中小企業こそ狙われる！サイバー攻撃の種類と今すぐできる対策をわかりやすく解説

「うちは中小企業だから、サイバー攻撃とは無縁だろう」、そうお考えではありませんか？

実は、大企業よりもセキュリティ対策が手薄になりがちな中小企業こそが、サイバー攻撃の格好のターゲットとなっています。

ひとたびサイバー攻撃を受けてしまえば、大切な顧客情報の流出や、事業の停止、そして社会的信用の失墜といった深刻な事態を招きかねません。

この記事では、サイバー攻撃の種類から、実際に日本の中小企業がどのような被害に遭ったのか、そして明日からすぐに実践できる具体的な対策までをわかりやすく解説します。

サイバー攻撃は対岸の火事ではない！なぜ今、日本の中小企業が狙われるのか？

「うちは規模が小さいからサイバー攻撃なんて受けない」と思っていませんか？実はその考え方が最も危険です。

IPA（情報処理推進機構）によると、中小企業の約7割がサイバー攻撃を受けたとの報告があります。

参考）IPA「『2024年度中小企業等実態調査結果』速報版を公開」

今、サイバー攻撃の矛先は、セキュリティ対策が比較的脆弱な中小企業に向けられています。大企業を直接狙うのではなく、取引関係にある中小企業を踏み台にする「サプライチェーン攻撃」の脅威も年々増加しており、もはやサイバー攻撃は他人事ではないのです。

【サイバー攻撃とは】わかりやすく解説！

サイバー攻撃とは、一言でいえば「インターネットを通じた、企業や組織のコンピューターシステムへの悪意ある攻撃」のことです。

オフィスに侵入して機密書類を盗んだり、会社の出入り口を塞いで業務をできなくしたり、社員を人質にとって身代金を要求するといった犯罪行為を、インターネットの世界でおこなうものがサイバー攻撃だとイメージできます。

サイバー攻撃者の目的は、金銭の要求、機密情報や個人情報の窃取・売買、社会的な混乱を引き起こすことなどさまざまです。手口は年々巧妙になっており、一見すると業務連絡に見えるメールからウイルスに感染させてしまうケースも少なくありません。

リアルタイムで観測されるサイバー攻撃の脅威

「本当にそんなサイバー攻撃が頻繁にあるの？」と疑問に思うかもしれません。しかし、サイバー攻撃は世界中で24時間365日、絶え間なく発生しています。

警察庁が設置したセンサーでは、インターネットに接続された機器の脆弱性を探すような不審なアクセスが、１日・１IP アドレス当たり 9,520.2 件も観測されています。

出典）警察庁「令和６年におけるサイバー空間をめぐる脅威の情勢等について」p.5

観測システムでは、世界中でおこなわれているサイバー攻撃をリアルタイムで可視化しており、日本も常にサイバー攻撃に晒されていることがわかります。この瞬間にも、あなたの会社のネットワークが狙われているかもしれません。

サプライチェーンの脆弱性を狙う攻撃が増加

中小企業がとくに警戒すべきサイバー攻撃は「サプライチェーン攻撃」です。

これは、セキュリティ対策が強固な大企業を直接攻撃するのではなく、取引関係のあるセキュリティが手薄な中小企業をまず乗っ取り、そこを踏み台にして本命のターゲット企業へ侵入するという非常に悪質なサイバー攻撃です。

出典）警察庁「令和６年におけるサイバー空間をめぐる脅威の情勢等について」p.8

警察庁の「令和６年におけるサイバー空間をめぐる脅威の情勢等について」でも、ランサムウェアの被害において、大企業の被害が減少する一方で、中小企業の被害が37%も増加したと報告されており、その背景にこのサプライチェーン攻撃があると指摘されています。

サイバー攻撃者は、取引先とのメールのやり取りを装ってウイルス付きのファイルを開かせたり、共有しているシステムから侵入したりと、企業間の信頼関係を巧みに悪用するのです。

もし自社が踏み台にされて取引先に甚大な被害を与えてしまった場合、損害賠償を請求される、または社会的な信用を失うリスクがあります。

参考記事：情報セキュリティの3要素とは？中小企業が気を付けるべきことも解説

一体何のために？サイバー攻撃の目的と主な種類

サイバー攻撃の目的は、金銭を直接盗むだけでなく、企業の機密情報を盗み出して売買したり、システムを人質に取って身代金を要求したりと、金銭につながるものが大半です。

ほかにも、特定の企業や国への抗議、個人的な恨み、自身の技術力を誇示するためなど、愉快犯的な動機も存在します。

サイバー攻撃はなぜ起きる？

サイバー攻撃が絶えない最大の理由は、攻撃者にとって「ローリスク・ハイリターン」な犯罪だからです。

攻撃者は匿名性の高いインターネット空間に身を隠し、世界中のどこからでもサイバー攻撃を仕掛けられます。そのため、捕まるリスクが低い一方で、一度成功すれば多額の金銭や価値の高い情報を簡単に手に入れることが可能なのです。

