引き)を一枚にまとめ、共有しておく。
36. AIの回答をそのまま使う①(誤情報・架空文献)
入り口
講演資料や寄稿の準備でAIに「受動喫煙の健康影響について根拠となる論文を挙げて」と頼むと、著者名・雑誌名・年号まで整った文献リストが返ってくる。もっともらしい統計数値や、実在しそうな条文も出てくる。しかしAIは「それらしい文章」を作る仕組みであり、存在しない論文や不正確な数値を、事実と同じ自信満々の口調で出すことがある(ハルシネーション)。正しい出力と誤った出力に、見た目の差はない。
リスク
架空の文献や誤った数値を講演・論文・要望書に使えば、指摘された時点でその資料全体、さらには発表者本人の信頼が崩れる。タバコ対策は科学的根拠が生命線の分野であり、「根拠がでたらめだった」という一度の失敗は、反対する立場からの格好の攻撃材料として長く使われ得る。行政に提出した文書に誤りがあれば協働先にも迷惑をかける。訂正と謝罪のコストは、確認のコストの何十倍にもなる。
防ぎ方
①AIの出力は「よくできた下書き」であり、事実確認前の情報は公の場で一切使わないと決める。②文献は必ず原典に当たる。タイトルでPubMedやGoogle Scholarを検索し、実在と内容を確認する。見つからない文献は使わない。③統計は出典(政府統計・論文)を自分で確認し、資料に出典を併記する。④AIに根拠のURLを出させ、リンク先を実際に開いて確かめるのも有効。⑤締切直前ほど確認を省きたくなる。文献確認の時間を最初から工程に組み込む。
37. AIの回答をそのまま使う②(書式・文体)
入り口
AIが出した文章をコピーして、会報の原稿やメール、SNS投稿にそのまま貼り付ける。「**重要**」のようなアスタリスク、見出し記号の#、機械的な箇条書きがそのまま残る。あるいは「〜と言えるでしょう。以下の3点が挙げられます」という、内容は正しいが誰の顔も見えない、いかにもAIらしい文体のまま発信してしまう。読み慣れた人には「AIに書かせて確認もしていない」ことが一目で分かる。
リスク
記号の残留は「そのまま貼り付けた」ことの動かぬ証拠であり、内容以前に「手を抜いた」という印象を与える。長年の実践に基づく発信を身上とする人ほど、「この人の言葉ではない」と気づかれたときの失望は大きい。行政や医師会への文書でこれをやれば、文書の重みそのものが疑われる。誤字より深刻なのは、機械的な文体によって、伝えたい熱意や現場感まで漂白されてしまうこと。読み手は文体から誠実さを読み取っている。
防ぎ方
①AIの出力を使うときは「貼り付けたら必ず全文を音読する」をルールに。記号の残留と不自然な言い回しは、音読でほぼ見つかる。②Markdown記号(#、**、-)は貼り付け先では消えないため、目視で削除する。③文体は自分の言葉に直す。特に書き出しと結び、現場のエピソードは自分で書く。④AIには下書き・構成案・校正を頼み、最終文は自分が書くという分担にすると失敗しにくい。⑤発信前に一晩置いて読み直せれば、なお確実。
38. AI生成のなりすまし(ディープフェイク)
入り口
実在の著名医師や専門家の顔と声をAIで合成し、本人がまったく関与していない発言をさせる偽動画・偽広告が実際に出回っている。本人が話しているようにしか見えない映像が、SNS広告や動画サイトで流れ、視聴者は疑わない。顔・声・発言内容が公開されている専門家・活動家は、合成の素材が揃っているため誰でも標的になり得る。医療・健康分野は商材と結びつけやすく、特に狙われやすいとされる。
リスク
自分の顔と声で、言ってもいない主張——例えば怪しい健康商品の推薦——を「発言」させられる。視聴者が信じて商品を買えば、抗議が来るのは本人のところ。本人が否定しても「動画が本物にしか見えない」ため、火消しには時間がかかる。長年かけて築いた専門家としての信頼が、身に覚えのない動画一本で損なわれる。周囲の医師・研究者仲間が標的になる可能性も、同じようにある。
