サイバー攻撃は大企業だけの問題ではありません。IPA（情報処理推進機構）が公表した事例集によると、ランサムウェア被害のうち約66%が中小企業で発生しています。限られた人員と予算で事業を回す中小企業ほど、攻撃者にとっては狙いやすい相手になっているのが実情です。
出典・参考資料（1件）
とはいえ「自社と同じくらいの規模の会社が、実際にどんな攻撃を受け、何を失ったのか」が見えなければ、どこから手を付けるべきか判断しづらいものです。被害額や復旧にかかった時間、侵入された経路まで分かって初めて、自社のリスクを具体的に見積もれます。
本記事では、IPAが公表した中小企業の被害事例と、実名で報道された事例をもとに、攻撃手口・業種・規模・侵入経路・被害額を一覧で整理します。そのうえで、なぜ中小企業が狙われるのか、取引先にどんな影響が及ぶのか、手口ごとに何を優先して備えるべきか、そして自社の入口が開いていないかをどう点検するかまでを解説します。
目次
一括ダウンロードする
中小企業のサイバー攻撃の被害事例
まず、自社に近い規模・業種の被害事例を一覧で確認しましょう。下表は、IPAが令和7年度に中小企業126社を対象とした調査（ASM診断）をもとに公表した被害事例5件を、攻撃手口・業種・従業員規模・侵入経路・主な被害・被害額で整理したものです。
| 攻撃手口 | ランサムウェア感染 | 情報漏えい | Webサイト改ざん・フィッシング | 標的型メール | 社長アカウント乗っ取り（BEC） |
|---|---|---|---|---|---|
| 業種・従業員規模 | 製造業／80名 | 情報通信業／100名 | 金融・保険業／50名 | 金融・保険業／20名 | 製造業／30名 |
| 侵入経路 | VPN装置の脆弱性更新漏れ | クラウドストレージのアクセス権限の誤設定 | Webサイト更新管理システムの追加機能の未更新 | 取引先を装うメールの添付ファイル | パスワードの使い回しによる社長のクラウドメール乗っ取り |
| 主な被害・取引先への影響 | 設計・経理データが暗号化し業務停止。クラウド上のバックアップも暗号化され復旧困難、納期遅延が発生 | 顧客リスト・取引条件が外部に流出。取引先の信頼が低下し一部取引が停止 | 自社サイトがフィッシングサイトに改ざんされ、顧客が入力したクレジットカード情報が漏えい | 基幹システムが停止し契約者情報が流出。復旧・調査で数週間の業務遅延 | 社長を装うメールに経理担当が騙され、攻撃者の口座へ500万円を送金 |
| 想定被害額（モデル積算） | 約4,600万円 | 約5,300万円 | 約2,420万円 | 約2,350万円 | 約820万円 |
被害額はIPAがモデルケースとして積算した想定値で、実際の損害額ではありません。
IPAは、これらの被害額について「モデルケースとして積算したものでありシナリオや被害額等には、一部想定を含みます」と明記しています。実際の損害そのものではなく、同種の被害が起きた場合に見込まれる費用の目安として読んでください。費用の内訳は、初期対応・復旧・報告公表・弁護士費用・再発防止・利益損害などに分かれています。
これらのモデル事例は復旧までの日数を具体的には示していませんが、実際の被害では復旧の長期化が進んでいます。警察庁の調査では、調査・復旧に1か月以上を要した組織が49%にのぼり、後述する医療機関の事例では通常診療の再開まで2か月以上を要しました。
出典・参考資料（1件）
VPN装置の脆弱性を悪用されたランサムウェア感染（製造業・80名）
従業員80名・売上約10億円の製造業の事例です。情報システム担当は他業務と兼任の2名で、ウイルス対策ソフトとオンラインバックアップを導入し、年間約100万円をセキュリティに充てていました。
それでも、リモートワーク用のVPN装置の脆弱性を更新しないまま放置していたことが侵入口になりました。ウイルス対策ソフトの監視が届かない経路から侵入され、設計データと経理データが暗号化されて業務が停止します。さらにクラウドに保存していたバックアップデータまで暗号化され、復旧が困難になりました。
