Web会議・チャットツールの利用に伴う情報漏洩とは、オンラインコミュニケーションツールを業務で利用する過程で、設定ミス、権限管理の不備、誤送信、画面共有時の確認不足などにより、録画データ、チャット履歴、共有ファイル、画面共有中の表示内容などが、意図しない相手に閲覧・取得されてしまうことを指します。
代表的なツールには、Zoom、Microsoft Teams、Slack、Chatworkなどがあります。
ファイルサーバーやメールと比べて「会話はその場で終わるもの」という感覚が働きやすく、情報漏洩対策の検討から抜け落ちがちな領域でもあります。
【結論】 Web会議・チャットツールでは、以下のような点が見落とされやすい盲点になります。
録画・文字起こし・外部連携アプリなど、ツールの機能拡張によって生まれる新しい経路が見落とされやすい
画面共有・招待URL・参加者管理といった「その場の操作」に起因する漏洩は、ツール自体のセキュリティ機能だけでは防ぎきれない
私物端末の認証情報流出がチャットツールへの不正アクセスに波及した事例もあり、エンドポイント管理の不備が思わぬ形で影響する
運用ルールの整備に加え、ファイルの持ち出し制御やアクセス権限の動的な絞り込みなど、仕組みによる補完が対策の鍵になる
本記事では、Web会議・チャットツール経由の情報漏洩において見落としがちな盲点と、経営層・情報システム部門が今すぐ点検すべき対策を解説します。
1. なぜWeb会議・チャットツール経由の情報漏洩は見落とされやすいのか？
Web会議・チャットツールが情報漏洩対策の盲点になりやすい背景には、主に2つの要因があります。
対策の重点が、ファイルサーバーやUSBメモリなど「保存されたデータ」に置かれやすく、会話や画面共有という「その場で流れる情報」への意識が相対的に薄い
録画・文字起こし・外部連携アプリなど、ツールの機能拡張によって新しい持ち出し経路が次々と生まれている
総務省「テレワークセキュリティガイドライン(第5版)」やIPA「Web会議サービスを使用する際のセキュリティ上の注意事項」でも、Web会議の利用にあたっては会議データの所在・暗号化・参加者の認証方式をあらかじめ検討することが推奨されています。
しかし、実際の運用ではツール導入時の初期設定のまま使い続けているケースも少なくありません。
（出典：総務省「テレワークセキュリティガイドライン(第5版)」）
（出典：IPA「Web会議サービスを使用する際のセキュリティ上の注意事項」）
IPA「情報セキュリティ10大脅威2026」でも「リモートワーク等の環境や仕組みを狙った攻撃」が組織向け脅威の8位に選ばれており、Web会議・チャットツールを含むリモートワーク環境は、継続的に注意すべき対象として位置付けられています。
（出典：IPA「情報セキュリティ10大脅威2026」）
次章以降では、Web会議とチャットツールそれぞれについて、見落としがちな漏洩経路を具体的に整理します。
情報漏洩対策全体の考え方は、以下の記事でも整理しています。
Web会議では、主に次の3つの経路が見落とされがちです。
録画データ・文字起こしデータの管理
画面共有時の情報の映り込み
招待URL・参加者管理の甘さ
クラウド録画の共有範囲設定を既定値のまま使い続けると、意図せず社外に公開されてしまう場合があります。
文字起こし・AI要約データも、録画と同様に持ち出し・保存期間の管理対象として扱う必要があります。
録画データの保存先が自社環境か、ツール提供元のクラウドか
共有リンクの既定の公開範囲(社内限定か、リンクを知っていれば誰でも視聴できるか)
ダウンロードの可否、保存期間、削除ルール
IPAの資料でも、Web会議サービスの選定時には「会議データの所在」「暗号化」といった点をあらかじめ検討すべきポイントとして挙げています。
（出典：IPA「Web会議サービスを使用する際のセキュリティ上の注意事項」）
画面共有では、共有中の通知ポップアップやウィンドウの切り替えによって、共有対象外の情報が意図せず映り込むことがあります。
メール・チャットの通知ポップアップに、機密情報の一部が表示される
ブラウザの検索履歴や、開いたままの別タブが不用意に見える状態になる
デスクトップに保存したファイル名や付箋メモが映り込む
画面全体ではなく特定のウィンドウ・アプリケーションのみを共有する設定にする、共有前に通知をオフにする、社外との会議前にリハーサルを行うといった運用が有効です。
会議URLの使い回しやパスワードの省略、参加者の認証を行わない設定は、第三者による会議への侵入や、会議内容の不正な閲覧・取得につながります。
待機室・ロビーなどの機能を有効にし、主催者が参加者を確認してから入室を許可する
会議ごとにパスワードを設定し、URLの使い回しを避ける
外部ゲストが参加する会議では、画面共有・録画・チャット送信などの権限を必要な範囲に絞る
IPAの資料でも「会議参加者の確認・認証方式」がWeb会議サービス選定時の検討ポイントとして挙げられています。