防ぎ方
①「動画があるから本物」という時代は終わったと、まず認識を更新する。不自然な口元・まばたき・声の平坦さは手がかりになるが、見分けは年々難しくなっている。②自分や知人の偽動画を見つけたら、スクショとURLを保存した上でプラットフォームに通報し、本物の発信経路から速やかに否定声明を出す。③日頃から「公式の発信はここだけ」と明示しておくと、否定の説得力が上がる。④有名人の推薦動画をきっかけにした投資や商品購入は、まず疑い、本人の公式発信を確認する。
39. AIに要望書・意見書を丸投げする
入り口
「〇〇市に提出する受動喫煙対策の要望書を書いて」とAIに頼むと、体裁の整った文書が数秒で出てくる。条例名、統計、先行事例まで盛り込まれ、一見完成度が高い。しかしその条例名は現行のものか、統計は最新か、先行事例は実在するか——AIは古い情報や誤りを平然と混ぜてくる。忙しさから「もっともらしいから大丈夫だろう」と、中身の裏取りをせずに団体名義で提出してしまう。
リスク
誤った条文引用や架空の事例を含む文書が、団体の正式文書として行政に残る。受け取った担当課は当然精査するので誤りは高確率で見つかり、「この団体の文書は確認が要る」という評価が、以後の要望活動全体に響く。丁寧な対話を積み重ねて築いた行政との協働関係が、一通の杜撰な文書で損なわれ得る。訂正と再提出の手間、頭を下げる相手が増えることも含め、失うものが大きい。
防ぎ方
①AIの役割は「構成案と下書き」までと決め、事実(条例名・条文・統計・事例・日付・宛名)はすべて一次資料で確認する。②条例は自治体の例規集、統計は政府統計の原典、事例は当該自治体の公式発表で裏を取る。③宛名・部署名・役職は年度で変わり得るため、提出直前に最新を確認する。④提出前に複数人で読み合わせる工程を必ず挟む。⑤「AIで時短した分を確認に回す」と考えれば、品質と速度は両立する。
40. 自動文字起こしサービスの利用規約
入り口
会議や研究会の議事録作成のため、便利な自動文字起こし・AI議事録ツールを使う。録音データはサービス事業者のサーバーに送られて処理されるが、その音声やテキストがどこに保存され、学習に使われるのかを、利用規約を読まずに使っていることが多い。無料サービスほどデータの利用条件が事業者に有利な傾向がある。参加者は録音されることは知っていても、外部サービスに送られることまでは知らない。
リスク
会議での率直な発言、個人名を含むやり取り、未公表の方針が外部サーバーに保存され、規約によっては学習データとして利用され得る。参加者の同意なく音声(個人の発言)を第三者に提供した形になりかねない。事業者側の漏えい事故に巻き込まれる可能性もある。「議事録のためだけの録音」のつもりが、発言の永続的な社外保存になっていた——と後から分かっても、削除の確認は難しい。
防ぎ方
①使う前に規約と設定で3点を確認する:「データは学習に使われるか(オプトアウトできるか)」「保存期間と削除方法」「保存場所と管理体制」。②会議の冒頭で「このツールで文字起こしする」ことを参加者に伝え、了承を得る。機微な議題の回では使わない判断も。③文字起こしが済んだら、不要になった音声データをサービス上からも削除する。④団体で使うツールを一つに決めて設定を統一すると、個々の判断のばらつきを防げる。
41. AI生成物の著作権・利用規約の見落とし
入り口
AIで作ったイラストを会報の表紙に、生成した文章をパンフレットに使う。「AIが作ったのだから自由に使える」と思いがちだが、話はそう単純ではない。生成物が既存の作品に酷似してしまう場合があり、それを使えば結果的に他人の著作権を侵害し得る。また、サービスごとに商用利用の可否や表示義務など利用規約が異なる。生成AIと著作権の関係は法的な議論が続いている途上の分野で、確立した「安全圏」はまだ狭い。
