LASSIC Media らしくメディア
サイバー攻撃で会社に起きること
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- サイバー攻撃は会社の規模を問わず、ランサムウェアや委託先を経由する攻撃、取引先を装うメール詐欺のおそれがあります。
- 社外とつながる入口と、止まったときの手順を先に決めておけば、被害を小さくできます。
- まず社外とつながる機器の一覧を作り、入口・復旧・体制・取引先への影響の4つで点検します。
※ 本記事は2026年11月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
取引先がサイバー攻撃を受けて受注や出荷が止まった、というニュースを見て、「うちのような会社にも来るのか」と気になった方も多いのではないでしょうか。インターネットを通じた攻撃は、自社の業務を止めるだけでなく、つながっている取引先にも影響を広げます。
答えを先に示すと、会社の規模を問わず、ランサムウェア、委託先を経由する攻撃、取引先を装うメール詐欺のおそれがあります。今のうちに決めておきたいのは、社外とつながる機器の更新、ネットワークから切り離したバックアップ、気付いたときの連絡の順です。本記事では、主な攻撃の種類と会社に起きること、先に決めておく備えの全体像を整理します。
目次
「うちは狙われない」が通じなくなっている
サイバー攻撃は、インターネットなどを通じて会社のパソコンやサーバー、メールに入り込み、データを盗む・使えなくする・お金をだまし取るといった被害を与える行為です。名の知れた大企業の話と思われがちですが、警察庁の統計を見ると、そうとは言えません。
悩みごとに、先に読むとよい章を次の表にまとめました。
| 悩み | 読む章 |
|---|---|
| どんな攻撃があるのか一覧で知りたい | 主な攻撃の種類と入口 |
| 備えにいくらかけるか上長に説明したい | 備えの費用対効果の考え方 |
| 委託先や取引先との決まりが気になる | 規程・情報の扱い・契約で確かめる点 |
警察庁によると、2026年上半期（令和8年上半期）のランサムウェア（データを暗号化して使えなくし、元に戻す対価を求める不正なプログラム）の被害報告は123件で、統計を取り始めた2020年下半期以降、半期として最多でした。*3 被害企業を規模別に見ると、前年と同じく中小企業が約6割を占めています。*3
被害は、データが使えなくなるだけでは終わりません。同じ報告書は、被害組織へのアンケートで、復旧に総額1,000万円以上を要した組織が全体の6割を占め、1か月未満で復旧できた組織は5割弱にとどまったとしています。*3
攻撃の種類が違っても、会社に起きることは「業務が止まる」「取引先に影響が及ぶ」「お金やデータを失う」の3つに集まります。止まってから対応の手順を考え始めると、判断のたびに時間を取られ、復旧の手間も膨らみます。
入られる原因は、古いままの入口と「誰が対応するか」の空白
警察庁は、以前は不特定多数にメールを送る手口が一般的だったが、現在はVPN機器（社外から社内のネットワークにつなぐ機器）などインターネットに露出した箇所から、未修正のぜい弱性や漏えいした認証情報、簡易なパスワード、設定不備を悪用して侵入する手口が多くを占めると説明しています。
警察庁が企業・団体へのアンケートの結果をまとめた資料では、守りの状態について次の点が示されています。*5
- VPN機器を利用している組織の半分以上が、最新のパッチ（修正プログラム）を当てていない
- 全体の約4割が、社外から業務の仕組みにつなぐときの認証をIDとパスワードだけで済ませている
- 約4割が、事故のときの対応マニュアルなどを作っていない
入口が古いまま開いていて、事故が起きたときに誰が何をするかが決まっていない。この2つが重なると、侵入に気付くのが遅れ、気付いた後も切り離しや連絡の判断に時間がかかります。
自社の状態を、次の3つの問いで数えてみてください。
- VPN機器やリモート接続の機器の更新を、誰がいつ確かめているか
- バックアップをネットワークから切り離して保管し、戻せるか試したことがあるか
- 取引先を装ったメールで送金を求められたときの確認の手順があるか