IPAはこの事例の想定被害額を約4,600万円と積算しています。内訳は、初期対応費用が約3,050万円、復旧費用が約350万円、報告公表費用が約300万円、弁護士・訴訟費用が約150万円、再発防止費用が約750万円です。バックアップを持っていても、常時接続のまま暗号化されれば意味をなさない点が、この事例の教訓といえます。
出典・参考資料（1件）
クラウドストレージの設定ミスによる情報漏えい（情報通信業・100名）
従業員100名の情報通信業では、クラウドストレージがインターネットから誰でも閲覧できる状態になっていました。アクセス権限の誤設定により、外部から顧客リストや取引条件がダウンロードされます。
情報の流出そのものに加え、取引先からの信頼が低下して一部顧客との取引が停止しました。想定被害額は約5,300万円で、その大半にあたる約5,000万円が、取引停止による利益損害です（売上の5%とするのはIPAが置いたモデル前提です）。
システムが壊されなくても、設定ひとつで事業の根幹が揺らぐことを示す事例です。この企業は被害後、個人情報保護委員会への報告と本人への通知を行い、クラウドストレージのアクセス権限を全社で点検・再設定しています。
出典・参考資料（1件）
Webサイト改ざんによるクレジットカード情報の漏えい（金融・保険業・50名）
従業員50名の金融・保険業の事例では、営業担当1名が情報システムの管理を兼任していました。Webサイトの更新管理システムで追加した機能を更新しないまま運用していたことが突かれ、自社サイトがフィッシングサイトに改ざんされます。
その結果、顧客が自社サイトに入力したクレジットカード情報が外部へ漏えいしました。想定被害額は約2,420万円で、大半の約2,000万円は一部取引停止による利益損害です。IPAはこの事例に、Webアプリケーション診断など改ざんを検知する仕組みの導入を推奨対策として挙げています。
出典・参考資料（1件）
取引先を装う標的型メールからの侵入（金融・保険業・20名）
従業員20名の金融・保険業の事例では、従業員が取引先を装ったメールの添付ファイルを開いたことで端末がマルウェアに感染し、社内ネットワーク全体へ広がりました。導入済みのマルウェア対策ソフトでは検知できない新型のマルウェアが使われていた点も特徴です。
結果として基幹システムが停止して業務継続が困難になり、契約者の情報が外部へ流出しました。復旧と調査のために数週間の業務遅延が生じています。想定被害額は約2,350万円で、初期対応費用の約1,200万円が大きな比重を占めます。IPAはこの事例に対し、標的型メールを模擬した訓練で従業員の対処能力を高めることを推奨対策として挙げています。
出典・参考資料（1件）
社長メールの乗っ取りによる送金詐欺（製造業・30名）
従業員30名の製造業では、社長が登録していた外部サービスからメールアドレスとパスワードの組み合わせが流出していました。そのパスワードが社長のクラウドメールと同一だったため、攻撃者は社長のメールアカウントへのログインに成功します。
乗っ取られたアカウントからビジネスメール詐欺（BEC）が仕掛けられ、社長を装うメールを信じた経理担当が、攻撃者の口座へ500万円を送金してしまいました。想定被害額は約820万円で、うち500万円が流出した資金そのものです。高度な攻撃技術ではなく、パスワードの使い回しという身近な習慣が入口になっている点に注意が必要です。
出典・参考資料（1件）
実名で報道された事例——取引先・グループへの波及
ここまではIPAが中小企業の調査をもとに作成したモデル事例でした。中小企業の実被害は社名を伏せて公表されることが多く、実名・実額で確認できる事例は規模の大きい組織に偏りがちです。
以下の実名事例は規模こそ大きいものの、突かれた入口（VPNや設定ミス、取引先を装うメール）は中小企業の事例と変わりません。公表資料や警察庁資料で裏取りできる事例に加え、報道で確認できる事例も含めて整理します。
