会社がサイバー攻撃されたら？初動対応5ステップ

「今朝出社したら、社内システムに一切ログインできない」「取引先から『弊社がランサムウェアに感染した』と連絡が来た」——そんな状況に突然放り込まれたら、あなたは何をすればいいか、すぐに答えられますか？

2025年7月、冷凍食品大手のニチレイがサイバー攻撃を受け、江崎グリコのアイスクリームの出荷作業やKFCなど外食産業への配送に影響が出ました。「完全復旧のメドが立たない」という状況は、サプライチェーン全体を巻き込む深刻な事態です。このニュースを見て、「うちの会社がこうなったら自分はどうすれば…」と不安を感じた方は多いはずです。

実はこの不安、初動対応の手順をあらかじめ頭に入れておくだけで、被害を最小限に抑えることができます。難しいIT知識は不要です。「誰が・何を・いつ・どのくらい」やるべきかをこの記事で整理しましょう。

この記事でわかること：

• サイバー攻撃発覚直後に従業員・管理職がやるべき具体的な初動5ステップ
• やってしまいがちな「NG行動」と、それが被害を広げる理由
• 日頃からできる備えと、いざという時の公的相談窓口

なぜ今、食品・物流企業がサイバー攻撃のターゲットになるのか

サイバー攻撃の被害は、IT企業や金融機関だけの話ではありません。ニチレイの事例が示すように、食品・物流・製造業は今や攻撃者にとって「最も狙いやすい産業」の一つです。その背景を理解しておくと、なぜ初動が重要なのかが見えてきます。

まず、サプライチェーン全体がデジタル化された結果、「一点突破」で連鎖被害が起きやすくなっています。倉庫の在庫管理システム、温度管理センサー、受発注システム、配送ルート最適化ツール——これらがすべてネットワークでつながっているため、一カ所が感染するだけで、川上から川下まで業務が止まります。ニチレイの場合も、自社への攻撃が取引先である江崎グリコや外食チェーンの出荷・配送にまで波及しました。

次に、攻撃側の「ビジネスモデル」が洗練されてきた問題があります。ランサムウェア（身代金要求型ウイルス）は、今や「RaaS（Ransomware as a Service）」と呼ばれるサービス形式で提供されており、技術的な知識が低い犯罪者でも簡単に使えるようになっています。警察庁の発表によると、2023年のランサムウェア被害報告件数は197件で、製造業が全体の28%と最多でした。

さらに、復旧に時間がかかる点も食品・物流業界の特徴です。温度管理や食品安全の観点から、感染が疑われるシステムは安全確認が完了するまで再起動できないケースもあり、「完全復旧のメドが立たない」という状況が現実に起こります。こうした背景を踏まえると、被害を受けた後の対応スピードがいかに重要かがわかります。

まず確認すべきこと：攻撃発覚時の「影響範囲の把握」

サイバー攻撃の疑いが生じた瞬間、最初の30分間にやるべき最優先事項は「被害を広げないこと」です。多くの人が陥りがちな誤解は、「まず状況を確認しよう」と感染した端末を操作し続けることです。これは火事で言えば、炎に近づいて窓を開け続けるようなものです。

発覚時に確認すべき項目は大きく4つです。

1. どの端末・システムが影響を受けているか（PC・サーバー・スマートフォンなど）
2. ネットワークにつながっているか（有線LAN・Wi-Fi・VPNなど）
3. 外部との通信が発生しているか（不審なファイル送信・外部接続のログ）
4. バックアップデータは安全な場所に存在するか

この4点を把握するだけで、情報システム部門や外部の専門家に的確な状況報告ができます。「何が起きているかわからない」という状態のまま時間が過ぎると、感染が社内全体に広がるリスクが指数関数的に高まります。実際、ランサムウェアは感染後平均で約24時間以内に横展開（ネットワーク内の別の端末への感染拡大）を試みるとされています。

