「カフェや新幹線でパソコンを開いて仕事をすることが増えたが、セキュリティは大丈夫だろうか」
「従業員がオフィス外で作業する際、デジタルな暗号化以外にどのような対策が必要なのだろう」
ハイブリッドワークやテレワークが企業の日常ルーティンとなった現代において、サイバー対策と同じくらい重要視されているのが「物理セキュリティ」の強化です。
どれほど強固なウイルス対策ソフトやVPNを導入していても、画面に表示されたパスワードや機密データを第三者に直接「目視」されてしまえば、すべてのIT防壁は一瞬で意味をなさなくなります。
このように、作業中の画面や手元のキーボード操作を文字通り「肩越し（Shoulder）」にのぞき見して情報を盗み出す古典的かつ致命的な手口を「ショルダーハッキング」と呼びます。
ハッキング技術を使わずに人間の心理的な隙や物理的な距離の甘さを突く「ソーシャルエンジニアリング」の代表格であり、企業ガバナンスとして最優先で対策すべき脅威です。
本記事では、ショルダーハッキングの客観的な発生シーンや具体的な被害、そして今すぐ実践すべき実効性の高い防御策についてわかりやすく解説します。
1. ショルダーハッキングとは？どのような場面で発生するか
ショルダーハッキング（Shoulder Hacking）とは、ユーザーがパソコンやスマートフォン、ATMなどを操作している際、「背後や斜め後ろから画面やキーボードの動きを盗み見て、パスワードや機密情報を不正に取得する」行為です。「のぞき見」とも呼ばれます。
悪意を持った第三者は、以下のような私たちが日常的によく利用するインフラ環境やシチュエーションを客観的に狙っています。
① オフィス内
部外者が侵入するケース（テールゲーティングなど）だけでなく、同じ社内であっても「他部門の人間には見せてはいけない人事情報や未公開の財務データ」を取り扱う際、通りかかった別の従業員や清掃業者、出入り業者の目に触れてしまうリスクがあります。
② カフェ・コワーキングスペース
テレワークで最も利用されやすい場所ですが、座席の間隔が狭い店舗では、後ろの席や通路を歩く人物から画面が丸見えになるケースが多発しています。
また、攻撃者が「作業中の手元の動き」をスマートフォンのカメラで遠隔から動画撮影し、後からスロー再生してパスワードのキー入力を特定する高度な手口も確認されています。
③ 電車・新幹線の中
移動中にノートパソコンを開いて資料作成やメール返信を行うルーティンは一般的ですが、隣の座席や、通路を挟んだ斜め後ろの座席からの視線は盲点になりがちです。
乗客が密集する空間では、意図せずとも画面が目に入りやすく、重大な情報漏えいの引き金となります。
④ 空港・ホテルのロビー
出張や旅行の際、開放的な空間で気が緩みがちになる場所です。
背後を多くの人が往来するロビーや、ラウンジのソファー席などで不用意に社内システムへログインする瞬間は、ショルダーハッキングの格好の標的となります。
2. ショルダーハッキングによって企業が受ける深刻な被害
ショルダーハッキングによって画面の情報や認証情報を奪われると、企業は以下のような致命的なダメージを被るおそれがあります。
被害①：マスターパスワードやIDの特定による不正アクセス
ログイン画面でIDやパスワードを入力する際のキーボード操作を見られることで、社内システムやクラウドサービスのアカウントが乗っ取られます。
これが特権階級（管理者）のアカウントであった場合、裏側からシステム全体へ不正アクセスされ、さらに深刻なサイバーインシデントへと発展します。
被害②：未公開の機密情報や個人情報の漏えい
画面に表示されていた開発中の新製品データ、取引先との契約書、顧客の個人情報などが一瞬で外部に露呈します。
スマホのカメラで画面ごと盗撮された場合、その画像がSNSや闇サイト（ダークウェブ）へ流出し、企業の社会的信用を大きく失墜させる原因になります。
3. 企業が実践すべき5つのショルダーハッキング対策
ショルダーハッキングは人間の「目」による物理的な攻撃であるため、ネットワーク監視だけでは防げません。
