建設会社の従業員が知るべきサイバー攻撃の基本と5つの対策

「サイバー攻撃は、会社のパソコンを管理している人だけが気をつければよい」。そう考えていませんか。建設会社では、現場監督、事務担当者、営業担当者、協力会社との連絡を担当する従業員など、さまざまな人がスマートフォンやパソコンで業務情報を扱っています。

不審なメールを開く、偽のログイン画面にパスワードを入力する、図面を誤った相手へ送るといった行動が、情報漏えいや業務停止につながる可能性があります。一方、基本的な注意点を知り、異常を早く報告できれば、被害の防止や拡大防止につながります。

この記事では、建設会社の従業員が知っておきたいサイバー攻撃の基本を、現場と事務所の具体例を交えて解説します。ITの専門知識がなくても実践できる5つの対策と、経営者が取り組みたい従業員教育の進め方を紹介します。

1．なぜ建設会社の従業員にもサイバー対策が必要なのか

建設会社の仕事では、工事図面、見積書、工程表、発注書、取引先情報、現場写真など、多くの情報を扱います。これらの情報は、会社の事務所だけでなく、建設現場や外出先でもスマートフォンやパソコンを使って確認・共有されます。

例えば、現場監督が協力会社から届いたメールを確認したり、事務担当者が請求書を受け取ったりする場面があります。その中に偽のメールや不正なリンクが紛れていれば、普段の業務が攻撃のきっかけになる可能性があります。

重要なのは、従業員全員がITの専門家になることではありません。「不審なものを安易に開かない」「情報を送る前に確認する」「異常を見つけたら報告する」という基本を身につけることです。

2．サイバー攻撃とは何か｜4つの基本

サイバー攻撃とは、パソコンやネットワーク、情報システムなどを狙った不正な行為です。情報を盗む、利用できなくする、勝手に操作するなど、攻撃の目的や手口はさまざまです。

建設会社の従業員が最初に知っておきたいのは、次の4つです。いずれも建設業だけに限った攻撃ではありませんが、日常業務に置き換えて考えることが重要です。

これらは一つずつ独立して起きるとは限りません。例えば、偽メールでパスワードが盗まれ、その情報を使って不正アクセスされる場合もあります。

3．不審メールと偽の請求書に注意する

建設会社には、協力会社や資材会社などから、見積書、請求書、納品書、工程表がメールで届きます。攻撃者がこうした日常的なやり取りを装い、不正なリンクや添付ファイルを送りつける可能性があります。

例えば「請求書を差し替えました」「至急、添付の工事資料をご確認ください」といったメールです。実際の取引先の名前が表示されていても、それだけで安全とは判断できません。

メールを開いたときに確認したいこと

• 差出人のメールアドレスが普段と異なっていないか
• 予定していない添付ファイルが届いていないか
• 不自然に急がせる内容ではないか
• ログイン情報や振込先変更を突然求めていないか
• 文章や送信日時に普段との違いがないか

4．偽ログイン画面とパスワードの危険

クラウド上の図面共有サービスや業務メールを利用するとき、ログイン画面にIDとパスワードを入力します。攻撃者は本物に似せた偽の画面を作り、入力された認証情報を盗もうとすることがあります。

例えば「共有ファイルの確認には再ログインが必要です」というメールから、偽サイトへ誘導されるケースが考えられます。普段と異なるリンクからログインを求められた場合は、安易に入力しないことが重要です。

従業員が守りたいルール

• 会社が認めた正規のアプリやブックマークからログインする
• 同じパスワードを複数のサービスで使い回さない
• パスワードを他人と共有しない
• 多要素認証が利用できる場合は会社の指示に従って設定する
• 不審なログイン通知が届いたら担当者へ報告する

多要素認証を導入していても、不正な認証要求を承認してしまうと危険です。自分でログイン操作をしていないのに認証通知が届いた場合は、承認せず担当者へ連絡してください。

5．現場のスマートフォンとタブレットを守る

建設現場では、スマートフォンやタブレットを使って図面を確認したり、施工写真を撮影したりする機会があります。便利な反面、紛失、盗難、不正なアプリ、古いソフトウェアなどに注意が必要です。

端末の画面ロックや更新設定は基本的な対策です。また、会社が認めていないアプリへ工事情報を保存したり、私物端末へ無断で転送したりしないよう、利用ルールを決めておく必要があります。

私物端末の業務利用を認める場合は、会社として条件や管理方法を決めることが重要です。従業員個人の判断に任せきりにしないようにしましょう。

6．図面・見積書・現場写真の共有ルール

建設会社が扱う図面や見積書には、工事内容、建物の構造、設備、取引条件などの情報が含まれる場合があります。共有先を間違えたり、公開範囲を広く設定したりすると、本来見る必要のない相手へ情報が渡る可能性があります。

特にクラウドの共有リンクは便利ですが、設定によってはリンクを知っている人が閲覧できる場合があります。会社のルールに従い、送信先、閲覧権限、共有期限などを確認することが大切です。

