英小売大手マークス・アンド・スペンサー（M&S）のアーチー・ノーマン会長が英議会で発言した内容が、企業のサイバーセキュリティ業界に大きな波紋を呼んでいます。
現役のCSIRTメンバーとして数多くのサイバー攻撃事案を分析してきた立場から言わせていただくと、この発言は単なる提言ではなく、企業経営者への強烈な警鐘なのです。
M&Sが受けた攻撃の実態：7週間のオンライン停止で約410億円の損失
まず、今回の事例を整理してみましょう。M&Sは2025年4月にサイバー攻撃を受け、以下のような深刻な被害を受けました：
- オンラインショッピング停止期間：約7週間
- 推定損失額：約3億ポンド（約410億円）
- 攻撃者：アジアを拠点とするランサムウェア集団
- 復旧状況：6月10日に一部再開、8月まで影響継続予定
フォレンジック調査の現場で見てきた経験から言うと、これは典型的な「標的型ランサムウェア攻撃」の事例です。単純にファイルを暗号化するだけでなく、システム全体を機能停止に追い込む高度な攻撃手法が使われています。
なぜ企業は攻撃を隠したがるのか？フォレンジックアナリストが見た現実
ノーマン会長が指摘した「かなりの数の深刻なサイバー攻撃が通報されていない」という問題。これは日本の企業でも同様の状況が見られます。
私が関わった事例では、以下のような理由で企業が攻撃を隠そうとするケースが多々ありました：
実際の隠蔽事例
- 製造業A社のケース：ランサムウェアで生産ライン停止も「設備メンテナンス」として発表
- 小売業B社のケース：顧客データ流出も「システム障害」として処理
- 金融関連C社のケース：内部調査で発覚した不正アクセスを非公開で処理
企業が隠したがる理由は明確です。株価への影響、顧客離れ、競合他社への情報漏洩リスク、そして経営陣の責任追及への懸念です。
報告義務化が企業と社会に与える影響
ノーマン会長の提言する報告義務化は、単なる規制強化ではありません。サイバーセキュリティ業界全体の底上げを狙った戦略的な提案なのです。
期待される効果
- 攻撃手法の共有によるセキュリティレベル向上
- 国家レベルでの脅威情報収集体制の構築
- 企業間での対策ノウハウの共有
- サイバー犯罪者に対する抑止効果
実際、韓国では2024年から大規模なサイバー攻撃の報告が義務化されており、攻撃パターンの分析と対策の精度が大幅に向上しています。
中小企業こそ危険！見落とされがちなサイバーリスク
「うちは大企業じゃないから大丈夫」という考えは非常に危険です。フォレンジック調査を行っていると、中小企業ほど深刻な被害を受けるケースが多いのが現実です。
中小企業が標的になる理由
- セキュリティ対策の脆弱性：予算や人材の制約
- 大企業への踏み台：サプライチェーン攻撃の起点
- 発覚しにくい：監視体制の不備
- 復旧コストの高さ：事業継続への深刻な影響
実際の中小企業被害事例
地方製造業の事例：従業員50名程度の金属加工会社が標的型攻撃を受け、図面データや顧客情報が流出。復旧に約6か月、損失は年間売上の30%に相当する約1億2000万円。
IT企業の事例：社員30名のソフトウェア開発会社でランサムウェア被害。開発中のソースコードが暗号化され、納期遅延で損害賠償請求。結果的に事業縮小を余儀なくされる。
今すぐ実践できるサイバーセキュリティ対策
フォレンジック調査の現場で見てきた攻撃パターンを基に、実効性の高い対策をご紹介します。
1. エンドポイントセキュリティの強化
最も重要なのは、各端末レベルでのセキュリティ対策です。アンチウイルスソフト
は、従来のウイルス対策ソフトでは検出できない高度な攻撃も効果的に防御できます。
特に重要なのは：
- リアルタイムスキャン機能
- ランサムウェア専用の保護機能
- 怪しいファイルの自動隔離
- 定期的なパターンファイル更新
2. 通信経路の暗号化
リモートワークが常態化した現在、通信経路の保護は必須です。VPN
を使用することで、公共Wi-Fiでも安全に業務を行うことができます。
VPNの重要性：
- 通信内容の暗号化
- IPアドレスの秘匿
- 地理的制限の回避
- ログ記録による追跡防止
3. Webサイトの脆弱性対策
企業のWebサイトは攻撃者の主要な標的です。Webサイト脆弱性診断サービス
を定期的に実施することで、攻撃者が悪用する可能性のある脆弱性を事前に発見・修正できます。
診断で発見される主な脆弱性：
- SQLインジェクション
- クロスサイトスクリプティング（XSS）
- 認証・認可の不備
- 機密情報の漏洩リスク
M&S事例から学ぶ事業継続計画（BCP）の重要性
M&Sの7週間にわたるオンライン停止は、サイバー攻撃が単なるITトラブルではなく、事業継続に直結する重大リスクであることを示しています。
効果的なBCP策定のポイント
- 攻撃発生時の初動対応手順
- データバックアップの多重化
- 代替システムの準備
- 顧客・取引先への連絡体制
- 復旧優先順位の明確化
サイバーセキュリティ投資は「コスト」ではなく「投資」
M&Sの410億円の損失を見れば明らかですが、サイバーセキュリティ対策は「コスト」ではなく「投資」として捉えるべきです。
投資対効果の考え方
仮に年間100万円のセキュリティ投資で、1億円の損失を防げるとすれば、投資回収率は10,000%です。これほど確実性の高い投資は他にありません。
具体的な投資配分の例：
- エンドポイントセキュリティ：40%
- ネットワークセキュリティ：30%
- 脆弱性診断・監査：20%
- 従業員教育：10%
まとめ：今こそ行動を起こすべき時
M&S会長の発言は、企業のサイバーセキュリティに対する考え方を根本から見直すべき時期に来ていることを示しています。
攻撃者は日々手法を進化させており、従来の対策では対応できない脅威が増加しています。今すぐ行動を起こさなければ、あなたの会社が次の被害企業になる可能性があります。
フォレンジックアナリストとして最後にお伝えしたいのは、「備えあれば憂いなし」ということです。適切なセキュリティ対策を講じることで、サイバー攻撃のリスクを大幅に軽減できます。
まずはアンチウイルスソフト
でエンドポイントセキュリティを強化し、VPN
で通信経路を保護し、Webサイト脆弱性診断サービス
でWebサイトの脆弱性を定期的にチェックすることから始めてみてください。
