中小企業の3社に1社が被害！ランサムウェア攻撃の実態と今すぐできる対策

脅威ニュース

中小企業の34.9％がサイバー攻撃被害を経験。ランサムウェア対策の基本からWebサイト脆弱性診断まで、フォレンジック専門家が実例とともに解説します。

2025.08.08

愛知県の調査で判明！中小企業の34.9％がサイバー攻撃被害を経験

帝国データバンクが愛知県内の企業を調査した結果、実に34.9％の企業が過去にサイバー攻撃を受けた経験があることが明らかになりました。つまり、3社に1社以上が既に何らかの被害を受けているということです。

私は長年フォレンジックアナリストとして様々なサイバー攻撃の事後対応に携わってきましたが、この数字は決して他人事ではありません。特に中小企業は大企業への攻撃の「踏み台」として狙われることが多く、被害が深刻化する傾向にあります。

2024年のランサムウェア被害件数は222件で、その6割以上を中小企業が占めています。実際に私が対応したケースでは、製造業のA社（従業員50名）が突然全てのファイルが暗号化され、「72時間以内に5万ドルの仮想通貨を支払え」という脅迫メッセージが表示されました。

従来のランサムウェアは単純にデータを暗号化するだけでしたが、最近の攻撃は：

といった複合的な手法を取っています。建設業のB社では、顧客情報が盗まれ、顧客にも直接脅迫メールが送られるという事態に発展しました。

「お金を払えば元に戻るのでは？」と考える経営者の方もいらっしゃいますが、これは非常に危険な判断です。

私が関わった事例では、身代金を支払った企業の約30％で復旧に失敗しています。さらに、一度支払うと「良いカモ」と判断され、再攻撃のターゲットになる可能性も高まります。

フォレンジック調査で攻撃経路を分析すると、ほとんどのケースで以下のいずれかが原因となっています：

実際の被害事例として、税理士事務所のC社では、3年前のOSを使用し続けていたパソコンから侵入を許し、顧客の税務データが全て暗号化される事態が発生しました。

個人の方でも同様のリスクがあります。アンチウイルスソフトで基本的なセキュリティを確保し、外出先でのインターネット利用時はVPN で通信を保護することをお勧めします。

人間が年1回健康診断を受けるように、ITシステムも定期的なチェックが必要です。特に自社のWebサイトは24時間365日攻撃にさらされています。

製造業のD社では、定期的にWebサイト脆弱性診断サービスを利用していたため、攻撃者が侵入前に脆弱性を発見・修正できました。一方、診断を怠っていた同業のE社は、Webサイトから侵入され、数千万円の被害を受けています。

より高度な対策として、「ホワイトハッカー」による実際の攻撃手法を模したテストがあります。これは数百万円の投資になりますが、大企業への攻撃の踏み台となるリスクを考えれば、決して高い投資ではありません。

「うちは狙われないだろう」という油断が最も危険です。実際に被害を受けてからでは、事業継続に深刻な影響を与えかねません。特に中小企業は復旧に時間がかかり、顧客離れや信用失墜のリスクも高いのが現実です。

基本的なセキュリティ対策から始めて、段階的に強化していくことが重要です。個人の方も企業の方も、今すぐできることから始めてみてください。