「今だけ共有ID」「忙しいから私物スマホで」――日常の「うっかり」に潜むセキュリティの落とし穴： がっかりしないDX 小売業の新時代（3/4 ページ）

共有ID、古いアクセス権限、止め忘れたアカウント、未承認の生成AIーー。サイバー攻撃に狙われる“隙”は、日常の小売業務の中にある。具体的に例示しながら、必要な対策について考えてみたい。

[郡司昇，ITmedia]

現場は「サイバーセキュリティを軽視」しているのか？

　5つの場面に共通するのは「仕事を止められない」という事情です。

　共有IDを使えば、忙しい店舗は回ります。古い権限を残しても、今日の売り上げには影響しません。生成AIに画面を読み込ませれば、分析は早く終わります。その場では合理的に見える判断が、後から事故の入り口になります。

　「ルールを守らない人がいる」と考える前に、「ルール通りでは仕事が終わらない業務がないか」を確認する必要があります。

　禁止や罰則だけを強めると、利用は止まらず、会社から見えない場所へ移ります。安全で使いやすい代替手段を用意し、申請や承認を短時間で終えられるようにする方が、管理できる範囲は広がります。

サイバー攻撃は「例外」を巧みに突いてくる

　Marks & Spencerは、英国を代表する食品・衣料品小売業で、2025年度の年商は約174億ポンド（約3.7兆円：1ポンド215円換算）です。同社は2025年4月にサイバー攻撃を受け、5月時点で営業利益への影響を約3億ポンド（約645億円）と見込みました。

　2025年11月の半期決算では、直接コストだけで約1.36億ポンド（約292億円）に達しており、単なるIT障害ではなく、経営に大きな打撃を与えた事案でした。

　このケースでは、攻撃者が社員を装い、委託先のITヘルプデスクを通じて認証情報を不正に変更させたとされています。

　攻撃者は必ずしも高度な技術でシステムを正面から突破するわけではなく、本人確認の隙や緊急時の例外対応を巧みに突いてきます。

　同じ構造は、振込先の変更を受け付ける経理部、取引先から緊急の依頼を受ける営業部や商品部、応援勤務者の権限を用意する店舗運営部、退職処理を行う人事部にもあります。

　「いつもの相手だから」「本人しか知らない情報に答えたから」「至急と言われたから」と手順を省いた瞬間が攻撃の入り口になります。情報システム部が技術的な防御を強化しても、各部門の本人確認や例外対応まで管理することはできません。