サイバー攻撃の種類と対策を一覧で解説｜中小企業が何から始めるべきか

取引先や同業がランサムウェアの被害に遭ったと聞くと、「自社は何に、どこまで備えればいいのか」が急に気になります。サイバー攻撃と一口に言っても手口はいくつもあり、対策として挙がる言葉も多要素認証・EDR（端末の検知・対応）・バックアップ・従業員教育とさまざまで、全体像をつかまないまま個別の製品を調べても自社に必要なものを選べません。

この記事では、まず代表的なサイバー攻撃の手口と、それぞれに効く対策を一覧で結びつけて整理します。そのうえで、専任の担当者や潤沢な予算がない企業でも現実に回せる着手の優先順位、万一攻撃を受けたときの初動対応、コストを抑えて使える公的支援までを一本でたどれるようにまとめました。

攻撃の地図を持ってから対策を選べば、「自社に関係するのはどの手口か」「まず何を入れるべきか」が判断できます。最後に、対策の種類ごとにそれを担うサービスの選び方と比較も紹介するので、資料請求して具体的に検討する足がかりにしてください。

サイバー攻撃とは｜主な手口と効く対策の対応表

サイバー攻撃とは、ネットワークを通じてパソコンやサーバー、システムに不正に侵入し、データを盗む・暗号化する・業務を止めるなどの被害を与える行為の総称です。ここからは、まず代表的な手口を一覧で押さえたうえで、手口ごとに「何をされるか」と「主な対策」を結びつけて見ていきます。

攻撃は特定の大企業だけを狙うものではありません。IPA（情報処理推進機構）が毎年公表する「情報セキュリティ10大脅威 2026」では、組織向けの脅威の1位が「ランサム攻撃による被害」で、以降もサプライチェーンや委託先を狙った攻撃、システムの脆弱性を悪用した攻撃、標的型攻撃などが並びます。

出典・参考資料（1件）

• 出典：情報セキュリティ10大脅威 2026｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/10threats/10threats2026.html）

代表的なサイバー攻撃の手口一覧

まず、企業が直面しやすい代表的な手口を整理します。手口の名前と「特に注意したい企業像」を押さえると、自社に関係する脅威を見分けやすくなります（何をされるか・効く対策は次の対応表にまとめます）。

• ランサムウェア：データを暗号化して業務を止め、復旧と引き換えに身代金を要求する手口。近年は盗んだデータの暴露をちらつかせる「二重恐喝」も増えており、規模を問わず最も警戒したい手口です。
• 標的型攻撃・フィッシングメール：業務を装ったメールで感染や認証情報の窃取を狙う手口。メールを業務で日常的に使う企業全般が対象になります。
• 不正アクセス・パスワードリスト攻撃：漏れたID・パスワードの使い回しを突く手口。複数のクラウドサービスを使う企業や、パスワード管理が属人的な組織で特に注意が要ります。
• 脆弱性・ゼロデイを突く攻撃：OS・ソフト・VPN機器などの未修正の欠陥を悪用する手口（修正前を狙うものをゼロデイ攻撃と呼びます）。VPNやサーバーを社外に公開している企業が狙われやすい手口です。
• Web改ざん・SQLインジェクション：WebサイトやアプリのすきからサイトやDBを操作する手口。自社サイトやECを運営している企業が主な対象になります。
• DDoS攻撃：大量の通信でサイトやサービスを止める手口。Webサービスやオンライン販売が事業の中心の企業ほど影響が大きくなります。
• サプライチェーン攻撃：取引先・委託先や利用ソフトを経由して間接的に侵入する手口。取引先が多い企業や、大企業の一次請けとなっている企業が踏み台として狙われやすい手口です。

手口×対策の対応表

手口ごとに「何をされるか」と「主な対策」を対応させると、次のように整理できます。対策が特定の手口にどう効くのかを意識すると、自社に必要な打ち手を選びやすくなります。