出版大手のKADOKAWAは、2024年6月8日にグループの複数サーバーで障害が発生し、ランサムウェアを含む大規模なサイバー攻撃を受けたことを確認したと公表しました（開示は同年8月5日）。同社の発表によると、外部に漏えいした個人情報は合計254,241人分にのぼり、同社は個人情報保護委員会へ報告しています。
警察庁も令和6年の代表的な事案として、この攻撃で25万人分を超える個人情報が漏えいし、調査・復旧費用等として20億円を超える損失を計上する見込みと公表された旨を記録しています。漏えいの対象には取引先のクリエイターや個人事業主も含まれていました。
食品大手のニップンでは、2021年7月7日未明にグループシステムでサイバー攻撃によるシステム障害が発生しました。子会社のオーケー食品工業は、財務・会計を含む基幹システムが利用できなくなったことを理由に、四半期決算の発表を延期しています。1社の被害がグループ全体の事業活動を止めた事例です。
出典・参考資料（1件）
サプライチェーンを通じた波及として広く知られるのが、2022年のトヨタ自動車の国内全14工場・28ラインの稼働停止です。報道各社によると、直接の発端はトヨタ本体ではなく、取引先である部品メーカー小島プレス工業へのサイバー攻撃でした。中小企業・取引先が踏み台になると、その影響は取引全体へ広がり得ることを示しています。
規模の近い例としては、徳島県つるぎ町立半田病院のランサムウェア感染があります。報道によれば、2021年10月31日未明に院内システムが感染して電子カルテが使えなくなり、通常診療の再開は2022年1月4日まで、2か月以上を要しました。120床規模の医療機関でも、復旧までこれだけの時間と紙での代替運用を強いられています。
なぜ中小企業がサイバー攻撃に狙われるのか
ここからは、事例の背景にある「なぜ狙われるのか」を整理します。中小企業が標的になりやすい理由は、大きく3つに分けられます。
1つ目は、対策が比較的手薄になりやすいことです。警察庁によると、令和6年のランサムウェア被害報告件数は222件と高水準で、組織規模別では大企業の被害が減る一方、中小企業は前年比37%増加しました。攻撃サービスを使う実行者の裾野が広がり、対策が手薄な中小企業に被害が集中していると分析されています。
出典・参考資料（1件）
2つ目は、インターネットから見える「入口」が開いたままになりやすいことです。警察庁の分析では、ランサムウェアの感染経路の8割以上がVPNやリモートデスクトップ用の機器からの侵入でした。その原因として、ID・パスワードが安易だったことや、不要なアカウントが管理されずに残っていたことが挙げられています。先に見たVPN装置の事例も、更新を怠った入口が突かれたものです。
IPAが中小企業126社に実施したASM診断（外部から見えるIT資産の点検）でも、外から見える脆弱性が数多く検出されています。たとえばHTTPセキュリティヘッダの不備は124社、通信の暗号化不足は120社、資格情報の流出は101社で確認されました。多くの企業で、気づかないうちに外から狙える穴が開いていることになります。
出典・参考資料（1件）
3つ目は、取引先への侵入経路（踏み台）として狙われることです。先のトヨタの事例のように、セキュリティの手薄な中小企業が突破口になれば、攻撃は取引先や納入先へ連鎖します。自社が最終標的でなくても、サプライチェーンの一員である限り攻撃対象になり得ます。
取引先を経由して広がるこうした攻撃の手口と、自社が踏み台にされないための備えは、以下の記事で手口の種類・被害事例・取引先を含めた対策まで詳しく整理しています。
取引先への影響と報告義務
ここからは、被害が自社だけにとどまらない点を見ていきます。経済産業省の調査では、サイバー攻撃の被害を受けた中小企業の約7割が、取引先企業にも影響が及んだと回答しています。被害は自社の損失にとどまらず、取引関係そのものを揺るがします。
