従業員家族の家庭PC感染が企業侵入の起点に、NordVPNが5億件のインフォスティーラー分析で警鐘

「家のPCで業務メールを開いたらまずいの？」
「従業員の家族が感染していたら、うちの会社にまで被害は及ぶのでしょうか？」

チップス

ボス、家のPCって個人のものでしゅよね？家族がマルウェアに引っかかっても、会社には関係ないでしゅよね？

ボス

それが大間違いだな、チップス。NordVPNのインフォスティーラー約5億件の分析で、従業員家族のデバイス感染が企業侵入の起点になる実態が明らかになった。無視できる話ではない。

2026年4月21日、ITmediaがNordVPNのインフォスティーラー分析結果を報じました。
この調査は、家庭利用が中心のPCやスマホが、企業ネットワークへのサプライチェーン攻撃の起点になり得ると指摘しています。
この記事では、分析結果の要点と、人事・情シス部門が取り組むべき3つの対策を整理します。

人事・情シスの方が社員と家族を守る具体的なヒントが手に入ります。

事件の概要：家庭の感染が企業に及ぶ構図

インフォスティーラーは、ブラウザ保存のパスワードやセッションCookie、暗号資産ウォレット情報を一括で抜き取るマルウェアです。

家庭でのダウンロードが感染源に

NordVPNの分析では、2025年に収集された約5億件のログが対象となりました。
感染経路の多くは、クラック版ゲームやチートツール、非公式ランチャーといった家庭で扱われがちなソフトウェアでした。
家族で共有するPCにこれらが入り込むと、同じ端末に保存された業務関連のパスワードやセッション情報までまとめて流出します。
クラウド管理ツール関連だけで約2,700万件の漏えいが確認され、企業システムへのサプライチェーン侵害が現実味を帯びています。

チップス

お兄ちゃんが趣味で使ってるゲームツールが、会社の侵入口になるってことでしゅか……！

原因と教訓：家庭側を守るための3つの対策

家庭のデバイスを会社が直接管理するのは難しくても、リスクを下げる運用は組み立てられます。

家庭の感染が企業被害に変わる流れ

典型的なパターンは次の流れです。
非公式ソフトの導入でPCがインフォスティーラーに感染し、ブラウザ内の保存情報が抜かれます。
その中に業務クラウドのCookieや会社メールの認証情報が含まれていると、攻撃者は多要素認証を迂回して社内システムへ入り込みます。
システム管理者の家族が感染源だった場合、被害はそのまま企業ネットワーク全体に波及するリスクがあります。

人事・情シスが取り組むべき3本柱

NordVPNの発表は、家庭・個人側で取り組む3つの基本対策を示しています。
組織としては、これらを社員教育と福利厚生の形で後押しするのが有効です。

ボス

会社の境界は「オフィスの中」で終わらない。社員の家族まで視野に入れた運用設計が、これからの当たり前になる。

まとめ

家庭で起きた感染が、従業員を経由して企業被害に直結する時代になりました。
家族向けの啓発、業務クラウドの認証強化、ブラウザ管理の徹底という基本を、人事と情シスで連携して回すしくみが必要です。
社員の「家まで守る」姿勢が、結果的に会社そのものを守る最良の投資になります。

チップス

まずは家族にパスキーの使い方を教えるでしゅ！

従業員と家族まで視野に入れたセキュリティ運用は、人材がいないと立ち上げが進みません。
スプラッシュエンジニアリングでは、教育設計・ガバナンス構築に携われる案件をご紹介しています。