⇒【東証プライム企業も多数利用！】最先端のSNSマーケティングツール「Tofu Analytics」、「InstantWin」とは？
【PR】楽天市場 【PR】じゃらん 【PR】一休 【PR】Qoo10 【PR】Abema
「LinkedInは危険」という検索が増えている背景には、企業アカウントを狙ったなりすましやフィッシング、そして退職者アカウントの放置といった、個人利用とは異なる企業特有のリスクがある。実名・実職務を前提とするLinkedInは、Facebook・X（旧Twitter）と比べて公開情報の信頼性が高い分、その情報を悪用した攻撃の精度も上がりやすい。本記事では、企業がLinkedIn運用で直面する具体的なリスクと、公式情報・セキュリティ機関の発表をもとにした現実的な対策を整理する。
LinkedInは本当に危険なのか
結論から言えば、LinkedIn自体が特別に脆弱なプラットフォームというわけではない。危険性の本質は「実名・所属・役職・人脈が公開されやすい」という設計そのものにある。攻撃者から見れば、標的の役職や担当領域、上司部下関係まで推測できる情報源になり、単発の詐欺だけでなく、時間をかけて信頼関係を築いてから侵入する標的型攻撃の足がかりにも使われる。
実際、JPCERTコーディネーションセンター（JPCERT/CC）は2025年1月10日公開の記事で、国内企業を標的にLinkedInを初期侵入経路として悪用する攻撃が継続的に確認されていると報告している。警察庁も2024年12月、北朝鮮を背景とするサイバー攻撃グループ「TraderTraitor」による暗号資産関連事業者への攻撃について注意喚起を行っており、LinkedIn経由の接触が実際のインシデントにつながっている点は公的機関のレポートで裏付けられている。
企業がLinkedInで直面する5つの主要リスク
個人利用者向けの注意喚起記事は多いが、企業としてLinkedInを運用する場合に固有のリスクは整理されていないことが多い。ここでは組織として押さえておくべき5つの論点をまとめる。
1. 企業ページ・役員・採用担当者へのなりすまし
公式ページや役員、人事担当者のアカウントを模倣した偽プロフィールが作られ、取引先や求職者に接触するケースがある。自社が「なりすまされる側」になる被害は、フォロワーや取引先が気づかない限り自社側で把握しづらいという厄介さがある。LinkedIn公式ヘルプには、スパムや不正なコンテンツ、なりすましプロフィールを通報する手順が用意されており、発見した場合はプラットフォーム側への報告が一次対応になる。
2. フィッシング詐欺の標的化
セキュリティベンダーのCheck Point Software Technologiesが発表した「Brand Phishing Report for Q1 2022」（2022年4月19日発表、日本語版は同年4月25日公開）によれば、2022年第1四半期にフィッシングで騙られたブランドのランキングでLinkedInが52％を占め、初登場ながら首位となったと報告されている。これは特定の四半期の調査結果であり、その後の四半期ではMicrosoftやGoogleなど大手IT企業が上位を占める回が多いが、ビジネスSNSであるLinkedIn宛のメッセージやメールを装ったフィッシングが企業の実務担当者に届くリスクは継続的な論点として押さえておく必要がある。
3. 採用・営業を装った標的型攻撃
JPCERT/CCが報告する「Operation Dream Job」では、攻撃者が防衛関連企業の人事担当者になりすましたLinkedInアカウント（乗っ取られた正規アカウントを含む）から、ターゲット組織の従業員に採用関連の話題で接触し、やり取りをSkypeやWhatsAppに移した上で、不正なWord文書を実行させてマルウェアに感染させる手口が確認されている。人事・採用担当者や、対外的な発信を行う立場の社員ほど、こうした接触を受けやすい立場にある。
4. 従業員の投稿による情報漏洩
プロジェクト名や顧客名、社内の組織構造、技術スタックなど、悪意なく投稿された情報が積み重なることで、外部から自社の内部事情が推測可能になることがある。守秘義務のある情報が結果的に漏れた場合、本人に意図がなくても社内規程や契約上の説明責任が発生しうる。
5. 退職者アカウントの管理不備
企業ページの管理者権限やアカウント連携が、退職した社員のLinkedInアカウントに紐づいたまま放置されるケースは見落とされがちなリスクである。退職後も会社ページの投稿・編集権限が残っていれば、本人の意図とは関係なく、アカウント乗っ取り時に会社ページへの被害が及ぶ可能性もゼロではない。
【企業のLinkedIn運用担当者向け】管理者権限の棚卸しという盲点
ここまでの5つのリスクのうち、他の解説記事でほとんど触れられていないのが「退職者アカウントの管理不備」、つまり管理者権限の棚卸しである。LinkedIn公式ヘルプによると、会社・団体ページの管理者には「スーパー管理者」という上位権限が存在し、ページの編集、他の管理者の追加・削除、コンテンツ投稿の権限を持つのはスーパー管理者に限られる（LinkedInヘルプ「LinkedIn会社・団体ページの管理者を追加する」「ページ管理者の役割を削除する」より、2026年8月確認）。また、ページに唯一設定されているスーパー管理者を削除する場合は、先に別のスーパー管理者を割り当てる必要があるという仕様も案内されている。
この仕組みを踏まえると、企業のLinkedIn運用担当者が定期的に行うべき棚卸しは次の3点に集約できる。
- 管理者一覧の定期確認：人事異動・退職のたびに、会社ページの「管理者を編集」画面で現状の管理者リストを確認する運用をルール化する。
