2026年5月、静岡県牧之原市の市立中学校で、パソコンに表示された偽のセキュリティ警告をきっかけとするサポート詐欺により、学校が管理する口座から約1,000万円が不正送金される事件が発生しました。
牧之原市は2026年8月25日、この事件に関係した60代の女性事務員を戒告処分としたことを公表しています。
この事件を、「サポート詐欺にだまされないよう社員教育を徹底しよう」という話だけで終わらせてはいけません。
中小企業にとって重要なのは、
「一人の社員が判断を誤ったとしても、会社の重要な資産まで失わない仕組みになっているか」
という点です。
今回の事件は、情報セキュリティだけでなく、ネットバンキングの権限管理、認証情報の管理、振込限度額、確認・承認体制など、企業のIT管理と内部統制について考える非常に重要な事例です。
※本記事は2026年8月25日時点で牧之原市および関係機関から公表されている情報をもとに、中小企業のIT管理・情報セキュリティという観点から整理しています。
この記事で最も伝えたいこと
社員へ「気を付けて」と伝えるだけでは、重大な被害を完全には防げません。
人が判断を誤っても、高額送金や重要情報へのアクセスまで一気に進めない仕組みを作ることが重要です。
サポート詐欺で1,000万円が不正送金された経緯
牧之原市の公表によると、事件が発生したのは2026年5月29日です。
相良中学校の事務室で職員がパソコンを操作していたところ、「Microsoftセキュリティ」を装うエラーメッセージが表示されました。
職員は画面に表示された電話番号へ電話し、電話相手の指示に従って操作した結果、パソコンの遠隔操作を許してしまいました。
さらに、本年度は担当者としての権限を持っていなかったにもかかわらずインターネットバンキングへログインし、学校諸会費の口座から9,999,999円と100円、合計10,000,099円が外部口座へ不正送金されました。
送金手数料を含めた被害額は10,000,235円です。
その後、牧之原市教育委員会は2026年8月25日付で女性事務員を戒告処分とし、校長についても管理監督責任があったとして口頭による厳重注意を行っています。
サポート詐欺とは何か
サポート詐欺では、インターネットを閲覧しているパソコンに突然、次のような偽の警告を表示します。
- 「ウイルスに感染しました」
- 「セキュリティ上の問題が発生しました」
- 「この電話番号へ連絡してください」
実在する企業の名前やロゴが使われることもあり、警告音や全画面表示などによって利用者を焦らせるのが特徴です。
警察庁は、こうした偽警告に表示された電話番号へ連絡すると、遠隔操作ソフトをインストールさせられたり、金銭をだまし取られたりする危険があるとして注意を呼びかけています。
IPA（情報処理推進機構）も、偽の警告画面が表示されただけでパソコンがウイルス感染しているとは限らず、画面に表示された電話番号には電話をしないよう呼びかけています。
問題は「だまされたこと」だけではない
今回の事件を見ると、どうしても、
- なぜ電話をしてしまったのか
- なぜ遠隔操作を許してしまったのか
- なぜネットバンキングへログインしてしまったのか
という個人の行動に注目してしまいます。
もちろん、サポート詐欺に関する知識を社員へ教育することは必要です。
しかし、企業のIT管理という観点では、もう一段深く考える必要があります。
会社として考えるべきこと
仮に社員が偽のサポート窓口へ電話してしまったとしても、その後すぐに会社の口座から1,000万円を動かせる状態になっていてよいのか。
ここが今回の事件から中小企業が学ぶべき最大のポイントです。
「人は間違える」ことを前提に仕組みを作る
情報セキュリティでは、社員一人ひとりの注意力だけに安全を依存させることは危険です。
どれだけ研修を実施しても、人は判断を誤ることがあります。
- 忙しいとき
- 急いでいるとき
- 突然大きな警告音が鳴ったとき
- 「パソコンが壊れる」と不安をあおられたとき
- 「情報が流出する」と言われたとき
- 相手が専門家のように振る舞ったとき
そのような状況でも100％正しい判断ができることを、すべての社員へ求めるのは現実的ではありません。
だからこそ会社側は、
人が間違えても重大事故まで発展しない仕組み
を作る必要があります。
今回、牧之原市自身も再発防止策として、職員へのセキュリティ研修だけではなく、インターネットバンキングへ単独でログインできないよう管理方法を見直すことや、各口座の振込限度額を設定することなどを進めています。
教育だけで防ぐ → 人の注意力へ依存する
