サイバー攻撃対策 中小企業が今すぐできること

「あの大企業でもやられたのか…うちは大丈夫だろうか」と、ふと不安がよぎった方はいませんか？

2025年、大手飲料メーカーのアサヒグループホールディングスがサイバー攻撃を受け、170億円もの営業減益・純利益37%減という衝撃的なニュースが報じられました。「うちはそんな大企業じゃないから関係ない」と思いたいところですが、実は中小企業こそサイバー攻撃の主要ターゲットになっているのが今の現実です。

でも、安心してください。ポイントを押さえれば、今日から少しずつ対策を積み上げられます。高額な投資がなくても、基本的な手順を踏むだけでリスクを大幅に下げることができます。

この記事でわかること：

• なぜ中小企業がサイバー攻撃に狙われるのか、その実態と被害額の目安
• 今日から取り組める、優先順位付きの具体的な対策手順
• 費用を抑えながら使える公的支援・補助金・サイバー保険の活用法

なぜ今、中小企業へのサイバー攻撃被害が急増しているのか？

中小企業がサイバー攻撃に狙われる理由は、実にシンプルです。セキュリティへの投資が少なく、専任の担当者もいないケースがほとんど。攻撃者から見れば「防御の薄い的」として映るのです。

警察庁の発表によると、2024年のランサムウェア（身代金要求型ウイルス）被害の過半数は、従業員300名以下の中小企業・中小団体が占めています。大企業に比べてITセキュリティの専門人材が少なく、システムの更新も遅れがちな中小企業は、攻撃者にとって「効率の良い獲物」です。

さらに深刻なのが、サプライチェーン攻撃（取引先への攻撃を足がかりに大企業へ侵入する手口）の急増です。大企業の仕入先・外注先である中小企業が「踏み台」にされるリスクが高まっており、今回のアサヒグループのケースでも、そうした複雑な攻撃経路の可能性が報じられています。大企業との取引がある会社ほど、逆に狙われやすい時代になっているのです。

加えて、テレワークの普及がリスクを押し上げました。自宅のWi-Fiや個人のパソコンから社内システムへアクセスする機会が増えたことで、攻撃の「入り口」が一気に拡大。IPA（情報処理推進機構）の調査では、2020年以降、在宅勤務を狙ったフィッシング詐欺メールは前年比で約3倍に増加しました。

「うちは取引先からメールが来るだけだし、大丈夫」と思っている方こそ要注意です。メール1通が、会社全体を止める引き金になりかねないのが今の現実です。

まず知っておくべき：サイバー攻撃の種類と被害額の現実

対策を立てる前に、「何に備えるのか」を知ることが重要です。中小企業が被害を受けやすい攻撃の種類を整理しておきましょう。

• ランサムウェア：社内データを暗号化して身代金を要求する攻撃。復旧に平均2〜3週間かかり、身代金の相場は数百万〜数千万円に上ることも。業務が完全停止するため、機会損失も甚大
• フィッシング詐欺：取引先や上司を装った偽メールで、IDやパスワードを盗み取る手口。中小企業では年間数十万件の被害が報告されており、最も件数が多い攻撃
• 標的型攻撃メール：特定の企業・人物を狙った巧妙な偽メール。添付ファイルを開いただけで感染するケースが多く、一般のメールと見分けがつきにくい
• 不正アクセス：脆弱なパスワードや古いソフトウェアの「穴」を突いて、社内システムへ侵入する攻撃。放置された旧システムや退職者のアカウントが狙われやすい

実際の被害額はどのくらいでしょうか。経済産業省・IPAの調査によれば、中小企業がサイバー攻撃を受けた場合の損害は数百万〜1億円以上に達するケースも珍しくありません。直接的な身代金だけでなく、システム復旧費用・業務停止による機会損失・顧客への賠償・信頼回復のための広報費用…と被害は雪だるま式に膨らみます。

「170億円はアサヒクラスだから」というのは大きな誤解です。中小企業でも経営危機・廃業に追い込まれるケースは後を絶たず、米国のNational Cyber Security Allianceの調査では、サイバー攻撃を受けた中小企業の約60%が6ヶ月以内に廃業するというデータもあります。規模の問題ではなく、準備の問題なのです。