（出典：IPA「Web会議サービスを使用する際のセキュリティ上の注意事項」）
チャットツールでは、主に次の3つの経路が見落とされがちです。
誤送信・誤共有
外部連携アプリ・ボット経由の権限
退職者・委託先アカウントの放置
送信先チャンネルの選択ミスや、外部ゲストを含むチャンネルへの投稿、ファイル共有リンクの公開範囲設定ミスは、注意喚起だけでは根絶しにくいヒューマンエラーです。
社内限定のつもりで機密情報を投稿したチャンネルに、外部ゲストが含まれていた
ファイル共有時に、外部共有リンクが既定で有効になっていた
似た名前のチャンネル・宛先へ誤って送信した
チャンネルごとのアクセス権限設計、外部共有可否の既定値見直し、送信前に宛先を確認する運用の徹底、DLP(データ損失防止)機能の活用などが対策として挙げられます。
便利な外部アプリやボットを安易に連携すると、必要以上に広い権限(全メッセージの閲覧など)を許可してしまい、そこが不正アクセスや情報漏洩の経路になり得ます。
「便利な新機能」と称して悪意あるアプリの連携を承認させ、ユーザーや組織のデータへのアクセス権限を取得する手口(OAuth同意フィッシング)も確認されています。
（出典：Microsoft Learn「Protect against consent phishing」）
対策として、以下のようなものが有効です。
連携アプリを定期的に棚卸しし、使われていないものを削除する
連携時に要求される権限の範囲を確認し、必要最小限にとどめる
新規連携の際は、申請・承認のフローを設ける
退職者や委託先のアカウントが解除されないまま残っていると、チャット履歴や共有ファイルへ社外からアクセスできる状態が続いてしまいます。
契約終了時・退職時にはアカウントを速やかに無効化し、参加していたチャンネルや外部連携の権限も合わせて見直すことが必要です。
見落としがちな盲点が実際にどう表面化するのか、公表されている事例をもとに整理します。
2025年11月、日本経済新聞社は、業務で利用するビジネスチャット「Slack」への不正ログインにより、氏名・メールアドレス・チャット履歴など最大1万7368人分の情報が流出した可能性があると公表しました。
原因は、社員が個人保有するパソコンがマルウェアに感染し、そこからSlackの認証情報が流出したことでした。
流出した認証情報を悪用され、社員アカウントへの不正ログインが行われたとみられています。
同社は9月に被害を把握し、パスワードを変更するなどの対応を行うとともに、任意で個人情報保護委員会に報告しました。
（出典：日本経済新聞社「業務用チャット「スラック」への不正ログインと情報流出について」）
この事例は、チャットツール自体のセキュリティ機能がどれだけ強固でも、私物端末のマルウェア感染や認証情報の窃取が発生すると、 その隙間から情報が漏洩し得ることを示しています。
業務用端末と私物端末の使い分け、端末のマルウェア対策、多要素認証の導入といった対策が改めて重要になります。
AI議事録・自動文字起こし機能は、製品や設定によっては、会議の音声やテキストがツール提供元のクラウド環境へ送信・保存されるため、データの取り扱い次第では新たな情報漏洩リスクになり得ます。
音声・テキストデータが、利用規約・契約条件・設定上、AIの学習に利用されないか
会社が承認・管理していないAI議事録ツールや個人アカウントで、機密情報を含む会議を扱っていないか(いわゆるシャドーAI)
保存期間・削除ルールが、自社の情報管理基準と合っているか
IPA「情報セキュリティ10大脅威2026」では「AIの利用をめぐるサイバーリスク」が組織向け脅威の3位に選ばれており、生成AI関連ツールの利用は継続的な注意が必要な領域とされています。
（出典：IPA「情報セキュリティ10大脅威2026」）
（出典：IPA「AI利用者のためのセキュリティ豆知識」）
AIエージェント・生成AIツール経由の情報漏洩リスクについては、以下の記事でも詳しく解説しています。
Web会議とチャットツールでは、情報が漏洩する主な要因や気づきにくさに違いがあります。
以下の観点で比較します。
|
比較項目 |
Web会議 |
チャットツール |
|
主なリスク要因 |
録画データの共有範囲・画面共有時の映り込み・招待URL管理 |
メッセージの誤送信・外部連携アプリの権限・アカウントの放置 |
|
気づきにくさ |
発言や映像がその場で終わる感覚が強く、記録の管理が甘くなりやすい |
履歴が蓄積されるため、権限設定ミスの影響範囲が後から広がりやすい |
|
本記事で特に注意したい要因 |
設定ミス・操作ミス・参加者管理の不備 |
誤送信・権限設定ミス・認証情報の流出 |
|
有効な対策の例 |
録画共有範囲の既定値見直し、画面共有前のルール化 |
連携アプリの権限棚卸し、多要素認証、持ち出し制御 |
どちらか一方だけを重点的に対策するのではなく、双方に共通する「初期設定を放置しない」「権限を必要最小限に保つ」という視点で点検することが重要です。