教育＋権限管理＋承認＋限度額 → 一つのミスだけでは重大事故になりにくい
中小企業が確認したい7つのサポート詐欺対策
今回の事件を自社に置き換えると、経営者や管理者は少なくとも次の7点を確認しておく必要があります。
1．ネットバンキングを利用できる人を明確にする
「経理担当だから」「以前担当していたから」といった曖昧な状態ではなく、現在誰にどの権限があるのかを明確にします。
社員の異動、担当変更、退職などが発生した場合には、業務の引き継ぎだけでなくアカウントや権限も見直します。
2．利用者ごとに認証情報を分ける
複数人が同じID・パスワードを使い回す運用は、できるだけ避けるべきです。
利用者ごとにアカウントを分けることで、誰がどの操作を行ったのか確認しやすくなり、不要になった人のアクセス権だけを停止することもできます。
3．パスワードや認証情報を適切に管理する
重要なパスワードや認証情報を、Excel、付箋、メール、共有フォルダーなどへ無制限に保存・共有する運用は見直した方がよいでしょう。
1Passwordなどの法人利用に対応したパスワードマネージャーを利用し、必要な人だけが必要な認証情報へアクセスできる状態を作る方法があります。
パスワードだけでなく、パソコンやクラウドサービスなどの管理情報を整理する考え方については、IT資産管理とは？中小企業がパソコン・ソフト・アカウントを整理すべき理由も参考にしてください。
4．振込限度額を必要最小限にする
通常の支払いが数十万円程度なのに、1日1,000万円以上を送金できる設定にしておく必要があるのかは確認すべきです。
会社の通常業務に合わせて振込限度額を設定しておけば、仮に認証情報が悪用された場合でも被害額を抑えられる可能性があります。
ただし、必要な振込額や金融機関の設定方法は会社ごとに異なるため、実際の業務と照らし合わせて決める必要があります。
5．高額送金は一人で完結させない
一定額を超える振込については、一人の担当者だけで入力から実行まで完了できないようにする方法があります。
例えば、
高額送金の役割分担例
担当者が振込内容を作成 → 責任者が内容を確認 → 責任者が承認
という形です。
金融機関によっては、振込データの作成者と承認者を分けられる法人向け機能が用意されています。
6．警告画面が出たときの社内ルールを決める
社員がサポート詐欺を知らなかったとしても、会社として次のルールが決まっていれば被害を防げる可能性があります。
- 画面に表示された電話番号には電話しない
- 警告画面の指示だけでソフトをインストールしない
- 遠隔操作を勝手に許可しない
- 分からなければ社内担当者へ連絡する
- 契約しているIT会社へ確認する
- 警告が表示された状態でネットバンキングを操作しない
重要なのは、社員自身に「これは本物か偽物か」を完全に判定させることではありません。
判断できなければ操作を止め、確認できる人へ相談するというルールを作ることです。
7．遠隔操作を許してしまった場合の初動を決める
もし不審な相手へ遠隔操作を許可してしまった場合には、それ以上の操作を続けず、ネットワークから切断したうえでIT管理者などへ連絡します。
状況によっては、次の対応も必要になります。
- 金融機関への連絡
- パスワードの変更
- 不正な遠隔操作ソフトの確認
- 端末のセキュリティ調査
- 他のアカウントへの影響確認
- 警察への相談
重要なのは、被害が発生してから初めて対応方法を考えないことです。
7つの対策を整理すると
| 対策 | 主な目的 |
|---|---|
| 利用者・権限の明確化 | 不要な人が重要業務へアクセスすることを防ぐ |
| 利用者ごとのID管理 | 共有アカウントを減らし、操作主体を明確にする |
| 認証情報の適切な管理 | パスワードの漏えい・無制限な共有を防ぐ |
| 振込限度額の設定 | 万一の場合の被害額を抑える |
| 高額送金の複数人承認 | 一人の判断だけで重大な送金を成立させない |
| 警告画面発生時のルール | 社員が迷ったときに独断で操作しないようにする |
| 事故発生時の初動 | 被害拡大を防ぎ、速やかに復旧へ移る |
「ウイルス対策ソフトを入れているから大丈夫」ではない
サポート詐欺について、もう一つ注意したい点があります。
今回のような事件は、必ずしもパソコンが実際にウイルスへ感染したことから始まるわけではありません。
偽のセキュリティ警告を表示し、利用者自身に電話や遠隔操作をさせることによって攻撃を進める手口があります。
つまり、
「ウイルス対策ソフトを導入しているからサポート詐欺も防げる」