答えに詰まる問いが1つでもあれば、守りの製品を選ぶ前に、そこを埋めることが先になります。
備えの順番を決める4つの基準
見積もりや提案が手元にあっても、製品の機能を比べる前に、自社の状態を次の4つの基準で点検します。満たしていない基準が、先に手を付ける場所です。
| 基準 | 目安 | 満たしていないときの最初の一歩 |
|---|---|---|
| 入口の把握 | 社外とつながる機器とアカウントの一覧があり、更新の担当が決まっているか | VPN機器、リモート接続、クラウドの管理画面のアカウントを書き出す |
| 復旧の速さ | バックアップから戻す手順と、戻すまでのおおよその時間を把握しているか | 保管の場所を見直し、戻す試しの日を決める |
| 対応の体制 | 気付いたときに連絡する人・切り離す判断をする人の順番が決まっているか | 判断する人と、その人が不在のときの代わりを決める |
| 取引先への影響 | 委託先・取引先とつながる経路と、事故のときの連絡の決まりがあるか | つながる経路と連絡先を一覧にする |
4つのうち、入口の把握と対応の体制は、製品を買わずに社内の作業から始められます。復旧の速さと取引先への影響は、委託先や取引先との取り決めが絡むため、前の2つが見えてから進めると話がまとまりやすくなります。
「ファイルが開けない」と連絡を受けた朝の判断
現場から「共有フォルダのファイルが開けない」と連絡を受けた運用担当が、4つの基準に沿って判断を進める流れの一例です。
| 段階 | 見ること（基準） | 判断 |
|---|---|---|
| 1. 切り離す範囲を決める | 連絡のあった端末とつながる範囲（対応の体制） | 疑わしい端末をネットワークから切り離し、判断する人へ知らせる |
| 2. 入口の見当を付ける | 社外とつながる機器と更新の状態（入口の把握） | 一覧があれば、更新の遅れた機器から入られていないかを見る |
| 3. 上長へ報告する | 止まる業務と、バックアップから戻す見込み（復旧の速さ） | 止める範囲と戻す見込みを伝え、判断を仰ぐ |
| 4. 取引先へ連絡する | つながる経路と連絡の決まり（取引先への影響） | 決めておいた順に、委託先・取引先・警察へ連絡する |
警察庁は、感染したパソコンのLANケーブルを抜く・無線をオフにするなどしてネットワークから隔離し、調査に必要なログ（記録）が消えることがあるので電源は落とさないよう呼びかけています。
この流れのうち、事前に決めていない段階があると、そこで手が止まります。4つの基準は、事故の朝にそのまま判断の順番として使えます。
ここまでで、規模を問わず、古いままの入口と対応の空白から被害が広がることを見てきました。後半では、主な攻撃の種類と入口、備えの費用対効果、上長に示す判断の材料、契約と規程の確認点、備えを整える手順を確かめられます。
主な攻撃の種類と入口
IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」を手がかりに、会社が受けるおそれのある攻撃を入口ごとに整理します。組織向けの1位は「ランサム攻撃による被害」、2位は「サプライチェーンや委託先を狙った攻撃」です。*1 この2つは4年連続で1位と2位に選ばれています。*2
| 攻撃（順位） | 主な入口 | 会社に起きること |
|---|---|---|
| ランサム攻撃による被害（1位） | VPN機器など社外に開いた機器、リモートデスクトップ | データが暗号化され業務が止まる。盗んだデータを公開すると脅して対価を求められる |
| サプライチェーンや委託先を狙った攻撃（2位） | 対策の弱い関連会社や業務委託先、利用しているソフトウェア | 預けた情報が漏れる。攻撃の足掛かりにされると取引先に損害を与え、取引停止や損害賠償を求められることもある |
| システムの脆弱性を悪用した攻撃（4位） | 修正プログラムを当てていない機器やソフトウェア | マルウェア感染や情報漏えい、改ざんが起き、事業やサービスの停止に追い込まれる場合もある |
| リモートワーク等の環境や仕組みを狙った攻撃（8位） | VPN機器、リモートデスクトップ、在宅で使う端末 | 社内システムへの不正アクセスが起き、業務の停止や遅れにつながる |
