もし自社で起きたら？中小企業で実際にあったランサムウェア被害3つのケース

ランサムウェア被害は大企業だけでなく、中小企業にも現実に起きています。本記事では、製造業・建設業・医療系クリニックの3つの中小企業モデルケースを通じて、どのように被害が進行し、どれくらい業務やお金への影響が出るのかを、経営者向けにわかりやすく解説します。あわせて、今からできる再発防止策のポイントも紹介します。

※実在の企業・団体を特定するものではなく、複数の事例をもとにしたモデルケースです。

はじめに

Day1では、「なぜ中小企業がランサムウェアの標的になるのか」という全体像についてお話しました。
Day2では、「どこから会社の中に入り込むのか」という入口の話をしました。

とはいえ、経営者として一番気になるのは、

• 「もし自社で起きたら、具体的に何がどう止まるのか？」
• 「売上や取引先との関係に、どれくらい影響が出るのか？」
• 「今からでも防げることはあるのか？」

という点ではないでしょうか。

そこでDay3では、よくあるパターンをもとにした3つのモデルケースをご紹介します。

• ケース1：部品製造業A社（従業員50名）
• ケース2：建設業B社（従業員30名）
• ケース3：医療系Cクリニック（スタッフ20名）

それぞれのケースで、

• どのように侵入されたのか
• どんな被害・混乱が起きたのか
• 最終的にどう立て直したのか
• 「今からできる教訓」は何か

を、できるだけ現場のイメージが湧くようにお伝えしていきます。
実在の企業名は出しませんが、「自社に置き換えたらどうなるか？」を想像しながら読んでいただければと思います。

目次

1. モデルケースの前提について
2. ケース1：部品製造業A社 – 古いVPN機器から侵入され、生産ラインが止まった例
3. ケース2：建設業B社 – 「請求書メール」からの感染で資金繰りが揺らいだ例
4. ケース3：医療系Cクリニック – パスワード使い回しから電子カルテが狙われた例
5. 3つのケースから見える共通点と、「やっていて良かった」対策
6. 自社に置き換えるための3つの問いかけ
7. まとめ：ストーリーを「他人事」で終わらせないために

1. モデルケースの前提について

これからご紹介する3つのケースは、実在の企業を特定できるものではなく、複数の公開事例やヒアリング内容をもとに再構成した「よくあるパターン」です。

実際の報告事例を見ていると、

• 業種や規模は違っても、似たような流れで被害が進んでいる
• 「今からなら防げたポイント」がいくつか共通している

という特徴が見えてきます。

ここではその共通パターンをわかりやすくするために、A社・B社・Cクリニックという3つのモデルケースに整理しました。

ぜひ、「これはうちの状況に近いな」「このポイントは今からでも改善できそうだ」といった観点で読んでみてください。

2. ケース1：部品製造業A社 – 古いVPN機器から侵入され、生産ラインが止まった例

会社概要

• 業種：自動車部品の製造
• 従業員数：約50名
• 特徴：大手メーカーの下請けとして、納期厳守が求められる

発生前の状況

• 数年前にテレワーク用のVPN機器を導入したが、設定や更新はベンダー任せ
• システム担当は兼任で、日々の業務が忙しく、機器の状態を気にする余裕がない
• 「とりあえずつながっているから大丈夫」という感覚で、そのまま運用

発生から気づくまで

1. ある夜間、外部からVPN機器に不正アクセスが行われる
2. 古いバージョンのまま使っていたため、既知の弱点（脆弱性）を悪用されてしまう
3. 攻撃者は社内ネットワークに入り込み、基幹システムやファイルサーバーを探し回る
4. 翌朝、出社した社員が「基幹システムにログインできない」「図面ファイルが開けない」と気づく

被害の内容

• 生産管理システムが暗号化され、当日以降の生産計画が確認できない
• 設計図面や加工条件のファイルも暗号化され、一部の工程がストップ
• 大手メーカー向けの納期に間に合わず、数件の納期遅延と値引き対応が発生
• システム復旧・機器更新・外部専門家への依頼費用などで、トータル数百万円規模の出費