先に紹介したクラウド設定ミスの事例でも、被害額約5,300万円の大半は取引停止による利益損害でした。情報が漏れた事実以上に、「あの会社は情報管理が甘い」という評価が取引の継続を左右します。経済産業省は、サプライチェーン全体で対策状況を可視化する制度の構築を進めており、今後は取引先からセキュリティ対策の実施を求められる機会が増えると見込まれます。
加えて、個人データの漏えいが生じた場合には法令上の対応も必要になります。個人情報の保護に関する法律（個人情報保護法）第26条は、個人の権利利益を害するおそれが大きい一定の漏えい等が生じたときに、個人情報保護委員会への報告と本人への通知を義務づけています。
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。
個人情報の保護に関する法律 第26条第1項（e-Gov法令検索）
すべての漏えいが無条件に報告対象になるわけではなく、委員会規則で定める一定の事態が対象です。先のクラウド設定ミスの事例では、被害企業が実際に個人情報保護委員会への報告と本人への通知を行っています。自社で判断に迷う場合は、委員会のガイドラインを確認するか、専門家に相談するのが安全です。
実際に漏えいが発覚した場合に、どの順で初動を進め、どんな基準で報告・本人通知が必要になるのか、再発防止までの具体的な流れは、以下の記事で手順に沿って解説しています。
一括ダウンロードする
事例の被害を防ぐために優先すべき対策（手口別）
ここからは、事例に出てきた手口ごとに、どんな対策が効くのかを整理します。IPAは各事例に対して推奨対策を示しており、それを手口別にまとめると次のようになります。
手口別に効く対策
- VPN悪用・ランサムウェア：VPN装置やOSの脆弱性を速やかに更新し、安易なパスワードを見直して多要素認証（MFA）を導入します。あわせて、ネットワークから切り離した、あるいは書き換えられない形式のバックアップを用意し、暗号化されても復旧できる状態を保ちます。
- クラウド設定ミス：クラウドストレージのアクセス権限を棚卸しし、必要最小限に絞る「最小権限の原則」を適用します。公開範囲の設定を定期的に点検することも欠かせません。
- Webサイト改ざん：サイトの更新管理システムやプラグインを最新に保ち、改ざんや脆弱性を検知する仕組み（Web改ざん検知・Webアプリケーション診断）を取り入れます。
- 標的型メール：標的型メールを模擬した訓練で従業員の対処能力を高め、未知のマルウェアも検知・対応できるエンドポイント対策（EDR）を組み合わせます。
- アカウント乗っ取り・BEC：パスワードの使い回しをやめ、重要なアカウントには多要素認証を設定します。送金の指示はメールだけで判断せず、別の手段で確認する運用ルールも有効です。
出典・参考資料（1件）
なかでも被害額が大きくなりやすいランサムウェアについては、予防・バックアップ・感染時対応をどう組み立てて進めるかを、以下の記事で具体的にまとめています。
何から手を付けるべきか
すべてを一度に実施するのは、人員の限られる中小企業には現実的ではありません。優先順位を付けるなら、まず被害の起点になりやすい「入口」と、被害が起きても立ち直れる「バックアップ」から着手するのが合理的です。
具体的には、VPN・ネットワーク機器やOSの更新、安易なパスワードの見直しと多要素認証、不要なアカウントの削除が、費用を抑えつつ効果の大きい最優先事項です。次いで、暗号化されても復旧できるバックアップ体制を整えます。従業員教育（標的型メール訓練）やアクセス権限の見直しは、これらと並行して継続的に進めると無理がありません。
被害に気づいたときの初動
万一感染に気づいたときは、被害を広げないための初動が重要です。まず感染した端末をネットワークから切り離し、感染拡大を止めます。