今日からできる！中小企業のサイバー攻撃対策ステップ5つ

難しく考える必要はありません。まず優先度の高い5つのステップから着手しましょう。完璧を目指すより、「攻撃者に割に合わないと思わせること」が目標です。

1. パスワード強化＋多要素認証（MFA）の全社導入（今すぐ・費用ほぼゼロ）
   パスワードを「英数字記号混在で12文字以上」に変更し、全員に多要素認証を設定する。これだけで不正アクセスの80%以上を防げると言われています。GoogleやMicrosoftのMFAアプリは無料です。社内のメール・クラウドストレージ・基幹システムのアカウントから優先的に設定してください。「面倒くさい」と感じる手間が、攻撃者の侵入コストを大幅に引き上げます。
2. OSとソフトウェアの自動更新設定をオンに（今すぐ・費用ゼロ）
   古いOSやソフトウェアには既知の「穴（脆弱性）」があり、攻撃者はそこを狙います。WindowsUpdateやmacOSの更新を自動化するだけで、既知の脆弱性の90%をカバーできます。「再起動が面倒」で更新を止めている会社は今すぐ設定を変更してください。特に業務用PCが数台ある場合は、全台の設定を確認することが重要です。
3. 定期バックアップ＋オフライン保管の仕組みを作る（月1〜3万円程度から）
   ランサムウェア対策の最強の切り札は「バックアップ」です。クラウドバックアップ（月数千円〜）と外付けHDDによるオフラインバックアップを組み合わせた「3-2-1ルール」を実践してください。3箇所に・2種類のメディアで・1箇所はオフサイト（外部）保管が理想です。月1回のリストア（復元）テストも必ず実施しましょう。バックアップがあれば、身代金を払わずにデータを取り戻せます。
4. メールフィルタリング・セキュリティソフトの導入（月数千円〜）
   フィッシングメール対策には、クラウド型のメールセキュリティサービスが有効です。Microsoft 365 Business Premium（月額2,750円/ユーザー）やGoogle Workspace（月額1,360円〜）には標準でセキュリティ機能が含まれています。既存のメールサービスに追加できる専用フィルタリングツールも多数あり、月数千円から導入可能です。迷惑メールをブロックするだけでなく、危険なリンクを自動検知する機能が攻撃の入り口を塞ぎます。
5. 社員向けセキュリティ研修・模擬フィッシング訓練（年1〜2回）
   最新の調査では、サイバー攻撃の約80%が「人の操作ミス」から始まるとされています。年1〜2回の社内研修と、実際に疑似フィッシングメールを送るシミュレーション訓練が非常に効果的です。IPAが提供する無料の教育動画や教材を活用すれば、外部業者を使わずとも実施できます。「知っている」ことが最大の防御です。

やってはいけないNG行動・よくある勘違い

対策しようとするあまり、かえってリスクを高めてしまうことがあります。次のNG行動には十分注意してください。

何より危険なのは、「小さい会社は狙われない」という思い込みです。実際には中小企業こそ「防御が薄い的」として積極的に狙われています。「うちには盗まれる情報がない」と思っていても、取引先の大企業へ侵入するための踏み台として利用されるリスクがあります。規模に関係なく、基本対策を怠らないことが最大の防御です。

専門家・実践企業が取り入れているセキュリティの工夫

実際にセキュリティ対策を進めている企業や専門家が実践している工夫を紹介します。コストをかけずに効果を高める知恵が詰まっています。

① インシデント対応計画（IRP）をA4一枚で作っておく
サイバー攻撃を受けた時に「誰が何をするか」をA4一枚の紙にまとめておく。担当者の連絡先・業者の電話番号・警察やIPA相談窓口の情報をリストアップして、オフラインで印刷して保管します。攻撃を受けたときはPCやスマートフォンが使えない状況も多いため、紙で手元に置いておくことが重要です。ある中小製造業では、この一枚のシートがあったおかげで初動対応が30分以内に完了し、被害を最小限に抑えたという事例があります。

② 「ゼロトラスト」の考え方を部分的に取り入れる
「社内ネットワークなら安全」という前提を捨て、社内外すべてのアクセスを都度認証する考え方です。完全な導入は大企業向けですが、中小企業でも「社内ファイルサーバーへのアクセスにもMFAを設定する」「従業員ごとにアクセス権限を必要最小限に絞る」など部分的な導入から始められます。特にリモートワーク環境がある会社には即効性があります。

③ 月1回の「セキュリティ点検デー」をカレンダーに入れる
専任担当者がいない中小企業でも、月1回30分だけ「パスワード更新の確認・ソフトウェア更新の適用・バックアップの正常確認」をする日を設けるだけで、対策の抜け漏れを防げます。特別なスキルは不要です。カレンダーに「セキュリティ点検日」として登録してしまい、担当者を決めて当番制にするとより継続しやすくなります。

④ 不審なメールの報告を「ほめる」文化を作る
「怪しいメールを開いてしまった」と報告できる雰囲気がない会社では、感染が発覚するまでに時間がかかり被害が拡大します。報告した社員をまず「よく気づいてくれた」と評価する文化を作るだけで、初動対応のスピードが劇的に上がります。叱責よりも早期発見・早期対処のほうが会社全体の損害を大幅に減らせます。