また、サイバー攻撃用のツールが闇市場で安価に売買されており、専門知識がない人物でも容易に攻撃を始められる環境が整っていることも、サイバー攻撃が増加し続ける一因となっています。

とくにセキュリティ対策が十分でない中小企業は、サイバー攻撃の格好のターゲットと見なされやすいのが現状です。

【種類別】知っておくべき代表的なサイバー攻撃の例

近年、とくに中小企業が注意すべき代表的なサイバー攻撃には、以下のようなものがあります。それぞれの特徴を理解し、対策の第一歩としましょう。

サイバー攻撃の種類	サイバー攻撃の概要	具体的な被害例
ランサムウェア	データを勝手に暗号化し、元に戻すことと引き換えに身代金（ランサム）を要求	・パソコンやサーバーのデータが開けなくなり、業務が完全にストップ ・顧客情報が盗まれ、公開すると脅される
標的型攻撃メール	特定の組織を狙い、業務に関係がありそうな巧妙なメールを送りつけ、添付ファイルやURLを開かせることでウイルスに感染させる	・社員のパソコンが乗っ取られ、機密情報や個人情報が盗まれる ・他の取引先への攻撃の踏み台にされる
Emotet（エモテット）	主にメールの添付ファイルから感染を広げるウイルス感染するとPC内の情報を盗み、過去のメール文面を悪用して取引先などへ感染を拡大	・過去にやり取りした相手から、本物そっくりのメールが届き、気づかずに添付ファイルを開いてしまい、感染が拡大
サプライチェーン攻撃	セキュリティが強固な大企業を直接狙わず、取引関係にあるセキュリティの脆弱な中小企業を経由して侵入する攻撃	・自社が気づかないうちに加害者となり、取引先に多大な損害を与え、信用を失墜
DDoS（ディードス）攻撃	複数のコンピューターからWebサイトなどに大量のデータを送りつけ、サーバーをダウンさせてサービスを停止に追い込む	・会社のホームページやネットショップが閲覧できなくなり、販売機会の損失や信用の低下につながる
ビジネスメール詐欺（BEC）	経営者や取引先になりすまし、巧妙な偽のメールで担当者を騙し、偽の口座へ送金させる	・経理担当者が騙され、攻撃者の口座に多額の現金を振り込んでしまう

参考記事：ランサムウェア被害を防ぐにはどうする？中小企業のための最新対策ガイド

もしサイバー攻撃を受けたらどうなる？中小企業を襲う深刻な被害

サイバー攻撃は、大企業だけを狙うものではありません。セキュリティ対策が手薄になりがちな中小企業こそが、格好のターゲットとなりやすいのです。

もしサイバー攻撃を受けてしまうと、事業の存続すら危ぶまれる深刻な事態に陥る可能性があります。

金銭的被害：事業継続を揺るがす直接的な損失

サイバー攻撃による金銭的被害は、事業の継続を困難にするほど深刻です。

対応にかかるコスト

• システムやデータの復旧
• 専門家への依頼
• セキュリティ強化のための設備投資など

直接的な損失

• 情報漏えいによる損害賠償
• 事業停止期間中の売上減少など

サイバー攻撃を受けると、このような損失が連鎖的に発生し、企業の経営基盤を揺るがします。

信用の失墜：顧客や取引先からの信頼を失う

サイバー攻撃による情報漏えいは、顧客や取引先からの信頼を決定的に失わせます。

大切な個人情報や機密情報を預かる企業としての責任を果たせなかったことになり、顧客離れや新規取引の機会損失につながります。

一度失われた信用を取り戻すのは難しく、企業のブランドイメージは大きく傷つき、長期的な経営に影響を及ぼすことになるのです。

【日本の事例】実際にあったサイバー攻撃被害ニュース

日本のさまざまな企業や機関がサイバー攻撃の被害に遭っています。

• DDoS攻撃によるウェブサイトの閲覧障害
  • 2023年12月から2024年4月にかけて、DNS権威サーバーへの攻撃によりウェブサイトの閲覧障害が断続的に発生
  • 2024年2月、7月、10月には、政府機関や民間事業者のウェブサイトが同様のDDoS攻撃で閲覧障害

• 情報窃取を目的としたサイバー攻撃
  • 2024年3月、大手システム事業者や半導体関連機器事業者が、コンピューターが不正プログラムに感染し、個人情報や顧客情報が持ち出せる状況に
  • 2024年7月には、国内の研究開発機関やエネルギー関連事業者が不正アクセスにより情報が漏えいした可能性を公表

• ランサムウェア攻撃によるデータ暗号化と情報漏えい
  • 2024年5月、自治体等から印刷業務を受託する企業がランサムウェアに感染し、データが暗号化される被害に遭い、個人情報の漏えいも発生
  • 2024年6月には、出版大手企業も大規模なランサムウェア攻撃を受け、サービス停止や書籍流通への影響、25万人を超える個人情報の漏えいが確認され、20億円超の損失を計上する見込みであると発表

