読売新聞が実施した九州・山口・沖縄の主要企業100社を対象とした景気アンケートで、衝撃的な事実が明らかになりました。なんと53%の企業がサイバー攻撃を受けたと回答したのです。
現役CSIRTメンバーとして数多くのインシデント対応に携わってきた私が、この調査結果を詳しく分析し、個人や中小企業が今すぐ取るべき対策について解説します。
深刻化する企業のサイバー攻撃被害の実態
今回の調査で明らかになった数字は、まさに現在のサイバー脅威の深刻さを物語っています。
- 攻撃を受けたが被害なし：32%
- 実害が発生：21%
- 合計：53%の企業が攻撃対象に
特に注目すべきは、21%の企業で「実害が発生」している点です。これは5社に1社が実際に被害を受けていることを意味します。
具体的な被害内容から見る脅威の多様化
調査で報告された被害内容を見ると、サイバー攻撃の手法が多様化していることがわかります。
1. システムやサービスの停止
ランサムウェア攻撃により、企業の基幹システムが完全に停止するケースが増加しています。私が対応した事例では、製造業のお客様が生産ラインを3日間停止し、数千万円の損失を被りました。
2. 企業・社員のSNS乗っ取り
パスワードの使い回しや脆弱な認証により、企業の公式SNSアカウントが乗っ取られるケースが急増しています。偽の投稿により企業の信頼性が大きく損なわれるリスクがあります。
3. 顧客情報の流出
最も深刻な被害の一つです。個人情報保護法の改正により、企業の責任はより重くなっており、漏洩が発覚すれば億単位の損害が発生する可能性があります。
4. フィッシングサイトの設置
特に金融機関では、偽のログインページを作成され、顧客の認証情報が盗まれるケースが報告されています。
企業が実施している対策の現状と課題
調査では、企業のセキュリティ対策についても興味深い結果が出ています。
最も多い対策は「ウイルス対策ソフトの導入」（88%）
約9割の企業がアンチウイルスソフト
を導入していることは評価できますが、これだけでは不十分です。現代のサイバー攻撃は、従来のウイルス対策ソフトだけでは防げない手法が主流となっています。
多層防御の重要性
調査でも明らかになったように、多くの企業が複数の対策を組み合わせています。
- セキュリティ専門会社との提携
- 生体認証の導入
- 定期的なセキュリティ教育
- ネットワーク監視システム
個人・中小企業が今すぐ取るべき対策
大企業だけでなく、個人や中小企業もサイバー攻撃の標的となっています。実際に私が対応した事例を交えながら、すぐに実践できる対策をご紹介します。
1. 包括的なセキュリティソフトの導入
単純なアンチウイルスソフト
だけでなく、以下の機能を持つ包括的なセキュリティソフトを選択することが重要です。
- リアルタイム監視
- ランサムウェア対策
- フィッシング対策
- ファイアウォール機能
2. VPNの活用
特にリモートワークが増加している現在、VPN
の重要性は高まっています。
私が調査した事例では、カフェの無料WiFiを利用していた従業員のPCが感染し、そこから会社のネットワークに侵入されたケースがありました。VPN
を使用していれば防げた可能性が高い事例です。
3. 定期的なバックアップ
ランサムウェア攻撃を受けた場合、最後の砦となるのがバックアップです。3-2-1ルール（3つのコピー、2つの異なるメディア、1つはオフサイト）を守ることをお勧めします。
4. 社員教育の徹底
技術的な対策だけでなく、人的な対策も欠かせません。特に以下の点について定期的な教育が必要です。
- 怪しいメールの見分け方
- パスワード管理の重要性
- USBメモリの取り扱い
- ソーシャルエンジニアリングの手法
フォレンジック分析から見えた攻撃者の手法
私がフォレンジック分析を行った事例から、攻撃者の最新の手法をご紹介します。
標的型攻撃の巧妙化
最近の攻撃者は、事前に企業の情報を綿密に調査し、従業員や取引先になりすましたメールを送信してきます。ある中小企業では、社長名義の偽メールにより、経理担当者が海外送金を実行してしまう事例がありました。
サプライチェーン攻撃の増加
大企業のセキュリティが強化される中、攻撃者は関連する中小企業を標的にする傾向があります。一見関係のない企業でも、サプライチェーンを通じて大企業にアクセスする足がかりとされる可能性があります。
まとめ：今こそセキュリティ投資を
今回の調査結果は、サイバー攻撃がもはや「他人事」ではないことを明確に示しています。特に中小企業や個人事業主の方は、「うちのような小さな会社は狙われない」という考えを改める必要があります。
攻撃者にとって、セキュリティが甘い中小企業は格好の標的です。被害を受けてからでは遅いのです。今すぐ、適切なセキュリティ対策を講じることをお勧めします。
セキュリティ投資は「コスト」ではなく「保険」です。事業の継続性を確保し、顧客の信頼を守るための必要不可欠な投資として考えてください。
一次情報または関連リンク
読売新聞：九州・山口・沖縄主要100社景気アンケート サイバー攻撃調査結果