手口	何をされるか	主な対策
ランサムウェア	データを暗号化され業務が停止、身代金を要求される	オフラインを含むバックアップ、EDR（端末の検知・対応）、VPN機器などの脆弱性対策、多要素認証
標的型攻撃・フィッシングメール	添付・リンクからマルウェア感染、認証情報の窃取	メールのフィルタリング、添付・リンクの無害化、従業員教育・訓練、EDR
不正アクセス・パスワードリスト攻撃	盗まれた認証情報での侵入、情報の窃取・悪用	多要素認証、推測されにくいパスワードと使い回しの防止、アクセス権の最小化
脆弱性・ゼロデイを突く攻撃	未修正の欠陥から侵入され、乗っ取り・感染	OS・ソフト・ネットワーク機器の速やかな更新、脆弱性情報の把握、資産の棚卸し
Web改ざん・SQLインジェクション	サイトの書き換え、データベースからの情報流出	WAF（Webアプリケーションファイアウォール）、脆弱性診断、入力値の検証
DDoS攻撃	サイトやサービスが停止し、提供できなくなる	DDoS対策サービス、CDN、通信の監視としきい値での遮断
サプライチェーン攻撃	取引先・委託先・ソフト経由で間接的に侵入される	委託先の対策状況の確認、利用ソフトの更新、ネットワークの監視（NDR）

対策のなかでも、まず効果が大きいのが脆弱性対策と多要素認証です。警察庁の調査では、ランサムウェアの感染経路はVPN機器やリモートデスクトップといったテレワーク関連機器が全体の8割以上を占めており、有効回答100件のうちVPN機器が55件、リモートデスクトップが31件でした。入口になりやすい機器の更新と、認証の強化が被害を防ぐ近道だと分かります。

出典・参考資料（1件）

• 出典：令和6年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R6/R06_cyber_jousei.pdf）

なかでも被害報告が最も多いランサムウェアについて、予防・バックアップ・感染したときの対応を手順立ててくわしく知りたい場合は、次の記事で整理しています。

セキュリティ対策の全体像（技術的・物理的・人的）

個別の対策は、大きく「技術的・物理的・人的」の3つに分けて捉えると、自社の抜けを点検しやすくなります。ここでは、それぞれがどんな対策を指すのかを整理します。

技術的対策は、システムやネットワークの仕組みで守る対策です。ウイルス対策ソフトやEDR、ファイアウォール・UTM（複数のセキュリティ機能を1台にまとめた統合脅威管理）、多要素認証、通信の監視、データのバックアップなどが含まれます。手口への直接の防御として中心になる部分です。

物理的対策は、機器や記録媒体そのものを守る対策を指します。サーバー室の施錠・入退室管理、パソコンや記憶媒体の持ち出し管理、不要になった媒体の確実な廃棄などが当てはまります。

人的対策は、従業員の行動や体制で守る対策です。不審なメールを開かないための教育や訓練、パスワードの適切な管理、インシデント発生時の連絡体制づくりなどが該当します。技術で防ぎきれない部分を補う、どの企業にも欠かせない対策です。

攻撃は入口（侵入を防ぐ）・内部（被害を広げない）・出口（外に出さない）の各段階を狙うため、3分類を組み合わせた多層の備えが基本で、どれか1つだけでは守りきれません。公的な定義でもサイバーセキュリティは技術に加え運用・体制まで含む取り組みとされ、ツール導入で終わらせず人的・物理的な対策まで組み合わせることが欠かせません。

この3分類をもとに、社内のセキュリティ対策を何から・どこまで・どう進めるかまで体系立てて整理したい場合は、全体像を掘り下げた次の記事も参考になります。

中小企業は何から始めるべきか（優先順位つきの最小構成）

対策の全体像が分かっても、専任の担当者や潤沢な予算がなければ一度にすべては実行できません。ここからは、限られた体制でもまず押さえたい対策を、IPA「中小企業の情報セキュリティ対策ガイドライン」などの公的な推奨に沿って優先順位をつけて紹介します。規模の大きい企業でも、この最小構成は守りの土台として共通し、そのうえに監視体制の強化などを重ねる形になります。