| DDoS攻撃（9位） | 自社のWebサイトや公開しているサービス | 複数のコンピュータからの大量のアクセスで、サービスを提供できなくなる |
| ビジネスメール詐欺（10位） | 取引先や経営者になりすましたメール | 偽の銀行口座へ金銭を振り込まされる |
ランサム攻撃の手口は変わってきています。警察庁は、近年はインターネットに露出した箇所から遠隔操作で侵入する手口が多くを占め、メールの添付ファイルによる感染は少なくなっていること、被害組織へのアンケートでは侵入経路はVPN機器が約5割を占めることを示しています。*3
データを盗んだうえで「対価を支払わなければ当該データを公開する」と迫る二重恐喝が被害の多くを占め、暗号化せずにデータを盗んで対価を求める手口（ノーウェアランサム）も確認されています。*4
ビジネスメール詐欺は、取引先の担当者などになりすました虚偽のメールで、偽の口座に金銭を振り込ませる攻撃です。IPAの解説書は、文面が日常のやりとりと違和感がなく、なりすましだと見抜けないことがあるとしています。
10大脅威の順位は、対策すべき優先順位ではないとIPAは留意事項で述べています。*2 社外とつながる機器、委託先、送金の流れのうち、自社にあるものから順に表を当てはめます。
備えの費用対効果の考え方
業務が止まった日数の損失と復旧の手間を、備えの費用と同じ期間で比べます。金額は、自社の売上と業務の中身で見積もります。
被害の側の目安として、前半で見たとおり、警察庁の報告書では復旧に総額1,000万円以上を要した組織が6割を占め、調査や復旧の費用は高額化しているとされています。止まる日数が長いほど、手作業で回す人の時間や取引先への説明の手間も積み上がります。
| 並べる項目 | 被害の側（備えが無いとき） | 備えの側 |
|---|---|---|
| 業務の停止 | 止まる日数と、その間に滞る受注・出荷 | 入口の一覧づくりと更新の作業時間 |
| 復旧の手間 | 調査と作り直しの費用、手作業で回す人の時間 | バックアップの保管の見直しと戻す試し |
| 取引先への影響 | 説明の手間、取引停止や損害賠償のおそれ | 委託先・取引先との連絡の取り決め |
| 送金の被害 | だまし取られた金額 | 振込先の変更を別の手段で確かめる決まり |
見積もりは、次の順に進めると上長に説明しやすくなります。
- 止まると困る業務を書き出し、1日止まったときに滞る受注・出荷を見積もる
- 備えを、作業時間で済むものと、購入や委託が要るものに分ける
- 被害の側と備えの側を、1年など同じ期間にそろえて並べる
作業時間で済む備えから並べると、追加の予算が要る項目との区別がはっきりします。予算の話は、入口の一覧と連絡の順が整った後のほうが、何に使うかを示しやすくなります。
上長に示す判断の材料
入口・復旧・体制の今の状態と、足りない点を埋める順番を1枚で示します。上長が見たいのは製品の名前より、今どこが空いていて、何から埋めるかです。
| 欄 | 書く中身 |
|---|---|
| 今の状態 | 4つの基準（入口の把握・復旧の速さ・対応の体制・取引先への影響）ごとに、満たす・満たさないの印 |
| 足りない点 | 満たしていない基準と、そのままだと事故のときに何が起きるか |
| 埋める順番と時期 | 作業時間で済むものを先に、購入や委託が要るものを後に並べた予定 |
| 費用 | 被害の側と備えの側を同じ期間で並べた比較 |
| 決めてほしいこと | 事故のときにシステムを止める判断をする人、予算、委託の範囲 |
IPAの解説書は、委託先を狙う攻撃やビジネスメール詐欺への経営者層の対策として、インシデント対応体制の整備、サイバー保険の検討、セキュリティ対策のための予算確保を挙げています。*2 上長に決めてもらう事柄も、この3つに沿って並べると話が進みやすくなります。
- 体制：事故のときに判断する人と、その人が不在のときの代わり
- 保険：サイバー保険を検討するか、検討するならいつまでに
- 予算：入口の更新、バックアップの保管、委託のうち、どこに充てるか
規程・情報の扱い・契約で確かめる点
委託先との契約で事故のときの連絡の期限と責任の分担を、あわせて個人情報が漏れたときの報告の手順を確かめます。