以下の物理的対策と行動ルールの多層防御をガバナンスとして定着させることが推奨されます。
1.のぞき見防止フィルターの装着義務化:視覚的な遮断。
社外に持ち出す可能性のあるすべてのノートパソコンやスマートフォンに対して、正面以外からは画面が真っ黒に見える「のぞき見防止フィルター（プライバシーフィルター）」の装着を義務付けます。
これは最も手軽で客観的に効果の高い防壁となります。
2.座席・画面の配置工夫と周囲の確認:物理的な配置。
オフィス内では、重要な情報を取り扱う席の後ろを通路にしないなどのレイアウト工夫を行います。
また、カフェや新幹線などの外出先では、「背後に壁がある席を選ぶ」「通路側に画面を向けない」など、自分の後ろに人が立てない・通れないポジションを確保するルーティンを徹底させます。
3.クリアスクリーンの徹底:離籍時のルール。
たとえオフィスの自席であっても、トイレやミーティングなどで1歩でもデスクを離れる際は、必ず「Windowsキー ＋ L」などのショートカットで画面を瞬時にロックする（クリアスクリーン）を組織のルールとして定着させます。
4.テレワーク・外出時の作業ルール策定:環境の制限。
「公共のフリーWi-Fiスポットや、座席間隔の狭いカフェでは機密性の高い業務（顧客データの閲覧や重要ログインなど）を行わない」「重要なWeb会議は周囲に会話内容が聞こえる場所では行わず、個室のブースを利用する」といった具体的な行動指針をプレイブック化します。
5.情報セキュリティ研修による当事者意識の向上:意識の適合。
「デジタルをいくら固めても、アナログな視線一つで会社が危機に瀕する」という客観的なリスクを従業員に正しく教育します。定期的な事例共有を行うことで、マインドを常にアップデートさせることが究極の防衛力となります。
4. ショルダーハッキングに関するFAQ
Q1. 生体認証（顔認証や指紋認証）を導入していればパスワードののぞき見対策になりますか？
A1. 一部のログインに関しては非常に有効です。
キーボードでパスワードを叩く動作そのものをなくせるため、文字を特定されるリスクは激減します。
ただし、ログインした「後」の画面に表示されている顧客データや機密書類自体をのぞき見・盗撮されるリスクは残るため、フィルター等の物理対策と併用が必要です。
Q2. のぞき見防止フィルターをつけていれば、新幹線の隣の席からでも絶対に安全ですか？
A2. 過信は禁物です。
フィルターには「左右からの視線を遮る角度（例：左右30度外側から）」が設定されていますが、真横にピッタリ並ぶ席や、非常に近い距離からのぞき込まれた場合、薄暗く文字が見えてしまう場合があります。
フィルターを貼っていても、重要な画面を開く際は周囲の状況に常にアンテナを張るガバナンスが求められます。
まとめ：アナログな「視線」を遮り、セキュリティを完結させる
ショルダーハッキング（のぞき見）は、どれほど高度なIT防御システムを構築していても、運用の現場である「人間の目」の甘さからすべてをバイパスされてしまう脅威度の高い手口です。
- カフェ、新幹線、オフィス内などの日常的な空間で、背後から画面や入力を盗み見る。
- ID・パスワードの特定から不正アクセスに発展し、機密データの漏えいやシステム乗っ取りの原因となる。
- 最大の防御策は、のぞき見防止フィルターなどの「物理的ツール」と、背後に壁のある席を選ぶ・クリアスクリーンを徹底するといった「従業員の防衛ルーティン」の適合である。
デジタルとアナログの双方からサイバー脅威に揺るがない強固な防衛体制をデザインしていきましょう。
情報セキュリティ研修をご検討中の方へ
当サイトでは、企業・自治体向けに以下のサービスをご提供しています。
- 研修動画パッケージ（買い切り型）
- 講師派遣による対面・オンライン研修
- 社内啓発に活用できる無料「情報セキュリティ10箇条」ポスター
動画研修には、スライド一式・理解度確認テスト・研修実施報告書テンプレート・社内掲示用ポスターも付属しており、研修担当者の負担軽減にも役立ちます。
料金やカリキュラムの詳細は、[情報セキュリティ研修サービス一覧] をご覧ください。