1. OS・ソフト・機器を最新に保つ：侵入の多くは未修正の脆弱性を突いて起こります。パソコンのOSやソフト、VPN機器・ルーターのファームウェアを自動更新や定期点検で最新に保ちます。費用をかけずに効果が大きい、最初の一歩です。
2. 多要素認証を有効にする：クラウドサービスや社内システムのログインに、パスワードへ加えてスマートフォンの承認やパスキーを使います。パスワードが漏れても、それだけでは入られにくくなります。
3. バックアップを取り、オフラインでも保管する：ランサムウェアに暗号化されても、切り離して保管したバックアップがあれば業務を復旧できます。定期的に取得し、ネットワークから切り離して保存します。
4. ウイルス対策・EDRで端末を守る：各パソコンにウイルス対策ソフトやEDRを入れ、感染や不審な挙動を早く検知します。あわせて、どの端末が社内にあるかを把握する資産の棚卸しも進めます。
5. 従業員教育と体制づくり：不審なメールを開かない、困ったら誰に相談するかを全員で共有します。標的型攻撃メールの訓練や、インシデント時の連絡ルールを決めておくと、いざというときに動けます。

先ほどの感染経路の割合とは別に、攻撃ではバックアップそのものが狙われる実態もあります。バックアップをネットワークから切り離して保管すべき理由について、株式会社SYNCHROの北口氏は次のように指摘しています。

IPAのガイドラインは、まず取り組むべき基本を「情報セキュリティ5か条」として示し、第4.0版では「バックアップを取ろう！」を加えた6か条に整理しています。また、中小企業が対策への取り組みを宣言する「SECURITY ACTION」制度では、一つ星としてこの6か条への取り組みを宣言できます。何から着手するか迷ったら、この6か条を出発点にすると進めやすくなります。

出典・参考資料（2件）

• 出典：中小企業の情報セキュリティ対策ガイドライン｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/guide/sme/about.html）
• 出典：SECURITY ACTION｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/security-action/sa/index.html）

ここで挙げた対策に、それぞれどれくらいの費用がかかるかまで知りたい場合は、中小企業向けに費用感つきで優先順位をまとめた次の記事が参考になります。

サイバー攻撃を受けたときの初動対応

どれだけ備えても、被害をゼロにはできません。攻撃を受けた、あるいは疑わしいと気づいたときに慌てないよう、初動の手順とやってはいけない行動、相談先を押さえておきます。

初動対応の手順

被害の拡大を防ぐために、次の順で動きます。感染や侵入が疑われる端末を切り離すことが最優先です。

1. ネットワークから隔離する：感染が疑われる端末をLANケーブルの抜線やWi-Fiのオフで切り離し、ほかの端末やサーバーへの横展開を止めます。
2. 被害範囲を特定する：どの端末・データ・システムに影響が及んでいるかを洗い出します。
3. ログ・証拠を保全する：原因調査に必要なログや通信記録が消えないよう保全します。
4. 報告と対応体制をつくる：社内の責任者へ報告し、相談先への連絡や復旧の判断を進めます。

ランサムウェアの被害が疑われる場合の対応について、警察庁は次のように案内しています。

ランサムウェアに感染したパソコン等をネットワークから隔離してください。感染原因等の調査に必要なログ等が消失する場合もあるので、パソコンやネットワーク機器等の電源は落とさないでください。

出典：ランサムウェア被害防止対策｜警察庁

やってはいけない行動

よかれと思った行動が、かえって調査や復旧を難しくすることがあります。次の3つは避けてください。

• 電源を落とす・再起動する：警察庁も注意しているとおり、調査に必要なログが消える場合があります。隔離はしても、電源は落とさないのが原則です。
• 慌てて初期化・復旧を始める：原因や被害範囲を確かめる前に初期化すると、証拠が失われ再発防止につなげられません。
• 身代金を支払う：支払っても元に戻る保証はありません。大阪府警察も「身代金を支払っても、元に戻る保証はありません」と注意喚起しています。警察庁は各国と連携してランサムウェア対策に取り組んでおり、支払いではなく、警察やJPCERT/CCへの相談、復号ツールやバックアップからの復旧を優先するのが公的に推奨される対応です。