リスク
生成画像が既存のキャラクターや特定作家の作品に酷似していた場合、権利者から使用停止や損害賠償を求められる可能性がある。「AIが作ったので知らなかった」は通用しにくい。規約違反(商用利用不可のプランでの利用等)は、アカウント停止や紛争の原因になる。教材やポスターとして配布した後に問題が発覚すれば、回収・差し替えの負担は大きく、団体の管理能力への疑問にもつながる。
防ぎ方
①使用するAIサービスの規約で「商用利用の可否」「クレジット表示の要否」を確認してから使う。②生成物が既存作品に似ていないか、公開前に画像検索(Googleレンズ等)で確認する。③「〇〇(作家名)風に」「あのキャラクターっぽく」という指示は、係争リスクを高めるためしない。④重要な印刷物・公式素材には、出所の確かな素材(公的機関の広報素材、規約の明確なストック素材)を優先する。⑤生成に使ったサービス名と日付を記録しておくと、後の説明に役立つ。
42. 怪しい無料AIサービスへの安易な登録
入り口
「完全無料で文字起こし」「登録なしで画像生成」「LINEで使えるAI」——SNS広告や検索で見つけた無名のAIサービスに、気軽にメールアドレスで登録し、ファイルをアップロードする。運営者が誰か、データがどこの国のサーバーに送られるかも分からないまま使う。中には、集めたデータや連絡先の収集自体が目的のサービス、有名AIの名を騙る偽アプリ、マルウェアを配布する偽サイトも紛れている。「無料」の対価は自分のデータ。
リスク
アップロードした音声・文書・写真が、管理の不透明な事業者に渡り、転用されても気づけない。登録したアドレスに詐欺メールが届くようになる。偽アプリならスマホの連絡先・写真へのアクセス権を奪われる。カード登録を求める偽サービスでは金銭被害も起きる。団体の資料を上げていれば被害は個人にとどまらない。サービスが突然消えれば、データの削除を求める相手すらいなくなる。
防ぎ方
①AIサービスは、運営会社が明記され、利用規約とプライバシーポリシーが確認できる大手・実績のあるものに絞る。②新しいサービスを試すときは、まず「漏れても困らないデータ」だけで挙動を確かめ、本番のデータは信頼を確認してから。③アプリは公式ストアから、開発元名を確認して入れる。④「有名AIの新機能」を名乗る広告からはインストールせず、公式サイトから辿る。⑤団体で使うツールは独断で導入せず、一度共有・相談する。
E. 知的財産・法律・発信系
43. 著作権侵害(図表・スライドの無断転載)
入り口
講演スライドを作るとき、論文の図表、他の講師のスライドの1枚、Webサイトのグラフやイラストを「分かりやすいから」とコピーして貼る。「営利目的ではない」「啓発のためだから」「出典さえ書けば自由」——こうした思い込みで、許諾を取らないまま使い続けてしまう。実際には、教育・啓発目的でも著作権の制限が自動的に外れるわけではなく、市民講座や学会発表でも原則として権利者の許諾が必要な場面が多い。
リスク
権利者からの抗議、使用料の請求、損害賠償請求に発展し得る。著作権侵害は法律上、刑事罰の対象にもなり得る。「善意の啓発活動が他人の権利を踏んでいた」という事実は活動の正当性を掘り崩し、反対する立場からの攻撃材料にもなる。主催者(医師会・行政)に迷惑が及べば、講演の機会そのものを失うことも。長く使い回してきたスライドほど、問題箇所が累積している。
防ぎ方
①原則は三択:「許諾を取る」「引用の要件を満たす」「利用が認められた素材を使う」。②引用の要件:公表された著作物を、自分の論述が主・引用が従の関係で、必要な範囲だけ、出所を明示し、改変せずに使う。図表の「飾り使い」は引用にならない。③国や自治体の公表資料は、利用条件(出典明記等)を確認の上で活用できるものが多い。④手持ちのスライドを一度棚卸しし、出所不明の素材は差し替える。⑤迷ったら権利者に許諾を求める。快諾されることも多い。