費用が心配なら？公的支援・サイバー保険の賢い活用法

「対策したいけど予算がない」という中小企業には、今すぐ使える公的支援が複数あります。高額な投資をする前に、まず無料の支援を最大限活用しましょう。

• IPA（情報処理推進機構）の無料相談・無料ツール
  IPAでは「中小企業の情報セキュリティ対策ガイドライン」を無料公開しており、現状の自己診断ツールも提供しています。「情報セキュリティ安心相談窓口（☎03-5978-7509）」では、専門の相談員に無料で質問できます。まずここから始めるのが最も手軽で確実です。
• IT導入補助金（セキュリティ対策推進枠）
  セキュリティソフトやクラウドサービスの導入費用に使える補助金です。2024年度はセキュリティ対策推進枠として最大100万円、補助率50%で利用できる制度があります（詳細は毎年更新されるため、独立行政法人中小企業基盤整備機構のサイトで最新情報を確認してください）。申請には認定IT導入支援事業者との連携が必要ですが、支援事業者が申請手続きを代行してくれます。
• サイバーセキュリティ保険
  万一の被害に備える保険です。中小企業向けには年間3万〜10万円程度から加入できる商品も多数あり、損害保険各社が提供しています。システム復旧費用・第三者への賠償・弁護士費用・危機管理コンサルティング費用などをカバーするものが主流です。火災保険と同じ感覚で「万一の備え」として検討する価値は十分にあります。
• 都道府県の「よろず支援拠点」・産業振興センター
  各都道府県に設置されている中小企業支援の窓口では、ITセキュリティの専門家による無料相談を提供しています。「何から始めたらいいかわからない」という段階でも、具体的なアドバイスをもらえます。予約制が多いため、まず電話で問い合わせてみましょう。

無理に高額なサービスを一度に導入する必要はありません。まず無料の公的支援を活用して現状を把握し、優先順位をつけて少しずつ強化していくのが現実的かつ継続可能な進め方です。

よくある質問

Q. サイバー攻撃を受けた場合、まず誰に連絡すればよいですか？

A. 最初にすべきことは、感染した端末をネットワークから切断すること（LANケーブルを抜く・Wi-Fiをオフにする）と、社内の責任者への報告です。その後、警察のサイバー犯罪相談窓口（各都道府県警察）とIPA情報セキュリティ安心相談窓口（☎03-5978-7509）に連絡してください。自力での復旧を試みる前に専門家に相談することで、証拠保全と被害拡大の防止につながります。身代金の支払いは、払っても復元される保証がないうえ、次の標的にされるリスクが高まるため、絶対に避けてください。

Q. クラウドサービスを使えばセキュリティは自動的に大丈夫ですか？

A. クラウドサービス自体は高度なセキュリティ設備を持っていますが、それだけで安心することはできません。クラウドへのログインIDやパスワードが盗まれれば、サービス側のセキュリティは何の意味もなくなります。クラウドを使う場合でも、多要素認証の設定・アクセス権限の管理・定期的なアクセスログの確認は必ず実施してください。「クラウドに任せれば何もしなくていい」は最も危険な思い込みのひとつです。

Q. セキュリティ対策にかける費用の目安はどのくらいですか？

A. IPAの「中小企業の情報セキュリティ対策ガイドライン」では、IT関連予算の5〜10%をセキュリティに充てることが推奨されています。従業員10名程度の企業であれば、月1〜3万円程度（バックアップ・セキュリティソフト・メールフィルタリング込み）から始められます。ただし、パスワード強化・MFA設定・ソフト自動更新といった「費用ゼロでできる対策」を全て実施してから有料サービスを検討するのが最も合理的な順序です。

まとめ：今日から始められること

アサヒグループの170億円規模の被害は、決して対岸の火事ではありません。規模は違っても、中小企業こそ今、サイバー攻撃の主要ターゲットになっています。

• 今日すぐ：全社員のパスワードを12文字以上に変更し、主要サービスに多要素認証（MFA）を設定する（費用ゼロ）
• 今週中：OSとソフトウェアの自動更新をオンにし、クラウドバックアップを設定する（月数千円〜）
• 今月中：IPA「中小企業の情報セキュリティ対策ガイドライン」で現状を診断し、IT導入補助金やサイバー保険の検討を始める

「完璧なセキュリティ」を目指す必要はありません。大切なのは「攻撃者に割に合わない相手だと思わせること」です。基本対策をコツコツ積み上げるだけで、狙われるリスクは大幅に低下します。まず今日、一つだけ行動してみてください。

不安や疑問がある場合は、一人で抱え込まず、IPA相談窓口や都道府県の中小企業支援センターへ気軽に相談してください。専門家が無料で対応してくれます。