出典・参考資料（1件）

• 出典：ランサムウェアに注意！｜大阪府警察（https://www.police.pref.osaka.lg.jp/seikatsu/saiba/chuikanki/soshiki/18118.html）

有事の報告・相談先と報告義務

被害が起きたら、社外の相談先や報告義務も確認します。技術的な支援はJPCERT/CC、被害の届出・相談は都道府県警察のサイバー犯罪相談窓口が窓口です。JPCERT/CCは、インシデントによる被害の拡大防止・再発防止を技術的な立場から支援し、Webフォームや電子メールで対応依頼を受け付けています（犯人の特定や捜査は警察の役割です）。

個人データの漏えいが疑われる場合は、個人情報保護法にもとづく報告義務があります。改正個人情報保護法（個人情報の保護に関する法律）第26条と施行規則第8条により、一定の漏えい等は個人情報保護委員会への報告と本人への通知が義務づけられています。報告の期限について、同委員会のガイドライン（通則編）は次のように定めています。

速報（3-5-3-3）：「速やか」の日数の目安については、個別の事案によるものの、個人情報取扱事業者が当該事態を知った時点から概ね3～5日以内である。

確報（3-5-3-4）：30日以内（規則第7条第3号の事態においては60日以内。同号の事態に加え、同条第1号、第2号又は第4号の事態にも該当する場合も60日以内。）

出典：個人情報の保護に関する法律についてのガイドライン（通則編）3-5-3-3・3-5-3-4｜個人情報保護委員会

速報は事態を知ってから概ね3〜5日以内、確報は30日以内が目安です。不正の目的で行われたおそれがある行為による漏えい（不正アクセスやランサムウェアなどが代表例）の場合は、確報の期限が60日以内に延びます。漏えいが疑われた時点で、速やかに事実確認と報告の準備を始めてください。

出典・参考資料（4件）

• 出典：漏えい等の対応とお役立ち資料｜個人情報保護委員会（https://www.ppc.go.jp/personalinfo/legal/leakAction/）
• 出典：個人情報の保護に関する法律施行規則 第七条・第八条｜e-Gov法令検索（https://laws.e-gov.go.jp/law/428M60020000003）
• 出典：インシデントの報告｜JPCERTコーディネーションセンター（https://www.jpcert.or.jp/form/）
• 出典：都道府県警察本部のサイバー犯罪相談窓口等一覧｜警察庁（https://www.npa.go.jp/bureau/cyber/soudan.html）

個人データの漏えいが疑われるときに、発覚から被害範囲の特定・報告・本人への通知・再発防止までをどの順で進めればよいかは、次の記事で一連の流れに沿って確認できます。

コストを抑えて使える公的支援・相談窓口

対策は自社だけで抱え込む必要はありません。国や公的機関が、中小企業向けの支援制度や相談窓口を用意しています。ここでは、平時に活用できる公的支援と、困ったときの相談先を分けて紹介します。

コストを抑えて始める公的支援

これから対策を始める企業には、次のような公的な取り組みがあります。無料で始められるものや、補助金の対象になるものもあります。

• SECURITY ACTION：前述の「情報セキュリティ6か条」への取り組みを自己宣言できる、IPA運営の無料の制度です。宣言により、取引先などに対策への姿勢を示せます。
• サイバーセキュリティお助け隊サービス：IPAが取りまとめる制度のもとで認定された、中小企業向けの民間サービスです。見守り・駆け付け・保険などをワンパッケージにまとめており、経済産業省が推奨し、デジタル化・AI導入補助金（旧IT導入補助金）の対象にもなっています。監視方式はネットワーク監視・端末監視・両者の併用から選べます。
• IPAの各種ガイドライン・自社診断：「中小企業の情報セキュリティ対策ガイドライン」には、5分でできる自社診断などの付録もあり、自社の状況を無料で点検できます。