参考）警察庁「令和６年におけるサイバー空間をめぐる脅威の情勢等について」p.42、43

参考になるサイバー攻撃の具体的な対策事例

サイバー攻撃は、他人事ではありません。実際に被害に遭った企業がどのような状況に陥り、いかに対応したのかを知ることは、自社の対策を考える上で非常に役立ちます。

ここでは、内閣官房の事例集から、中小企業でも参考にできるサイバー攻撃の具体的な対策を解説します。

参考）内閣官房内閣サイバーセキュリティセンター(NISC)「サイバー攻撃を受けた組織における対応事例集」

ランサムウェア感染による業務停止とデータの復旧

海外拠点のサーバーがランサムウェアに感染したことをきっかけに、グループ企業全体に被害が拡大したサイバー攻撃の事例です。感染の原因は、脆弱性が残っていたOSやIoT機器でした。

• 予防・対策
  • 日頃から世代管理バックアップを実施していたため、データを復元でき、早期復旧
  • インシデント発生時にワーム被害のノウハウを持つ人員が対応したことで、迅速な初期対応

• 学んだこと
  • セキュリティ対策を経営課題として捉え、全社的な体制整備や人材育成を強化する重要性の再認識

標的型メール攻撃による機密情報の漏えい

取引先のメールアカウントが乗っ取られ、そこから送られたマルウェアによって自社端末が感染したサイバー攻撃の事例です。

• 予防・対策
  • 既存のウイルス対策ソフトでは検知できない攻撃でしたが、導入していたEDRによって異常な挙動を検知し、感染を2台の端末に食い止める
  • 日頃から脅威情報を収集、外部組織と良好な関係を築く、サイバー保険に加入

• 学んだこと
  • サプライチェーン全体のセキュリティレベルを底上げすることの重要性を再認識

Webサイト改ざんによるサービスダウン

顧客のWebサイトが、パッチ未適用の脆弱性を悪用され改ざんされたサイバー攻撃の事例です。ホスティングサービス提供企業は、パッチ適用による顧客サービスへの影響を懸念し、適用を見送っていました。

• 予防・対策
  • あらかじめ整備していた運用手順書に基づき、不正ファイルの削除を迅速に実施
  • 経営層がセキュリティを最重要課題と認識し、インシデント対応体制を強化

• 学んだこと
  • 脆弱性管理や全社的な対応体制の強化、経営層と現場の連携の重要性

【中小企業向け】明日から実践できる！サイバー攻撃対策

大掛かりなサイバー攻撃対策でなくても、明日から実践できることはあります。IPAが推奨する対策を参考に、まずはできることから始めましょう。

参考）IPA「中小企業の情報セキュリティ対策ガイドライン第3.1版」

まず見直すべきIT環境の基本設定

基本的なIT環境のセキュリティ対策を徹底することが、サイバー攻撃の第一歩です。

• OSやソフトウェアのアップデート：OSやアプリケーションには脆弱性が潜んでいるため、常に最新の状態に更新し、脆弱性を解消しておく

• ウイルス対策ソフトの導入：マルウェア感染を防ぐために、信頼できるウイルス対策ソフトを導入し、定義ファイルを常に最新の状態に保つ

• パスワードの適切な設定と管理：推測されにくい複雑なパスワードを設定し、複数のサービスで使い回すのは避ける

「人」が原因のミスを防ぐ社内ルール作り

サイバー攻撃の多くは、人の不注意や無知を突いてきます。従業員一人ひとりの意識を高めることが、最大の防御策となるのです。

• セキュリティ教育の実施：標的型メール攻撃の手口や、不審なサイトへのアクセスを避けるための知識を定期的に教育し、従業員の意識を高める

• 情報資産の管理ルール：顧客情報や機密情報などの重要な情報がどこにあり、誰がアクセスできるのかを明確にし、管理ルールを定めておく

• 不審なメールやサイトへの対処ルール：万が一、不審なメールを受信した場合や、不審なサイトを発見した場合に、誰に報告すべきかなどの対応フローを定めておく

被害を最小限に抑える「もしも」への備え

どれだけ対策をしても、サイバー攻撃のリスクをゼロにすることはできません。万が一に備え、被害を最小限に抑えるための準備をしておきましょう。

• データのバックアップ：重要なデータは定期的にバックアップを取り、万が一データが暗号化されたり削除されたりしても復旧できるようにしておく

• インシデント対応体制の整備：サイバー攻撃を受けた際に、誰が、何を、どうするのか、役割分担と対応手順を明確にしておく

• 外部専門家との連携：自社だけで対応が難しい場合に備え、サイバーセキュリティの専門家や警察、関連組織に相談できる体制を事前に整えておく

参考記事：情報漏洩とは？企業の信頼を守るために知っておきたい基礎知識と対策

まとめ

サイバー攻撃は、他人事ではありません。しかし、恐れるばかりではなく、正しい知識と行動で備えられます。重要なのは、専門部署や担当者だけでなく、企業全体でセキュリティ意識を高めることです。

OSやソフトウェアのアップデート、データの定期的なバックアップ、そして社員一人ひとりがセキュリティの基本ルールを守ることなどは、どれも今日から始められる対策です。