情報処理推進機構（IPA）は2026年7月30日、夏休みの長期休暇に備えた情報セキュリティの注意喚起を公表しました。長期休暇はシステム管理者が長期間不在になりやすく、インシデントが発生しても初動対応が遅れ、想定外の事象へと被害が拡大するおそれがあります。
本記事では、社内のシステム担当者が「休暇中に何が起こりえるのか」「起きたらどう動くのか」を、現役エンジニアの視点で分かりやすく整理します。
なぜ夏休みが狙われるのか
攻撃者にとって長期休暇は「監視の空白」ができる絶好のタイミングです。担当者が不在で、ログを見る人も、異常に気づいて止める人もいない。普段なら数分で気づく不正アクセスが、数日〜1週間放置される。この時間差こそが被害を大きくします。
同機構は今回、対象を(1)個人の利用者、(2)企業・組織の利用者、(3)企業・組織の管理者の3つに分け、それぞれが取るべき対策を示しました。加えて、例年の休暇対策に留まらず、2026年特有の警戒すべきポイントにも踏み込んでいます。
休暇中に起こりえること
想定される主な脅威を、システム担当者の目線で整理します。
| 脅威 | 何が起こるか |
| ネットワーク貫通型攻撃 | インターネットに接続された機器の脆弱性を悪用して内部へ侵入される。境界の機器が狙われやすい。 |
| ランサムウェア感染 | データが暗号化され、身代金を要求される。復旧に長期間かかり、休暇明けの業務が止まる。 |
| 情報の漏えい・改ざん | 顧客情報や機密データが外部へ流出したり、書き換えられたりする。 |
| 機器の踏み台化 | 自社の機器が乗っ取られ、他組織への攻撃の中継点にされる。詳しくは次章で解説 |
| 不審メール・サポート詐欺 | 実在企業をかたる不審メールや、偽の警告画面による詐欺。休暇明けはメールが溜まり判断が甘くなりがち |
「攻撃に加担する」とは？ ORB化をかみ砕く
今回の注意喚起でとくに強調されているのが、機器のORB化（オーアールビー化）です。ORBはOperational Relay Box（オペレーショナル・リレー・ボックス）の略で、直訳すると「作戦上の中継箱」。つまり、乗っ取られた機器が攻撃の中継点にされてしまう状態を指します。
境界に置かれたVPN機器やルーター、家庭用ルーター、IoT（アイオーティー）機器などが脆弱性を突かれて侵入されると、攻撃者はその機器を経由して別の標的を攻撃します。攻撃元をたどっても「あなたの会社の機器」しか見えないため、身元を隠す隠れみのとして悪用されるわけです。
ここが怖いポイント
自社は「被害者」であると同時に、知らないうちに他組織を攻撃する「加害者」になってしまう。休暇中に踏み台化に気づけないと、この加担が長期間続きます。
2024年末から2025年始にかけては、侵害されたIoT機器の集合体（ボットネット）を悪用したとみられるDDoS（ディードス）攻撃が国内で発生しています。自社の機器が「加害の一部品」に組み込まれるリスクは、もはや他人事ではありません。
2026年の夏、特有の警戒ポイント
今年の注意喚起では、時期特有のリスクにも言及されています。夏季休暇シーズンには、8月6日・8月9日・8月15日・9月3日といった安全保障に関連した記念日が含まれます。過去にはこうした記念日の前後にDDoS攻撃や情報戦・認知戦が行われた例があり、偽情報の流布にも注意が必要だと同機構は指摘しています。
加えて、4年に一度実施されてきたロシア極東の大規模軍事演習が2026年8月下旬から9月に行われる可能性があり、これに合わせたサイバー攻撃への警戒も呼びかけられています。地政学的なイベントと機器の防御状況が「休暇による手薄」と重なる点は、担当者として頭に入れておきたいところです。
攻撃の手口としては、社長などをかたる詐欺メールや、クラウドサービスの認証情報を盗み取ろうとするフィッシング（偽サイト誘導）メールも観測されています。休暇明けの多忙な時間帯こそ、こうしたメールに引っかかりやすいので要注意です。
休暇前にやっておくこと（管理者向け）
| やること | ポイント |
| 緊急連絡体制の確認 | 委託先を含めた連絡フローと手順が最新か。担当者の連絡先が変わっていないかも確認する。 |