IPAの解説書は、委託先を狙う攻撃への対策として、取引や委託契約で情報セキュリティ上の責任範囲を明確にして合意を得ること、賠償に関する条項を盛り込むこと、委託先の対策の状況を定期的に確認できる契約とすることを挙げています。*2 委託先の管理の進め方は、委託先・サプライチェーンのセキュリティ管理でも取り上げています。
| 確かめる点 | 確かめる中身 |
|---|---|
| 委託先との契約 | 責任範囲と賠償の条項、事故のときに誰へ何日以内に知らせるか |
| 委託先の対策の状況 | 定期的に確かめられる取り決めがあるか |
| 個人情報の扱い | どのデータをどこに置き、誰が触れるか |
| 送金の規程 | 振込先の変更の依頼を、普段と別の手段で確かめる決まりがあるか |
| 事故のときの判断 | 判断する人と、その代わりの人 |
個人情報保護委員会は、漏えい等が発覚したらまず速やかに報告するよう求め、不正な目的で行われたおそれがある場合は発覚日から60日以内を期限として示しています。*6 報告の例には、不正アクセスによる漏えいや、ランサムウェア等により個人データが暗号化され復元できなくなった場合が挙がっています。
送金の規程は、ビジネスメール詐欺への備えになります。IPAの解説書は、振込依頼や口座変更の依頼があったときは、普段の連絡手段以外に事前に取り決めた別ルートで確かめること、金銭の支払いの業務は複数人で審査し単独で判断を完結させないことを挙げています。*2
備えを整える手順
入口の一覧、更新とバックアップの点検、連絡の順の取り決め、訓練の順で進めます。前の手順が整っていないと、後の手順で確かめる対象がはっきりしないためです。
| 手順 | やること | 終わりの目安 |
|---|---|---|
| 1. 入口の一覧 | VPN機器、リモート接続、クラウドの管理画面、委託先がつなぐ経路と、そのアカウントを書き出す | 一覧に更新の担当が書いてある |
| 2. 更新とバックアップの点検 | 機器の更新の状態と、認証がIDとパスワードだけになっていないかを見る。バックアップはネットワークから切り離して保管し、戻せるか試す | 戻すまでの時間の見当が付いている |
| 3. 連絡の順の取り決め | 気付いた人、対処する人、判断する人、取引先・委託先・警察の順と連絡先を1枚にする | 紙でも手元にある |
| 4. 訓練 | 決めた順で連絡し、バックアップから戻す手順を試す | 手が止まった箇所を直している |
警察庁は、バックアップをなるべくこまめに取得し、ネットワークから切り離してオフラインで保存すること、多要素認証などの強固な認証手段を導入することを勧めています。被害を想定した訓練で、関係者との連絡、警察への通報・相談、広報の対応、バックアップによる復旧の手順を確かめておくことも挙げています。*4
手順は一度整えて終わりではありません。機器の更新の確認や訓練を毎年同じ形で回せる運用にしておくと、担当が替わっても備えが崩れにくくなります。少人数で運用を回している場合は、点検や監視の作業を委託先に預け、社内は判断と連絡に絞る分け方もあります。
まとめ：社外とつながる入口から備えを始める
サイバー攻撃は名の知れた会社だけの話ではなく、規模を問わず、社外とつながる機器や委託先、取引先を装うメールから入り込みます。入口の把握、復旧の速さ、対応の体制、取引先への影響の4つで今の状態を点検し、空いているところから埋めていけば、止まったときの被害を小さくできます。今日からは、社外とつながる機器を書き出し、4つの基準で今の状態に印を付けてください。
よくある質問
中小企業もサイバー攻撃の被害を受けていますか
警察庁の公表では中小企業の被害も報告されており、規模を問わず備えが要ります。令和8年上半期のランサムウェアの被害企業を規模別に見ると、中小企業が約6割を占めています。VPN機器などの社外とつながる機器を使っていれば、規模に関係なく入口になり得ます。
攻撃者はどこから入ってきますか
VPN機器やリモートデスクトップ、メールが主な入口として挙げられています。警察庁は、近年はインターネットに露出した箇所から遠隔操作で侵入する手口が多くを占めるとしています。取引先や経営者を装うメールで送金させる手口もあります。
まず何から手を付ければよいですか
