【連載第1回】なぜ中小企業がサイバー攻撃に狙われるのか ― 「うちは関係ない」が最大のリスク
サイバーセキュリティと聞くと、「うちは中小企業だから狙われない」「盗まれるような機密情報はない」と考える経営者は少なくありません。しかし、近年のサイバー攻撃の実態は、この認識が極めて危険であることを示しています。
中小企業が狙われる3つの理由
1. セキュリティ投資が少なく、侵入が容易
攻撃者は「最も侵入しやすいところ」を狙います。大企業が数億円規模のセキュリティ対策を講じる一方、中小企業はファイアウォールとウイルス対策ソフトだけという企業も珍しくありません。
2. サプライチェーン攻撃の踏み台になる
大企業を直接攻撃できなくても、取引先の中小企業を経由して侵入するケースが増えています。2022年のトヨタ自動車の国内全工場停止は、サプライヤーへの攻撃がきっかけでした。
3. ランサムウェアは「数撃てば当たる」戦略
ランサムウェア攻撃は無差別にばらまかれることが多く、企業規模は関係ありません。身代金額は企業の支払い能力に応じて設定されるため、中小企業であっても数百万円単位の被害が生じます。
「狙われる」の実態は、人ではなく機械が探している
「狙われる」と聞くと、誰かが自社を選んで調べている姿を想像しがちですが、実際は違います。インターネット上に公開されている機器やサービスを、自動化されたツールが常時スキャンしています。
- VPN機器やルーターの既知の脆弱性が放置されていないか
- **リモートデスクトップ（RDP）**が外部に開いていないか
- パスワードが単純なアカウントでログインできないか
条件に合致した時点で対象になります。企業規模も業種も、判断材料に入っていません。 「うちのような会社を調べる人はいない」という前提が成立しないのは、そもそも人が調べていないためです。
被害の中身は身代金だけではない
金銭被害を「身代金」だけで見積もると、実態を大きく下回ります。実際に発生する費用は次のとおりです。
| 項目 | 内容 |
|---|---|
| 業務停止による損失 | 受注できない、出荷できない期間の売上 |
| 復旧費用 | 調査（フォレンジック）、システム再構築、機器の入れ替え |
| 人件費 | 社員が復旧対応と手作業の代替業務に費やす時間 |
| 対外対応 | 取引先への説明、顧客への通知、問い合わせ対応 |
| 信用の低下 | 取引条件の見直し、新規案件の失注 |
中小企業で最も重いのは業務停止です。 システムが1週間止まれば、その間の売上は戻りません。復旧に数週間を要した事例も報告されています。
「支払わなければ済む」話でもありません。 現在主流の攻撃は、暗号化に加えてデータを盗み出し、公開すると脅す形を取ります。バックアップから復旧できても、情報漏えいとしての報告義務と対外対応は残ります。
「何も起きていない」と「気づいていない」は違う
侵入されてから発覚するまでに、数ヶ月かかることは珍しくありません。攻撃者は侵入後すぐに動かず、権限を広げながら情報を集める期間を置くためです。
次に当てはまる場合、現時点で異常を検知できる状態にありません。
- 認証の失敗ログやサインイン履歴を、誰も見ていない
- ウイルス対策ソフトの管理画面を、導入以来開いていない
- 「怪しいメールを開いた」という報告が、この1年で1件も上がっていない
最後の項目は特に注意が必要です。フィッシングメールは必ず届いています。 報告が0件なのは、届いていないのではなく、報告する仕組みがないか、報告しづらい空気があるかのどちらかです。
攻撃者から見た「狙いやすい企業」の特徴
攻撃者が偵察段階でチェックするポイントがあります。
- メールセキュリティが未設定: SPF/DKIM/DMARCが未設定の企業はフィッシング攻撃の標的になりやすい
- VPNやリモートデスクトップが公開されている: 既知の脆弱性が放置されていると自動ツールで発見される
- Webサイトの情報が古い: CMSのバージョンが古い、SSL未対応などは「セキュリティ意識が低い」シグナルになる
- 従業員のSNS: 社内システムや使用ツールの情報が公開されていることがある
中小企業が取るべき第一歩
すべてを一度に対策する必要はありません。まずは現状を把握し、優先度の高いものから着手することが重要です。
費用をかけずに、今週中に確認できることが3つあります。
- 多要素認証が全員に有効になっているか — 一部のユーザーだけ有効、という状態が最も多く見られます。追加費用なしで有効化できます
- 外部に公開している機器の更新プログラムが最新か — VPN機器、ルーター、ファイアウォール。保守期限が切れていないかも併せて確認します
- バックアップから実際に戻せるか — ファイルを1つ復元してみるだけで構いません。取得できていることと、戻せることは別です
この3つは、いずれも攻撃の入口を直接塞ぐ項目です。具体的な確認項目はチェックリスト20項目にまとめています。
経営者が判断すべきこと
セキュリティ対策には、IT担当者では決められない論点が含まれます。平時に決めておくべきものが3つあります。
- どこまで投資するか — 何を守り、どこからはリスクを受け入れるか
- 業務を止める判断を誰がするか — 感染時、拡大を止めるには業務システムの停止が要ります。IT担当者に背負わせない
- 身代金を支払うか — 有事に迫られてからでは冷静な判断ができません
「対応しないと決める」ことも正当な判断です。 記録が残っていれば、後から見直せます。危険なのは、判断されないまま放置されている状態です。
次回は、知っておくべきサイバー攻撃の手口と種類について解説します。
まとめ
- 攻撃者が狙うのは情報の価値ではなく侵入しやすさ
- 「狙われる」の実態は、自動化されたツールが公開機器を常時スキャンしている状態。企業規模も業種も判断材料に入っていない
- 被害は身代金だけでなく、業務停止・復旧費用・人件費・対外対応・信用低下の合計
- 中小企業で最も重いのは業務停止。止まった期間の売上は戻らない
- 現在の主流は二重恐喝。バックアップから戻せても情報漏えいの報告義務は残る
- 侵入から発覚まで数ヶ月かかることは珍しくない。「何も起きていない」と「気づいていない」は違う
- 怪しいメールの報告が年0件なら、届いていないのではなく報告の仕組みがない
- 今週できるのは、MFAの全員有効化・公開機器の更新確認・バックアップからの復元テストの3つ
- 経営者が平時に決めるべきは、投資の上限・業務停止の判断者・身代金の方針
この連載について: 「中小企業のためのサイバーセキュリティ入門」は全10回の連載で、情シス担当者やIT兼任者が最低限押さえるべきセキュリティの基礎知識を解説します。
次回: 【連載第2回】知っておくべきサイバー攻撃の手口5選 →
まとめ・ご相談
セキュリティ対策の強化をご検討の方は、Security365（セキュリティ運用・SOCライト）をご覧ください。
貴社のIT課題について、まずは60分の無料相談でお気軽にご相談ください。