対策は、運用ルールの整備と技術的な仕組みの導入を組み合わせて進めることが基本です。
運用ルールの整備は対策の土台になりますが、ヒューマンエラーや悪意ある持ち出しを技術的に防ぐものではありません。
会議URL・パスワードの発行ルール
画面共有前のチェックリスト
外部連携アプリの申請・承認制
退職・契約終了時のアカウント無効化フロー
以下の手順で、技術的な対策の導入を検討することをお勧めします。
ステップ1：現在利用しているWeb会議・チャットツール、連携アプリを棚卸しする
ステップ2：録画の共有範囲・招待URL・外部共有の既定設定を点検し、安全側に統一する
ステップ3：チャット添付ファイル・端末上でのスクリーンショット・同期フォルダなど、ファイルの持ち出し経路を技術的に制御する
ステップ4：私物端末・退職者・委託先のアカウントを定期的に棚卸しし、不要な権限を解除する
対策にかかる費用・導入期間は、対象範囲や既存の環境によって異なるため、一律の相場を示すことは困難です。
対象範囲：利用しているツールの数、対象となる従業員数
既存の環境：ID管理・多要素認証などの認証基盤がどこまで整っているか
対策のレベル：運用ルールの見直しにとどめるか、持ち出し制御・権限管理ツールまで導入するか
運用ルールの見直しだけであれば、比較的着手しやすい取り組みです。
一方、持ち出し制御・権限管理ツールを全社導入する場合は、要件整理・検証・展開までを含めた計画が必要になります。
具体的な費用・期間は、対象範囲を整理したうえで個別に見積もることをお勧めします。
必要です。
IPA「中小企業の情報セキュリティ対策ガイドライン」でも、中小企業を対象に、テレワーク環境を含む情報セキュリティ対策の考え方や実践方法が示されており、中小企業においても情報セキュリティ対策への取り組みが重要です。
（出典：IPA「中小企業の情報セキュリティ対策ガイドライン」）
法令等で一律の保存期間が定められているわけではなく、業務上の必要性や社内規程に応じて個別に判断する必要があります。
議事録代わりに使うのか、証跡として残すのかなど、まず保存目的を明確にしたうえで、目的を終えたデータは削除する運用をあらかじめ定めておくことが望まれます。
一律に禁止する必要はありません。
ただし、提供元のデータの取り扱いポリシー(学習利用の有無、保存期間、第三者提供の有無)を確認し、会社が管理するアカウントで利用することが重要です。
機密性の高い会議では利用を制限するといった判断も選択肢の一つです。
Web会議・チャットツール経由の情報漏洩は、録画・画面共有・招待URL・外部連携アプリ・私物端末など、見落としがちな経路から起こり得ます。
「会話はその場で消える」という感覚にとらわれず、運用ルールの整備と技術的な持ち出し制御・権限管理を組み合わせることが、経営リスクとしての情報漏洩を防ぐ第一歩です。
Web会議・チャットツール経由の情報漏洩は、ツール自体の設定や運用ルールだけで防ぎきるのが難しい部分があります。
用途に応じて、以下のような仕組みでの補完も検討できます。
「NonCopy2」は、セキュアフォルダ内のファイルについて、持ち出し・コピー&ペースト・スクリーンショット・ファイル操作中のインターネット利用などを制御できる情報漏洩対策製品です。
インターネット経由での持ち出しなど、端末からの情報持ち出し経路に対しても、技術的な制御を組み込む選択肢になります。
「CFKeeper」は、クラウドストレージの同期フォルダ内のファイルを暗号化し、エンドポイント経由での持ち出しを防ぐ製品です。
Web会議で画面共有した資料やチャットで受け取ったファイルを同期フォルダに保存している場合、そこからの持ち出しを技術的に制御する手段になります。
「CL-UMP」は、アクセス元の端末やネットワーク環境に応じて、クラウドストレージ上のコンテンツへのアクセス権限を動的に切り替える製品です。
社内ネットワークでは編集を許可し、社外ネットワークでは閲覧のみ・非表示にするといった運用により、Web会議やチャットでやり取りしたファイルをクラウドストレージに保存した後のアクセス制御を、利用環境に応じて自動化できます。
自社の運用だけでは判断が難しい部分は、無理に抱え込まず専門サービスへの相談が有効です。
弊社、サイエンスパーク株式会社は1994年の創業より、ソフトウェア・ハードウェアのセキュリティ対策を30年以上に渡り続けてまいりました。
セキュリティリスクの診断から対策導入・運用までのお手伝いが可能ですので、お気軽にお問い合わせくださいませ。ご相談だけでも大歓迎です。
参考情報・出典
・IPA「Web会議サービスを使用する際のセキュリティ上の注意事項」
・日本経済新聞社「業務用チャット「スラック」への不正ログインと情報流出について」
・Microsoft Learn「Protect against consent phishing」