社外とつながる機器の一覧を作り、更新の担当とバックアップの状態を確かめます。一覧ができれば、更新が遅れている機器や、IDとパスワードだけでつながる経路が見えてきます。そのうえで、気付いたときの連絡の順を1枚にまとめます。
備えの費用はどう説明すればよいですか
業務が止まったときの損失と復旧の手間を、備えの費用と同じ期間で並べて示します。止まる日数と滞る受注・出荷を業務ごとに見積もり、作業時間で済む備えと購入や委託が要る備えに分けて並べると、何に予算を充てるかを説明しやすくなります。
委託先から被害が広がることはありますか
委託先を狙う攻撃も大きな脅威とされており、契約で連絡の決まりを確かめます。IPAの10大脅威 2026では、組織向けの2位が「サプライチェーンや委託先を狙った攻撃」です。責任範囲、賠償の条項、事故のときに誰へいつまでに知らせるかを契約で確かめます。
IT運用と備えの点検の相談
社外とつながる機器の一覧と更新の担当、事故のときに連絡する人の順番と今の兼務の状況をお手元にご用意いただければ、点検の進め方と運用の体制をご相談いただけます。
Remoguとリラシクなら、リモートワークで働く社員の候補者も、業務委託で開発に加わる専門人材も探せます。
Remoguは、リモート前提で全国から即戦力のITプロ人材を調達するサービスです。リラシクは、扱う求人がすべてリモートワークのITエンジニア専門転職エージェントです。どちらもLASSICが運営しています。
出典
- *1 参考：独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」（https://www.ipa.go.jp/security/10threats/10threats2026.html）。出典：情報セキュリティ10大脅威 2026［組織］の順位・初選出年・取り扱いを参照（確認日2026年10月30日）（2026年11月確認）
- *2 参考：独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」解説書（組織編）（https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/kaisetsu_2026_soshiki.pdf）。出典：本書の概要、留意事項1、2位 サプライチェーンや委託先を狙った攻撃、4位 システムの脆弱性を悪用した攻撃、8位 リモートワーク等の環境や仕組みを狙った攻撃、10位 ビジネスメール詐欺（脅威と影響・対策と対応）を参照（確認日2026年10月30日）（2026年11月確認）
- *3 参考：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf）。出典：第1(2)①ランサムウェア攻撃（9〜11頁）、②DDoS攻撃（12頁）を参照（確認日2026年10月30日）（2026年11月確認）
- *4 参考：警察庁「ランサムウェア被害防止対策」（https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html）。出典：ランサムウェアとは、ランサムウェアの手口、ランサムウェア被害に遭わないために、ランサムウェア被害を想定した備え、被害が疑われたら・被害が確認されたらを参照（確認日2026年10月30日）（2026年11月確認）
- *5 参考：警察庁「サイバー攻撃の被害に係る企業・団体を対象としたアンケート調査結果及び対策」（令和8年1月）（https://www.npa.go.jp/bureau/cyber/pdf/R7countermeasures_leaflet.pdf）。出典：アンケートから分かる対策状況（VPN機器の最新パッチの適用状況、認証方法、事故対応マニュアル等の作成）を参照（確認日2026年10月30日）（2026年11月確認）
- *6 参考：個人情報保護委員会「漏えい等の対応とお役立ち資料」（https://www.ppc.go.jp/personalinfo/legal/leakAction/）。出典：漏えい等報告について（報告の期限、漏えい等報告が必要な場合）を参照（確認日2026年10月30日）（2026年11月確認）