今すぐできる初動対応5ステップ（従業員・管理職向け）

サイバー攻撃発覚後の最初の対応が、被害総額と復旧期間を大きく左右します。以下のステップを頭に入れておくだけで、パニックになった時でも冷静に動けます。

1. ステップ1：感染が疑われる端末のネットワーク接続を即時切断する（0〜5分以内）
   LANケーブルを抜く、Wi-Fiをオフにする、VPNを切断する。端末の電源は「すぐ切らなくてよい」場合もあります（ログが消える可能性があるため）。判断に迷ったら、ネットワーク切断だけを先にやってください。
2. ステップ2：情報システム部門（またはシステム管理者）に即報する（5〜10分以内）
   電話で連絡するのが基本です。メールは感染している可能性があるため使わない。「何時頃・どの端末で・何を見た・何をした後に発生したか」を30秒で話せるようにまとめておくと迅速に動いてもらえます。
3. ステップ3：周囲の同僚に口頭で注意喚起する（10〜15分以内）
   「不審なメールや添付ファイルを開かないで」「共有ドライブのファイルにアクセスしないで」と声をかける。社内チャットやメールでの拡散は感染経路になりうるので、口頭または電話で。
4. ステップ4：証拠を保全する（情報システム部門の指示に従い）
   不審なメール・ポップアップ画面・エラーメッセージのスクリーンショットを撮っておく（別の端末で）。感染した端末のログは後の原因調査で重要な証拠になります。自己判断でファイルを削除したり、ウイルス対策ソフトを走らせたりしない。
5. ステップ5：経営層・管理職への報告と対外対応の準備（30分〜1時間以内）
   被害の規模によっては、顧客・取引先・監督官庁への報告義務が発生します。個人情報保護法の観点では、個人情報漏洩が疑われる場合は「速やかに個人情報保護委員会への報告」が必要です（法改正により2022年4月から義務化）。

このステップを、A4一枚の「サイバーインシデント対応チェックリスト」として印刷し、デスクの引き出しに入れておくことを強くおすすめします。システムが使えない状況でも紙なら参照できます。

やってはいけないNG行動：被害を広げる「善意の行動」

多くの被害拡大は、従業員の「善意」から生まれます。「自分で直そうとした」「こっそり調べた」「とりあえず再起動した」——これらはすべて、状況を悪化させる可能性があります。

特に注意したいのが、「再起動すれば治るかも」という誤解です。ランサムウェアの多くは再起動後も暗号化を再開する仕組みになっており、再起動がきっかけで暗号化の範囲が広がった事例もあります。システム管理者の明示的な指示なく端末を操作するのは絶対に避けてください。

日頃からできるサイバー攻撃への備え：専門家・経験者が実践している工夫

被害を最小限に抑える最大の武器は「事前の準備」です。ニチレイの事例のように、復旧に数日〜数週間かかるケースを想定した事業継続計画（BCP）を整えておくことが企業の存続に直結します。

実際に被害経験のある企業の情報システム担当者へのヒアリングや、IPAなどの公的機関が公表している対策事例をもとに、普段からできる具体的な備えを紹介します。

• 3-2-1バックアップルールの徹底：データのコピーを3つ作り、2種類の媒体（例：クラウドとHDD）に保存し、1つはオフライン（ネットワーク未接続）に保管する。ランサムウェアはネットワーク上のバックアップも暗号化するため、オフライン保管が生命線になります。
• 多要素認証（MFA）の全社導入：VPNやクラウドサービスへのログインにパスワード以外の認証（SMSコード・認証アプリ）を追加するだけで、不正アクセスリスクを約99.9%削減できるとMicrosoftは報告しています。
• ソフトウェアの自動アップデート設定：脆弱性（セキュリティ上の穴）は既知のものを突かれるケースが全体の約60%を占めます。OSやアプリを常に最新状態に保つことは、最も費用対効果の高い対策です。
• 全従業員向けフィッシング訓練（年2回以上）：不審メールの模擬訓練を行っている企業と行っていない企業では、実際のインシデント発生率に約3倍の差があるとされています（IPA調べ）。
• インシデント対応計画（IR計画）の文書化と演習：「誰が最初に連絡を受け、誰に何を報告し、どこに相談するか」を文書化し、年1回は机上演習を実施する。ニチレイのような大企業でも、初動のスピードが復旧期間を左右します。

個人レベルでできることとしては、職場で使っているパスワードを自宅で同じものを使い回さないこと、そして業務データを個人のクラウドストレージに保存しないことが鉄則です。「利便性」のために作った抜け穴が、攻撃の入口になります。

被害が長引く時の相談先と使える公的支援制度

「自社だけで対応しようとする」ことが、被害を深刻化させる最も多いパターンです。恥ずかしいから・競合に知られたくないから、という理由で公的機関への相談を遅らせると、法的義務違反になる場合もあります。適切な相談先を把握しておきましょう。

