海の向こうの“セキュリティ”

英国の従業員は職場の不正行為にどの程度「寛容」なのか?

 2026年5月、英国の非営利組織Cifasは、会社のログイン情報を売却したことがある、または売却した人物を知っていると回答した英国の従業員が8人に1人(13%)に及ぶとの調査結果を発表しました。これは2025年10月にCifasが公開した調査報告書「Workplace Fraud Trends 2025(職場における不正行為の動向2025)」の一部を紹介したもので、調査対象は従業員数1000人以上の英国に拠点を置く企業に勤務する18歳以上の英国在住の従業員2000人です。また、調査が行なわれた期間は2025年7月14日から7月21日です。

 Cifasは1988年に設立された組織で、公式ウェブサイトでは以下のように紹介されています(日本語参考訳)。

私たちは、詐欺や金融犯罪の撲滅という共通の目標のもと、さまざまなセクターを結集させる非営利の会員制組織です。35年以上にわたり、高品質な詐欺リスクデータや情報をリアルタイムで共有するための、セキュアで合法的かつ効果的な枠組みを提供してきました。数百に及ぶ組織が当団体と連携しています。大手銀行、通信事業者、保険会社から公共部門や政府機関に至るまで、あらゆる組織が互いのデータ、情報、知見を共有し、その恩恵を受けています。会員各社は、業界の垣根を越えてデータや情報を共有することで、詐欺や金融犯罪の発生を抑制しています。

 2025年10月に公開された調査報告書に関するプレスリリースを半年以上が過ぎてから出すのは少々奇妙ですが、実はCifasは2025年10月にも本報告書に関するプレスリリースを出しており、その際には「A fifth of UK employees admit to ‘moonlighting’ for a competitor(英国の従業員の5人に1人が競合他社で副業をしていることを認めている)」とのタイトルで、調査報告書全体の概要を紹介していました。ところが今回の2026年5月のプレスリリースでは「ログイン情報の売却」のみにフォーカスしています。これは、プレスリリースの中でも触れられているように、毎年5月の第1木曜日(2026年は5月7日)に設定されている「世界パスワードの日(World Password Day)」に向けた啓発活動の一環とみられます。

 まず最初に注意しなければならないのは、Cifasの今回のプレスリリースのタイトルでは「One in eight workers (13%) admit to selling company logins(従業員の8人に1人(13%)が会社のログイン情報の売却を認めている)」としていますが、これは誤解を生む表現だという点です。プレスリリースの本文では「従業員の13%が過去12カ月間に会社のログイン情報を元同僚に売却したことがある、または売却したことがある人物を知っていると回答」となっており、13%の従業員全員が売却したことがあるわけではないのです。

 プレスリリースにこのような誤解を生むタイトルを付ける時点で、Cifasという組織の調査報告書の信頼性に疑問を抱いてしまう人もいるかと思いますが、プレスリリースも調査報告書も本文自体は十分に興味深い内容です。そこで今回は、プレスリリースのタイトルはとりあえず見なかったことにして、この報告書の内容を簡単に紹介します。なお、この報告書は表紙などを含めても全部でわずか7ページとコンパクトにまとめられており、報告書というよりは「冊子」に近く、掲載されている図(インフォグラフィックを含む)だけでも概要を把握できるでしょう。

 今回の調査は、職場不正に関する5つの架空のシナリオに対し、その行為を正当化できると思うか、また、自分自身や知人が同じことをしたことがあるかを調べています。

 その5つのシナリオは以下です。

  • 従業員Aは、職歴の空白を埋めるために偽のリファレンス(身元保証書・推薦状など)を捏造して採用される。
  • 従業員Bは、一度限りのアクセスなら無害であると信じて、ログイン情報を売却する。
  • 従業員Cは、二重就労を隠して、競合他社で秘密裏にフリーランスとして働く。
  • 従業員Dは、承認の手間を避けるために、個人的な昼食代を業務経費として請求する。
  • 従業員Eは、勝った後に返済するつもりで、会社の資金をギャンブルに使い込む。

 調査の結果明らかになったのは、リーダーを含むすべての役職レベルにおいて、これらの不正に関連する行動を容認する回答者が存在していたという点です。また、業界別では、ITおよび通信業界の専門家が複数のシナリオに対して最も高い容認度を示していたそうです。

 これらの結果は以下の5点にまとめられています。

  • 24%は、競合他社で秘密裏に働くこと(「ポリガマス・ワーキング(polygamous working)」として知られる慣行)を容認できると考えている。
  • 8人に1人(13%)の従業員は、会社のログイン情報を自分が売却したことがある、または売却したことがある人物を知っていると回答しており、多くの場合、その行為は無害であると考えている。
  • 19%は、自分または知人が職歴の空白を埋めるために不正なリファレンス(雇用履歴偽装サービス)を使用したことがあると回答。
  • 13%は、会社の資金を使って賭け事をした人物を知っていると回答しており、個人の金銭的プレッシャーと内部脅威の交差を浮き彫りにしている。
  • 4分の1近く(24%)は、過去1年間に経費不正を行なった人物を知っていると認めており、これが最も多く目撃された行動となっている。

 調査結果をまとめたのが以下の図です。

[図1]各シナリオを「正当化できる」と回答した人の割合

  • 雇用履歴偽装サービスの利用:30%
  • ポリガマス・ワーキング(競合他社での副業):24%
  • 経費不正(私的な食事の代金を経費として請求):24%
  • 会社システムへのアクセス権の売却:13%
  • ギャンブル関連の内部脅威(会社の資金を賭けに使用):11%

[図2]実際に行なったことがある、または行なったことがある人物を知っていると回答した人の割合

  • 経費不正:24%
  • ポリガマス・ワーキング:19%
  • 雇用履歴偽装サービスの利用:19%
  • 会社システムへのアクセス権の売却:13%
  • ギャンブル関連の内部脅威:13%

 この結果を踏まえて、報告書では雇用主に対するアドバイスとして、以下の7点を挙げています。

  • 定期的な不正リスク評価の実施
  • 採用候補者の徹底的な審査(リファレンスチェックを含む)
  • 採用後も継続的なバックグラウンドチェックを実施
  • 全チームに対して専門的な不正防止トレーニングを実施
  • 責任あるかたちでの従業員の行動監視
  • 透明性と説明責任の文化を構築
  • 脆弱性を減らすための従業員のウェルビーイング(福利厚生・健康)支援

 最後には、Cifasが提供している組織防衛を強化するための不正防止ツールやトレーニングプログラムが紹介されています。


 職場での不正行為を容認している人や、実際に不正行為を行なったことがある、または行なったことがある人物を知っていると回答している人は、全体から見れば少数派ですが、それでも、無視できる割合ではありません。また、回答者全員が正直に答えているとは限らず、実際にはもっと多いと考えるのが自然でしょう。

 今回の調査はあくまで英国に拠点を置く企業で働く英国在住の従業員を対象としたものですが、他の国ではどのような結果になるのか興味を持つ人は少なくないと思います。特に、就労意識が英国とは異なると思われる日本ではどうなるのか気になります。しかし、そもそも日本ではこのようなデリケートな問題に関する調査に対して正直に回答する人が多いとは想像しにくく、調査自体が意味をなさない、とまでは言わないまでも、実態を十分に把握するのは難しいかもしれません。

山賀 正人

CSIRT研究家、フリーライター、翻訳家、コンサルタント。最近は主に組織内CSIRTの構築・運用に関する調査研究や文書の執筆、講演などを行なっている。JPCERT/CC専門委員。日本シーサート協議会専門委員。