端末の再起動は、証拠の消失や暗号化の進行につながる場合があるため避けます。ランサムウェアで身代金を要求されても、支払ってもデータが戻る保証はなく、支払う企業として再び狙われるおそれがあります。そのため原則として支払わず、バックアップからの復旧と警察・関係機関への相談を進めます。並行して、経営層・取引先・必要に応じて個人情報保護委員会など、報告すべき相手への連絡を行います。
初動でやってはいけないことや、報告義務を含めた対応の全体手順をあらかじめ押さえておきたい場合は、以下の記事がインシデント発生時の進め方を順を追って解説しています。
手口別に備える社内セキュリティソリューション
ここからは、これまで見た手口に対して、専任のIT担当者を置きにくい中小企業でも導入しやすいソリューションを紹介します。「ネットワークの出入口から端末・人までをまとめて守りたい」「まず端末の守りを固めたい」「自社の弱点を客観的に診断したい」といった課題に応じて選べます。
以下の記事では社内セキュリティソリューション全般を、守る対象別のタイプや代表サービス・選び方まで横断的に解説しています。特定の手口に絞らず、自社に必要な備えを全体像から比較検討したい方はこちらもご覧ください。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
| サービス名 | Eye"247" Safety Zone USAV Ⅵ | Eye"247" Safety Zone | KATABAMI サイバーセキュリティ対策パッケージ |
|---|---|---|---|
| 提供形態 | ハードウェア同梱の統合パッケージ （UTM＋端末対策＋業務可視化＋メール訓練） 導入は販売代理店経由 | エンドポイントセキュリティソフト単体 （EPP＋EDR） | 予防（脆弱性診断）・復旧（バックアップ）・補償（サイバー保険）の統合パッケージ |
| 主な守備範囲 | ネットワークの出入口・端末・人 （侵入／マルウェア／標的型メール） | 端末（エンドポイント） （マルウェア／ランサムウェア／フィッシング） | 社内ネットワーク内部の脆弱性と被害後の復旧・補償 （自社の弱点診断／ランサムウェア復旧） |
| 特徴的な機能 | Check Point製UTM エンドポイント対策（EPP／EDR） USBメモリへのコピー記録などの業務可視化 標的型攻撃メール訓練（年2回標準付帯） | Bitdefenderと共同開発の検知エンジン 振る舞い検知（ATC） ランサムウェア対策のファイル自動バックアップ・リストア フィッシングサイトの自動ブロック ブラウザベースの一元管理 | リモートでネットワーク内部から月次（年12回）の脆弱性診断 対策の進め方まで伴走支援 隔離経路への自動バックアップ（24時間前まで復旧） サイバー保険の自動付帯 |
| 向いている中小企業 | 専任のIT担当者を置きにくく、出入口から端末・人までを1契約でまとめて備えたい企業 （クライアント数10〜200台を想定） | まず端末の守りを固めたい、専任のセキュリティ担当者を置けない中堅・中小企業 | 自社の弱点を客観的に診断したい、スキルや経験がなくても導入したい企業 |
| 料金の目安 | 要問い合わせ （構成に応じた個別見積もり） | 要問い合わせ （導入台数・契約期間に応じた個別見積もり） | 1台1,250円／月〜 （初期費用は要問い合わせ） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
1. Eye“247” Safety Zone USAV Ⅵ（株式会社フーバーブレイン）
ネットワークの出入口から端末、そして従業員の教育までを1つの契約でまとめて備えたい中小企業に向くのが、Eye“247” Safety Zone USAV Ⅵです。Check Point製のUTM（統合脅威管理アプライアンス）に、エンドポイント対策ソフト、USBメモリへのコピー記録などの業務可視化、標的型攻撃メール訓練を組み合わせたハードウェア同梱の統合パッケージです。