1. 警察庁サイバー犯罪相談窓口（都道府県警察）
   ランサムウェア被害や不正アクセスは刑事事件として相談可能。各都道府県警察のサイバー犯罪相談窓口が窓口となります。身代金を要求されている場合は、支払う前に必ず相談を。
2. IPA（情報処理推進機構）安心相談窓口
   電話：03-5978-7509（平日10〜12時・13〜17時）。無料で技術的なアドバイスが受けられます。中小企業向けのサイバーセキュリティ相談にも対応しており、対応手順の確認や専門業者の紹介を受けられます。
3. NISC（内閣サイバーセキュリティセンター）
   重要インフラ（食品・物流・エネルギーなど）に関わる企業は、NISCへの報告窓口があります。ニチレイのような食品・物流企業はこのカテゴリに含まれる可能性があります。
4. 個人情報保護委員会
   顧客・従業員の個人情報が漏洩した可能性がある場合、速やかな報告義務があります（個人情報保護法第26条）。報告遅延は行政指導・公表の対象になります。
5. 中小企業向け：独立行政法人中小企業基盤整備機構
   サイバー攻撃被害からの事業再建に関する経営相談に応じています。補助金・助成金の案内も受けられる場合があります。

費用面の不安がある中小企業には、「サイバー保険」という選択肢もあります。ランサムウェア対応費用・原因調査費用・損害賠償費用をカバーする保険で、年間保険料の目安は従業員50名規模の企業で年間30〜80万円程度です。事故対応の専門家派遣サービスがセットになっている商品も多く、万が一の際に専門家に即相談できる体制が整います。

よくある質問

Q1. 会社でサイバー攻撃が起きた時、従業員個人は何か法的な責任を負いますか？

A. 故意や重大な過失がない限り、一般的な従業員が刑事・民事の個人責任を問われるケースは多くありません。ただし、感染した事実を上司や情報システム部門に報告せず放置した場合、あるいは攻撃に加担したと疑われる行動をとった場合は別です。不審な挙動に気づいたら迷わず報告することが、自分を守ることにもつながります。

Q2. 取引先がサイバー攻撃を受けて業務に影響が出た場合、こちらは何をすべきですか？

A. まず取引先からの公式連絡を待ち、自社担当者を通じて影響範囲と復旧見通しを確認します。それと並行して、代替調達先の検討・在庫の積み増し・顧客への暫定連絡など、自社BCP（事業継続計画）を発動してください。取引先のシステムに「手伝い」と称してアクセスするのは厳禁です。権限なしのアクセスは不正アクセス禁止法違反になる可能性があります。

Q3. ランサムウェアに感染した場合、身代金を払えばデータは戻りますか？

A. 支払っても復旧できないケースは少なくありません。米FBIや日本の警察庁も「身代金の支払いは推奨しない」と明言しています。理由は三つ：①復号キーを渡さない犯罪者が約40%存在する、②支払いが「次の攻撃への資金」になる、③「支払った企業」としてリスト化され再攻撃を受けやすくなる。バックアップからの復旧を最優先に検討し、専門機関に相談してから判断することを強く勧めます。

まとめ：今日から始められること

ニチレイへのサイバー攻撃が示したように、被害は自社だけで完結せず、サプライチェーン全体を巻き込む事態に発展します。「大企業の話」ではなく、今あなたの職場でも起こりうる現実の問題として捉えてください。

• 今すぐできること：初動対応5ステップを印刷してデスクに貼る。社内のインシデント連絡先（情報システム部門・上司）の電話番号を手帳に控える。
• 今週中にできること：自分が使っているシステムのパスワードを見直し、多要素認証が使えるサービスは設定する。職場のバックアップ運用を上司・担当部署に確認する。
• 今月中にできること：自社のBCPにサイバーインシデント対応が盛り込まれているか確認し、なければ上申する。サイバー保険の加入を検討する。

サイバーセキュリティは「IT担当者だけの問題」ではありません。一人ひとりが正しい初動を取れるかどうかが、会社全体の被害を左右します。難しく考えず、まず「ネットワーク切断」と「即報告」の二つだけ頭に刻んでおいてください。それだけで、あなたは会社を守る最前線の一員になれます。不安が大きい場合は、IPAや警察のサイバー相談窓口へ。一人で抱え込まずに動きましょう。