出典・参考資料（1件）

• 出典：サイバーセキュリティお助け隊サービス｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/otasuketai-pr/）

平時から使える相談窓口

対策の進め方や、気になる兆候について相談したいときは、公的な相談窓口を使えます。内閣官房 国家サイバー統括室の「サイバー対応特設サイト」では、事業者向けの相談窓口が所管ごとに整理されています。主な窓口は次のとおりです。

• サイバー事案に関する相談窓口（警察庁）：対策の進め方や不審な兆候について相談できる全国統一のオンライン窓口です（被害が発生したときの届出・相談先は、前章「有事の報告・相談先と報告義務」を参照してください）。
• サイバーセキュリティ特別相談窓口（経済産業省）：中小企業向けの相談に対応します。
• 不正アクセス特別相談窓口・情報セキュリティ安心相談窓口（IPA）：不正アクセスやマルウェアなどの技術的な相談に対応します。

出典・参考資料（1件）

• 出典：サイバー対応特設サイト｜内閣官房 国家サイバー統括室（https://www.cyber.go.jp/tokusetsu/contactpoint_advisory_hub/index.html）

対策を担うサービスの選び方と比較

ここまでの対策を自社だけで実装・運用するのは、専任の担当者がいない企業ほど負担が大きくなります。そこで、対策の種類ごとに、それを担うサービスを活用する選択肢を整理します。守りたい領域を軸に考えると、次の4つの層に分けて選べます。

• 端末の検知・対応（EDR／セキュリティソフト）：各パソコン・サーバーでマルウェアや不審な挙動を検知・対応する。
• 境界の防御（UTM）：社内ネットワークの入口で、不正な通信やウイルス、迷惑メールなどをまとめて防ぐ。
• 社内通信の記録・事後調査（NDR）：ネットワークを流れる通信を記録し、不審な動きの検知や、被害後の調査に役立てる。
• アクセス制御（ID基盤）：ログインを一元管理し、多要素認証やアクセス制限で不正アクセスを防ぐ。

守る対象ごとにどんなタイプのサービスがあり、どう選べばよいかをカテゴリ全体で見渡したい場合は、社内セキュリティソリューションを守る対象別に整理した比較記事が役立ちます。Webサイトを守るWAFやDDoS対策など、ここで取り上げていない層のサービスもそこから探せます。

自社に必要な層は、守りたい対象や既存の環境によって変わります。まずは下の比較表で各サービスの特徴を見比べ、気になるものから資料を取り寄せて検討を進めてください。

1. Eye”247″ Safety Zone（株式会社フーバーブレイン）

Eye”247″ Safety Zoneは、ウイルスの侵入を防ぐEPP（Endpoint Protection Platform）と、侵入後の不審な挙動を検知して対応するEDR（Endpoint Detection and Response）を1つにまとめたエンドポイントセキュリティソフトです。Bitdefenderの検知エンジンを採用し、端末そのものを守りたい企業に向いています。

アプリの動作を常時監視する振る舞い検知に加え、ランサムウェアの動きを監視してファイルを自動でバックアップし、直近のバックアップからクライアント側で復元できる機能を標準で備えます。管理コンソールはブラウザベースで、各パソコンの状況を一元的に確認できます。

料金は導入台数や契約期間に応じた個別見積もりで、公式サイトでの公開はありません（2026年11月時点）。専任のセキュリティ担当者を置きにくい中堅・中小企業での利用が想定されています。

2. Eye”247″ Safety Zone USAV Ⅵ（株式会社フーバーブレイン）

株式会社フーバーブレインが提供するEye”247″ Safety Zone USAV Ⅵは、Check Point製のUTM（統合脅威管理）に、エンドポイントセキュリティのEye”247″ Safety Zone、業務可視化・情報漏えい対策のソフト、標的型攻撃メール訓練を組み合わせた、ハードウェア同梱の統合パッケージです。ネットワークから端末、人までをまとめて1契約で備えたい企業に向いています。