VPNや入口からの侵入、端末での検知、そして標的型メールへの耐性強化という、本記事で見た複数の手口への備えを一括で用意できる点が強みです。標的型攻撃メール訓練が年2回標準で付帯するため、人への対策まで含めて運用できます。クライアント数は10〜200台の構成を想定し、導入は販売代理店経由で、料金は構成に応じた個別見積もりです。
2. Eye“247” Safety Zone（株式会社フーバーブレイン）
株式会社フーバーブレインのEye“247” Safety Zoneは、端末を守るエンドポイントセキュリティソフト単体で、まず端末の守りから固めたい企業に向く選択肢です。Bitdefenderと共同開発したエンジンを採用し、既知・未知のマルウェアを検知・自動隔離するEPPと、不審な挙動の検知・調査・復旧を支援するEDRを組み合わせています。
アプリケーションの動作を常時監視する振る舞い検知に加え、ランサムウェアの動作を監視してファイルを自動バックアップし、端末から直近の状態へリストアできる機能を備えます。
フィッシングサイトの自動ブロックも行うため、本記事のランサムウェアやフィッシングの手口に端末側で対応できます。専任のセキュリティ担当者を置けない中堅・中小企業を主な対象としており、料金は導入台数や契約期間に応じた個別見積もりです。
3. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
株式会社SYNCHROのKATABAMI サイバーセキュリティ対策パッケージは、国産の通信技術を使い、訪問せずにリモートでネットワークの内部まで脆弱性を診断できるサービスです。自社の弱点を客観的に把握し、万一への備えまで整えたい企業に向きます。
従来、オフィス内の機器やネットワークの診断は専門家が現地に出向く必要があり、年1回程度にとどまりがちでした。KATABAMIはこれをリモートで毎月実施でき、問題点の指摘だけでなく対策の進め方まで伴走する運用です。
あわせて、書き換えられない形式のバックアップでランサムウェアからの復旧に備えます。スキルや経験がなくても導入でき、脆弱性診断による自社点検と被害時の復旧という2つの備えを持てます。詳細はミーティング予約から相談できます。
事例を自社に当てはめる——入口の点検ポイント
最後に、事例を自社に当てはめて点検するための観点を挙げます。多くの被害は、特別に狙われたというより、外から見える入口が開いたままだったことから始まっています。IPAが検出した脆弱性の類型をもとに、自社でも確認できるポイントを整理しました。
- VPN・リモートアクセス機器：ファームウェアは最新か、使っていない機器やアカウントが放置されていないか、パスワードが安易になっていないか。
- 管理画面の公開：サーバーやWebサイトの管理パネルが、インターネットから誰でもアクセスできる状態になっていないか。
- クラウドストレージの設定：共有範囲やアクセス権限が広すぎないか、外部から閲覧できる状態になっていないか。
- 資格情報の使い回し：社長や経理など重要な立場の人が、他サービスと同じパスワードを使っていないか、多要素認証を設定しているか。
- メール・従業員の備え：取引先を装うメールへの注意が共有されているか、訓練の機会があるか。
こうした入口が実際の現場でどれだけ放置されているかは、診断にあたる事業者の証言からもうかがえます。どの会社にもある複合機・コピー機やネットワーク機器について、掲載サービスを提供する株式会社SYNCHROの北口氏は、診断現場の実感を次のように話します。
工場出荷時の初期パスワードのまま使われているお客様がほとんどでして、大手メーカーの初期IDパスワードはインターネットで検索すればすぐ出てきてしまいます。そのままにしておくと、万が一ウイルスが内部に入り込んだ際に、簡単に遠隔操作で乗っ取られてしまうリスクがあります。それから、ネットワーク機器やサーバーの管理者権限の問題もあります。一般ユーザー権限と管理者権限を分けて使うことはご存じの通りですが、実際に管理者権限でログインを試してみると、簡単に入れてしまうケースもあります。