44. フリー素材・ネット画像の誤用
入り口
スライドや会報に使う画像を、Google画像検索で探して保存し、そのまま使う。「ネットに落ちていた=自由に使える」ではないのに、検索結果は権利の有無を区別せず表示する。また「フリー素材」と書かれたサイトの中にも、商用不可・クレジット必須・改変不可など条件付きのものや、他人の著作物を無断で「フリー」と称して配布する悪質なサイトも存在する。「フリー」の一語を、確認せずに信じるのが入り口。
リスク
権利者やその代理人から、使用料や損害賠償を請求される。画像1枚について数万〜数十万円を請求された例も報じられており、Webに掲載していた期間を遡って請求されることもある。「無断で拾った画像を使う団体」という事実は、法令順守を求める立場の活動団体にとって二重に痛い。会報やサイトの差し替え・回収の手間も発生する。写っている人の肖像権が絡めば、さらに複雑になる。
防ぎ方
①画像は「入手元と利用条件が確認できるもの」だけ使う。利用規約の明確な大手素材サイト、公的機関の広報素材、自分で撮影した写真を基本に。②素材サイトでも、その画像のライセンス(商用可否・クレジット・改変)を都度確認し、条件を守る。③Google画像検索から直接保存して使わない。出所ページに遡って権利を確認する。④使った素材の入手元と条件をメモしておくと、後から問われても答えられる。⑤自前の写真ストックを日頃から育てるのが、結局いちばん安全で速い。
45. 新聞記事・テレビ画面の転載
入り口
自分たちの活動が新聞に載った嬉しさから、記事全体を撮影してSNSに投稿する。講演スライドに記事の切り抜きを大写しで貼る。テレビ放送の画面を撮ってブログに載せる——「報道は公共のものだから自由に使える」という誤解は根強いが、新聞記事もテレビ映像も報道機関の著作物であり、無断転載は原則として著作権侵害にあたる。「自分が取材された記事だから」も、著作権が自分に移る理由にはならない。
リスク
新聞社・放送局は無断転載への対応方針を公表しており、削除要請や使用料の請求を受け得る。新聞社が無断利用に対して法的措置や請求を行った事例も報じられている。活動の広報のつもりの投稿が、権利侵害の証拠として残る。行政・医師会と協働する団体が報道機関とトラブルになれば、以後の取材や報道での扱いにも影響しかねない。せっかくの好意的な記事が、トラブルの種に変わる。
防ぎ方
①記事を使いたいときは、新聞社の転載許諾窓口に申請する(各社にあり、会報等なら現実的な料金のことも多い)。②SNSでは記事の写真を上げる代わりに「〇月〇日の△△新聞に掲載されました」と文字で報告し、記事の公式ページへのリンクを貼る(リンク自体は原則問題ない)。③講演では「見出し・日付の紹介+自分の言葉での要約」に留める。④取材を受けた時点で「掲載後、会報やSNSでどこまで使ってよいか」を記者に確認しておくとスムーズ。
46. 音楽・BGMの無断使用
入り口
啓発動画に市販の楽曲をBGMとしてつける。イベントの休憩時間に手持ちのCDやサブスクの音楽を流す。動画サイトで見つけた「フリーBGM」を条件を確認せず使う——音楽は「ちょっと流すだけ」の感覚で使われやすいが、演奏権・複製権など複数の権利が関わり、催しでの再生や動画への使用には多くの場合、権利処理(JASRAC等への手続きや使用料)が必要になる。サブスク契約は、個人で聴く範囲の契約にすぎない。
リスク
権利者・管理団体から使用料の請求を受けたり、動画の削除・収益化停止(YouTubeでは自動検出される)になったりする。イベント主催者としての管理責任を問われ、会場や共催者(行政・医師会)にも迷惑をかける。「細かいことを気にしない団体」という評判は、コンプライアンスを重んじる協働相手ほど敏感に受け止める。動画が削除されれば、制作の労力と積み上がった再生数・共有も失われる。