UTMがファイアウォール・IPS・アンチウイルス・URLフィルタリングなどで通信の入口を守り、端末ではSafety Zoneが検知・対応を担います。個別に製品を選ぶ手間をかけず、多層防御をまとめて導入できるのが特徴です。

クライアント数10〜200台程度の構成を想定し、専任のIT担当者を置きにくい中小企業が、ネットワーク・端末・人への対策を一度に整えられる形になっています。導入は販売代理店経由の個別見積もりです。

3. Network Blackbox（株式会社クワッドマイナージャパン）

社内の通信を記録して、後からさかのぼって調べられるようにしたい場合の選択肢が、Network Blackboxです。ネットワークを流れる全パケットを収集・保存し、脅威を可視化・分析・対応するNDR（Network Detection and Response）製品で、フルパケットキャプチャをもとにした通信の全数検査を基盤としています。

収集・検知・ハンティング・フォレンジック・対応の各機能を備え、ミラーリング方式で導入するためネットワークへの影響を抑えられます。ログだけでなく通信そのものを保存するため、被害後に「いつ・何が起きたか」を通信レベルで再構成でき、事後調査・証跡の提示に適した層の製品です。EDRやSIEM（セキュリティ情報・イベント管理）などほかのツールとも連携します。

通信の全量記録という性質上、ネットワーク全体を可視化したい組織に適した層の製品です。自社の規模や調べたい範囲に見合うかを、資料やデモで確認したうえで検討するとよいでしょう。料金は要問い合わせです。

4. CloudGate UNO（株式会社インターナショナルシステムリサーチ）

ログインまわりを一元管理し、不正アクセスを入口で防ぎたい企業に向くのが、CloudGate UNOです。SSO（シングルサインオン）・多要素認証・パスキー（FIDO2）によるパスワードレス認証・アクセス制限・ID管理をまとめて提供する、クラウド型のID基盤（IDaaS）です。

パスワードの使い回しや漏えいを突く不正アクセスに対して、多要素認証やパスキーで認証を強化し、IP制限やデバイス証明書によるアクセス制限と組み合わせて守れます。複数のクラウドサービスのログインを1つにまとめられるため、利便性とセキュリティを両立しやすい点も特徴です。

料金は、Standard Plusが1ユーザー月額400円（税抜。税込440円）からで、プランに応じてActive Directory連携やデバイス証明書などの機能が加わります（2026年11月時点）。導入実績は1,400社以上、30日間の無料体験も用意されています。

出典・参考資料（1件）

• 出典：料金プラン｜CloudGate UNO（https://www.cloudgate.jp/price）

多要素認証のなかでもパスキーによるパスワードレス認証がなぜ有効なのか、提供元の平澤氏は次のように説明しています。

まとめ

サイバー攻撃への対策は、まず「どんな手口があり、それぞれに何が効くか」を一覧で押さえることから始まります。そのうえで、OS・ソフトの更新、多要素認証、バックアップ、ウイルス対策・EDR、従業員教育という最小構成を優先度順に進めれば、限られた体制でも土台を固められます。

万一の被害に備えて、ネットワーク隔離からログ保全、相談先、報告義務までの初動を確認しておくことも大切です。自社だけで抱え込まず、公的支援や相談窓口、そして対策の各層を担うサービスも活用しながら、無理なく守りを固めていきましょう。

よくある質問（FAQ）

Q. サイバー攻撃とは何ですか？

A. サイバー攻撃とは、ネットワークを通じて企業や個人のパソコン・サーバー・システムに不正に侵入し、データを盗む・暗号化する・業務を妨害するなどの被害を与える行為の総称です。代表的な手口にはランサムウェア、標的型攻撃・フィッシングメール、不正アクセス、脆弱性を突く攻撃、Web改ざん、DDoS攻撃、サプライチェーン攻撃などがあり、手口ごとに効く対策が異なります。