これらを自社だけで把握しきれない場合は、外部から見える資産や脆弱性を客観的に診断するサービスを活用すると、点検の抜け漏れを減らせます。事例を「怖い話」で終わらせず、自社の入口の確認につなげることが、被害を避ける第一歩になります。
まとめ
中小企業のサイバー攻撃は、VPNの放置、クラウドの設定ミス、標的型メール、パスワードの使い回しといった身近な入口から起きています。IPAの事例では想定被害額が数千万円に達し、取引先への波及や決算の延期、長期の業務停止にまでつながっています。
一方で、優先順位を付けて入口とバックアップから手を付ければ、限られた人員・予算でも被害の可能性は大きく下げられます。まずは本記事の点検ポイントで自社の状況を確かめ、不足している部分を、専任担当者がいなくても運用できるソリューションで補っていってください。
一括ダウンロードする
よくある質問（FAQ）
Q. 中小企業を狙うサイバー攻撃には、どのような手口が多いですか？
A. 中小企業の被害で代表的なのは、VPN機器などの脆弱性を突くランサムウェア感染、取引先を装う標的型メール、クラウドの設定ミスによる情報漏えい、Webサイトの改ざんによる情報漏えい、社長のメールを乗っ取る送金詐欺（BEC）の5つです。
IPAが公表した中小企業の被害事例でも、この手口が実例として挙げられています。いずれも高度な技術で狙い撃ちされるというより、更新漏れや設定ミス、パスワードの使い回しといった「開いたままの入口」から侵入されている点が共通しています。
出典・参考資料（1件）
Q. うちくらいの規模の中小企業でも、サイバー攻撃に狙われるのですか？
A. 規模の小さい中小企業こそ、むしろ狙われやすいのが実情です。IPAによると、ランサムウェア被害のうち約66%は中小企業で発生しています。
警察庁の統計でも、令和6年のランサムウェア被害は大企業が減少する一方で中小企業は前年比37%増加しており、攻撃を代行するサービスの広がりで攻撃者の裾野が広がり、対策が手薄になりやすい中小企業に被害が集中していると分析されています。従業員20〜30名規模の事例も報告されており、規模が小さいことは「狙われない理由」になりません。
出典・参考資料（2件）
Q. 中小企業がサイバー攻撃を受けると、被害額はどのくらいになりますか？
A. IPAのモデル事例では、想定被害額が約820万円から約5,300万円に及んでいます。ただしこれはIPAがモデルケースとして積算した想定値で、実際の損害額ではありません。
費用は初期対応・復旧・報告公表・弁護士費用・再発防止・利益損害などに分かれ、取引停止による利益損害が大半を占める事例もあります。実際の被害でも高額化・長期化が進んでおり、警察庁の調査では、調査・復旧に1か月以上を要した組織が49%、1,000万円以上の費用を要した組織が50%にのぼります。
出典・参考資料（2件）
Q. 中小企業がサイバー攻撃に備えるには、まず何から始めるべきですか？
A. 被害の起点になりやすい「入口」の点検と、被害が起きても立ち直れる「バックアップ」から着手するのが合理的です。具体的には、VPN・ネットワーク機器やOSの更新、安易なパスワードの見直しと多要素認証（MFA）の設定、不要なアカウントの削除が、費用を抑えつつ効果の大きい最優先事項です。これらはいずれも無料〜低コストで始められます。
そのうえで、暗号化されても復旧できるバックアップ体制を整え、従業員教育やアクセス権限の見直しを並行して進めると無理がありません。すべてを一度にそろえようとせず、優先度の高いものから段階的に着手してください。
Q. 専任のIT担当者がいない中小企業でも、サイバー攻撃対策はできますか？
A. 専任担当者がいなくても、優先度の高い対策は実施できます。入口の更新・多要素認証・不要アカウントの削除・バックアップといった被害を大きく左右する対策は、専門知識がなくても着手できるものが中心です。