防ぎ方
①動画のBGMは利用条件が明確な音源だけ使う:規約を明示したフリーBGMサイト、YouTubeオーディオライブラリ、買い切りライセンス音源など。「フリー」表記でも商用可否とクレジット要否を必ず確認。②イベントで市販曲を流す場合は、会場や主催形態によって手続きが異なるため、JASRACのサイトで催物での利用手続きを確認するか、会場側に相談する。③迷ったら「音楽なし」か「権利処理不要の音源」に切り替える。演出より安全を優先する。
47. 自分のスライド・成果物を守る
入り口
講演で配布したスライドが、いつの間にか他人の講演で「その人の資料」として使われている。Webに公開したチェックリストや教材が、出典表記なしに転載されている——長年かけて磨いた方法論や資料ほど、黙って使われやすい。配布時に利用条件を何も書いていないと、相手は「配られたのだから自由に使ってよい」と善意で誤解することも多く、悪意と善意の無断利用が混在するのがこの問題の特徴。
リスク
成果の帰属が曖昧になり、「最初に作った人」としての実績と信用が正当に評価されなくなる。誤った改変つきで広まれば、間違った内容が自分の名前と共に流通する。指摘してもこじれれば人間関係の紛争になり、対応のエネルギーも消耗する。方法論が広まること自体は望むところでも、「出所が消えた普及」は、活動の継続に必要な評価と機会を、作り手から静かに奪っていく。
防ぎ方
①すべての配布物・公開物に、著作権表記と利用条件を明記する:「© 氏名・団体名/出典明記の上での非営利利用は歓迎。改変・再配布はご一報ください」など、普及を歓迎する条件設計もできる(クリエイティブ・コモンズ・ライセンスの活用も有効)。②スライドは各ページにも小さく名前を入れる。1枚だけ抜き出されても出所が残る。③無断利用を見つけたら、感情的にならず「出典を明記してほしい」と事実ベースで連絡する。多くはこれで解決する。④公開日時が記録に残る形(Web掲載等)で発表しておくと、先後の証明になる。
48. 他人の投稿の転載・スクショ拡散
入り口
タバコ問題をめぐる不見識な投稿や反対する立場の発言を見つけ、「これはひどい」とスクショを撮り、批判コメント付きで拡散する。相手の投稿を長々と引用して反論記事を書く——批判や論評自体は正当な活動だが、スクショ転載は相手の著作物の複製にあたり得るし、書き方によっては名誉毀損・侮辱の問題も生じる。「公開されている投稿だから何をしてもよい」わけではない、という線引きが見落とされやすい。
リスク
引用の要件を満たさない転載は、著作権侵害を主張され得る。人格攻撃を伴う批判は、たとえ相手の主張が誤っていても法的責任を問われる可能性がある(真実性や公益性が争点になるが、係争になること自体が大きな負担)。「晒し」の形をとった批判は中立的な読者には攻撃的に映り、かえって相手に同情が集まることもある。訴訟や開示請求の応酬になれば、時間も費用も活動から奪われる。
防ぎ方
①批判は「発言の内容」に限定し、人格・容姿・所属への攻撃は書かない。これが法的にも戦略的にも最重要。②引用するなら要件を守る:自分の論評が主で引用は必要最小限、出所を明示し、改変しない。全文スクショの転載は主従関係を満たしにくい。③プラットフォーム公式のリポスト・引用機能を使えば、規約の範囲内となり安全側。④誤りの指摘は、データと一次資料へのリンクで淡々と。⑤投稿前に「相手ではなく第三者がどう読むか」で見直す。
49. 講演の録音・録画・無断公開(する側/される側)
入り口
【される側】自分の講演が、主催者への確認なく参加者に録画され、切り取られてSNSに上がる。質疑応答での踏み込んだ発言だけが文脈を外して拡散される。【する側】他の講師の講演を「勉強のため」と録音し、良かれと思って仲間のグループに共有する——講演は講演者の著作物であり、無断の録音・録画・公開は権利侵害になり得る。「その場で聞く」ことと「記録して配る」ことの間には、大きな線がある。