経営者の実感したポイント

• 「工場は止められない」という前提だったが、ITが止まるとラインも止まると痛感した
• VPN機器が「工場への裏口」になっていたことを初めて意識した
• ベンダー任せではなく、「誰がどの機器を管理しているか」を社内で把握しておく必要性を感じた

その後に取った対策

• サポートが切れた古い機器を、サポート期間内の機器に更新
• VPN接続のアカウントを棚卸しし、「使っていないアカウント」を削除
• 多要素認証（ワンタイムコード）を導入し、「ID＋パスワードだけ」で入れないようにした
• バックアップの取り方を見直し、「工場が止まっても1〜2日で復旧できる体制」を作り直した

▶ 教訓：「古い機器」と「誰もちゃんと見ていない入口」が、会社の首をしめる最大の弱点になり得る。

3. ケース2：建設業B社 – 「請求書メール」からの感染で資金繰りが揺らいだ例

会社概要

• 業種：地域密着の建設業（公共工事・民間工事）
• 従業員数：約30名
• 特徴：少人数で現場を回し、経理担当はほぼ一人で担当

発生前の状況

• 取引先との請求書や見積書は、メール添付（Excel・PDF）が中心
• 毎月末や工事完了時期は、経理担当者が大量のメール処理に追われていた
• 「怪しいメールに注意」程度のざっくりした注意喚起はあったが、具体的なルールはなし

発生から気づくまで

1. ある月末、取引先名を名乗るメールで「追加請求分のご確認です」という件名のメールが届く
2. 差出人の名前は見覚えがあり、件名も自然だったため、経理担当者は深く疑わずにExcel添付を開く
3. 実はそのファイルには悪意のあるマクロが仕込まれており、裏で不正プログラムが動き出す
4. 数日後、社内のファイルサーバーに保存していた請求書・見積書のデータが次々と暗号化され始める

被害の内容

• 過去数年分の請求データや工事ごとの収支管理ファイルが暗号化され、開けなくなる
• 入金予定リストや支払い予定リストがわからなくなり、資金繰り表を一時的に作れなくなる
• 復旧に時間がかかり、銀行との打ち合わせで説明に追われる
• 請求漏れ・二重請求のリスクが出たため、取引先への確認電話が増え、事務負担が急増

経営者の実感したポイント

• 「一通のメール」が、会社の数字をすべて見えなくしてしまう怖さを知った
• 経理担当者任せにしていたメール運用が、「会社全体のリスク」になっていたと気づいた
• 請求書や見積書といった「お金の情報」が、サイバー攻撃にとっても価値のある情報だと認識した

その後に取った対策

• 請求書メールの扱いルールを作成（差出人・件名・口座番号に少しでも違和感があれば、電話で確認）
• 経理担当だけでなく、現場監督や営業も含めた「不審メール訓練」を実施
• 請求・見積データのバックアップをクラウドにも保存し、「メールからの感染で社内サーバーが止まっても、復旧できる」体制を構築
• 経理用パソコンと、他業務用パソコンを分け、被害が広がりにくくした

▶ 教訓：「忙しいときほど、よく使うファイル形式のメールが狙われる」。ルールと訓練で「考える時間」を確保することが重要。

4. ケース3：医療系Cクリニック – パスワード使い回しから電子カルテが狙われた例

施設概要

• 業種：地域の内科クリニック
• スタッフ数：約20名（医師・看護師・受付）
• 特徴：電子カルテ・予約システム・オンライン問診などIT活用は進んでいる

発生前の状況

• 電子カルテや予約システムなど、複数のクラウドサービスを利用
• 使うID・パスワードが増え、「覚えきれない」という理由で、似たパスワードを使い回し
• 一部の共用パソコンで、管理者権限のアカウントが日常的に使われていた

発生から気づくまで

1. 別の外部サービス（ショッピングサイトなど）から、ユーザーのID・パスワードが流出する
2. 攻撃者が、その流出したID・パスワードを使って、クリニックのメールやクラウドサービスにログインを試す
3. たまたま同じパスワードを使っていたスタッフのアカウントでログインに成功
4. そこから電子カルテにアクセスできるサーバーやシステムにたどり着こうとする

