経営のヒントTOP経営改善（
15） 経営革新（
7） 新規創業（
3） IT導入（
4） 資金繰り（
2） 補助金（
0） 事業承継（
1） 設備投資（
0） 販路開拓（
2） その他（
24）
第４２回 サイバー攻撃時代の「備え」新常識 ～今日からできる3ステップ～
2026年07月26日
投稿者：馬郡 明弘
【ポイント】
・ランサムウェア被害の約6割は中小企業。「うちは狙われない」は、もう過去の話です。
・大手のアサヒグループでも、全面復旧まで約190日。サイバー攻撃は「事業が止まる」経営リスクです。
・侵入の入口は、弱いパスワードや更新を忘れた機器など、意外にも“基本の穴”が大半を占めます。
・対策は「知る・ふさぐ・備える」の3ステップ。多くは無料〜低コストで、今日から始められます。
「サイバー攻撃なんて、大企業の話でしょう」。
そう思われた経営者の方も、少なくないかもしれません。ところが今は、むしろ逆になっています。
攻撃の狙いは、はっきりと中小企業へと移ってきました。
今回は、記憶に新しい大企業の被害事例を入り口に、規模の小さな会社こそ知っておきたい「今すぐできる備え」を、できるだけやさしくお伝えします。
「うちは狙われない」は、もう通用しない
まず、現状のお話です。「ランサムウェア」という攻撃をご存じでしょうか。
パソコンやサーバーのデータを勝手に暗号化し、「元に戻してほしければお金を払え」と要求してくる攻撃です。
警察庁のまとめによると、2025年の1年間に報告されたランサムウェア被害はおよそ226件。
過去2番目に多い水準で高止まりし、そのうちの
約6割が中小企業でした。
被害の多い業種は製造業が最多で、卸・小売やサービス業がそれに続きます。
町工場や、地元の卸・小売のお店も、けっして例外ではありません。
なぜ、狙いが中小企業に移ってきたのでしょうか。
理由は、攻撃する側の「省力化」です。
いまは攻撃の道具がまるでパッケージ商品のように出回り、簡単に使えてしまいます。
さらにAIを悪用すれば、本物そっくりの偽メールもいくらでも自動で作れます。
つまり攻撃者は、たいして手間をかけずに「守りの手薄な会社」を数多く狙えるようになったのです。
だからこそ、規模の小さな会社ほど、用心に越したことはありません。
大企業アサヒで、何が起きたのか
2025年の秋、大手ビールメーカーのアサヒグループがサイバー攻撃を受けました。
報道によれば、受注・出荷のシステムやお客様相談室が止まり、全国のおよそ30の工場がほとんど動かせなくなりました。
お店の棚から商品が消えるほどの騒ぎになり、通常どおりに全商品の出荷が戻るまで、
発生から約190日――半年近くかかっています。
ここで大切なのは、「工場や商品そのものが壊れたわけではない」という点です。
ビールは造れる。けれども「どこから何本の注文が来て、どこへ送るか」という受注・出荷の情報システムが人質に取られた。
だから商売そのものが止まってしまったのです。
受発注をパソコンやクラウドで回している会社であれば、規模に関係なく、同じことが起こり得ます。
あれだけ体力のある大企業でも半年近く止まったのですから、体力の小さな会社にとっては、まさに死活問題です。
なお、アサヒは身代金を支払っていません。
日ごろから取っていたバックアップが無事で、自力で復旧できると判断したためだと説明されています。
「お金を払えば早く元に戻る」わけではありません。
むしろ払っても復旧の保証はなく、「払う会社」として次の標的にされる危険すらあります。
そもそも入られない、そして入られてもバックアップで立て直せる状態にしておく――これが最大の教訓です。
なぜ狙われ、どこから入られるのか
もう一つ、中小企業が狙われる大きな理由があります。
「取引先への連鎖」です。
攻撃者は、守りの堅い大企業を正面から狙わず、その取引先である中小企業を“裏口”にして、本丸へ入り込もうとします。
実際に、被害を受けた中小企業のおよそ7割で、取引先にも影響が及んだという調査もあります。
自社が止まるだけでなく、お客様や取引先まで巻き込み、信用と取引そのものを失いかねないのです。「うちは小さいから関係ない」は、もう通用しません。
では、どこから入られているのか。
実は、侵入経路のおよそ6割は、テレワークなどで使う「VPN」という接続機器からでした。
しかも、その多くは更新（アップデート）を忘れ、古いまま放置されていたところを突かれています。
アサヒの事案でも、きっかけは管理用の“弱いパスワード”だったと報じられています。
つまり、特別な天才ハッカーではなく、「鍵の閉め忘れ・古い鍵」を突かれているのです。
裏を返せば、
基本を徹底するだけで、多くの攻撃は防げます。これは、中小企業にとってむしろ希望のある話です。
最近は、人の油断を突く手口も増えています。
ウェブサイトで「あなたは人間ですか？」と表示し、案内どおりにキーを操作させて、利用者自身の手でウイルスを起動させてしまう新手口も確認されています。
こうした“だまし”はセキュリティソフトだけでは防ぎきれません。
「知らない画面の指示には従わない」という心構えを、社内で共有しておくことが大切です。
今日からできる「3ステップ」
ここからは、明るいお話です。特別な投資をしなくても、基本を徹底するだけで安心材料は大きく増やせます。
おすすめは、次の3ステップです。
① 知る――まず自社の状態を知ることです。IPA（独立行政法人 情報処理推進機構）が公開する
「5分でできる！情報セキュリティ自社診断」なら、25の質問に答えるだけで、無料で自社の弱点が見えてきます。
あわせて、無料の「SECURITY ACTION」という自己宣言制度に取り組むと、名刺やホームページに掲示でき、取引先への信頼アピールにもなります。
② ふさぐ――侵入の入口を閉じることです。IPAが示す「情報セキュリティ6か条」――
①機器・ソフトを常に最新に更新する
②ウイルス対策ソフトを入れる
③パスワードを使い回さない
④共有設定を点検する
⑤攻撃の手口を知る
⑥バックアップを取る――を実践します。
特に大切なのがバックアップで、コツは「ネットワークから切り離して別に保管する」こと。
つなぎっぱなしでは、感染したときにバックアップごと人質に取られてしまいます。
③ 備える――24時間の監視やいざという時の対応を、自社だけで行うのは大変です。そこで国（IPA）が基準をつくった民間の「サイバーセキュリティお助け隊サービス」があります。
相談窓口・見守り・駆けつけ対応・簡易なサイバー保険までを、中小企業向けに手ごろな料金でまとめて利用できます。
コストは補助金で――対策は「投資」です
「備える」には多少の費用がかかりますが、ここで補助金が活用できます。
今年から名称の変わった「デジタル化・AI導入補助金2026」の「セキュリティ対策推進枠」です。
お助け隊サービスの利用料の2分の1（小規模事業者は3分の2）、金額でいうと5万円から150万円が補助されます。
申請には「GビズIDプライム」の取得と、先ほどの「SECURITY ACTION」の宣言が必要です。
制度の内容は変わることがありますので、詳しくは最新の募集要領や、お近くの支援機関・中小企業診断士にご確認ください。
サイバー対策は、もはや守りのための「コスト」ではなく、事業を続けるための「投資」です。
そして、その多くは無料か低コストで、今日から始められます。
まずは「5分でできる自社診断」から、はじめの一歩を踏み出してみてください。
私たちN-NETSでも、福岡・久留米エリアで無料の経営相談を行っています。
お気軽にご相談ください。