リスク
される側:会場限定のつもりの率直な発言(行政との調整の経緯、個別事例への言及)が公開され、関係者に迷惑が及ぶ。切り取りにより、真意と逆の主張として拡散されることもある。する側:講演者・主催者との信頼を失い、著作権等の侵害を問われ得る。「あの人に話すと録音されて出回る」という評判は講師のネットワークで共有され、以後、率直な情報交換の輪から外されていく。
防ぎ方
【講師として】①冒頭に録音・録画・撮影・SNS投稿の可否を明示する(「撮影はこのスライドのみ可」といったルール提示は広く行われている)。②主催者と事前に記録・公開の範囲を確認し、開催案内に明記してもらう。③「ここだけの話」も記録され得る前提で、話す内容を選ぶ。【参加者として】④録音・録画は必ず事前に講演者・主催者の許可を取る。⑤共有したい内容は、自分のメモ・感想として自分の言葉で発信する。
50. 共同制作物の権利の取り決め不足
入り口
団体の仲間と一緒に作った教材、複数人で改良を重ねた講演スライド、会員がボランティアで作ったロゴやWebサイト——「みんなで作ったもの」は、誰に権利があるのかを決めないまま使われ続ける。全員が円満なうちは問題にならないが、メンバーの退会、団体の分裂、方針対立が起きた瞬間、「あれは私が作った。使うな」「いや団体のものだ」という争いが表面化する。共同著作物は原則、権利者全員の合意がないと自由に利用できない。
リスク
中心メンバーの退会と同時に、主力の教材が使えなくなる。ロゴやサイトの制作者と関係がこじれ、団体の顔となる素材を差し替える羽目になる。権利の所在が曖昧なまま外部に提供していれば、その先にも影響が波及する。法的な決着には時間と費用がかかり、結果にかかわらず人間関係は壊れる。「善意の共同作業」だったものほど、取り決めの不在が後で高くつく。
防ぎ方
①これから作るものは、着手時に一枚のメモでよいので合意を残す:「この教材の著作権は団体に帰属する」「制作者名を表示する」「退会後も団体は継続利用できる」など。②外部やボランティアへの制作依頼も、簡単な依頼書で権利の帰属と利用範囲を明記する。③既にある主要な成果物(教材・ロゴ・サイト)についても、関係が良好な今のうちに帰属を確認し、文書にしておく。④「言いにくいから後で」が最も危険。円満な時こそ決めどき。
今日からできる基本のセキュリティ対策10
個別のテーマを覚えきれなくても、この10項目を守れば大半の被害は防げます。
1. パスワードは長く・使い回さない
主要サービスは固有の長いパスワードに。管理はパスワード管理ツールに任せる。
2. 二段階認証をすべてでオンに
メール・SNS・クラウド・銀行から順に設定。SMSより認証アプリが強い。
3. 更新（アップデート）はすぐ適用
OS・アプリ・ブラウザの更新を放置しない。古い欠陥が侵入口になる。
4. 送信前の指さし確認
宛先・添付・CC/BCCを見てから送る。一斉送信は「To自分・全員BCC」が鉄則。
5. リンクは踏まず、公式から
メール・SMS内のリンクでログインしない。ブックマークと公式アプリを使う。
6. 公開範囲と位置情報を見直す
カメラの位置情報記録はオフ。顔・名札・背景の写り込みを確認して投稿。
7. AIに秘密を入れない
外部の人に見せられない情報はAIにも入れない。固有名詞は伏せて使う。
8. AIの出力は必ず確認して使う
文献・数値は原典で裏取り。貼り付けたら全文を音読し、記号と文体を直す。
9. 他人の作品は許諾か引用の要件で
「啓発目的なら自由」ではない。素材は入手元と利用条件が確認できるものだけ。
10. 迷ったら一人で判断しない
送金・登録・削除の前に立ち止まって相談。おかしいと思ったら公的窓口へ。