被害の内容（未遂を含む）

• 電子カルテサーバーへのアクセスが試みられ、一部のログで不審な動きが確認される
• 幸いなことに、カルテデータ自体はオフラインバックアップもあり、大規模な暗号化・流出は発生しなかった
• ただし、インシデント対応のために診療時間を短縮した日が発生し、予約変更の連絡などでスタッフが疲弊
• 「もし患者情報が漏れていたら」という不安から、院長がしばらく眠れない日が続いた

経営者（院長）の実感したポイント

• 「パスワードを覚えやすくしてあげること」が、逆に患者さんの情報を危険にさらしていたと気づいた
• システムベンダーに任せきりではなく、「誰がどの権限を持っているか」を院長自身が理解しておく必要を感じた
• オフラインバックアップがあったことで、「最悪の事態」を免れたと実感した

その後に取った対策

• 全スタッフのパスワードを見直し、長くて推測されにくいものに変更
• 主要なシステムには、多要素認証（スマホアプリなど）を導入
• 共用パソコンでの管理者権限の利用を禁止し、一般権限のアカウントのみ使用
• オフラインバックアップの頻度を増やし、「万一のときに戻せるポイント」を増やした

▶ 教訓：「パスワードは、患者さんの命綱でもある」。覚えやすさよりも、「漏れても破られにくい仕組み」を最優先にする必要がある。

5. 3つのケースから見える共通点と、「やっていて良かった」対策

共通していた弱点

• 「うちは大丈夫だろう」という油断（正常性バイアス）があった
• 入口（VPN・メール・パスワード）が整理されておらず、誰が何を管理しているかがあいまいだった
• 現場が忙しく、「あとで対応しよう」と後回しになっていたポイントが突かれた

「やっていて良かった」と感じた対策

• どこかのタイミングでバックアップを取っていたこと（完全ではなくても役立った）
• 信頼できる外部の専門家やベンダーがいて、相談先がはっきりしていたこと
• 社内で最低限の情報共有があり、「誰に報告すればよいか」がわかっていたこと

完璧な対策をしている会社は、多くありません。
それでも、「最低限これだけはやっていた」という対策が、 被害の大きさを分ける決定的な要素になっているケースが目立ちます。

6. 自社に置き換えるための3つの問いかけ

ここまでの3つのケースを、自社に当てはめて考えるための問いかけを3つ用意しました。

問い1：うちの「工場や現場」が止まるとしたら、どのITが止まったときか？

• 製造業なら、生産管理システム・設計データ・受発注システムなど
• 建設業なら、積算・工事台帳・請求・入金管理など
• サービス業なら、予約システム・顧客管理・決済システムなど

問い2：そのシステムやデータに、「外から入れる入口」はいくつあるか？

• VPN・リモートデスクトップ・クラウドサービス・メール…
• その入口は、誰が管理しているか？
• 最近、設定やパスワードを見直したのはいつか？

問い3：最悪の事態のとき、「どこまで戻せるバックアップ」があるか？

• 昨日まで戻せるのか、1週間前までなのか、1か月前までなのか
• バックアップは、攻撃者からも触れない場所に保管されているか
• 実際に「戻す練習」をしたことがあるか

これらの問いに、すべて完璧に答えられる必要はありません。
ですが、「今は答えられないな」と感じたところがあれば、そこが優先的に手をつけるポイントになります。

8. まとめ

本日のポイント

• ランサムウェア被害は、製造業・建設業・医療系クリニックなど、さまざまな中小企業で現実に起きている。
• A社のように、「古いVPN機器」や「誰も見ていない入口」が、工場や現場を止める引き金になることがある。
• B社のように、「忙しいときの請求書メール」から、会社の数字が見えなくなり、資金繰りに影響するケースもある。
• Cクリニックのように、パスワードの使い回しが「患者情報」を危険にさらすリスクにつながる。
• 完璧な対策でなくても、「バックアップ」「入口の棚卸し」「相談先の確保」といった基本が、被害を大きく分けるポイントになる。

Day4では、これらのケースを踏まえて、「今日からできるランサムウェア対策の具体的なステップ」を、チェックリスト形式でもう少し踏み込んで整理していきます。

9. FAQ