職場のショルダーハッキング対策、画面とパスワードと席を離れるとき

ショルダーハッキングは、人の画面を後ろや横から見たり、パスワードを入力するところを見たりすることです。職場での対策は小さなことばかりです。誰から画面が見えるかを意識し、ロック中の画面に通知の中身を出さず、パスワードを人に教えたり机に貼ったりせず、席を離れるたびにMacやPCをロックします。

ショルダーハッキングとは

人の画面をのぞいたり、入力するところを見たりして、本人が見せるつもりのない情報を知ることです。日本の不正アクセスの検挙統計には、他人の識別符号（IDやパスワードなど）の入手方法の区分として「利用権者からの聞き出し、のぞき見」があります。2026年3月12日に公表された資料によると、2025年に検挙された識別符号窃用型の不正アクセス行為399件のうち、この区分は35件でした。これは、電気通信回線を通じたアクセスを対象にする不正アクセス禁止法の違反として検挙された件数で、のぞき見そのものの件数ではありません。

2つのことは分けて考えます。画面を見ることは、デバイスに入ることと同じではありません。使ってはいけないデバイスを使うことは別の話で、同僚にパソコンを使われたかもしれないときにすることにまとめています。

HPは、カナダ、英国、米国の会社員1,500人と一般の人3,000人を対象に調査を行いました。2019年9月25日付のプレスキットでは、会社員の5人に4人が同僚の画面をのぞき見すると報告しています。人が画面を見ると答えた数字で、誰かのパソコンを使ったという数字ではありません。日本の調査でもありません。デバイスへのアクセスそのものの数字は同僚のパソコンやスマホを勝手に見る人はどのくらいいるのかにあります。

画面を読まれないようにするには

まずは座る位置と、見ていないときに画面に何が出ているかです。

1. 机の配置が許すなら、通路や共有スペースから画面が見えにくい向きにします。
2. Macでは、アップルメニュー ＞「システム設定」を選び、サイドバーで「通知」をクリックして、「プレビューを表示」を「ロックされていないときのみ」にします。Appleによると、この設定では自分のユーザアカウントにログインしているときのみプレビューが表示されます。
3. 誰かが別の用件で画面をのぞきに来る前に、見られたくないものは閉じるか最小化します。

社外では、IPA（情報処理推進機構）がテレワークの注意事項の中で、カフェ等の公共の場所でパソコン等を使うときはパソコンの画面をのぞかれないように注意するよう呼びかけています。

オフィスでパスワードを守るには

人に見せない、聞かせない、見つけさせないことです。総務省は職場の利用者向けに、パスワードの保管で特に注意することとして次を挙げています。

1. パスワードは、同僚等の第三者に教えずに、秘密にすること。
2. パスワードを電子メールでやりとりしないこと。
3. パスワードのメモをディスプレイなど他人の目に触れる場所に貼ったりしないこと。
4. やむを得ずメモに書いた場合は、鍵のかかる机や金庫など安全な方法で保管すること。

入力するときは、キーボードを人から見えにくい向きにします。MacにTouch IDがあれば、設定しておくと指で解除できます。手順はMacでTouch IDを設定する方法にあります。総務省は、パスワードをできる限り複数のサービスで使い回さないようにも呼びかけています。

入力するところを見られたと思ったら、パスワードを変えます。Macでは、アップルメニュー ＞「システム設定」を選び、サイドバーで「ユーザとグループ」をクリックし、ユーザ名の横にあるボタンをクリックして「変更」をクリックします。職場のアカウントは、情報システム担当に変え方を聞きます。スマホについてはSomeone watched you type your passcode（英語）にあります。

共有デスクで席を離れるときは

ほんの少しでも、席を立つたびにロックします。Macは「control + command + Q」キー、Windowsは「Windows キー + L」です。総務省は、スクリーンセーバーから戻るときにパスワードを求める設定で、離席中に不正な利用者がパソコンを操作することを防げるとしています。ただしスクリーンセーバーが起動するには一定の時間が必要なので、離席する際に自発的にロックする方法が有効だとしています。

