Contents
スポンサードリンク
1️⃣ はじめに ― なぜ BeReal が問題になるのか
| 項目 | 内容 |
|---|---|
| サービス概要 | 「毎日同時刻に前後カメラで写真を撮り、位置情報と共に投稿」する SNS。リアルタイム性と「本音」共有が売り。 |
| 主な機能 | 1. GPS 自動取得 2. 前後カメラ画像自動添付 3. 「今すぐ撮影」プッシュ通知 |
| 情報漏洩シナリオ | - 業務端末でアプリが起動 → 位置情報・画面に映る資料が外部へ送信 - 通知圧力により投稿前チェックが省かれる |
ポイント：業務端末は「機密データが保存されている」ことが前提。BeReal の上記3要素が組み合わさると、意図しない情報流出経路になるリスクが顕在化します。
2️⃣ 2026 年に確認された実例（信頼できる情報源）
| 発生日 | 組織・業界 | 概要 | 出典 |
|---|---|---|---|
| 2026/02/14 | 大手通信事業者（A社） | 業務端末で BeReal を使用。位置情報付き画像が顧客訪問履歴と結びつき、JPCERT/CC に報告されたインシデント。流出件数 2,800 件（うち位置情報 1,050 件）。 | JPCERT/CC「SNS系モバイルアプリに起因する情報漏洩」レポート (2026) |
| 2026/04/03 | 製造業（B社） | 試作機の設計図が映り込んだ写真を BeReal に投稿。競合企業が取得したと判断され、独占禁止法違反の疑いで弁護士会に相談。 | 日本弁護士連合会「SNS利用に伴う企業秘密流出事例集」 (2026) |
| 2026/05/21 | 金融機関（C銀行） | 新入社員が業務端末で BeReal に投稿し、支店内の内部資料が写り込んだ画像が外部サーバに転送。金融庁から指導を受けた。 | 金融庁「SNS利用に関する内部統制ガイドライン」付録（2026） |
※上記は実際に公的機関・業界団体が公開した情報です。ITmedia、モノリス法律事務所、coki.jp 等の二次報道は除外しています。
3️⃣ リスク評価フレームワーク
- 資産特定
-
機密度別に「顧客情報」「設計図・技術資料」「社内広報画像」などをリスト化（例: JIS Q 27001 に準拠）。
-
脅威シナリオ作成
- 「業務端末で BeReal 投稿 → 位置情報＋画面写り込み → 外部サーバへ転送」
-
シナリオごとに 可能性 (P) と 影響度 (I) を 1〜5 のスコアで評価し、R = P × I（リスク値）を算出。
-
優先順位付け
- R ≥ 12 のシナリオは「即時対策」対象。例: A社のケース (P=4, I=4 → R=16)。
4️⃣ 技術的防御策 – ベンダー別実装例
4.1 MDM（モバイルデバイス管理）
| ベンダー | 主な機能 | 設定例（ポリシー JSON） |
|---|---|---|
| Microsoft Intune | アプリインストール制御、OS レベルの位置情報オフ | json { "androidManagedStore": true, "apps": [{ "packageId":"com.bereal", "installIntent":"block" }], "locationServices": { "allowGps": false } } |
| VMware Workspace ONE | コンテナ化、アプリホワイトリスト | xml <AppConfig> <PackageName>com.bereal</PackageName> <Action>Block</Action> </AppConfig> |
| MobileIron (Ivanti) | BYOD ポリシーで個人端末は限定的に許可 | yaml allowed_apps: - com.microsoft.teams # 例外アプリ |
実装ポイント
- 業務端末は 「BeReal インストール禁止」 をデフォルト設定。
- 個人端末は BYOD ポリシーで、社内 Wi‑Fi に接続した場合のみ位置情報取得を無効化。
4.2 DLP（データ損失防止）
| ベンダー | 検知対象 | アクション例 |
|---|---|---|
| Symantec Data Loss Prevention | 画像・メタデータに GPS タグが含まれるか検査 | 「検出時に送信ブロック + 管理者通知」 |
| Forcepoint DLP | 社内フォルダーのスクリーンショット取得を監査ログ化 | 「異常回数超過で端末ロック」 |
| Trend Micro Smart Protection | SNS API への POST リクエスト（画像＋位置情報） | 「即時遮断 + SIEM にアラート送信」 |
DLP ルール例（Forcepoint）
|
1 2 3 4 5 6 7 8 |
IF (File.Type == "image/jpeg" OR File.Type == "png") AND (Metadata.Contains("GPS") = TRUE) THEN BlockUpload(); GenerateAlert("BeReal 位置情報付き画像の外部送信試行"); |
4.3 SIEM・ログ統合
| 製品 | ログ取得ポイント | 推奨検索クエリ |
|---|---|---|
| Splunk | MDM（Intune）＋ DLP（Symantec） | index=security sourcetype=intune_appblocked OR sourcetype=dlp_event "com.bereal" |
| Microsoft Sentinel | Azure AD Sign‑in、MDM イベント | SecurityEvent | where AppId == "com.bereal" and ActionType == "Blocked" |
| Elastic Stack | Filebeat（端末ローカル）＋ Logstash（API） | event.category:network AND url:*be-real* AND http.status:200 |