- スーパー管理者の複数配置：スーパー管理者が1名しかいない状態は、その人物の退職・異動時にページ運用が一時的に止まるリスクを生む。最低2名を維持する。
- 退職時のオフボーディング手順への組み込み：情報システム部門が行う退職時のアカウント無効化フローに、LinkedInをはじめとする社外SNSの管理者権限削除を明示的な項目として加える。多くの企業でメールアドレスや社内システムのアカウント削除は徹底されていても、SNSの管理者権限は対象から漏れやすい。
これらは特別なツールを必要とせず、既存の人事プロセスにチェック項目を1つ加えるだけで実行できる対策であり、コストをかけずに着手できる点が実務上のメリットになる。
今日からできる企業向けLinkedIn対策
個別の攻撃手口への対処だけでなく、組織としての運用ルールを整えることが被害の予防につながる。
- 多要素認証の必須化：会社ページの管理者アカウント、および業務でLinkedInを使う全社員に多要素認証を必須にする。
- 公開してよい情報範囲のガイドライン化：案件名・顧客名・組織図など、社外に出してよい情報の線引きを文書化し、採用・営業・広報など部署ごとに周知する。
- 不審な接触の報告窓口を明確にする：偽リクルーターや取引先を装った接触があった場合の報告先・記録方法（スクリーンショット、URL、日時の保存）を事前に決めておく。JPCERT/CCも、攻撃者からのファイルダウンロード要求や、コミュニケーションツールをLinkedIn外に変更させようとする誘導など、複数の兆候が重なった場合は注意するよう呼びかけている。
- 業務端末でのSNS利用ルールの明文化：JPCERT/CCは、業務端末でのSNS利用を許可する場合はルールを整備し、攻撃者からの接触があっても被害につながらない対策を検討するよう推奨している。特別な理由がない限り、業務用ホスト上でのLinkedIn利用は慎重に扱うべきだとしている。
実際に確認されている攻撃事例
JPCERT/CCは2019年頃から、攻撃グループLazarusによるLinkedInを悪用した攻撃を国内組織に対して継続的に確認していると公表している。代表的な事例が前述の「Operation Dream Job」で、防衛関連企業のHR担当者になりすます手口のほか、「Operation Dangerous Password」（仮想通貨交換業者を標的、2019年頃から継続）、「Operation AppleJeus」（仮想通貨ユーザーを標的、Telegramへの誘導を経由）といった複数のオペレーションが報告されている。いずれも共通するのは、LinkedIn上の自然なやり取りに見せかけて、最終的にファイルの実行や外部ツールへの誘導を行う点であり、見た目だけでは正規のアカウントか攻撃用アカウントかを判断できないケースもあるとされている。
まとめ
LinkedInの危険性は「プラットフォーム自体の欠陥」ではなく、実名・実職務情報の公開度が高いという特性に由来する。企業として向き合うべきは、なりすまし・フィッシング・標的型攻撃といった外部からの脅威に加え、退職者アカウントの管理不備のような内部の運用の隙である。とくに管理者権限の棚卸しは、既存の退職プロセスに1項目加えるだけで実行できる対策であり、優先度を上げて着手する価値がある。当ブログではTikTokは危険？企業がアカウント運用を始める前に知っておきたいリスクと対策やPinterestは危険？企業アカウント運用のリスクと安全対策など、SNSごとの企業向けリスク解説を順次公開している。あわせてソーシャルリスクとは？企業が知っておくべき対策とポイントも参考にしてほしい。
⇒【東証プライム企業も多数利用！】最先端のSNSマーケティングツール「Tofu Analytics」、「InstantWin」とは？
【PR】楽天市場 【PR】じゃらん 【PR】一休 【PR】Qoo10 【PR】Abema
出典
- JPCERTコーディネーションセンター「あなたではなく組織の財産を狙うLinkedIn経由のコンタクトにご用心」2025年1月10日公開 https://blogs.jpcert.or.jp/ja/2025/01/initial_attack_vector.html
- 警察庁「北朝鮮を背景とするサイバー攻撃グループTraderTraitorによる暗号資産関連事業者を標的としたサイバー攻撃について」2024年12月公開 https://www.npa.go.jp/bureau/cyber/pdf/020241224_pa.pdf
- IT Leaders「『フィッシングで騙られた企業ランキング』でLinkedInがダントツの1位に─チェック・ポイント調査」2022年4月26日公開（原典：Check Point Software Technologies「Brand Phishing Report for Q1 2022」2022年4月19日発表） https://it.impress.co.jp/articles/-/23090
- LinkedInヘルプ「スパム、不適切、不正なコンテンツと判断して報告する」2026年8月確認 https://www.linkedin.com/help/linkedin/answer/a1344213?lang=ja
- LinkedInヘルプ「LinkedIn会社・団体ページの管理者を追加する」2026年8月確認 https://www.linkedin.com/help/linkedin/answer/a569144?lang=ja
- LinkedInヘルプ「ページ管理者の役割を削除する」2026年8月確認 https://www.linkedin.com/help/linkedin/answer/a1494699?lang=ja-JP