| 機器接続ルールの確認 | 休暇中にメンテで社内ネットワークへ機器をつなぐ予定があるなら、接続ルールを事前に周知・遵守する。 |
| 使わない機器は電源オフ | 休暇中に使わないサーバーなどは電源を落とす。攻撃対象そのものを減らすのが最も確実 |
| 公開機器の棚卸しと脆弱性対策 | インターネットに接続された機器の構成を把握し、修正プログラムや設定を点検。踏み台化を防ぐ第一歩 |
なお、ネットワーク貫通型攻撃の標的になりうる機器を把握・管理する指針として、経済産業省が公開した「ASM導入ガイダンス」も参考になります。ASMはAttack Surface Management（アタック・サーフェス・マネジメント）の略で、外部から見える自組織のIT資産を洗い出して管理する考え方です。
休暇明けにやること
| やること | ポイント |
| 修正プログラムの適用 | 休暇中にOS（オペレーティングシステム）や各種ソフトの更新が出ている可能性が高い。まず適用する。 |
| 定義ファイルの更新 | 電源を切っていた端末はセキュリティソフトの定義が古い。メールやウェブ利用の前に最新化する。 |
| 各種ログの確認 | サーバーなどへの不審なアクセスがなかったか確認。怪しい記録があれば早急に詳細調査へ |
| 持ち出し機器のウイルスチェック | 持ち出したパソコンや外部記憶媒体は、社内ネットワークにつなぐ前にスキャンする。 |
| 溜まったメールを慎重に | 不審な添付や本文中のリンクは開かず、まず管理者へ報告。急いで処理しないこと |
もしインシデントが起きたら
「侵入されたかもしれない」と感じたときの初動を、あらかじめ決めておくことが被害を最小化します。慌てて機器を初期化すると、原因究明に必要な証拠まで消えてしまうので注意してください。
初動の基本ステップ
1. 感染・侵害が疑われる機器をネットワークから切り離す（被害の横展開を止める）。
2. ログや画面の状態はできる限り保全する。証拠を残すことが後の調査を左右する。
3. あらかじめ決めた緊急連絡体制に沿って、担当者・委託先へ速やかに連絡する。
4. 検知名や不審ファイル、ログなどの情報を、公的な相談窓口や届出窓口へ提供する。
不審な兆候を認知した場合は、コンピュータウイルス・不正アクセスに関する届出窓口や、企業組織向けのサイバーセキュリティ相談窓口へ情報提供することが推奨されています。ウイルス検知名や不審ファイル、各種セキュリティ機器のログなど、把握できた情報を様式を問わず共有することで、社会全体の状況把握にもつながります。
IT小僧のひとこと
休暇対策は結局、システム運用の基本に立ち返る話だと思っている。金融系のシステムでは当たり前に使う3つの考え方が、そのまま効く。
ひとつめは障害分離。使わない機器は電源を落とし、セグメントを分ける。攻撃対象そのものを減らせば、踏み台化のリスクも下がる。ふたつめは最小権限。休暇前に、外に公開している機能と権限を「本当に必要か」で棚卸ししておく。みっつめは監査証跡、つまりログだ。取っているだけでは意味がなく、休暇明けに必ず突き合わせて初めて価値が出る。
「うちは小さいから狙われない」は、もう通用しない。ORB化のように、規模に関係なく機器そのものが部品として狙われる時代だ。休暇に入る前の30分の点検が、明けてからの数週間を救う。そう考えて、面倒がらずに手を動かしておきたい。
まとめ
長期休暇は、担当者の不在という「守りの穴」が生まれる時期です。ネットワーク貫通型攻撃やランサムウェア、そして自社機器が他組織攻撃の中継点にされるORB化まで、リスクは幅広く存在します。
やるべきことは特別ではありません。休暇前に「連絡体制の確認・接続ルールの周知・不要機器の電源オフ・公開機器の点検」、休暇明けに「更新の適用・定義ファイルの更新・ログ確認・持ち出し機器のスキャン」。この基本を、面倒がらずに回すことが最大の防御になります。
出典：情報処理推進機構（IPA）「2026年度 夏休みにおける情報セキュリティに関する注意喚起」（2026年7月30日公開）、および「長期休暇における情報セキュリティ対策」をもとに構成。