送信前の3点確認

1. 送信先は正しい会社・担当者か
2. 送るファイルは正しい工事の最新版か
3. 共有権限は必要な範囲に限定されているか

7．協力会社とのやり取りで注意すること

建設工事では、元請会社、下請会社、資材会社、設計事務所など、多くの企業が情報をやり取りします。自社の管理だけでなく、取引先から届くメールや共有リンクの安全性にも注意が必要です。

例えば、普段利用している協力会社のメールアカウントが不正利用されれば、本物のアドレスから不審な連絡が届く可能性もあります。そのため、差出人が知っている相手であっても、普段と異なる要求には確認が必要です。

特に確認したい連絡

• 振込先口座の突然の変更
• 共有サービスの急な切り替え
• 予定外のファイルダウンロード依頼
• 認証コードやパスワードの要求
• 機密資料を個人アドレスへ送る依頼

不自然な連絡を受けた場合は、普段から確認できている電話番号などで相手に確認しましょう。確認することは相手を疑うためではなく、双方の情報と取引を守るための行動です。

8．従業員が実践する5つの基本対策

サイバー攻撃への備えは、難しい技術だけではありません。日常業務の中で基本的な行動を続けることが重要です。

IPAが2026年に公開した「中小企業の情報セキュリティ対策ガイドライン第4.0版」では、基本対策として情報セキュリティ6か条が示されています。上の5項目は、建設会社の従業員向けに日常行動を整理したものであり、IPAの6か条をそのまま転載したものではありません。

IPAの6か条には、ソフトウェアの更新、ウイルス対策、パスワード管理、設定の見直し、脅威への備え、バックアップなどが含まれます。バックアップの取得や管理は、従業員の注意だけに任せず、会社として体制を整える必要があります。

参考：IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版」

9．異常を発見したときの初動対応

不審なファイルを開いてしまった、見覚えのないログイン通知が届いた、端末の画面に身代金要求が表示された。このような場合は、従業員だけで原因を判断しようとせず、会社が指定した担当者へ速やかに報告することが重要です。

報告するときは、発見した日時、使用していた端末、起きた内容、直前に行った操作などを分かる範囲で伝えます。担当者は状況に応じて、ネットワークからの隔離や専門家への相談などを判断します。

従業員向けの初動ルール

1. 不審な操作を続けない
2. 指定された担当者へすぐに連絡する
3. 画面表示や発見時刻を記録する
4. 自己判断で端末を初期化しない
5. 担当者や専門家の指示に従う

参考：IPA「中小企業のためのセキュリティインシデント対応手引き」

10．社長が整えたい報告しやすい職場

従業員が不審なメールを開いてしまった場合、報告が遅れると被害の確認や拡大防止が難しくなる可能性があります。そこで経営者は、異常を見つけた従業員が迷わず報告できる仕組みを整えることが重要です。

「不審なメールを開いてしまったら、すぐに報告してください」と伝えるだけでなく、連絡先、報告方法、担当者不在時の代行者を決めておきましょう。報告を受けた際には、事実を確認し、必要な対応へつなげることを優先します。

報告した従業員を一律に責める運用では、問題が表面化しにくくなるおそれがあります。事実確認と再発防止を重視し、相談しやすい職場環境を作りましょう。

11．朝礼でできる5分間の従業員教育

忙しい建設会社では、長時間の研修を頻繁に行うことが難しい場合もあります。そこで、朝礼や定例会議の中で、一つのテーマを短時間で確認する方法が考えられます。

例えば、月に一度、5分程度で「不審メール」「図面共有」「スマートフォンの紛失」「異常時の報告」などを取り上げます。現場と事務所で起こり得る具体例を使うと、従業員が自分の仕事に結びつけて考えやすくなります。

教育を実施したら、日付、参加者、テーマ、質問内容などを簡単に記録しておきましょう。新入社員や中途採用者にも同じ基本ルールを伝える仕組みを作ることが大切です。

12．従業員向け10項目チェックリスト

次の10項目を従業員へ共有し、自分の業務で実践できているか確認してください。未対応の項目は個人の注意だけに任せず、会社として必要なルールや環境を整えましょう。

従業員への確認文

13．まとめ｜今日から守る3つの約束

建設会社のサイバー対策は、IT担当者だけの仕事ではありません。現場で図面を確認する従業員、請求書を処理する事務担当者、協力会社と連絡する現場監督など、一人ひとりの日常業務に関係しています。

すべての攻撃を従業員の注意だけで防ぐことはできません。それでも、不審な連絡を確認する、情報を送る前に見直す、異常を早く報告するという基本行動は、被害の防止や拡大防止につながります。

中小企業向けの基本対策や従業員教育の参考資料は、IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版」で確認できます。

建設会社のサイバーリスクと実務的な対策は、パキラのサイバーリスク情報サイトで紹介しています。

※本記事は2026年10月25日時点で確認できるIPAの公表資料を参考に、建設会社の一般的な業務を想定して作成した情報提供記事です。記事中のメールや業務停止の例は説明用の想定事例であり、特定企業で発生した事故を示すものではありません。具体的な端末操作や事故対応は、会社の管理手順と専門家の指示に従ってください。