自動ロックやホットコーナーはHow to lock your Mac screen（英語）に、パソコンを職場に置いて帰るときのことはLeaving your laptop at work or in a library（英語）にあります。

何度も続くときは

相談します。誰かがいつも画面をのぞいているなら上司や人事に、パソコンを使われた形跡があるなら情報システム担当にも伝えます。何がいつあったかを書き留めておきます。相談先は同僚にパソコンやスマホを見られたときの相談先にまとめています。

Failshotについて

パスワードが1つ目の層です。Failshotはその次、2つ目の層のデバイスセキュリティ（second layer device security）です。席を離れている間にMacのロックを解除した人を、写真に残します。

Failshotがオンの間は、Macのロックを解除した人の写真を撮り、Proでは続けて5秒間の動画を記録します。Failshotのウインドウは、ロック解除が撮影されたことを解除した人に知らせます。Proでアラートをオンにすれば、あなたが自分だと確認しなかったロック解除を、写真と時刻とともにメールで知らせます。オフにしたり、メニューから終了したりするには、Touch IDかFailshotのPINと答えが必要で、Macのパスワードでは操作できません。

Failshotは、自分のMac、または管理を任されているMacのためのもので、macOS 14以降で使えます。ダウンロードは無料です。無料で使えます。Pro では動画、メール通知、暗号化された Vault が加わります。Failshot Proは、failshot.appで7日間無料で試せます。アプリは英語版のみです。iPhone、Android、Windows版は準備中です。

よくある質問

ショルダーハッキングは罪になりますか

不正アクセス禁止法は、不正アクセス行為に使う目的で他人の識別符号（IDやパスワードなど）を取得することを禁じ（第4条）、違反には1年以下の拘禁刑又は50万円以下の罰金を定めています。第3条が禁じる不正アクセス行為には、電気通信回線を通じて他人の識別符号を入力し、制限されている利用をできる状態にさせる行為が含まれます。画面を見ること自体を定めた規定は、この法律の条文にはありません。詳しくは他人のパソコンに勝手にアクセスすると罪になりますかにあります。

パスワードをメモに書いてもいいですか

総務省は、パスワードのメモをディスプレイなど他人の目に触れる場所に貼らないこと、やむを得ずメモに書いた場合は鍵のかかる机や金庫など安全な方法で保管することを挙げています。パスワードを覚える必要のないパスワード管理ツールも勧めていますが、職場で使うときは、企業ごとの決まりを情報システム担当者に確認するよう案内しています。

画面に他人の個人情報が出ていたら

社内の情報システム担当か、個人情報の取扱いを担当する窓口に伝え、画面に何が出ていて、誰が見た可能性があるかを話します。個人情報の漏えいに当たるかどうかは事実関係によります。考え方は同僚がファイルを読んだら個人情報の漏えいになりますかにまとめています。

会社のMacでFailshotを使えますか

勤務先の同意がある場合に限ります。Macは勤務先のもので、そのMacでのモニタリングについてデータ保護に関する法律上の責任を負うのは勤務先です。Failshotの場合、勤務先がFailshotの組織向け規約（Organisation Terms）に同意し、Failshotをオンにする前に、そのノートパソコンを使う全員に知らせていることも必要です。

職場では通知を隠したほうがいいですか

Macでは「プレビューを表示」を「ロックされていないときのみ」にすれば、ロック中の画面にメッセージの中身が出ません。Appleによると、「表示しない」を選ぶとプレビューはまったく表示されません。席の前を人が通る頻度に合わせて選びます。

出典

• 安全なパスワードの設定・管理, 総務省 国民のためのサイバーセキュリティサイト
• テレワークを行う際のセキュリティ上の注意事項, IPA 独立行政法人情報処理推進機構
• 不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況（別紙）, 国家公安委員会・総務大臣・経済産業大臣（PDF）
• 不正アクセス行為の禁止等に関する法律, e-Gov法令検索
• HP Creepers and Peekers Survey, HP press kit (25 September 2019)
• Macの「通知」設定, Apple サポート
• Macのログインパスワードを変更する, Apple サポート
• Macのキーボードショートカット, Apple サポート
• Windows のキーボード ショートカット, Microsoft サポート