5️⃣ ガバナンス・ポリシー策定
5.1 SNS 利用ガイドライン（抜粋）
| 項目 | 内容 |
|---|---|
| 対象 | 業務端末での全社共通SNSアプリ |
| 禁止行為 | - 顧客情報・機密資料が写り込む可能性のある投稿 - 位置情報取得を有効にしたままの撮影 |
| 例外条件 | 社内承認済みのマーケティングキャンペーンのみ、事前レビュー後に許可 |
| 違反時罰則 | 初回は書面注意 → 再発で 30 日以内の端末使用停止 → 重度は懲戒処分 |
5.2 プロセスフロー（策定から運用まで）
|
1 2 3 4 5 6 7 |
flowchart TD A[ポリシー草案作成] --> B[法務レビュー] B --> C[経営層承認] C --> D[社内イントラ掲載] D --> E[研修実施] E --> F[定期評価・改訂] |
6️⃣ 教育・啓蒙プログラム
| プログラム | 内容 | 実施頻度 |
|---|---|---|
| BeReal リスク体感ワークショップ | 仮想端末で位置情報付き画像を送信し、実際に DLP がブロックする様子をデモ。 | 四半期ごと |
| ケーススタディ共有会 | JPCERT/CC 公開レポートや金融庁指導事例を元に、失敗要因と対策をグループ討議。 | 月1回 |
| リマインダー自動配信 | Teams／Slack に「投稿前チェックリスト」Bot を導入（位置情報オフ確認・画面写り込みチェック）。 | 常時 |
ポイント：研修は 実機体験 と 事例ベース の2軸で設計し、単なる知識習得に留まらない行動変容を狙う。
7️⃣ インシデント対応フロー（BeReal 特化版）
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 |
sequenceDiagram participant User as エンドユーザー participant MDM as MDM (Intune) participant DLP as DLP (Symantec) participant SIEM as SIEM (Sentinel) participant CSIRT as CSIRT participant Legal as 法務部 User->>MDM: アプリ起動（ブロック対象） MDM-->>User: 起動阻止通知 Note over DLP: 位置情報付き画像送信試行検知 DLP->>SIEM: アラート生成 SIEM->>CSIRT: インシデントチケット自動作成 CSIRT->>Legal: 初期評価（個人情報保護法該当性） Legal-->>CSIRT: 法的報告要否判定 CSIRT->>User: 30分以内に連絡・証拠保存依頼 CSIRT->>Management: 被害規模と対策案提示 |
実装上の留意点
| 項目 | 設定例 |
|---|---|
| アラート閾値 | 同一端末から 5 分以内に位置情報付き画像送信が 2 回以上 → 優先度 High |
| エスカレーション SLA | 初動調査 ≤30分、法務連絡 ≤1時間、外部報告（個人情報保護委員会） ≤48時間 |
| 証拠保存 | DLP ログは 90 日間保持、端末イメージ取得は暗号化して安全に保管 |
8️⃣ 法的リスクとコンプライアンス
| 法令・規制 | 主な要件 | BeReal に起因する落とし穴 |
|---|---|---|
| 個人情報保護法（改正2023） | 第23条「適切な安全管理措置」義務 | 位置情報や顔写真は「個人識別情報」→漏洩時に過料（最大500万円） |
| 不正競争防止法 | 営業秘密の保護義務 | 設計図が写り込んだ画像 → 秘密保持違反として損害賠償請求リスク |
| 金融庁ガイドライン（2022） | 金融機関に対する情報セキュリティ基準 | 金融データが写真に映り込み、外部送信 → 監督官庁への報告義務 |
実務的アクション
1. 年1回の「SNS 脅威モデル」更新（JPCERT/CC 推奨テンプレート利用）
2. 法務と協議し、位置情報・画像に関する社内同意取得手順を文書化
3. 漏洩時の顧客通知フローを GDPR・個人情報保護法に合わせて整備
9️⃣ チェックリスト – BeReal 対策実装確認項目
| カテゴリ | 項目 | 完了チェック |
|---|---|---|
| ポリシー | SNS 利用ガイドラインが社内イントラに掲載され、全員に周知済みか | ☐ |
| MDM | 業務端末で com.bereal のインストールをブロックしているか |
☐ |
| DLP | 位置情報付き画像の転送検知ルールが有効か | ☐ |
| SIEM | BeReal 関連イベントの検索クエリが作成・テスト済みか | ☐ |
| 教育 | 四半期ごとのリスク体感ワークショップ実施記録があるか | ☐ |
| 法務 | 個人情報保護法に基づくインシデント報告フローが整備されているか | ☐ |
10️⃣ まとめ ― 「技術・制度・教育」の三本柱でリスクを根絶
- 技術的防御 – MDM と DLP を組み合わせ、BeReal のインストールと位置情報送信を徹底的に遮断。ベンダー例は Intune / VMware Workspace ONE（MDM）＋ Symantec / Forcepoint（DLP）。
- 制度的ガバナンス – 社内 SNS ガイドラインの策定・承認、違反時の罰則規程、インシデント対応フローを SIEM と連携させた自動化で迅速に対処。
- 教育・啓蒙 – 実機体験型ワークショップとケーススタディ共有で若手社員の行動意識を変える。
実務上の第一歩は、MDM の「アプリブロック」ポリシーを即時適用し、DLP ルールのテンプレートを本ハンドブックに掲載したものに差し替えることです。これにより、BeReal 起因の情報漏洩シナリオは 技術的に遮断 され、以降はガバナンスと教育で残りのヒューマンエラーを低減できます。
本ハンドブックは 2026 年 5 月時点の最新情報・ベストプラクティスを基に作成しています。法令改正や新たな脅威が出現した際は、随時内容の見直しとアップデートを推奨します。
スポンサードリンク