一方で、包括的なセキュリティ設計や継続的な脆弱性診断、未知のマルウェアへの対応までを自社だけで担うのは現実的ではありません。そうした領域は、中小企業向けに運用を代行・伴走する外部サービスを活用するのが現実的です。本記事で紹介したUTM統合パッケージやリモート脆弱性診断などは、専任担当者を置きにくい企業を主な対象としています。
Q. 取引先からセキュリティ強化を求められたら、何から対応すればよいですか？
A. まず取引先が求める要件を確認し、不足している項目から優先的に対応するのが基本です。多くの場合、多要素認証の導入、バックアップ体制の整備、インターネットから見える入口（VPN・管理画面・クラウドの公開設定）の点検が求められます。
経済産業省は、サプライチェーン全体で対策状況を可視化する制度の構築を進めており、今後は取引先からセキュリティ対策の実施を求められる機会が増えると見込まれます。要求に場当たり的に応じるのではなく、自社の入口点検とあわせて体制を整えておくと、継続的な取引の土台になります。
Q. ランサムウェアに感染した場合、身代金は支払うべきですか？
A. 身代金は、原則として支払うべきではありません。支払ってもデータが元どおり復旧する保証はなく、「支払う企業」として再び標的にされるおそれもあります。感染に気づいたら、まず感染端末をネットワークから切り離して拡大を止め、証拠保全のため端末は再起動しないのが原則です。
そのうえで、バックアップからの復旧と、警察・関係機関への相談を進めます。日頃からネットワークと切り離した（あるいは書き換えられない形式の）バックアップを用意しておくことが、身代金に頼らず復旧するための備えになります。
Q. 中小企業のサイバー攻撃は、取引先にも影響しますか？
A. 影響します。経済産業省の調査では、サイバー攻撃の被害を受けた中小企業の約7割が、取引先企業にも影響が及んだと回答しています。被害は自社の損失にとどまらず、情報漏えいによる信頼低下で取引そのものが停止することもあります。
実際、クラウド設定ミスで顧客情報が流出した中小企業の事例では、想定被害額約5,300万円の大半が取引停止による利益損害でした。また、自社が踏み台にされて取引先や納入先へ攻撃が連鎖する例もあり、トヨタ自動車の国内全工場停止は取引先の部品メーカーへの攻撃が発端でした。
Q. クラウドサービスを使っていれば、セキュリティは事業者に任せられますか？
A. クラウド基盤そのものの安全は事業者が担いますが、アクセス権限や公開範囲などの設定は利用者の責任です。実際、クラウドストレージの公開設定を誤り、インターネットから誰でも顧客情報を閲覧できる状態になっていた中小企業の事例では、想定被害額が約5,300万円に達しました。
クラウドを使う場合は、共有範囲やアクセス権限が広すぎないか、外部から閲覧できる状態になっていないかを定期的に点検し、必要最小限に絞る「最小権限の原則」を適用することが欠かせません。
Q. サイバー攻撃を受けたときの対応手順は、あらかじめ決めておくべきですか？
A. あらかじめ決めておくべきです。初動の早さが被害規模と復旧期間を大きく左右します。警察庁の調査では、1週間未満で復旧した組織の23.1%がサイバー攻撃を想定したBCP（事業継続計画）を策定していた一方、復旧に1か月以上かつ1,000万円以上を要した組織では、策定済みはわずか11.8%でした。
感染端末の切り離し、端末を再起動しない、身代金を支払わない、経営層・取引先・必要に応じて個人情報保護委員会など報告先への連絡、といった手順を事前に文書化し、誰が何をするかを決めておくことが、被害の拡大と復旧の長期化を防ぎます。
出典・参考資料（1件）
社内セキュリティソリューションの資料を一括チェック
MCB FinTechカタログでは、中小企業向けの社内セキュリティソリューション（UTM・エンドポイント対策・脆弱性診断・バックアップなど）の最新資料を無料で一括請求できます。手口別の備えや料金・サポート体制を比べて、自社に合う対策を選べます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