Q. サイバー攻撃を受けたら、まず何をすればいいですか？

A. サイバー攻撃を受けた、または疑わしいと気づいたときは、感染が疑われる端末をネットワークから隔離することが最優先です。LANケーブルを抜く、Wi-Fiをオフにするなどして、ほかの端末やサーバーへの被害の拡大を止めます。

このとき、端末の電源を落としたり再起動したりすると、原因調査に必要なログが消えるおそれがあるため避けてください。隔離のあとは、被害範囲の特定、ログ・証拠の保全、社内への報告と相談先への連絡、という順で対応を進めます。

Q. サイバー攻撃の被害は警察に相談すべきですか？

A. サイバー攻撃の被害は、最寄りの都道府県警察のサイバー犯罪相談窓口へ相談することが推奨されます。特に不正アクセスやランサムウェアの被害では、相談により届出の記録が残り、捜査につながることもあります。

あわせて、被害の拡大防止・再発防止といった技術的な支援はJPCERT/CC（JPCERTコーディネーションセンター）が受け付けています。個人データの漏えいが疑われる場合は、警察への相談と並行して個人情報保護委員会への報告要否も確認してください。

Q. ランサムウェアの身代金は支払うべきですか？

A. ランサムウェアの身代金は、支払わず、警察やJPCERT/CCへの相談・バックアップからの復旧を優先するのが公的に推奨される対応です。大阪府警察も「身代金を支払っても、元に戻る保証はありません」と注意喚起しています。

支払っても確実にデータが復元される保証はなく、要求に応じる組織として再び狙われるリスクもあります。日本政府もカウンターランサムウェア・イニシアティブ（CRI）などの国際連携を通じて、身代金を支払わない方向での対策に取り組んでいます。

Q. サイバー攻撃は中小企業も標的になりますか？

A. サイバー攻撃は、対策が手薄になりがちな中小企業ほど狙われやすく、標的になります。警察庁の「令和6年におけるサイバー空間をめぐる脅威の情勢等について」によると、同年のランサムウェア被害報告222件のうち中小企業が140件と約6割を占め、中小企業の被害件数は前年から37％増加しました。

取引先や委託先を踏み台にするサプライチェーン攻撃の入口として狙われるケースも増えており、規模の小さい企業も「自社は関係ない」とは言えない状況です。

出典・参考資料（1件）

• 出典：令和6年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R6/R06_cyber_jousei.pdf）

Q. 情報漏えいが起きた場合、報告の義務はありますか？

A. 個人データの漏えいが起きた場合、一定の条件を満たすと、個人情報保護委員会への報告と本人への通知が法的に義務づけられています。要配慮個人情報の漏えいや、不正の目的によるおそれがある行為による漏えい、1,000人を超える漏えいなどが対象です。

報告の期限は、速報が事態を知ってから概ね3〜5日以内、確報が30日以内が目安です。不正アクセスやランサムウェアなど、不正の目的によるおそれがある行為による漏えいの場合は、確報の期限が60日以内に延びます。漏えいが疑われた時点で、速やかに事実確認と報告の準備を始めることが重要です。

Q. サイバー攻撃対策は何から始めればよいですか？

A. 予算や人員が限られる場合、サイバー攻撃対策は「OS・ソフト・機器の更新」「多要素認証」「バックアップ（オフライン保管）」「ウイルス対策・EDR」「従業員教育」の順に、費用対効果の高いものから着手するのが現実的です。

これらはIPA（情報処理推進機構）が中小企業向けに示す「情報セキュリティ6か条」とも重なる基本対策です。何から手を付けるか迷ったら、無料で始められる6か条や、IPAの「5分でできる自社診断」を出発点にすると進めやすくなります。

サイバー攻撃対策の料金・資料を一括チェック

MCB FinTechカタログでは、サイバー攻撃対策に役立つEDR・UTM・NDR・ID基盤などのサービスの最新資料を無料で一括請求できます。守りたい対象や機能、料金をまとめて比べられます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。