とは限りません。
技術的なセキュリティ対策だけでなく、社員の行動、権限管理、業務ルールを組み合わせる必要があります。
AIを悪用した攻撃など、今後の企業セキュリティ全体については、The Defender’s Windowとは？AI時代のサイバー攻撃と企業が今取るべき防御策でも解説しています。
ネットバンキングを使うPCの運用も見直したい
会社の資金を扱うネットバンキングを、日常的なWeb閲覧やメール確認と同じ感覚で利用している企業もあるでしょう。
しかし、ネットバンキングで数百万円、数千万円を動かせるのであれば、そのパソコンは会社にとって非常に重要な端末です。
ネットバンキングを利用する端末では、例えば次のような対策を検討できます。
- 不要なソフトをインストールしない
- 管理者権限を安易に利用しない
- Windowsやブラウザを最新の状態にする
- 遠隔操作ソフトを勝手にインストールしない
- 不要なWeb閲覧を減らす
- 重要業務を行う担当者を限定する
会社の規模や業務によっては、ネットバンキング専用または重要業務専用の端末を用意する方法もあります。
重要なのは製品数ではない
「セキュリティ製品を何個入れているか」ではなく、重要な業務ほど事故が起きにくい運用になっているかを確認することが重要です。
金融機関が補償してくれるとは限らない
今回の事件では、牧之原市の説明によると、被害口座の金融機関から、ログイン情報やパスワードなどが入力されたうえで送金されており、送金手続き自体には問題がないため、金融機関側の補償対象ではないとの見解が示されています。
結果として今回の事案では別の補償制度が適用されていますが、一般企業で同じような被害が発生した場合に、必ず金融機関や保険から全額補償されるとは限りません。
「被害に遭ったら銀行が何とかしてくれる」ことを前提にせず、不正送金まで到達させない仕組みを作ることが重要です。
経営者が確認すべきなのは「社員は知っているか」だけではない
サポート詐欺対策について経営者が社員へ、
「怪しい警告が出ても電話しないように」
と伝えることは必要です。
しかし、それだけで対策を終えてはいけません。
経営者が次に確認すべきなのは、
「もし誰かが電話してしまったら、どこまで被害が広がるのか」
ということです。
遠隔操作を許してしまっても、重要システムへ自由にアクセスできない。
ネットバンキングへログインできても、高額送金は一人では実行できない。
認証情報を知っていても、その人に不要な権限は与えられていない。
こうした複数の防御があれば、一つのミスが会社全体の重大事故へ直結する可能性を下げられます。
IT管理は「社員を信用するかどうか」の問題ではない
権限を制限したり、承認手続きを増やしたりすると、
「社員を信用していないように感じる」
という意見が出ることがあります。
しかし、IT管理や内部統制は社員を疑うためのものではありません。
社員自身を守るためにも必要です。
社員が詐欺の被害者になった場合でも、大きな損失につながれば、その社員は精神的にも職務上も大きな負担を抱えることになります。
最初から一人では高額送金できない仕組みになっていれば、被害額だけでなく、社員個人が負う責任や心理的負担も大きく変わります。
仕組みで守る対象
会社を守る。
会社のお金を守る。
顧客情報を守る。
そして、判断を誤る可能性がある社員自身も守る。
中小企業こそ「仕組み」で守る
中小企業では、
- 「経理は○○さんに任せている」
- 「パソコンのことは詳しい社員に任せている」
- 「社長と経理担当者だけだから大丈夫」
- 「今まで問題が起きたことがないから大丈夫」
という運用になりがちです。
しかし人数が少ない会社ほど、一人に権限や情報が集中しやすく、一度の判断ミスが会社全体へ影響する可能性があります。
だからといって、大企業のような複雑なシステムを導入する必要があるわけではありません。
- 振込限度額を見直す
- 利用者を整理する
- 不要な権限を削除する
- パスワードを適切に管理する
- 高額送金だけは二人で確認する
- 警告画面が表示された場合の連絡先を決める
こうした比較的小さな仕組みでも、大きな事故を防ぐ防御になります。
社内に専任のIT担当者がいない場合のIT管理体制については、IT担当者がいない中小企業でも安心｜日々のIT管理を任せられる体制づくりも参考にしてください。
自社で一度確認してほしいチェックリスト
今回の事件をきっかけに、自社について次の項目を確認してみてください。
- ネットバンキングを利用できる社員を把握しているか
- 担当変更後も古い権限が残っていないか
- ID・パスワードを複数人で使い回していないか
- ネットバンキングの振込限度額は適切か
- 高額送金を一人だけで実行できないようにできるか
- 重要なパスワードの保管場所が決まっているか
- 誰がどの認証情報へアクセスできるか把握しているか
- 警告画面が出た場合の連絡先を社員が知っているか
- 勝手に遠隔操作ソフトを導入しないルールがあるか
- 事故発生時の連絡先と初動が決まっているか
一つでも「分からない」がある場合は、現在のIT管理方法を一度整理する価値があります。
まとめ｜中小企業のサポート詐欺対策は「注意」だけで終わらせない
今回の約1,000万円のサポート詐欺被害から中小企業が学ぶべきことは、
「社員教育をもっと徹底しよう」だけではありません。
社員教育は必要です。
しかし、人の注意力には限界があります。
だからこそ、
中小企業に必要な考え方
誰かが間違えても、一つの判断ミスだけでは会社の重要な資産を失わない仕組みを作る。
これが重要です。
サポート詐欺への対策をきっかけに、自社のネットバンキング、アカウント、パスワード、権限、承認ルールを一度確認してみてはいかがでしょうか。
情報セキュリティは、セキュリティソフトを導入して終わりではありません。
パソコン・アカウント・人・業務ルールを一体として管理することが、中小企業のIT管理には求められています。
よくある質問
Q1．サポート詐欺はウイルス対策ソフトを入れていれば防げますか？
必ず防げるとは限りません。サポート詐欺では、実際のウイルス感染ではなく偽の警告画面を表示し、利用者自身に電話や遠隔操作をさせる手口があります。セキュリティ製品だけでなく、警告画面が表示された際の社内ルールも必要です。
Q2．偽の警告画面に表示された電話番号へ電話してしまったらどうすればよいですか？
それ以上相手の指示に従わず、社内のIT担当者や契約しているIT事業者へ連絡してください。遠隔操作を許可している場合には、ネットワークから切断するなど被害拡大を防ぐ対応が必要になることがあります。
Q3．遠隔操作されたパソコンでネットバンキングを開いてしまった場合はどうすればよいですか？
速やかに金融機関へ連絡するとともに、該当パソコンをネットワークから切断し、IT管理者へ確認を依頼してください。状況によってはパスワード変更や端末調査、警察への相談なども必要になります。
Q4．中小企業でも高額振込を複数人承認にした方がよいですか？
会社の取引金額や人員体制によりますが、一人の操作だけで非常に高額な送金が完了する状態にはリスクがあります。一定金額以上だけ承認者を分けるなど、業務負担と安全性のバランスを考えて設計する方法があります。
Q5．ネットバンキング専用パソコンを用意した方がよいですか？
すべての企業に必須というわけではありません。送金額、利用頻度、現在の端末管理、従業員数などによって判断します。重要なのは、ネットバンキングを利用する端末で不要なWeb閲覧やソフト導入を減らし、重要業務として管理することです。
Q6．社員教育とシステム対策ではどちらを優先すべきですか？
どちらか一方ではなく、両方が必要です。社員教育によって詐欺に気づく可能性を高め、そのうえで権限管理、振込限度額、複数人承認などによって、判断を誤った場合にも被害が拡大しにくい仕組みを作ることが重要です。
あわせて読みたい記事
企業のセキュリティ・IT管理を見直す
参考情報
会社のセキュリティ対策を「社員任せ」にしたくない企業様へ
サポート詐欺への対策では、社員へ注意を呼びかけるだけでなく、アカウント、パスワード、権限、パソコン、ネットワーク、業務ルールをまとめて確認することが重要です。
株式会社ITAでは、中小企業の現在のIT環境を確認したうえで、必要以上に複雑な仕組みにせず、実際の会社規模や業務に合わせてIT管理方法を整理します。
例えば、次のような場合にご相談いただけます。
- ネットバンキングの利用者や権限を一度確認したい
- 会社のパスワード管理方法に不安がある
- 特定の社員だけに重要なIT情報が集中している
- 社員がサポート詐欺に遭った場合の対応を決めたい
- 遠隔操作ソフトの利用状況を整理したい
- 重要なパソコンのセキュリティ設定を確認したい
- IT資産やアカウントを一覧化したい
- 社内に専任のIT担当者がいない
セキュリティ対策は、高額な製品を追加することだけではありません。
「人が間違える可能性」を前提として、重大な事故につながりにくい運用を作ること。
現在のIT環境を確認しながら、会社に必要な対策を整理します。
